Cloudflare Turnstile заставил WebGL палиться: новая капча без капчи

Помните, как Cloudflare обещал капчу, которая не бесит? Turnstile — это тот самый невидимый страж, который должен был пропускать людей, не заставляя их тыкать на светофоры. Но, как выяснилось, за кулисами он всё равно снимает отпечатки пальцев — на этот раз через WebGL.

WebGL — это технология для 3D-графики в браузере, но Cloudflare использует её не для того, чтобы рисовать крутые кубы, а для fingerprinting. Ваша видеокарта, драйверы и даже особенности рендеринга создают уникальный «отпечаток», который сложнее подделать, чем куки. Идея в том, чтобы отличать человека от бота без видимых тестов. Звучит круто, пока не вспомнишь, что WebGL-фингерпринтинг — это та ещё дыра в приватности.

Разработчики уже заметили, что Turnstile запрашивает доступ к WebGL даже на сайтах, где нет 3D-графики. Это как если бы курьер попросил вас открыть сейф, чтобы убедиться, что вы не робот. Cloudflare, конечно, утверждает, что данные анонимны и не хранятся, но сам факт сбора таких специфических характеристик вызывает мурашки у конфиденциальности.

Что это значит для разработчиков?

Если вы используете Turnstile на своём сайте, ваши пользователи могут получить неожиданный сюрприз в виде запроса на WebGL. Для обычных людей это просто «странный сайт», а для гиков — повод включить режим паранойи. Альтернативы? Можно вернуться к классической reCAPTCHA, но тогда придётся мириться с её капризами. Или написать свою капчу на основе времени загрузки страницы — шутка, но вдруг?

Комментарий студии METABYTE: Мы за безопасность без ущерба для приватности. Если ваш проект требует защиты от ботов, но вы не хотите пугать пользователей WebGL-фокусами — приходите, подберём решение, которое не заставит их чувствовать себя подопытными кроликами.