🍪 ubercookie

عرض تعليمي لكيفية تعريف المواقع الإلكترونية بك باستمرار — ولماذا لم يعد "محو الكوكيز" كافيًا.

يغرس يوبركوكي معرفًا عشوائيًا واحدًا في 12 متجه تخزين مختلف في المتصفح في آن واحد. في كل مرة تزور فيها، يقرأها جميعًا، ويتوصل إلى إجماع، ويعيد كتابة المعرف في كل مكان. امسح أي مخزن — أو حتى جميع الكوكيز الخاصة بك — وسيقوم الناجون بإعادة توليده بصمت. يُظهر لك الموقع، بلغة بسيطة، أين يختبئ معرفك بالضبط وكم مرة تعرف على متصفحك.

إنها نفس الفكرة وراء evercookie الكلاسيكي لـ Samy Kamkar — بُنيت هنا كأداة تعليمية مفتوحة وشفافة تركز على إعادة توليد التخزين واستمرارية السوبركوكي.

[!IMPORTANT] هذا المشروع يتتبع الزائر عن قصد، للتوعية. إنه يستخدم فقط الطرف الأول، ويخزن فقط معرفًا عشوائيًا، وأعداد الزيارات، وأختام الوقت لأول وآخر زيارة، وتسميات مصدر الاسترداد، ولا يشارك أي شيء مع أطراف ثالثة، ويحتوي على زر "نسياني" حقيقي. لا تعيد استخدامه لتتبع الأشخاص دون علمهم أو موافقتهم — فهذا عكس الهدف. انظر الأخلاقيات.

ما يوضحه

بالإضافة إلى هذه، تطلب الصفحة من المتصفح تخزينًا ثابتًا (navigator.storage.persist())، مما يعفي نسخ IndexedDB / Cache / Service Worker / OPFS من الإزالة التلقائية — مما يجعل التخلص منها أصعب.

المتجهات الثلاثة القائمة على الذاكرة المؤقتة هي خلاصة الثبات: تعيش في ذاكرة المتصفح المؤقتة HTTP، لذا لا يمكن لـJavaScript (بما في ذلك "نسياني" الخاص بنا) حذفها — فقط مسح ذاكرة المتصفح المؤقتة يفعل ذلك. هكذا يعود المعرف من الموت.

شرح كامل لمتجهات التخزين المنفذة، بالإضافة إلى فكرة HSTS supercookie التي لا تزال مناسبة لهذا المشروع، موجود في docs/techniques.md.

الهندسة المعمارية

ubercookie/
├── backend/            FastAPI — server-side vectors + the observation log (SQLite)
│   └── app/
│       ├── main.py     endpoints: /api/visit, /api/whoami, /api/etag-id,
│       │               /api/lastmod-id, /api/cache-id.js, /api/clear-cookie,
│       │               /api/forget
│       ├── store.py    "we've seen this browser N times" memory
│       └── ids.py      mint/validate the 32-hex tracking id
└── frontend/           Vanilla JS + Vite — the dashboard and the client vectors
    └── src/ubercookie/
        ├── index.js    orchestrator: read-all → consensus → respawn → report
        └── vectors/    one self-contained module per storage vector

كيف تعمل الزيارة (frontend/src/ubercookie/index.js):

1. قراءة كل متجه بالتوازي.
2. الإجماع — اختر المعرف الذي تتفق عليه معظم المتجهات (أو لا شيء، إذا كنت جديدًا).
3. التقرير إلى الخادم، الذي يصدر معرفًا جديدًا إذا لم يكن لديك أي، ويسجل الزيارة، ويضبط ملف تعريف الارتباط HttpOnly.
4. إعادة التوليد — اكتب ذلك المعرف مرة أخرى في كل متجه كان يفتقده.

بداية سريعة

يتطلب Python ≥ 3.11 (مع uv) و Node ≥ 18.

make install        # backend deps (uv) + frontend deps (npm)

# then, in two terminals:
make backend        # FastAPI on http://localhost:8000
make frontend       # Vite on  http://localhost:5173  (proxies /api → :8000)

افتح http://localhost:5173 وشاهد نفسك تُتتبع. افتح DevTools، احذف بعض المخازن، اضغط إعادة المسح، وشاهدها تُعيد التوليد.

سطر واحد لكلا الخادمين مرة واحدة: ./scripts/dev.sh

نمط الإنتاج (FastAPI تخدم الواجهة الأمامية المبنية، أصل واحد)

make build                                   # → frontend/dist
cd backend && uv run uvicorn app.main:app --port 8000
# open http://localhost:8000

خدمة كلاهما من أصل واحد هو الإعداد الأكثر دقة، لأن متجهات الذاكرة المؤقتة/ETag تعتمد على التخزين المؤقت HTTP الحقيقي من نفس الأصل.

الاختبار

make test           # backend pytest (server-side vector logic + observation log)
make build          # frontend production build

تمارين اختبارات الخلفية متجهات جانب الخادم وسجل المراقبة. لا يزال سلوك المتصفح يحتاج إلى متصفح حقيقي للتحقق لأن العديد من المتجهات تعتمد على تخزين الأصل، وService Workers، والتخزين المؤقت HTTP.

الأخلاقيات

هذه أداة دفاعية / توعوية. إرشادات مدمجة في التصميم:

• الشفافية — كل قيمة مخزنة تظهر للمستخدم على الصفحة.
• الطرف الأول فقط — لا طلبات لأطراف ثالثة، لا تتبع عبر المواقع.
• الحد الأدنى من البيانات — معرف عشوائي، أختام الوقت لأول وآخر زيارة، عداد الزيارات، وتسميات للمتجهات التي استردت المعرف. لا توجد معلومات شخصية ولا شيء يغادر الخادم.
• الخروج الحقيقي — زر نسياني يمسح كل شيء يمكن الوصول إليه ويحذف سجل الخادم؛ الصفحة صادقة بشأن ما يمكن لمسح الذاكرة المؤقتة فقط إزالته.

يرجى إبقاء أي فرع بنفس الروح: استخدمه لتعليم الناس كيفية عمل التتبع حتى يتمكنوا من الدفاع عن أنفسهم، وليس لتتبعهم سرًا.

الترخيص

MIT — انظر LICENSE.