换了 VPN 节点网站还认得你？浏览器指纹比 IP 更难藏
不翻车编辑部 · 更新于
先说结论：换了节点，网站还是认得你，多数时候不是节点的问题。IP 地址只是门牌号，你的浏览器还有一套“笔迹”，叫浏览器指纹。 浏览器版本、系统语言、时区、屏幕尺寸、装了哪些字体、显卡型号、CPU 核数，二十几项拼在一起，就能把你从几十万个浏览器里单独挑出来。这些项目里没有一项是 IP 地址，所以换节点不影响它。
这篇讲四件事：指纹是什么拼出来的，怎么自己测，大公司对它什么态度，普通人怎么少露一点。本文只讲浏览器这一层，你用同一个账号登录，网站不用指纹也知道是你，那是另一回事。
先分清两层：cookie 和指纹
第一层是 cookie。你登录过的网站给你发一张“胸牌”，下次来一亮就认出你。这一层大家都知道，清一下浏览器数据就没了。
第二层是浏览器指纹。EFF（电子前哨基金会）在 Cover Your Tracks 的说明里写得很直接：
Deleting your cookies won’t help, because it’s the characteristics of your browser configuration that are being analyzed.
意思是，删掉 cookie 帮不上忙，因为被分析的是你浏览器本身的配置特征。同一页还说，这种追踪“很难发现，也极难阻止”（both difficult to detect and extremely difficult to thwart）。
自己测一遍：Cover Your Tracks
打开 coveryourtracks.eff.org，点“Test your browser”，等半分钟，会看到三行判断。前两行问你有没有拦广告和追踪器，第三行是指纹。2026 年 10 月 21 日用一台 Mac 上的正式版 Chrome 156 打开，第三行写的是：
Protecting you from fingerprinting? Your browser has a unique fingerprint
往下翻是数字：
Your browser fingerprint appears to be unique among the 384,808 tested in the past 45 days. Currently, we estimate that your browser has a fingerprint that conveys at least 18.55 bits of identifying information.
最近 45 天测过的 384,808 个浏览器里，没有第二个和这台一样；这个浏览器带着至少 18.55 位的识别信息。
“位”是什么意思？ 页面左栏有解释：每一项特征单独看都很少，比如“开没开 cookie”只有 1 位；可把二十几项合在一起，就能唯一认出一个浏览器。18 位大约是 1 比 262,144，也就是二十六万个浏览器里才有一个和你一样。
一个小提醒：同一台电脑反复测，第五次它会改口说“nearly-unique”，只有 1/128,279 的浏览器和你一样。那是因为你前几次的记录已经进了它的库，不是你的指纹变了。
指纹是什么拼出来的
结果页的“Detailed Results”把每一项都列出来，后面标着它值多少位、多少个浏览器里才有一个和你一样。这台 Chrome 的几项：
| 特征 | 识别信息 | 多少个浏览器里有一个 |
|---|---|---|
| canvas 指纹 | 17.55 位 | 192,404 |
| User Agent（浏览器版本号） | 10.54 位 | 1,486 |
| WebGL 指纹（显卡画图） | 10.04 位 | 1,054 |
| 语言 | 7.57 位 | 190 |
| 屏幕尺寸和色深 | 6.03 位 | 65 |
| CPU 核数 | 5.91 位 | 60 |
| 音频指纹 | 5.46 位 | 44 |
| 时区 | 4.32 位 | 20 |
| 系统字体 | 3.61 位 | 12 |
最厉害的一项叫 canvas。网站在你浏览器里悄悄画一张图，有形状、有颜色、有文字，你看不见，它把每个像素读出来算一个编号。页面的说明原话：显卡、驱动、操作系统、安装的字体，哪个有一点不同，画出来的图就差几个像素，“这些设置每台电脑都不一样，但在同一台机器上足够稳定，可以清楚地认出一个用户”。这一项在这台电脑上值 17.55 位，十九万多个浏览器里才有一个一样。
字体那一项是怎么测的也写在页面上：网站用几百上千种已知字体去渲染同一段文字，看宽度变没变，变了就说明你装了这个字体。
打个比方：门牌号可以换，笔迹改不了。网站拿到的就是这份笔迹。
第二家检测站：AmIUnique
不信可以再换一家，法国研究团队做的 amiunique.org。同一台 Chrome 打开，第一句就是：
Yes! You are unique among the 5617236 fingerprints in our entire dataset.
它的表格给每一项标“相似度”，也就是库里有多大比例的浏览器和你这项一样。User agent 那一项 0.00%，语言 0.07%，canvas 和字体列表都是 0.00%。时区那一格的值我们盖掉了，不影响看比例。
这事 2010 年就有论文
EFF 的研究员 Peter Eckersley 2010 年在 PETS 会议上发表了《How Unique Is Your Web Browser?》（你的浏览器有多独特）。摘要里的数字：
- 样本 470,161 个浏览器，83.6% 的指纹是唯一的；
- 平均每个浏览器带着至少 18.1 位识别信息，随机挑一个浏览器，只有 1/286,777 的概率和它一样；
- 装了 Flash 或 Java 的浏览器，94.2% 唯一。
15 年过去，Flash 早没了，可上面那台 Chrome 测出来是 18.55 位，没有变少。
为什么换了 IP 没用
回到开头的问题。因为上面那二十几项里，没有一项是 IP 地址。你换节点，门牌号从东京变成洛杉矶，可浏览器版本、字体、显卡、屏幕，一个都没变。网站把这份笔迹对一下，就知道还是你。
还有两项要单独说：时区和语言。它们也在指纹明细里，时区值 4.32 位，语言值 7.57 位。你的节点在国外，这两项却还是国内的设置，笔迹里就多了两个很显眼的特征。
谁在用指纹
广告。 2019 年 8 月 22 日，谷歌 Chrome 的工程总监 Justin Schuh 在官方博客上写过一段：指纹没法像 cookie 那样被清除，用户没法控制自己的信息怎么被收集，“We think this subverts user choice and is wrong”（我们认为这破坏了用户的选择权，是错的）。
五年以后态度变了。英国信息专员办公室（ICO）2024 年 12 月 19 日发声明说，谷歌通知广告客户，从 2025 年 2 月 16 日起不再禁止他们使用指纹技术。ICO 监管风险执行总监 Stephen Almond 的原话：
We think this change is irresponsible. The ICO’s view is that fingerprinting is not a fair means of tracking users online. Businesses do not have free rein to use fingerprinting as they please.
谷歌现在的平台计划政策（2025 年 8 月 5 日更新）在“隐私披露”一节要求使用方披露“cookies, web beacons, IP addresses, or other identifiers”的使用。
防机器人。 Cloudflare 的机器人分数文档写着，它的 JavaScript 检测“识别无头浏览器和其他恶意指纹”，启发式引擎把请求对照“一个不断增长的恶意指纹库”。你开着代理到处弹验证码，一部分原因在这，另一部分是 IP 信誉，见VPN 的 IP 风险分很低为什么还被拒。
四家浏览器怎么防
各家的做法都写在官方文档里，思路不一样。
Safari（WebKit）：网页只能看到网页字体和系统自带的字体，你自己装的字体看不到；User Agent 字符串在小版本更新时不再变，只随平台和浏览器的大版本变。
Firefox：设置里的“增强型跟踪保护”有一项指纹保护（Fingerprinting Protection），Mozilla 推荐大多数人用这个。about:config 里还有更狠的 privacy.resistFingerprinting，限制网站能拿到的信息，代价是有些网站会不正常。
Brave：思路反过来。2020 年 3 月 5 日的官方博客说，它往指纹项目里加人眼看不出的随机扰动，目标是“让每个浏览器在不同网站、不同会话之间看起来都完全不一样”，网站就对不上。
Tor Browser：让所有人看起来一样。支持页写着，它的目标是把每个指标的“桶”减到最少：窗口按 200×100 像素取整（letterboxing），所有 Windows 都报 Windows 10，所有 macOS 都报 OS X 10.15。人越多，越分不出谁是谁。同一页还有一句话值得记住：任何在浏览器里运行的脚本，都能在用户不知情的情况下悄悄算出指纹。
普通人能做的五件事
目标不是把指纹藏起来，是少露几项，再别自己加项。
- 翻墙用的浏览器单独开一个，或者单独一个配置文件。 不和日常的混用，日常浏览器留下的笔迹就对不上翻墙那个。
- 少装扩展。 装一个就多一个特征，扩展会改页面、改请求头，都能被测出来。
- 时区和语言跟节点对上。 这两项在明细里一共 12 位。
- 想少露，用 Firefox 的指纹保护，或者 Brave。 怎么开见上一节。
- 别手动改浏览器版本号、屏幕尺寸。 改得越特别，笔迹越独一无二，Cover Your Tracks 的“屏幕尺寸”一项就是例子：常见尺寸只值几位，改成一个怪尺寸反而唯一。
顺便说一句“指纹浏览器”。它是给同时管几十个账号的人用的，每个窗口模拟一台不同的电脑。普通人不需要它，而且很多这类软件本身来路不明。
两个局限
- 指纹不是永久的。 浏览器一升级，版本号就变。2010 年那篇论文里，返回访客的指纹变得很快，可作者用一个简单的办法就把 99.1% 的升级后指纹对回了原来的浏览器，误判只有 0.86%。
- 不同网站算法不一样。 Cover Your Tracks 只测它那二十几项，真实的广告公司和防机器人系统看的更多。本文的数字是一台电脑一天的结果，你自己测出来的以你的为准。
常见问题
无痕模式能防指纹吗？
不能。无痕模式只是不存 cookie 和历史，浏览器版本、字体、显卡、屏幕这些一样都不少。
换一个浏览器算换笔迹吗？
算一部分。浏览器版本号、扩展列表变了，可字体、显卡、屏幕、时区这些是电脑和系统的，不随浏览器变。
手机上也有指纹吗？
有。手机浏览器一样会报版本号、屏幕、语言、时区，canvas 也画得出来。AmIUnique 还有安卓 App 专门测手机。
和社交平台认出小号是一回事吗？
是其中一条线索。平台认小号还会看登录账号、手机号、行为习惯，见发帖被查出是谁：五条线索。
本站的检测工具测这个吗？