隐形的眼睛：'Click Click Click' 教会了我们关于网络追踪的什么

乍一看，clickclickclick.click 这个网站似乎是一个极简主义游戏：只有一个按钮和 128 个锁定的成就。然而，当你开始与页面交互时，“游戏”揭示了它的真实目的。它不是一项技能挑战，而是一个具有挑衅性的演示，展示了网站在没有用户明确同意或知情的情况下，可以收集到多么庞大的数据量。

通过基于平凡动作——调整窗口大小、移动光标或打开开发者工具——来触发成就，该网站将“网络追踪”这一抽象概念转化为了直观的体验。它作为一个强大的概念验证，展示了无处不在的监控在现代浏览体验中已变得多么普遍。

浏览器泄露的机制

这种体验的核心依赖于浏览器事件。对于大多数开发者来说，这些只是创建交互式界面的工具。对于追踪公司而言，它们是数据点。该网站展示了几乎每一次与浏览器的交互都是可以记录的事件：

• 鼠标移动： 追踪光标的确切坐标，以确定用户的兴趣或犹豫。
• 窗口状态： 检测窗口何时被调整大小、最大化或最小化。
• 开发者交互： 识别用户何时打开浏览器的控制台或检查工具。
• 硬件/环境： 推断设备类型、屏幕分辨率和浏览器版本。

正如一位用户所指出的，这种体验可能“聪明且带有一点诡异”，因为它揭示了我们认为私密的事情——比如我们如何移动鼠标或何时切换标签页——实际上是通过基础的 JavaScript 广播给网站的。

“诡异”因素与用户隐私

来自 Hacker News 社区的反应突显了技术能力与用户感知之间的显著差距。虽然开发者可能将这些事件视为标准的 API 调用，但用户往往会觉得结果令人不安。

一位贡献者分享了一个关于在自己的初创公司中使用会话记录工具的个人轶事，并指出，一位朋友在意识到她的鼠标移动和开发者工具的使用情况正在被实时观察时，明显感到不适：

"我告诉她 '哦，所以你打开了开发者工具' 她立即结束了会话。'你是怎么知道的？这太诡异了'。这是我第一次真正感觉到这些工具侵犯了隐私。"

这种情绪强调了现代 UX 中的一个关键问题：虽然这些追踪方法通常埋藏在条款和条件中，但用户很少能理解所收集数据的细粒度程度。这不仅仅关乎你访问了什么页面，而是关乎你在那里时如何表现。

技术对抗措施与局限性

有趣的是，该实验也揭示了这种追踪的局限性以及隐私保护工具的有效性。一些用户报告称，，该网站的追踪在使用了特定的浏览器配置或注重隐私的浏览器时失败了：

• 阻止脚本： 禁用了 XHR/websockets 或使用了严格脚本阻止功能的用户发现，该网站只能检测到最基础的点击，使得“成就”系统失效。
• 指纹欺骗： 使用 Brave 等浏览器的用户报告收到“随机事件”，这些事件与他们的活动不匹配，这表明浏览器正在伪造指纹数据以混淆追踪脚本。
• 操作系统特定行为： 一些 Linux 用户（使用 i3 等平铺窗口管理器）发现某些窗口调整大小的检测失败了，这表明环境有时可以掩盖用户行为。

超出浏览器：更广泛的生态系统

围绕 Click Click Click 的讨论延伸到了 Web 之外。用户指出，类似的追踪也发生在移动设备上，其中应用程序可以监控通知交互、WiFi 状态和运动传感器。例如，追踪用户是否对通知进行“左滑”操作的能力，可以让公司在从未向用户明确披露的方式下，推断出睡眠时间表和个人偏好。

最终，Click Click Click 不仅仅是一个游戏；它是反映当前 Web 状态的一面镜子。它提醒我们，在数字经济中，我们的行为就是产品，而我们用来浏览互联网的工具，往往正是用来为我们画像的工具。