什么是设备指纹识别？

设备指纹识别是一种识别单个设备的技术：它收集设备硬件、浏览器和配置方面数十项细小、看似无害的特征，再将它们组合成一个近乎唯一的标识符。Cookie 是存储在设备上的文件，很容易被清除；而设备指纹是从设备本身推断出来的，这意味着即使访问者清除了 Cookie、切换到无痕模式或轮换了 IP 地址，它仍能识别出回访者。

对广告主而言，正是这种持久性让指纹识别成为现代点击欺诈和广告欺诈防御的基石。机器人、竞争对手和点击农场都依赖于伪装成全新的、彼此无关的访问者。设备指纹识别能将重复活动追溯到同一台底层机器，从而揭下这层伪装。

设备指纹识别的工作原理

当用户加载页面时，一小段 JavaScript 会在后台查询浏览器公开的各项属性：屏幕尺寸、已安装的字体、图形硬件、时区、语言等。单独来看，每项属性都很常见，有成千上万的人共享。但当数十个这样的信号组合在一起并进行哈希运算后，生成的指纹对于绝大多数设备而言在统计上是唯一的。在 EFF 的 Panopticlick 研究（Eckersley，“How Unique Is Your Web Browser?”，2010 年）中，83.6% 的受测浏览器拥有唯一指纹，而加入网络和行为信号后，识别结果还会更加清晰。

整个过程在几毫秒内悄无声息地完成，甚至在访问者页面尚未加载完毕之前就已结束，这使它能够用于实时欺诈评分，而不仅仅是事后报告。

设备指纹包含哪些内容

指纹识别引擎会从设备和浏览器技术栈的多个层面收集信号：

硬件信号

• 屏幕分辨率和色深
• CPU 核心数和架构
• 通过 WebGL 暴露的 GPU 渲染器
• 可用内存和设备类别（台式机、移动设备、平板电脑）

浏览器和软件信号

• 用户代理字符串、浏览器版本和操作系统
• 已安装的插件和支持的媒体类型
• 时区、语言和区域设置
• “请勿跟踪”（Do Not Track）偏好和 Cookie 支持情况

高级加密信号

• Canvas 指纹识别：绘制隐藏图形时产生的细微渲染差异
• 音频上下文指纹识别：设备处理生成的声波的方式
• 字体枚举和渲染特性
• 揭示真实网络的 WebRTC 和 IP 泄露信号

设备指纹识别与 Cookie 的对比

Cookie 是声明式身份：由网站设置、浏览器同意存储的一个值。它们极易被删除、屏蔽或伪造，这正是欺诈者青睐它们的原因。设备指纹则是推导式身份。它不依赖于设备上保存的任何内容，因此在清除 Cookie、无痕浏览和会话重置后依然有效。在 Cookie 逐步淘汰、隐私控制日益严格的时代，指纹识别（以负责任且匿名化的方式使用）为反欺诈团队提供了一种持久识别重复作弊者的方法，而无需存储个人数据。

为什么设备指纹识别对点击欺诈防护至关重要

单独来看，IP 地址只是一个薄弱的信号；欺诈者会轮换使用成千上万个住宅代理和移动 IP。设备指纹能穿透这些干扰，让防护引擎回答真正重要的问题：

• 这是否就是今天已经点击我们广告 14 次的那台设备？
• 数十个“不同”的访问者，实际上是否是一台运行自动化程序的机器？
• 这个指纹是否与共享屏蔽名单上已知的机器人或点击农场设备相匹配？
• 这是真实流量，还是换了新伪装的无效流量？

通过将活动与稳定的设备身份关联起来，指纹识别能够实现精准的按设备排除，而不是可能把真实客户也拒之门外的粗放式、一刀切的 IP 拦截。

设备指纹识别 + 行为分析：真正的优势

大多数指南都忽略了这一点：指纹能告诉您是哪台设备，却无法告诉您它在做什么。如今，复杂的机器人和欺诈农场会伪造或随机化指纹，伪装成全新用户。正因如此，ClickFortify 从不单独依赖指纹识别，而是将其与行为分析结合使用。

行为分析研究访问者在点击后如何互动：鼠标移动和加速度、滚动深度、停留时间、浏览路径、打字节奏，以及互动是否符合真实的人类意图。一台设备可能呈现出完全普通的指纹，但如果它在 300 毫秒内落地并完成转化且没有任何鼠标移动、在数百个会话中重复完全相同的路径，或触发了人手不可能产生的事件，它的行为就会暴露其真面目。

将这两种信号结合起来，才能让检测稳健可靠。指纹提供身份和持久性；行为提供意图和真实性。二者结合，能够捕获任何单一信号都会漏掉的欺诈：具有机器人式行为的伪造设备，以及共用设备但行为异常的人工点击农场。

ClickFortify 如何使用设备指纹识别

ClickFortify 基于100 多个设备、网络和行为数据点为每次付费点击评分。指纹识别将每次互动锚定到一台设备，行为信号显示互动是否真实；在 Google Ads 上，ClickFortify 会自动将被标记的 IP 添加到您的排除列表中。最终带来更干净的流量、供智能出价使用的更干净的转化数据，以及记录每项决策背后原因的点击日志。您可以在我们的功能页面上查看完整的检测体系。

隐私与局限性

负责任地将指纹识别用于防范欺诈是隐私优先的：它生成的匿名化设备签名仅用于检测滥用行为，而不是为个人建立广告画像，并且其设计旨在持续符合 GDPR 和 CCPA。不过，它并非万无一失。注重隐私的浏览器和反指纹识别扩展程序可能会模糊或随机化信号。正因如此，指纹识别应当作为纵深防御体系中的一层，由行为分析和网络情报加以强化，而不应被视为万能良方。

设备指纹识别合法吗？

合法，前提是以适度且透明的方式使用。GDPR 和 CCPA 等隐私法规并未全面禁止指纹识别；它们规范的是数据如何收集、用于何种目的，以及用户是否知情。仅将匿名化设备签名用于检测欺诈和保护广告预算，被广泛认可为一项正当利益，因为它处理的是技术信号而非敏感个人信息，目的在于阻止滥用而非对购物者进行画像。关键在于在隐私政策中进行披露、践行数据最小化，并且绝不将欺诈信号挪用于行为广告定位。ClickFortify 正是围绕这一原则构建的，在尊重访问者隐私的同时保持检测的有效性。

要点总结

• 设备指纹识别通过组合硬件和浏览器信号来识别设备，无需 Cookie。
• 它在清除 Cookie、无痕会话和 IP 轮换后依然有效，能够揭露重复欺诈。
• 单独使用时可能被伪造；与行为分析结合后，规避难度会大大增加。
• ClickFortify 将两者结合，为每次付费点击评分，并在 Google Ads 上排除机器人、点击农场和无效流量。