{"id":15615,"date":"2026-10-31T18:55:00","date_gmt":"2026-10-31T17:55:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15615"},"modified":"2026-10-26T12:52:24","modified_gmt":"2026-10-26T11:52:24","slug":"co-serwer-otrzymuje-przy-zadaniu-strony","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/data-privacy-pl\/tutorials-pl-data-privacy-pl\/co-serwer-otrzymuje-przy-zadaniu-strony\/","title":{"rendered":"Co serwer otrzymuje przy \u017c\u0105daniu strony"},"content":{"rendered":"

\u017b\u0105danie sieciowe mo\u017ce przes\u0142a\u0107 dane po\u0142\u0105czenia, nag\u0142\u00f3wki i zapisane ciasteczka przed wykonaniem JavaScriptu \u017c\u0105danej strony. Baner zgody nie cofa ju\u017c wys\u0142anego \u017c\u0105dania. Nie oznacza to jednak obowi\u0105zkowo\u015bci ka\u017cdego nag\u0142\u00f3wka ani nieuchronno\u015bci p\u00f3\u017aniejszego wykorzystania danych.<\/p>\n

\"Odebrane
Odebrane dane i dodatkowe zapytania s\u0105 osobne. Narz\u0119dzie mierzy p\u00f3\u017aniejsze \u017c\u0105danie API.<\/figcaption><\/figure>\n

Pierwsze \u017c\u0105danie a \u0142adowanie strony<\/h2>\n

Istotna granica oddziela \u017c\u0105danie dokumentu od kodu wykonywanego p\u00f3\u017aniej przez ten dokument. Poprzednia strona, rozszerzenie lub service worker mog\u0142y ju\u017c uruchomi\u0107 kod. P\u00f3\u017aniejsze fetch tworzy kolejne \u017c\u0105danie, a nie odtwarza pierwotnej nawigacji.<\/p>\n

Nie istnieje uniwersalna kolejno\u015b\u0107: baner, mened\u017cer tag\u00f3w, statystyka. Skrypty mog\u0105 dzia\u0142a\u0107 podczas \u0142adowania, a przetwarzanie na serwerze nie wymaga JavaScriptu. Wcze\u015bniejsze ustawienia mog\u0105 wp\u0142ywa\u0107 na transmisj\u0119; nowo pokazany baner nie zmienia odebranych bajt\u00f3w.<\/p>\n

Trzy nag\u0142\u00f3wki to ustawienie curl, nie minimum HTTP<\/h2>\n

Poprzedni artyku\u0142 podaje dla wrze\u015bnia 2026 trzy nag\u0142\u00f3wki curl, jedena\u015bcie nawigacji i trzyna\u015bcie fetch. To historyczne liczby przyk\u0142adowe, a nie limity przegl\u0105darek. Oryginalne zapisy przegl\u0105darki nie by\u0142y dost\u0119pne do niezale\u017cnej weryfikacji podczas tej kontroli.<\/p>\n

Lokalny test HTTP\/1.1 potwierdzi\u0142 domy\u015blne pola curl: Host, User-Agent i Accept. Usuni\u0119cie dw\u00f3ch ostatnich nadal pozwoli\u0142o wykona\u0107 poprawne \u017c\u0105danie z samym Host. HTTP\/1.1 wymaga Host; pozosta\u0142e dwa pola nie s\u0105 obowi\u0105zkowe dla ka\u017cdego poprawnego \u017c\u0105dania. HTTP\/2 i HTTP\/3 maj\u0105 w\u0142asne regu\u0142y ramek i pseudonag\u0142\u00f3wk\u00f3w.<\/p>\n

Kontekst \u017c\u0105dania nie potwierdza osoby<\/h2>\n

Accept opisuje dopuszczalne formaty odpowiedzi, a Accept-Language preferencje j\u0119zykowe. Sama lista j\u0119zyk\u00f3w nie ustala to\u017csamo\u015bci ani liczbowo nie okre\u015bla ryzyka rozpoznania. Na pola wp\u0142ywaj\u0105 ustawienia, ochrona prywatno\u015bci, rodzaj \u017c\u0105dania i po\u015brednicy.<\/p>\n

Sec-Fetch-Site, Sec-Fetch-Mode i Sec-Fetch-Dest opisuj\u0105 kontekst. Sec-Fetch-User: ?1 oznacza nawigacj\u0119 z aktywacj\u0105 u\u017cytkownika w obs\u0142uguj\u0105cych przegl\u0105darkach. Nie dowodzi obs\u0142ugi przez cz\u0142owieka zamiast automatu: inne programy mog\u0105 odtworzy\u0107 nag\u0142\u00f3wki, a skrypt mo\u017ce uczestniczy\u0107 w aktywowanej nawigacji.<\/p>\n

Client Hints zale\u017c\u0105 od obs\u0142ugi i regu\u0142<\/h2>\n

Obs\u0142uguj\u0105ce przegl\u0105darki Chromium zwykle wysy\u0142aj\u0105 przez bezpieczne po\u0142\u0105czenia podstawowe wskaz\u00f3wki UA: mark\u0119 i wersj\u0119, stan mobilny oraz platform\u0119. Nie jest to gwarancja dla ka\u017cdej przegl\u0105darki ani osadzonego \u015brodowiska.<\/p>\n

Dodatkowe wskaz\u00f3wki HTTP zwykle wymagaj\u0105 \u017c\u0105dania przez Accept-CH i nadal podlegaj\u0105 regu\u0142om przegl\u0105darki. Istnieje te\u017c osobny interfejs JavaScript navigator.userAgentData.getHighEntropyValues(). Brak nag\u0142\u00f3wka Accept-CH nie dowodzi wi\u0119c niemo\u017cno\u015bci uzyskania dodatkowych informacji przez skrypt.<\/p>\n

Po\u0142\u0105czenie i dodatkowe zapytania<\/h2>\n

Odbiorca zna partnera po\u0142\u0105czenia sieciowego. Adres mo\u017ce nale\u017ce\u0107 do proxy, VPN lub CDN, a nie urz\u0105dzenia odwiedzaj\u0105cego. Reverse DNS szuka nazwy hosta przypisanej do adresu IP. RDAP pobiera dane rejestracyjne, na przyk\u0142ad organizacj\u0119 odpowiedzialn\u0105 za zakres adres\u00f3w. Oba wymagaj\u0105 dodatkowych zapyta\u0144; wyniki nie s\u0105 polami przes\u0142anymi przez przegl\u0105dark\u0119. W\u0142a\u015bciciel sieci nie potwierdza \u0142\u0105cza domowego ani konkretnej osoby.<\/p>\n

HTTPS udost\u0119pnia wynegocjowane dane TLS w zakresie ujawnianym przez serwer. Zwyk\u0142y HTTP nie ma TLS. Po\u0142\u0105czenia mog\u0105 by\u0107 u\u017cywane ponownie, a wczesne dane TLS 1.3 stanowi\u0105 wyj\u0105tek od twierdzenia, \u017ce ka\u017cde \u017c\u0105danie nast\u0119puje po nowym, zako\u0144czonym uzgodnieniu. CDN ko\u0144cz\u0105cy TLS ma osobne po\u0142\u0105czenie z serwerem \u017ar\u00f3d\u0142owym, potencjalnie z innymi parametrami lub bez TLS.<\/p>\n

Co faktycznie mierzy Lustro po\u0142\u0105czenia<\/h2>\n

Narz\u0119dzie wywo\u0142uje API przez fetch i pokazuje w\u0142a\u015bnie to \u017c\u0105danie API. Obserwuje 38 nazw nag\u0142\u00f3wk\u00f3w, ogranicza wy\u015bwietlane warto\u015bci do 500 znak\u00f3w i nie zwraca surowych warto\u015bci Cookie ani Authorization. Nazwy ciasteczek s\u0105 osobne. Ca\u0142kowita liczba nag\u0142\u00f3wk\u00f3w mo\u017ce przewy\u017csza\u0107 wy\u015bwietlany wyb\u00f3r.<\/p>\n

Endpoint wykonuje reverse DNS dla kwalifikuj\u0105cych si\u0119 publicznych adres\u00f3w; RDAP nast\u0119puje dopiero po osobnym \u017c\u0105daniu informacji o sieci. Prowadzi tak\u017ce licznik zapyta\u0144 powi\u0105zany z adresem. Nie jest wi\u0119c jedynie biernym obrazem pierwszego pobrania strony. Uznanie nag\u0142\u00f3wk\u00f3w proxy za adres klienta wymaga zaufanej konfiguracji po\u015brednika.<\/p>\n

Sygna\u0142y prywatno\u015bci i zapisane ciasteczka<\/h2>\n

Sec-GPC: 1 wyra\u017ca preferencj\u0119 przeciw okre\u015blonej sprzeda\u017cy, udost\u0119pnianiu i wykorzystaniu do reklamy mi\u0119dzy kontekstami. Nie stanowi technicznej blokady wszelkiego zbierania danych. Starsza specyfikacja DNT definiuje zar\u00f3wno 1, jak i 0, wi\u0119c DNT nie zawsze oznacza Nie. Brak sygna\u0142u nie dowodzi zgody.<\/p>\n

Zapisane ciasteczka mog\u0105 towarzyszy\u0107 pasuj\u0105cym \u017c\u0105daniom jeszcze przed kodem strony, zale\u017cnie od zakresu i ogranicze\u0144 przegl\u0105darki. Nawet pierwsze otwarcie konkretnego URL mo\u017ce przes\u0142a\u0107 ciasteczka ustawione wcze\u015bniej w pasuj\u0105cym zakresie. localStorage nie jest automatycznie nag\u0142\u00f3wkiem HTTP; skrypt mo\u017ce p\u00f3\u017aniej wys\u0142a\u0107 odczytan\u0105 warto\u015b\u0107.<\/p>\n

Lustro po\u0142\u0105czenia<\/a><\/p>

Pytania i odpowiedzi<\/h2>\n

Czy wy\u0142\u0105czenie JavaScriptu ukrywa po\u0142\u0105czenie?<\/h3>

Nie. \u017b\u0105danie sieciowe nadal dociera do odbiorcy. Wy\u0142\u0105czenie mo\u017ce ograniczy\u0107 aktywno\u015b\u0107 skrypt\u00f3w, ale nie usuwa danych po\u0142\u0105czenia zwi\u0105zanych z samym \u017c\u0105daniem.<\/p>\n

Czy polecenie curl pokazuje odbi\u00f3r serwera?<\/h3>

Szczeg\u00f3\u0142owa diagnostyka curl przedstawia widok wychodz\u0105cy klienta, w\u0142\u0105cznie z wierszem \u017c\u0105dania. Nie wymaga serwera zwracaj\u0105cego otrzymane nag\u0142\u00f3wki. Po\u015brednicy mog\u0105 zmieni\u0107 \u017c\u0105danie przed serwerem \u017ar\u00f3d\u0142owym, wi\u0119c zapis klienta i serwera to r\u00f3\u017cne obserwacje.<\/p>\n<\/div>\n

Shell<\/span>