普林斯頓的 OpenWPM 爬取了 100 萬個網站，並量化追蹤與指紋辨識

到了 2016 年，關於線上追蹤的爭論仍建立在軼事與小樣本之上。2014 年的一項合作研究已顯示，網站會繪製不可見的圖像來對裝置進行指紋辨識，但沒有人以大規模方式測量整個追蹤生態系：究竟存在多少第三方、追蹤如何轉向無狀態的指紋辨識，或隱私工具是否真的有效。

研究這個問題的慣常方法無法看清它。不執行 HTML 就檢查會漏掉只在瀏覽器內執行的程式碼；人工檢查幾百個熱門網站會掩蓋追蹤器的長尾；而封鎖清單與隱私擴充功能在缺乏證據基礎的情況下被擁護與抨擊。指紋辨識尤其如此，除非頁面真的被載入，否則它不可見。

普林斯頓研究人員 Steven Englehardt 與 Arvind Narayanan 打造了 OpenWPM，這是一款驅動完整受測 Firefox 瀏覽器的自動化爬蟲，並於 2016 年 1 月對前 100 萬個網站執行，發出超過 9,000 萬次請求。分別進行的有狀態與無狀態爬取區分了以 cookie 為基礎的追蹤與指紋辨識，而兩次各涵蓋 55,000 個網站、分別搭配 Ghostery 與 Firefox 第三方 cookie 封鎖的爬取，則量化了各工具的效果。

這樣的規模把測量轉化為結構：超過 81,000 個第三方存在，但只有 123 個出現在超過 1% 的網站上；前 5 名全數、前 20 名中的 12 個皆為 Google 所有；而 Google、Facebook 與 Twitter 是僅有出現在超過 10% 網站上的實體。Canvas 指紋辨識出現在 14,371 個網站上，三種此前從未被測量的技術——AudioContext、canvas-font 與 WebRTC——被記錄下來，並且發現 54% 的第三方僅透過 HTTP 載入，這對 HTTPS 的採用構成障礙。

對瀏覽器本身進行受測，然後觀察 100 萬個網站

在受測瀏覽器中執行完整頁面，能捕捉靜態分析與封鎖清單看不見的 JavaScript 驅動指紋辨識

分別進行的有狀態與無狀態爬取，把追蹤歸因於 cookie 或裝置指紋，因此每種技術都能被乾淨地測量

百萬網站規模揭露了市場結構：陡峭的長尾，而 Google、Facebook 與 Twitter 是僅有出現在超過 10% 網站上的實體

並排的封鎖爬取產生了關於隱私工具的首批確切數字——Ghostery 把每站的第三方嵌入從 17.7 個降到 3.3 個

公開 OpenWPM 與資料集，把單一研究變成其他研究者可驗證與據以建構的共享基礎設施

當現象只存在於客戶端執行之中時，不要從封鎖清單或樣本爭辯——而要對執行環境進行受測、以大規模方式測量，並公開工具與資料以供驗證。

2016 年 1 月爬取的資料集以 PostgreSQL 傾印形式發布，OpenWPM 則作為開放平台發布；普林斯頓 WebTAP 計畫列出了建立於其上的研究，而 OpenWPM 儲存庫目前回報有超過 75 項研究使用該框架。這次普查也記錄了指紋辨識自 2014 年 canvas 研究以來如何演變：最顯著的追蹤器在公眾反彈後大多停止使用 canvas 指紋辨識，而部署它的網域數量卻增加了，其用途也從行為追蹤轉向詐欺偵測。