Вкладка молча забрала звуковую карту: разбор скрытого WebAudio на AliExpress

Браузер показывает значок динамика, когда во вкладке что-то играет. Считается, что этого достаточно: нет значка — нет звука — нет и претензий к железу. История, о которой пойдёт речь, ломает именно это допущение.

Жалоба выглядела совсем не как история про приватность. Гарнитура с мультипойнтом держит два подключения сразу — ноутбук и смартфон. Стоит открыть главную AliExpress и оставить вкладку в покое на несколько секунд, как смартфон замолкает. Вкладку закрыли — воспроизведение вернулось. Плеера на странице нет, видео нет, значка динамика тоже нет.

Находку опубликовал 20 августа 2026 года автор блога m-c-tech; эффект воспроизвёлся и в Firefox, и в Chrome под Windows. Дальше — восстановленный ход расследования, который несложно повторить самому.

Подмена конструктора: как увидеть невидимое

Любой звук из JavaScript рождается в графе WebAudio, а граф невозможен без вызова конструктора AudioContext. Отсюда и приём: конструктор заменяется наследником, который перед делом пишет в консоль состояние и стек вызовов.

const OriginalAudioContext = window.AudioContext;
window.AudioContext = class extends OriginalAudioContext {
    constructor(...args) {
        super(...args);
        console.log("AudioContext created", {
            state: this.state,
            stack: new Error().stack
        });
    }
};

Важна очерёдность: код должен отработать раньше скриптов страницы, поэтому его вешают пользовательским скриптом с @run-at document-start. Тем же способом оборачивается AudioNode.prototype.connect() — так становится видно, какие узлы к каким присоединяются.

Консоль выдала два контекста вместо ожидаемого нуля. Оба перешли в состояние running, и стеки обоих упирались в пару файлов с одной раздачи:

https://assets.aliexpress-media.com/g/AWSC/uab/1.140.0/collina.js
https://assets.aliexpress-media.com/g/AWSC/fireyejs/1.231.67/fireyejs.js

Под аббревиатурой AWSC у Alibaba скрывается набор антифрод-скриптов. Подтверждение приходит со стороны: в трекере фильтров AdGuard закрыта заявка №199162 по aliexpress.com, и там указан ровно тот же путь — AWSC/uab/1.140.0/collina.js, причём с той же версией.

Пять узлов и ни одной колонки

Собранная цепочка оказалась хрестоматийной для звукового отпечатка: пилообразный осциллятор, за ним AnalyserNode, затем ScriptProcessorNode, следом GainNode со значением gain.value = 0 и, наконец, AudioContext.destination.

Смысл конструкции в сравнении входа с выходом. Форма волны на входе известна заранее; пройдя через аудиостек конкретной сборки браузера на конкретном процессоре, она приобретает крошечные отличия за счёт округления чисел с плавающей точкой. Спектр на выходе снимает анализатор — получается устойчивая характеристика устройства. Нулевой гейн добавлен ради того, чтобы человек за экраном ничего не заметил.

Ноль в графе — не ноль в драйвере

Вот здесь и находится развилка, объясняющая поломку. Отпечаток по звуку традиционно снимают через OfflineAudioContext: тот просчитывает буфер быстрее реального времени и до звуковой карты попросту не добирается. Железо в таком сценарии не задействовано никак.

В нашем же случае создаётся полноценный AudioContext, а его последний узел подключён к destination. С точки зрения операционной системы формулировка однозначна: вкладка намерена воспроизводить звук, значит устройство вывода надо открыть. На это решение громкость никак не влияет — она применяется внутри графа, а не в драйвере. Дальше вступает механика мультипойнта: раз поток со стороны компьютера активен, телефон уступает очередь.

Обсуждение на Hacker News добавило похожих наблюдений. Владельцы слуховых аппаратов Phonak рассказывают, что отдельные сайты и мобильные приложения на несколько секунд переключают аппарат в режим Bluetooth-стрима, приглушая окружающие звуки. Ещё один участник связал регулярные подвисания Bluetooth-мыши на MacBook со страницей входа American Express. Всё это — реплики в треде, а не измерения, и выдавать их за установленные факты некорректно. Но общее направление они подсказывают: побочный эффект вряд ли ограничен одним магазином.

Что уезжает вместе со звуком

Звуковая характеристика в этом наборе далеко не единственная. Разбор перечисляет также отрисовку canvas вместе с toDataURL(), сведения WebGL — рендерер, расширения, точность шейдеров, — геометрию экрана и вьюпорта, devicePixelRatio, hardwareConcurrency, deviceMemory, перечень плагинов, поддерживаемые контейнеры аудио и видео, повадки WebRTC, тайминги производительности, события мыши, касаний, фокуса и прокрутки, показания акселерометра с гироскопом, плюс маркеры автоматизации браузера. Собранное шифруется и отправляется на серверы Alibaba.

Как это выключить

У автора разбора сработали два фильтра uBlock Origin — с ними скрытые контексты просто не появляются:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

Убедиться в результате несложно: включите фильтр, оставьте страницу открытой на полминуты и послушайте, продолжает ли играть телефон. Помните и о цене: антифрод-скрипт, лишённый возможности отработать, вполне может обернуться отказом при оформлении заказа или дополнительной капчей, так что правило лучше держать под рукой в выключаемом виде.

Обойтись без правки фильтров позволяет Firefox. Путь — Настройки → Приватность и защита → Разрешения → Автовоспроизведение, где по умолчанию выставляется «Блокировать аудио», а исключения выдаются точечно нужным сайтам. Есть и крайняя мера: privacy.resistFingerprinting выключает Web Audio API целиком (баг Mozilla 1708593). Платой станут поломанные обычные страницы и повышенная заметность профиля по другим признакам.

И всё-таки сам отпечаток мёртв

Сюжет напрашивался на вывод в духе «WebAudio идёт на смену canvas, срочно защищаемся». До него дело не дошло, и это к лучшему: сутки спустя Том Риттер из Mozilla выложил телеметрию по тому самому признаку.

Распределение такое: в одно из трёх значений укладывается 99,24 % аудитории, оставшиеся 0,76 % — это провалившийся сбор, где вернулся ноль. Хвост состоит из 23 прочих значений на 48 человек. За тройкой лидеров стоят три класса процессоров: x86 и x64 без FMA, x64 с FMA3, ARM с NEON. Отдавать постоянные значения WebAudio Firefox начал в 118-й версии от 26 сентября 2023 года, а Chrome ввёл сопоставимые ограничения ещё раньше. Формулировка Риттера — звуковой отпечаток «почти бесполезен».

Универсальной защиты тут не появится до тех пор, пока подключение узла к destination не станет для браузеров событием, заслуживающим индикатора. Ровно эту мысль и формулирует Риттер: настораживает не сама техника, а её ненаблюдаемость.

Источники

• m-c-tech. AliExpress webpage keeping multipoint Bluetooth headphones active with WebAudio fingerprinting, 20.08.2026
• Tom Ritter (Mozilla). WebAudio fingerprinting on Alibaba
• Обсуждение на Hacker News
• AdguardFilters, issue #199162 — aliexpress.com
• Bugzilla 1708593 — Disable Web Audio when privacy.resistFingerprinting is enabled
• MDN: Firefox 118 release notes