Ochrana před sledováním: výběr a konfigurace blokátorů reklam a sledovacích skriptů

Soukromí a bezpečnost
L. Horváthová
Obrana proti sledovaniu: Výber a konfigurácia blokátorov reklám a sledovacích skriptov

Proč vůbec blokovat reklamy a trackery

Online reklama dnes často funguje ruku v ruce s agresivním sledováním uživatelů napříč weby a aplikacemi. Výsledkem je profilování, retargeting, zvětšování útočné plochy (malvertising) a měřitelné zhoršení výkonu zařízení. Blokátory reklam a trackerů proto nejsou jen „proti bannerům“ – jde o nástroj na ochranu soukromí, bezpečnosti i použitelnosti.

Základní principy blokování

  • Vrstva DNS/DoH/DoT: dotazy na známé reklamní a sledovací domény se vůbec nepřevedou na IP adresy. Jde o rychlé a úsporné řešení, které se ale hůře obchází a neodstraní prvky hostované přímo na doméně první strany.
  • Rozšíření prohlížeče (seznamy filtrů): pravidla založená na seznamech (EasyList, EasyPrivacy, OISD, Peter Lowe’s) blokují síťové požadavky a/nebo kosmeticky skrývají prvky. Jde o nejuniverzálnější přístup s možností podrobného nastavení.
  • Síťová brána (Pi-hole, AdGuard Home, NextDNS): centrální blokování pro všechna zařízení v síti. Ideální pro domácnosti a pro „technicky méně zdatné“ uživatele mobilů či chytrých televizorů.
  • Integrované blokování v prohlížeči: Safari (ITP), Brave Shields, Firefox Enhanced Tracking Protection. Nízká režie a dobrý základ, ale méně podrobných možností nastavení než u specializovaných řešení.

Výběr strategie: podle prostředí a potřeb

  • Notebook/desktop (Windows, macOS, Linux): kombinace uBlock Origin + blokování DNS (NextDNS/AdGuard Home/Pi-hole) nabízí skvělý poměr soukromí, výkonu a kompatibility.
  • Mobilní zařízení: v iOS fungují blokátory obsahu Safari a systémové Private DNS/DoH prostřednictvím profilu nebo poskytovatele (NextDNS). V Androidu využijte Soukromý DNS (DoT), případně aplikaci AdGuard (se systémovým filtrováním, pokud to operační systém umožňuje).
  • Chytré televizory/IoT: periferní zařízení chraňte na úrovni routeru nebo prostřednictvím Pi-hole/AdGuard Home

Porovnání nástrojů: silné a slabé stránky

  • uBlock Origin (uBO): velmi rychlý, nabízí široké možnosti (statické filtry, dynamická pravidla, scriptlety, kosmetické filtrování), je otevřený a nenáročný na zdroje. Nevýhodou může být složitost pokročilých funkcí pro začátečníky.
  • AdGuard (rozšíření i systémová aplikace): přehledné uživatelské rozhraní, řada vlastních filtrů, dobrá integrace na mobilech. Placená aplikace (se systémovým filtrováním) pokryje i provoz mimo prohlížeč.
  • Privacy Badger: vhodný doplněk, který se učí podle chování třetích stran. Není plnohodnotnou náhradou za uBO/AdGuard, ale dobře doplňuje ochranu proti sledování.
  • Pi-hole/AdGuard Home: centrální kontrola domácí sítě a nízká režie. Nezvládne reklamy první strany a bez pomoci prohlížeče neodstraní „prázdná místa po reklamách“.
  • NextDNS: cloudová služba DNS s podrobnými zásadami, statistikami a šifrováním TLS (DoH/DoT). Snadné nasazení na mobilech a routerech bez vlastního serveru.

Doporučené seznamy filtrů

  • EasyList (reklamy) + EasyPrivacy (sledování): osvědčené minimum pro prohlížeč.
  • uBlock filters (jádro + privacy + annoyances): optimalizované pro uBO.
  • Peter Lowe’s List nebo OISD (rozsáhlejší seznam DNS): vhodné pro síťovou vrstvu.
  • Fanboy’s Annoyances/Cookie Notices/Social: k odstranění obtěžujících prvků (oznámení o cookies, sociální widgety). Pozor na možné narušení funkčnosti některých webů.

Bezpečnostní přínosy a rizika

  • Přínosy: nižší riziko malvertisingu, menší útočná plocha prohlížeče, méně fingerprintingu a sledování třetími stranami.
  • Rizika a kompromisy: narušená funkčnost webu (při agresivních pravidlech), falešně pozitivní výsledky, nutnost přidat na seznam povolených legitimní poskytovatele obsahu nebo analytických služeb (pokud je akceptujete).

Etika a „přijatelné reklamy“

Reklama může financovat nezávislý obsah. Některá řešení umožňují režim „přijatelných reklam“. V praxi doporučujeme raději přidat na seznam povolených konkrétní weby/tvůrce, kterým důvěřujete, než globálně povolovat reklamu třetích stran.

Doporučené nastavení prohlížeče (uBlock Origin)

  1. Nainstalujte rozšíření uBlock Origin pro svůj prohlížeč.
  2. V nastavení uBO zapněte uBlock filters, uBlock filters – Privacy, EasyList, EasyPrivacy, případně Peter Lowe’s. Chcete-li odstranit obtěžující prvky, přidejte uBlock – Annoyances a Fanboy’s Annoyances.
  3. Na kartě Privacy v prohlížeči zakažte cookies třetích stran nebo povolte pouze režim „Partitioned“, pokud je k dispozici. Zapněte „Do Not Track“ (ne všechny weby tento požadavek respektují).
  4. Pokud je to možné, nastavte DNS přes HTTPS (DoH) přímo v prohlížeči (Firefox) nebo v systému.
  5. Pokud se na webu vyskytnou problémy, dočasně klikněte na ikonu uBO a povolte daný web (nebo konkrétní požadavky) a nahlaste falešně pozitivní výsledek správci seznamu.

Tipy pro pokročilé: dynamická pravidla uBO

  • Medium mode: ve výchozím nastavení blokujte všechny skripty třetích stran a rámce třetích stran a selektivně povolujte jen to, co web skutečně potřebuje.
  • Scriptlety a kosmetické filtry: řeší reklamy první strany a skripty proti blokování reklam. Po aktualizaci webů vždy vše otestujte.
  • Odkrývání CNAME: ve Firefoxu a Safari lze lépe odhalit sledování maskované prostřednictvím subdomén. V Chrome může být tato funkce omezená.

Síťové řešení: NextDNS (rychlý začátek)

  1. Vytvořte konfiguraci a zapněte seznamy, jako jsou OISD, Steven Black nebo AdGuard DNS filter.
  2. Aktivujte profil DoH/DoT: v iOS nainstalujte profil, v Androidu nastavte Soukromý DNS (název hostitele), na desktopu nastavte DoH v prohlížeči/OS.
  3. Zapněte Block Newly Registered Domains (opatrně) a IDN homographs, pokud to služba nabízí, abyste se chránili před phishingem.
  4. Prohlédněte si statistiky a protokoly – uvidíte, které domény jsou ve vaší síti nejčastěji blokovány a které případně přidat na seznam povolených.

Domácí infrastruktura: Pi-hole nebo AdGuard Home

  1. Nasaďte řešení na Raspberry Pi nebo malý virtuální stroj v síti. Nastavte zařízení jako nadřazený DNS server v routeru.
  2. Importujte seznamy (např. OISD basic pro nižší riziko falešně pozitivních výsledků, případně AdGuard DNS filter).
  3. Zapněte DNSSEC a ideálně připojte řešení k nadřazenému serveru DoH/DoT (Cloudflare, Quad9, NextDNS).
  4. Využijte zásady pro jednotlivá zařízení (profily pro děti, televizor, pracovní notebook) a časová pravidla (např. přísnější režim večer).

Specifika mobilních zařízení: iOS a Android

  • iOS: blokátory obsahu Safari (AdGuard, 1Blocker) + profil DoH/DoT (NextDNS). Aplikace třetích stran využívají systémové DNS, takže vrstva DNS pomáhá i mimo Safari.
  • Android: v nastavení sítě zvolte Soukromý DNS s hostitelem DoT. Pro pokročilejší filtrování použijte aplikaci AdGuard (pokud OS/verze umožňuje systémové filtrování pomocí VPN).

Řešení problémů a diagnostika

  • „Nefunkční“ web: dočasně zakažte blokování na dané doméně, zkontrolujte protokol uBO (logger) a určete konkrétní požadavek. Poté vytvořte přesnější pravidlo nebo položku na seznamu povolených.
  • Prázdná místa po reklamách: aktivujte filtry Annoyances. Pokud prvky hostuje první strana a generují je skripty, bude potřeba kosmetický filtr nebo scriptlet.
  • Videoreklamy a adaptivní přehrávače: jde o pohyblivý cíl – kombinujte aktuální seznamy filtrů a zkoušejte aktualizace. Vrstva DNS zde nepomůže.
  • Falešně pozitivní výsledky: máte-li podezření, zkontrolujte doménu v protokolu a dočasně ji povolte. Nahlaste problém správci seznamu, aby pravidlo opravil.

Výkon a soukromí: nastavení prohlížeče

  • Zakažte cookies třetích stran nebo povolte pouze izolované úložiště.
  • Zapněte „Enhanced Tracking Protection“ (Firefox) nebo obdobnou funkci v jiném prohlížeči.
  • Omezte push oznámení, Service Workers a přístup k senzorům pro neznámé weby.
  • Zvažte prohlížeč s nástroji proti fingerprintingu (Firefox Strict, Brave).

Minimální doporučení (pokud nemáte čas)

  1. Nainstalujte uBlock Origin a ponechte výchozí doporučené filtry.
  2. Nastavte DNS přes HTTPS v prohlížeči nebo systému (nebo používejte NextDNS s vlastní konfigurací).
  3. Na mobilech použijte Soukromý DNS (Android) nebo profil DoH (iOS) a aktivujte spolehlivý blokátor obsahu pro Safari.

Správa výjimek a soužití s weby

Přidávejte výjimky pro weby, které potřebujete k práci nebo které chcete podpořit. Uchovávejte je v samostatném seznamu a čas od času jej revidujte. Pokud web vyžaduje vypnutí blokování, zvažte přihlášení nebo členství bez reklam – často je to pro soukromí lepší cesta než plošné povolení třetích stran.

Kontrola účinnosti

  • Testovací stránky pro zobrazení reklam/sledování a „testy soukromí“ v prohlížeči vám ukážou, co uniká a co ne.
  • V protokolech DNS/NextDNS/Pi-hole sledujte, které domény jsou nejčastěji blokovány. Odhalíte tak i aplikace, které „potichu“ komunikují se svými servery.

Shrnutí: doporučený „stack“ pro většinu uživatelů

  • Prohlížeč: uBlock Origin se základními i „annoyances“ filtry.
  • Síť/DNS: NextDNS s DoH/DoT nebo lokální Pi-hole/AdGuard Home na routeru.
  • Mobil: blokátor obsahu v iOS + profil DoH; Android: Soukromý DNS + případně aplikace AdGuard.
  • Údržba: pravidelné aktualizace filtrů, rozumné seznamy povolených a průběžná kontrola protokolů.

Kontrolní seznam při nasazení (rychlá kontrola)

  • Aktualizovaný prohlížeč a rozšíření.
  • Zapnuté DoH/DoT (prohlížeč nebo systém/služba DNS).
  • uBO: EasyList, EasyPrivacy, uBlock filters (+ Annoyances podle potřeby).
  • Vrstva DNS: OISD basic nebo ekvivalent; DNSSEC a statistiky zapnuté.
  • Položky na seznamu povolených pouze pro důvěryhodné weby; protokoly bez podezřelých úniků.