Mogelijke 'ping'-feature in Firefox wakkert discussie aan

Een Mozilla-ontwikkelaar heeft gemeld dat er aan de meest recente test-builds van Firefox ondersteuning is toegevoegd voor een nieuw attribuut van HTML-anchor en -area-tags: het zogeheten ping-attribuut. Deze feature kan worden gevuld met een lijst van servers die een berichtje ontvangen als een gebruiker op een link klikt waarin dit attribuut wordt gebruikt. Volgens de developer is de nieuwe feature - die desgewenst uit te zetten is - bedoeld om het websites gemakkelijker te maken om gebruiksstatistieken binnen te hengelen. Dit zou nu vaak erg omslachtig gebeuren door middel van redirects en/of scripts - wat het navigeren voor de gebruiker vertraagt. Een aantal populaire websites had om de ping-feature gevraagd, die vervolgens door WhatWG werd ontworpen en gespecificeerd.

De Mozilla-ontwikkelaar vermoedt dat de feature onder privacy-voorvechters tot nogal wat opgetrokken wenkbrauwen zal leiden, onder meer omdat de gebruiker het verschil tussen een gewone link en een 'ping'-link niet kan zien. Hij stelt echter dat de verandering momenteel slechts wordt overwogen, en dat dit met het grootst mogelijke respect voor de privacy van de gebruiker gebeurt. Op Slashdot wordt inderdaad al flink gediscussieerd over de voors en tegens van mogelijke opname van het ping-attribuut, waarbij sommige users stellen dat alleen de bezochte site pings zou mogen ontvangen om 'misbruik' te voorkomen. Anderen wijzen erop dat redirects en scripts op sites exact dezelfde informatie door kunnen geven terwijl dat de gebruiker - en de site-developer - meer tijd kost. Hoe dan ook, als de feature standaard wordt is er voor gebruikers die bezorgd zijn om hun privacy vast wel een Firefox-extensie te downloaden (of te maken) die links met het ping-attribuut van een dikke waarschuwing voorziet.

Reacties (52)

En ja hoor, gelijk weer een of andere organisatie die zich 'zorgen maakt' over 'privacy'. Persoonlijk vind ik een ping naar een bepaalde server een stuk minder 'indringend in mijn privacy' dan een of ander script die niet alleen mijn bezoek logt, maar ook gelijk mijn IP, browser, OS, en weet ik veel wat voor informatie er nog meer gestuurd en opgeslagen word door website-statistieksoftware.

Terwijl een ping alleen maar, in principe, het IP adres van de zender meestuurt (voor zover ik weet, zet me er niet op vast). Ook is zoals in het stukje al gezegd word een ping veel minder systeemeisend dan de huidige technieken die gebruikt worden om bijvoorbeeld bezoekers te loggen.

Tja, maar al die extra gegevens maken de statistieken wel vollediger. De kans is dus ook dat iedereen gewoon de oude manier blijft gebruiken, omdat daar meer informatie uit te halen is.

Deze nieuwe feature zou dan enkel een tool zijn voor beheerders die die info niet willen. Als eindgebruiker schiet je er uiteindelijk dus weinig mee op

ja. en dan hebben ze je ip, vragen ze je login, slaan ze alles op in een sessie, cookie of database, en weten ze alsnog precies dat jan smit dit en dat bezoekt op het internet.

een of ander script die niet alleen mijn bezoek logt, maar ook gelijk mijn IP, browser, OS, en weet ik veel wat voor informatie er nog meer gestuurd en opgeslagen word door website-statistieksoftware.

Terwijl een ping alleen maar, in principe, het IP adres van de zender meestuurt (voor zover ik weet, zet me er niet op vast).

In de specificatie staat dat jouw browser een request doet naar alle servers (URIs) in het lijstje. Deze servers kunnen dan precies alle informatie registreren die jij beschrijft.
Het attribuut heet "ping", maar is iets totaal anders dan het bestaande command "ping"

ok, ik was al in vewarring dat de browser echt een ping commando zou sturen.. in dit laatste geval zouden de meeste firewalls al voor problemen zorgen.

zet me er niet op vast

Je bedoelt: pinG me er niet op vast

Niemand die zich afvraagt of dit wel in een standaard van w3c is opgenomen? Ik heb niets tegen nieuwe features in html code, als het maar via de juiste kanalen gaat. Botweg in de browser stoppen lijkt mij erg arrogant.

Ten eerste W3C maakt geen standaard. Ze publiceren recommendations. En volgens het woordenboek is dat een *aanbeveling*

Recent is de nofollow waarde voor het rel attribuut er ook gewoon doorheengedrukt. Ik vind dat prima, beter dan 10 jaar wachten tot een working draft eindelijk een recommendation is.

Vergeet niet dat MS veel CSS dingen niet doet omdat men bij W3C nog steeds aan het bekvechten is over van alles en nogwat.

HTML maakte de snelste evolutie door tijdens de browserwars. Niet altijd ten goede, maar soms is het beter om iets gewoon tot een defacto standaard te verheffen. W3C mag dan netjes achter de "feiten" aan hobbelen.

Ja, dat vroeg ik me dus ook af.
Als microsoft iets 'nieuws' implementeerd wat niet volgens de standaard is dan schreeuwd iedereen van de daken dat de browsers compatible moeten blijven en dat ms zich aan de standaard moet houden anders moeten ze voor elke browser een aparta website gaan bouwen..

nou dit firefox zoiets en gaat het er alleen om of het privacy gevoelig is of niet.

Waar zijn nu de voorstanders van firefox die altijd schreeuwen dat die zich tenminste aan de standaard houdt ?? nou... nou...

Het verschil is dat MS het altijd alleen maar voor zichzelf doet, zonder peer review of commentaarmogelijkheid. Mozilla doet aan peer-review en implementeert niets zonder het vast te leggen in een document. Dat document is vervolgens helemaal openbaar en houdt niemand tegen om hetzelfde te implementeren door rare licentievoorwaarden.

Omdat dat document dus vrij is en niet door patenten en licenties gehinderd, kan het prima worden opgenomen in een latere versie van de standaard. Bij features van MS kan dit niet omdat ze OF bezwaard zijn door patenten en licenties OF windows-only zijn (of beide). Hierdoor kunnen ze niet worden opgenomen in de OPEN standaard.

DAT is het verschil tussen Mozilla en Microsoft en dat heeft niets te maken met of dit een goed idee is of niet.

Nee, het is nog geen standaard, maar een "zo goed als zeker"-standaard zoals Canvas. Door ze nu te implementeren in de browsers, worden ze uitgetest, waarna ze een standaard kunnen worden.

Nogmaals W3C maakt geen standaarden, het zijn aanbevelingen, niets meer en niets minder.

Er is wel degelijk een standaard voor HTML: ISO HTML. Mag je 3x raden waar de S in ISO voor staat

En als W3C al traag gaat, een echte standaard organisatie gaat ca. 5x zo traag

Dus mensen, stop met praten over w3c standaarden, want die zijn er gewoon niet.

Even voor alle duidelijkheid, voordat de flame wars beginnen tegen Firefox en de "als MS dit toch deed dan..." reakties.

De ping attribute is bedacht do WhatWG. (Zie http://whatwg.org/specs/web-apps/current-work/#ping)

Dit is een groep mensen van verschillende bedrijfen die nieuwe technieken bedenkt voor het web.

It is a loose unofficial collaboration of Web browser manufacturers and interested parties who wish to develop new technologies designed to allow authors to write and deploy Applications over the World Wide Web.

In deze group zitten o.a. mensen van Apple, Mozilla Foundation en Opera.
De dingen die hun bedenken worden ook weer doorgegeven aan W3C om deze op te nemen in de W3C adviesen.

Als het er duidelijk bij gezet wordt dat het geïmplanteerd is en als je de functie aan of uit kan zetten.
Lijkt het me geen probleem.
Alleen de verkregen statistieken zijn dan niet 100% zuiver.(ivm. Mensen die hem dus uit zetten)

De statistieken zullen sowieso verre van zuiver zijn zolang alleen firefox het heeft geimplementeerd, of heb ik het verkeerd begrepen?

Nee, nu kan je ook precies zien hoe of wat, maar is het omslachtiger en vertraagt het browsen aan de clientzijde. Met dit attribuut dus niet meer.

Het doet hetzelfde, het enige dat ik niet begrijp ( in de zin, waarom is dat dan nodig ) is dat er meerde server op de hoogte worden gesteld dat jij op dat linkje hebt geklikt, of althans, dat er op dat linkje is geklikt.

Sterrenkijker bedoeld waarschijnlijk dat de statistieken onjuist zullen zijn omdat alle andere browsers deze feature niet ondersteunen. Daardoor zijn je statistieken incompleet, en dus eigenlijk ook waardeloos. De overige browsers zullen het nog steeds via die scripts moeten doen, je kunt je trouwens afvragen in hoeverre dit de ontwikkelaar nog tijd kost, volgens mij zijn dit soort scripts kant en klaar van het web af te trekken. Aan de client kant zul je er denk ik ook maar weinig van merken, het internet wordt alsmaar sneller, en steeds meer mensen kiezen voor breedband. Ik denk dat het allemaal maar zeer weinig tijd gaat kosten.

Van mij hoeft het niet expliciet gemeld te worden als iets een ping-link is en ik hoop juist dat de feature NIET uit te zetten is. Als dit wel kan zal niet iedereen meer meegenomen worden in de statistieken en worden de gegevens voor websites dus onbetrouwbaar. Met als gevolg dat ze weer net zo makkelijk terug gaan naar het huidige tussenpagina-systeem, dat zowel voor de server als de client onnodige extra traffic en laadtijd met zich meebrengt.

Een goed initiatief van Mozilla!

1. Het is geen initiatief van Mozilla. Mozilla implementeerd alleen de standaarden en nieuwe diensten die standaard kunnen worden (o.a. CSS3)

2. Je kan een bezoeker toch niet dwingen om in de statistieken opgenomen te worden... Als jij op een nieuwslinkje op Tweakers klikt, vind jij het toch nergens voor nodig dat IBM weet dat jij een artikel aan het lezen bent dat over hen gaat. Uitzetten moet dus altijd kunnen.

Ook zou het gaaf zijn om een optie te krijgen in je browser van

"Bij het bezoeken van deze link wordt er een seintje gestuurd naar [een website] Gaat u hiermee akkoord?"

Verder kan je dit ping attribuut op sommige plekken best leuk gebruiken, maar het kan goed zijn dat dit helemaal gehyped wordt en op de meest onzinnige plaatsen gebruikt wordt. Of het wordt voor verkeerde doeleinden gebruikt.

Oké, even een samenvatting. In vergelijking met de identieke redirect links:

- kun je deze feature wèl uitschakelen;
- krijg je niet belachelijk absurde lange onduidelijke URLs zoals http://www.google.com/url...tp://tweakers.net/&e=9878;
- kun je ook naar bovenstaande URL gaan ook al ligt Google zelf plat

Oh nee! De horror!

Euh, google geeft gewone links aan naar zoekresultaten hoor. Ze houden de klikt niet bij afaik?

Verder ben ik het eens met CyberArt: het is niets nieuws en de inbreuk op de privacy wordt niet groter: het wordt alleen gemakkelijker.

Daarnaast bestaat de kans dat hierdoor op termijn geen javascript meer wordt gebruikt om bezoekersgedrag te kunnen peilen. Aangezien dit gemakkelijker uit te zetten is, is het voor de gebruiker potentieel gemakkelijker zijn/haar privacy te waarborgen.

Wat is makkelijker dan een gif ophalen van een traffic-meet-server?

Ik denk dat een beetje site JavaScript niet zal afschaffen, puur om de reden dat je hiermee (waarschijnlijk) enkel een IP adres doorkrijgt.

Dat doen ze wel, d.m.v. javascript..

Hier ben ik het heel erg mee eens. Het probleem is echter dat nu duidelijk wordt dat websites statistieken (willen) verzamelen. Volgens mij schrikt dat de mensen meer af dan het deze feature.

Websites tracken je bezoek gewoon op allerlei manieren; waarom zou dat niet via een standaard manier gebeuren welke; zoals hierboven wordt beargumenteerd, alleen maar voordelen heeft?

Dus iets als dit zou 't mogelijk maken om 'n DDoS attack uit te voeren dmv 't door onwetende bezoekers laten klikken op links.

* 786562 Yorixz

Het gaat hier trouwens niet om een ping zoals je die in je console typt. Maar dit gaat om dit erg populair onder de bloggers.

Geen idee hoe jij die DDoS aanval uitgevoerd ziet worden dan
Je zult immers meerdere sites zullen moeten openen, of iedereen simultaan op die link laten klikken.
In beide gevallen moet je dus computers besmetten met een programma oid. En als ze dat toch kunnen doen dmv een worm ofzo dan kunnen ze daar echt wel iets beters aan vast hangen dan een hyperlink

Het is niet moeilijk.
Geenstijl heeft ook al meerdere malen een html pagina neergezet die in 30 frames en een refresh waarde van 1 sec. enkele website's heeft plat gelegt.

Er is ook een screensaver van yahoo geweest die (spam)site 's plat gooide door html requests.

Jammergenoeg was die screensaver een kort leven beschoren door legale problemen. Echt jammer want ik vond het een super leuk initiatief

Geen idee hoe jij die DDoS aanval uitgevoerd ziet worden dan

Als je het voor mekaar krijgt dat de "buy now" link op amazon een ping uitvoert op T.net, levert dat toch een aanzienlijke server belasting op.

Nou dat lijkt me wat overdreven. Duizenden mensen die op een link klikken kan sowiso een server te veel worden. Daar heb je geen ping attribuut voor nodig lijkt me.

Ik snap niet wat het huidige probleem met statistieken is? Ik bedoel je klikt op een link, je bezoek wordt opgeslagen in een logfile of direct in een database. De serverbeheerder installeert een logparser en daar zijn je gegevens. Wat is er nou niet accuraat daar aan.

Ik zal deze functie dan ook gewoon uitzetten zolang ik er geen voordelen van zie. Voor mezelf als bezoeker al dan niet voor mezelf als webdesigner.

Het "probleem" is dat de logfiles je geen mogelijkheid bieden om gebruikers uit elkaar te houden. Je krijgt wel de bezochte URLs, maar geen kennis over hoe gebruikers door jouw site navigeren. De wens om die kennis te hebben kan marketing gerelateerd zijn, maar ook om de site samenhang te optimaliseren.
Dat laatste geldt niet voor de wens bij organisaties om cross-site-traffic in kaart te brengen. Dus: gebruikers die op A kijken, kijken ook op B. Ook dat haal je niet uit de logfiles, zelfs niet als je de logfiles van A en B hebt.
Tot slot bieden logfiles je vaak minder informatie dan een trackersites (zoals type browser, aantal kleuren, schermgrootte, etc.). Overigens vraag ik me af of dat met dit ping gedoe wel lukt - ik heb nog niet naar de technische ins and outs gekeken.

Gebruikers tracen dmv logfiles is vrij eenvoudig te doen. Voor zover ik weet kan je met PHP bijvoorbeeld het PHP-sessieID meeloggen in de apache logs (op cookie/url basis). Daarmee kan je dan met specifieke software een uitreksel van maken er sessie (en dus per gebruiker).

Het gaat natuurlijk ook om de clicks op banners he? Daar heb jij als bezoeker indirect wel wat aan. Je clicked hierop en de website verdient er dan wat aan. Zo kun jij met minimale moeite toch je favoriete website gratis houden.

Zonder de banners had tweakers nu wellicht niet zo uitgebreid kunnen zijn, of hadden we allemaal een betaald abbonement moeten nemen hier. Nu ben ik blij dat tweakers gratis is. Al een paar keer heb ik hier een banner gezien die mijn aandacht trok en waarop ik clickte (zoals de Visual Studio banner van Microsoft, ik ben developper).

Het zal mischien maar voor een paar cent zijn, maar daarmee heb ik dus indirect betaald voor tweakers

Als de link naar buiten gaat, kan je niet zonder meer meten dat dit gebeurd. Nu wordt daarvoor een script op de server zelf aangeroepen. Dus je klik roept het script aan, die meet, en het script stuurt je door naar de URL waar je heen wilde. Dat is vrij omslachtig.

Voor de tinfoil hat mensen: dit meten gebeurd al zo lang als CGI mogelijk is, dus zet je petje maar weer af.

En waarom dit meten? Het kan o.a. aangeven welke links een bezoeker interessant vind, zo kan men b.v. een site nog interessanter maken.

Tuurlijk draait het uiteindelijk allemaal om bezoekers. Maar denk ff na: 20 jaar terug kocht ik 2 a 3 tijdschriften per maand. Nu kan ik 10x zo veel informatie met wat muisklikjes binnenhalen. Voor nop.

Ik vind het dus geen enkel probleem om af en toe op een advertentie te klikken, voor wat hoor wat.

En al helemaal geen probleem als men op een goede site, de mogelijkheid krijgt om eenvoudiger meer te meten, zonder mensen lastig te vallen (want zo zie ik die redirect scripts, het vertraagt, geeft lange URLs, of soms is de echte URL verstopt).

Ik vind dat Firefox de links die deze ping-feature gebruiken anders uit moeten zien dan normale links zoals bijvoorbeeld een andere kleur. Om misbruik te voorkomen.

Of je moet het kunnen uitzetten natuurlijk.

kleur gaat niet, ivm stylesheets of img's

Waarom zou kleur niet gaan?
a[ping] {background: red !important;}
niet?

..
Dit zou nu vaak erg omslachtig gebeuren door middel van redirects en/of script - wat het navigeren voor de gebruiker vertraagt.
...

Het tweede gedeelte van de zin vind ik een beetje kort door de bocht. Het lijkt mij dat als er gebruik word gemaakt van een ping attribuut (en dan niet over een lijst met adressen gesproken) dat de client juist meer verzoekjes moet doen. Terwijl in de huidige situatie maar 1 pakketje van de server naar de client word gestuurd (redirect opdracht) en de client vervolgens braaf naar de ge-redirecte site 'surft'. Kortom de situatie met ping attribuut levert juist meer belasting op aan de client kant en zal hierdoor meer vertragen.

Verder vind ik (als webontwikkelaar) een redirect niet omslachtig. En kan je best serverside de juiste websites een pingetje geven. Wat zal ik zeggen over de privacy, op dit moment kan net zo goed alle informatie die naar een website word gestuurd zonder dat de client het merkt, serverside naar andere websites worden gestuurd. Maar nu haal ik een andere discussie aan

(* 786562 purge

"erwijl in de huidige situatie maar 1 pakketje van de server naar de client word gestuurd (redirect opdracht) en de client vervolgens braaf naar de ge-redirecte site 'surft'."

Yup, en met een ping kan dat parallel, snap je 'm ;-)

De browser kan *direct* naar de juiste site, en in de background een pingetje sturen. Minder overhead op de server, en de gebruiker zal geen vertraging merken. Sterker, die ping hoeft niet direct, die zou evt. op een rustig moment verzonden kunnen worden. Er kan dus, als dit veel gebruikt gaat worden, gewoon 1 ping thread draaien in Firefox.

ze doen maar hoor, als het nu ook al gebeurt op een wijze die erg omslachtig (en mogelijk ook buggevoelig) is, dan lijkt dit toch echt een betere oplossing.

maar het is wel een goede zaak als het uitgezet kan worden.

Hmmm, ik las geloof ik ergens dat er meer dan 1 site opgegeven kan worden?

Dat wordt dan een leuk DDoS speeltje. 1 bezoeker pingt ff 3000 sites.

Het idee is goed, maar wellicht wel zo verstandig om het te beperken tot het domein waar de pagina van af komt.

Verder, uiteraard zit dit in de eerst volgende beta van IE7, dus mensen maak je niet druk. MS ligt al lang niet meer op 1 oor qua browser. Zou mij niet verbazen als dit een veel hogere prioriteit krijgt dan al die andere "noodzakelijke" verbeteringen waar menigeen al jaren op wacht.