“请勿追踪”（Do Not Track，简称 DNT）是一个简单的 HTTP 标头，浏览器可以通过它向网站表明用户不希望被追踪。DNT 标头在近十年前曾有过良好的开端，并获得了主流浏览器的支持。大多数浏览器至今仍支持发送这一标头，但在 2020 年，它几乎已经毫无用处，因为绝大多数网站都会直接忽略它。尤其是广告公司辩称，它的法律地位不明确，也很难判断该如何解读这个标头。虽然近期也有一些试图通过立法来强制要求遵守 DNT 标头的尝试，但这些努力似乎都毫无进展。相比之下，欧盟的《通用数据保护条例》（GDPR）和《加州消费者隐私法案》（CCPA）试图解决与 DNT 类似的问题，但它们具有法律强制力。

早在 2007 年，美国联邦贸易委员会就曾被要求 [PDF]创建一个“请勿追踪”名单，类似于广受欢迎的“拒绝来电”名单。这份名单本应是一份追踪用户网络行为的广告商域名列表，如果用户选择加入，浏览器就可以阻止向这些域名的请求。然而，这一方案从未真正落地。DNT 标头最早在 2009 年作为标头出现，当时安全研究人员 Christopher Soghoian、Sid Stamm 和 Dan Kaminsky 联手制作了一个原型。在 2011 年一篇关于 DNT 历史的文章中，Soghoian 这样写道：

2009 年 7 月，我决定尝试解决这个问题。我的朋友兼研究合作者 Sid Stamm 帮我一起做了一个 Firefox 附加组件原型，它会在发出的 HTTP 请求中添加两个标头：

X-Behavioral-Ad-Opt-Out: 1
X-Do-Not-Track: 1

我之所以选择两个标头，是因为许多广告公司的所谓“退出”只是停止利用行为数据来个性化广告。也就是说，即便你选择退出，它们仍会继续追踪你。

据 Soghoian 说，在某个时候，“‘行为广告退出’标头似乎被弃用了，取而代之的是，人们开始聚焦于用单一标头来传达用户不愿被追踪的意愿”。最终确定的标头格式实际上就是“DNT: 1”。

即便在 Soghoian 写下那篇文章时，要让广告商尊重这个标头显然也绝非易事：

实现“请勿追踪”标头背后的技术极其简单——Sid Stamm 只花了几分钟就做出了第一个原型。远为复杂的问题在于，广告网络收到该标头后该怎么做相关的政策问题。这一点在很大程度上仍悬而未决（尤其是因为至今还没有任何一家广告网络同意去识别或遵守该标头）。

问题的一部分在于，在这一语境下如何定义“追踪”。从一开始就参与 DNT 工作的电子前哨基金会（EFF）将其定义为“保留可用于跨地域、跨网络空间或跨时间关联个人行为记录或阅读习惯的信息”。EFF 的文章还列出了一些不被视为追踪的例外情况，其中就包括允许“分析服务提供商”。文章还特意区分了第一方追踪（“你在浏览器地址栏中看到的网站”），这是被允许的，以及第三方追踪（其他域名），这是不被允许的。

从 2011 年 1 月的 Mozilla Firefox 开始，浏览器陆续实现了这个“极其简单”的部分，允许用户选择发送这一新标头。微软紧随其后，于 2011 年 3 月在 Internet Explorer 9 中加入了对 DNT 的支持。苹果也在 2011 年 4 月让 Safari 跟进了。谷歌则稍晚一些，直到 2012 年 11 月才为 Chrome 添加了支持。

2011 年 9 月，W3C 成立了一个“追踪保护工作组”，其宗旨是“通过定义表达用户对网络追踪偏好的机制，以及屏蔽或允许网络追踪元素的机制，来改善用户隐私和用户控制”。在其活跃的八年间，该工作组发布了 DNT 标头规范以及一套关于 DNT 合规含义的实践指南。遗憾的是，该工作组在 2019 年 1 月以这样一份声明宣告结束：

自上一版作为候选推荐标准发布以来，这些扩展（按定义）并未得到充分部署，因而不足以支撑其进一步推进，同时也没有迹象表明用户代理、第三方以及整个生态系统计划提供支持。因此，工作组决定结束工作，并将最终成果作为本备忘录重新发布，任何未来的增补将另行单独发布。

早在 2012 年，LWN 就曾撰文指出 DNT 的前景不妙：广告行业在抵制（这并不意外），而且对于该如何解读这一标头也缺乏法律定义。此外，微软在 2012 年 5 月决定在 Internet Explorer 10 中默认启用该标头的做法反而弄巧成拙，因为 DNT 本意是要体现消费者主动做出的选择。Roy Fielding 甚至提交了一个改动，让 Apache 网络服务器在检测到请求来自 Internet Explorer 10 时直接清除 DNT 标头——这条 GitHub 提交下的评论数量或许还创下了纪录。尽管微软最终在 2015 年 4 月取消了这一默认设置，但这一出于好意的举动很可能已经搅浑了 DNT 的水。

确实有一些知名网站曾遵守“请勿追踪”，包括 Reddit、Twitter、Medium 和 Pinterest。然而颇具意味的是，截至目前，其中两家已经开始忽略该标头：Reddit 的隐私政策现在写道，“对于网站应如何回应这一信号，并不存在公认的标准，我们也不会对这一信号采取任何行动”；Twitter 则表示已自 2017 年 5 月起停止支持，原因是“‘请勿追踪’的行业标准方案始终未能形成”。目前，Medium 和 Pinterest 仍会响应这一标头。

苹果的 Safari 是首个取消支持“已过期的‘请勿追踪’标准”的主流浏览器——该功能在 2019 年 3 月被从 Safari 中移除。颇具讽刺意味的是，苹果给出的移除理由是“防止其被用作指纹识别变量”。追踪系统常常利用用户 HTTP 标头的指纹来跨站追踪用户，而 DNT: 1 这一标头由于使用率极低，反而增加了用户标头的独特性，可能会让用户更容易被追踪。

此后，苹果一直在稳步推出其所谓的“智能防追踪”功能，这是一种在一定时间窗口后阻止使用第三方 Cookie，并帮助防范通过查询字符串参数（“链接装饰”）进行追踪的方案。Mozilla 也在 2019 年 9 月为 Firefox 加入了类似的第三方 Cookie 防护。微软在 2020 年 1 月发布的基于 Chromium 的新版 Edge 浏览器中也加入了追踪防护。即便是营收很大程度上来自广告（并间接来自追踪）的谷歌，也宣布了计划在未来两年内在 Chrome 中逐步淘汰对第三方 Cookie 的支持。

2014 年 5 月，LWN 撰文介绍了 Privacy Badger，这是一款“能阻止广告商和其他第三方追踪器秘密追踪你的上网去向和浏览页面的浏览器扩展”。Privacy Badger 会启用 DNT 标头，并屏蔽它认为可能会追踪用户的第三方站点请求（不出所料，这顺带屏蔽了大多数广告）。Privacy Badger 的目标之一就是敦促广告公司真正去遵守这一标头。如果 Privacy Badger 发现某个域名通过在 company-domain.com/.well-known/dnt-policy.txt 发布 DNT 合规策略来表示尊重 DNT，它就会停止屏蔽该域名。这对用户来说听起来是个绝妙的主意，但在广告商那边似乎并未流行起来。

近期试图让 DNT 标头重获生机的一个尝试来自 DuckDuckGo，这是一家打造注重隐私的网络工具的公司（包括一个“不会追踪你”的搜索引擎）。它在 2018 年 11 月发现，尽管大多数网站都忽略该标头，仍有约 23% 的美国成年人启用了 DNT。2019 年 5 月，DuckDuckGo 发布了一份题为“2019 年《请勿追踪法案》[PDF]”的立法草案，并希望以此“为这一被广泛使用的浏览器设置赋予法律效力，通过制定符合当前消费者期待、让人们能更轻松地重新掌控网络隐私的法律”。该公司的提案要求网站必须尊重 DNT 标头，禁止第三方追踪，且仅以“用户预期”的方式使用第一方追踪。例如，网站可以向用户展示当地天气预报，但不得向第三方出售或共享用户的地理位置数据。

遗憾的是，在 DuckDuckGo 发布该提案后的一年里，似乎没有任何后续进展。不过，大约在同一时期，美国参议员 Josh Hawley 在参议员 Dianne Feinstein 和 Mark Warner 的支持下，也提出了一项类似的《请勿追踪法案》，该法案“已提交至商务、科学和交通委员会审议”。在过去一年中，该法案没有任何进展，看起来继续推进的可能性微乎其微。

2018 年 6 月，W3C 工作组发表了一篇比较 DNT 与 GDPR 的文章。GDPR 要求网站在追踪用户前必须获得用户同意，而且与 DNT 不同，它具有法律强制力。同样，最近的 CCPA 立法也具有强制力，但它仅适用于在加州运营的企业，且仅针对个人信息的“出售”行为。正如 Davis Wright Tremaine 律师事务所指出的，CCPA 的情况几乎和 DNT 一样含糊不清：“然而，在 CCPA 之下，哪些追踪行为（例如用于分析的追踪、用于投放定向广告的追踪等）会被视为‘出售’，我们目前仍不明确”。一条可能的出路是，将类似 GDPR 和 CCPA 这样的举措加以推广，而不是试图让 DNT 起死回生。

看起来，经过长达十年的颠簸之旅，“请勿追踪”标头始终未能在关键人群中获得足够的支持以抵达终点。政治层面的努力仍有可能取得一些成果，但可能性似乎越来越小。正如我们大多数人处理电子邮件垃圾邮件的方式一样，我们或许不得不依赖技术方案来过滤追踪请求，例如 Privacy Badger 和 DuckDuckGo 的浏览器扩展，或是各家浏览器推出的“智能防追踪”方案。