Czy dostawca internetu widzi odwiedzane strony? Co widzi ISP

Krótka odpowiedź: nie, Twój dostawca internetu (ISP) nie widzi, czego szukasz, ale widzi każdą stronę, którą odwiedzasz, także na HTTPS, w trybie incognito i po usunięciu historii. Widzi każdą domenę, kiedy się z nią połączyłeś, na jak długo i ile danych przeszło. Nie widzi konkretnych podstron, Twoich wyszukiwanych haseł ani tego, co wpisujesz na szyfrowanych stronach. Szyfrowany DNS ogranicza to, co wycieka, a VPN albo Tor ukrywa same strony.

Krążą dwa popularne przekonania o dostawcach internetu i oba są błędne. Pierwsze mówi, że dostawca czyta wszystko, aż po to, co wpisujesz w wyszukiwarkę. Drugie, że kłódka HTTPS całkiem go oślepiła. Prawda leży pośrodku, a wiedza, gdzie dokładnie, mówi Ci, które zabezpieczenia są warte Twojego czasu.

Co Twój dostawca internetu widzi, a czego nie

Wyobraź sobie każde zapytanie do strony jako kopertę. HTTPS zakleja list w środku. Adres na zewnątrz musi pozostać czytelny, żeby sieć mogła go doręczyć.

Ukryte przed dostawcą na stronach HTTPS: pełny adres strony po domenie, wyszukiwane hasła, dane z formularzy, hasła, wiadomości i treść strony.

Widoczne dla dostawcy: domena, z którą się połączyłeś, godzina, jak długo zostałeś, jak często wracasz i mniej więcej ile danych wymieniłeś.

Twój dostawca nie wie więc, jaki artykuł przeczytałeś na stronie o zdrowiu. Wie, że wchodziłeś na tę stronę o 23:40, na dwadzieścia minut, w każdy wtorek. Taki wzorzec często mówi więcej niż sam artykuł.

Czy dostawca internetu widzi, czego szukasz w Google?

Słów nie. Każda duża wyszukiwarka działa przez HTTPS, więc tekst, który wpisujesz, wyskakujące podpowiedzi i strona wyników przechodzą zaszyfrowane. Dostawca widzi połączenie z google.com i nic o tym, o co pytałeś.

Widzi za to, co dzieje się dalej. Każdy wynik, który klikasz, to osobna wizyta na osobnej domenie, a te domeny są widoczne. Wyszukaj objaw, potem otwórz trzy strony medyczne i stronę rezerwacji wizyt w przychodni, a temat wyszukiwania łatwo zgadnąć z samych stron.

Samą historię wyszukiwania przechowuje wyszukiwarka, a nie dostawca internetu. Jeśli jesteś zalogowany w Google, jest ona na Twoim koncie Google, a te ustawienia nią sterują (po angielsku).

Trzy miejsca, w których wycieka nazwa strony

Większość poradników kończy na „HTTPS ukrywa treść, ale nie domenę”. Przydatne jest to, gdzie domena wycieka, bo każdy wyciek naprawia się inaczej.

1. Zapytania DNS. Zanim strona się załaduje, urządzenie pyta serwer DNS o zamianę nazwy na adres. Domyślnie to pytanie trafia do serwera DNS Twojego dostawcy, bez szyfrowania. To bieżąca lista każdej domeny, którą odwiedzasz.
2. Pole SNI w uzgadnianiu TLS. Pierwsza wiadomość połączenia HTTPS podaje nazwę strony, której chcesz, w polu Server Name Indication, i tradycyjnie była wysyłana otwartym tekstem. Nowszy standard, Encrypted Client Hello (ECH), ją ukrywa. Aktualne wersje Chrome i Firefoksa obsługują ECH, a Cloudflare włącza go domyślnie dla stron w swoim darmowym planie, ale wiele stron wciąż go nie oferuje.
3. Docelowy adres IP. Pakiety muszą gdzieś trafić. Na dużym współdzielonym hostingu jeden adres IP może obsługiwać tysiące stron, a na dedykowanym serwerze wskazuje prosto na jedną.

Co dostawca widzi przy każdej warstwie ochrony

Czy dostawca widzi historię w trybie incognito albo po jej usunięciu?

Tak, w obu przypadkach i z tego samego powodu. Tryb incognito i przycisk „wyczyść historię” działają tylko na kopii, którą przeglądarka trzyma na Twoim urządzeniu. Dostawca nigdy tej kopii nie czyta. Widzi Twój ruch, gdy przechodzi przez jego sieć, w chwili, gdy się dzieje.

• Incognito albo przeglądanie prywatne: połączenia wychodzą z urządzenia dokładnie tak samo jak w zwykłym oknie, więc zapytania DNS, nazwy stron i adresy IP nadal są widoczne. Nasz poradnik o tym, co tryb incognito naprawdę ukrywa (po angielsku), opisuje resztę.
• Usunięta historia: wyczyszczenie historii, plików cookie albo pamięci podręcznej usuwa zapisy lokalne. To, co zarejestrowały systemy dostawcy, powstało po jego stronie i zostaje tam tak długo, jak długo przechowuje takie zapisy. Nic na Twoim urządzeniu tam nie sięga.

Jedyne, co zmienia to, co widzi dostawca, to zmiana tego, co wychodzi z Twojego urządzenia, i właśnie to robią warstwy z tabeli powyżej.

Czy operator komórkowy widzi Twoją historię na danych mobilnych?

Tak. Na danych mobilnych Twój operator jest Twoim dostawcą internetu i widzi ten sam obraz na poziomie domen co dostawca domowy: strony i usługi, z którymi łączy się telefon, kiedy i ile danych przeszło. Na Wi-Fi obraz przesuwa się na domowego dostawcę stojącego za tym Wi-Fi oraz na tego, kto zarządza routerem.

Niektórzy operatorzy mówią wprost, że z tego korzystają. Przykład z USA: program Custom Experience amerykańskiego operatora Verizon wykorzystuje „informacje o stronach, które odwiedzasz, i aplikacjach, których używasz na urządzeniu mobilnym”. Verizon pisze, że używa tylko pierwszej części każdego adresu internetowego i odfiltrowuje kategorie wrażliwe oraz że jesteś w programie, dopóki się z niego nie wypiszesz (stan na październik 2026). Wypisać się można w preferencjach prywatności w My Verizon. Operatorzy mają też coś bardziej wrażliwego niż przeglądanie: w kwietniu 2024 amerykańska FCC nałożyła na największych operatorów komórkowych w USA łącznie około 196 milionów dolarów kar za sprzedawanie dostępu do danych o lokalizacji klientów w czasie rzeczywistym, o czym więcej niżej.

Żeby ograniczyć to, co widzi operator, włącz na Androidzie Prywatny DNS: opcja Automatyczny używa szyfrowanego DNS tam, gdzie sieć to obsługuje, albo możesz podać nazwę dostawcy. Na iPhonie szyfrowany DNS wymaga profilu konfiguracyjnego albo aplikacji. VPN na telefonie całkowicie ukrywa nazwy stron przed operatorem.

Przetestuj swoją przeglądarkę w minutę

Dwa z tych wycieków możesz sprawdzić od razu.

• Czy Twój DNS jest szyfrowany? Wejdź na one.one.one.one/help. Jeśli używasz resolvera Cloudflare, strona pokaże, czy łączysz się przez DNS over HTTPS albo DNS over TLS. Wiele innych resolverów ma podobną stronę testową.
• Czy Twoje SNI jest szyfrowane? Wejdź na tls-ech.dev, stronę testową obsługującą ECH. Jeśli pokaże „You are not using ECH”, Twoja przeglądarka właśnie przekazała dostawcy nazwę strony otwartym tekstem. Jeśli pokaże, że używasz ECH, nazwa była ukryta. Jeśli nadal pokazuje, że nie, najpierw włącz szyfrowany DNS. Przeglądarka pobiera klucz ECH każdej strony przez zapytanie DNS, a Mozilla opisuje ECH jako zależny od DNS over HTTPS przy jego pobieraniu. Strona, która nie włączyła ECH, pozostaje widoczna bez względu na to, co zrobisz.

Czy dostawcy internetu naprawdę przeglądają Twoją historię?

Nie w sensie człowieka, który przewija Twój wieczór. Zbieranie jest zautomatyzowane, a zapis jest wykorzystywany na trzy sposoby. Poniższe przykłady pochodzą z USA.

1. Reklama i marketing. W październiku 2021 amerykańska FTC opublikowała raport o sześciu dużych dostawcach internetu obejmujących około 98 procent rynku mobilnego. Stwierdziła, że mieli „dostęp do całego ruchu internetowego i danych o lokalizacji w czasie rzeczywistym” swoich klientów, łączyli dane osobowe, dane o używaniu aplikacji i dane o przeglądaniu stron, żeby kierować reklamy, i przypisywali część abonentów do wrażliwych kategorii, takich jak rasa i orientacja seksualna, jednocześnie „nie dając konsumentom realnego wyboru”.
2. Utrzymanie sieci. Dostawcy używają danych o ruchu do zarządzania przeciążeniami i bezpieczeństwem własnych sieci.
3. Żądania prawne. W USA wystarczy wezwanie (subpoena), żeby dostawca przekazał imię i nazwisko abonenta, adres, „zapisy godzin i czasu trwania sesji” i przydzielony adres IP. Bardziej szczegółowe zapisy wymagają nakazu sądu, a prawo nie zobowiązuje dostawcy, żeby Cię o tym poinformował.

Uczciwa odpowiedź na pytanie „czy mojego dostawcę obchodzi, czego szukam?” brzmi więc tak: nikt tam tego nie czyta, ale zapis istnieje, ma wartość handlową i może zostać przekazany.

Dlaczego dostawca przechowuje ten zapis

Bo jest wartościowy, a w USA prawo mu na to pozwala. W 2016 roku amerykańska FCC przyjęła przepisy, które wymagałyby od dostawców internetu zgody klienta, zanim użyją albo sprzedadzą wrażliwe dane, takie jak historia przeglądania. Kongres uchylił je, zanim weszły w życie: S.J.Res. 34 podpisano 3 kwietnia 2017.

Lokalizacja pokazuje, jak daleko to sięga. W kwietniu 2024 FCC nałożyła na największych operatorów komórkowych w USA łącznie około 196 milionów dolarów kar za sprzedawanie dostępu do danych o lokalizacji klientów w czasie rzeczywistym: około 57 milionów dla AT&T, 47 milionów dla Verizon, 80 milionów dla T-Mobile i 12 milionów dla Sprint, jak szczegółowo opisał Krebs on Security. W czerwcu 2026 Sąd Najwyższy USA przyznał rację FCC w sporze z AT&T i Verizon.

Jak długo dostawcy internetu przechowują Twoją historię?

W USA nie ma ogólnego prawa, które nakazywałoby dostawcom zapisywać odwiedzane strony, ani takiego, które nakazywałoby je usuwać, więc zależy to od firmy i jest opisane, dość ogólnie, w każdej polityce prywatności. Inne kraje to nakazują. W Wielkiej Brytanii ustawa Investigatory Powers Act 2016 pozwala rządowi wymagać od dostawców przechowywania „internet connection records” (zapisów połączeń internetowych) do 12 miesięcy.

Czy możesz zobaczyć albo zażądać swojej historii od dostawcy?

W Twoim koncie nie ma strony z listą odwiedzanych stron, a rachunek ich nie pokazuje. Możesz jednak zapytać, a w niektórych miejscach dostawca musi odpowiedzieć.

• W UE i Wielkiej Brytanii RODO daje Ci prawo do potwierdzenia, czy firma przetwarza Twoje dane osobowe, i do „kopii danych osobowych podlegających przetwarzaniu” (artykuł 15). Wyślij wniosek o dostęp do danych na kontakt w sprawie prywatności albo do inspektora ochrony danych swojego dostawcy.
• W Kalifornii ustawa CCPA daje prawo do poznania „konkretnych informacji osobowych, które zebrano” przez firmy powyżej określonych progów wielkości, co obejmuje dużych dostawców internetu. Większość z nich ma do tego formularz wniosku o prywatność.
• W innych stanach USA sprawdź politykę prywatności dostawcy i stanowe prawo o prywatności pod kątem podobnego prawa dostępu.

To, co dostaniesz, zależy od tego, co dostawca faktycznie przechowuje. Możesz otrzymać dane konta, rozliczeń i zużycia zamiast listy stron, co samo w sobie jest przydatną odpowiedzią.

Jak sprawić, żeby dostawca internetu nie widział Twojej historii

Przejdź przez to po kolei. Każdy krok zamyka inny wyciek.

1. Zostań przy HTTPS. Używa go prawie każda duża strona, a aktualne przeglądarki same przełączają się na niego, gdy mogą. Już ukrywa przed dostawcą podstrony i treść. Nie ukrywa domen.
2. Włącz szyfrowany DNS. W Chrome, Edge i Firefoksie poszukaj w ustawieniach prywatności albo bezpieczeństwa opcji bezpiecznego DNS albo DNS over HTTPS i wybierz resolver, któremu ufasz. Na Androidzie użyj ustawienia Prywatny DNS. Na iPhonie szyfrowany DNS wymaga profilu konfiguracyjnego albo aplikacji. To usuwa jawną listę zapytań, którą dostawał Twój dostawca. Potem zrób powyższy test SNI, żeby sprawdzić, czy działa ECH.
3. Używaj VPN, gdy chcesz ukryć także nazwy stron. VPN pakuje wszystko w jeden szyfrowany tunel do serwera VPN, więc dostawca widzi tylko, że jesteś połączony z VPN i ile danych przechodzi. Haczyk: teraz to firma VPN jest w miejscu, z którego widać, dokąd chodzisz. Wtedy cała kwestia sprowadza się do operatora, i dlatego podejrzany darmowy VPN może być gorszy niż żaden (tak je rozróżnisz, po angielsku).
4. Używaj Tor Browser, jeśli poprzeczka ma być najwyżej. Tor przesyła ruch przez kilka przekaźników, więc żaden z nich nie wie jednocześnie, kim jesteś i dokąd zmierzasz. Jest wolniejszy, a niektóre strony go blokują, ale ukrywa Twoje cele przed dostawcą bez konieczności ufania jednemu operatorowi.

Żaden z tych kroków nie ukryje Cię przed samą stroną. Gdy na nią trafisz, strona widzi Twoją wizytę, a jej trackery widzą to, do czego zostały zbudowane.

VPN zbudowany tak, żeby nie mieć czego przekazać

Jeśli przenosisz zaufanie z dostawcy internetu na VPN, przenieś je na taki, który jest zaprojektowany tak, by nie przechowywać tego, co przechowywał Twój dostawca. Secria VPN nie prowadzi logów aktywności: nie rejestrujemy przeglądania, zapytań DNS ani treści ruchu. Dopóki sesja trwa, przechowujemy konto i urządzenie, do których należy, używany serwer i godzinę rozpoczęcia, a ten zapis znika, gdy sesja się kończy. DNS jest rozwiązywany na naszych własnych serwerach, a nie przekazywany zewnętrznemu resolverowi, serwery trzymają swój stan w pamięci RAM, a każdy tunel WireGuard ma postkwantowy klucz ML-KEM-1024. Ma to znaczenie, bo Twój dostawca internetu to dokładnie ten rodzaj podmiotu, który może dziś przechowywać zaszyfrowany ruch i próbować go odszyfrować później. Kosztuje $7.99 miesięcznie osobno albo jest w cenie planu Pro.

Najczęściej zadawane pytania

Czy dostawca internetu widzi moją historię przeglądania, gdy używam VPN? Nie. Z włączonym VPN dostawca widzi, że jesteś połączony z serwerem VPN, kiedy i ile danych przechodzi, ale nie strony, które odwiedzasz. Jeśli VPN przepuszcza zapytania DNS, część nazw stron może się wymknąć, więc sprawdź, czy nie ma wycieków.

Czy Tor ukrywa moją historię przeglądania przed dostawcą? Tak. Dostawca widzi, że jesteś połączony z siecią Tor, kiedy i ile danych przechodzi, ale nie strony, na które przez nią wchodzisz. Chroniony jest tylko ruch w Tor Browser. Inne aplikacje na tym samym urządzeniu nadal łączą się normalnie.

Czy dostawca internetu widzi, co pobieram? Przy pobieraniu przez HTTPS widzi stronę i mniej więcej rozmiar pliku, a nie jego nazwę ani zawartość. Aplikacje peer-to-peer, takie jak BitTorrent, działają inaczej: łączą Cię z wieloma innymi komputerami, które widzą Twój adres IP, a ich wzorzec ruchu łatwo rozpoznać.

Czy właściciel Wi-Fi też widzi moją historię? Widzi strony i aplikacje, z którymi Twoje urządzenie łączy się przez jego router, na tym samym poziomie domen co dostawca, ale nie podstrony ani wyszukiwania na HTTPS. To, czy zachowuje zapis, zależy od routera. Nasz poradnik o tym, co widzi właściciel Wi-Fi, omawia to router po routerze.