研究者逆向解析Meta Pixel配置，发现健康网站98.4%沿用默认追踪、Core Setup仅覆盖34.3%且可被哈希URL绕过
核心概要
该研究提出PixelConfig差分分析框架，通过代码补丁重放与开发者账号对照实验逆向解析Meta Pixel配置，并借助Internet Archive的Wayback Machine对2017至2024年间18K健康网站与top-10K对照网站的配置做纵向比较，发现自动事件与第一方Cookie等默认开启的追踪功能采用率高达98.4%，健康网站上出现与预约就诊及特定疾病（如勃起功能障碍）按钮点击相关的潜在敏感信息追踪，而Core Setup等限制功能在健康网站采用率为34.3%、对照网站为8.7%，且启用后仍可被绕过。
Figure 2: Steps depicting the process of configuring, loading, and tracking using a Meta Pixel.
· 第 4 页深度剖析
研究提出PixelConfig框架，将Meta Pixel配置脚本中的instance.optIn、config.set与fbq.set调用映射到具体追踪行为，从而把配置差异与网络流量差异对应起来。 以往研究主要检测追踪像素的存在与否，本文转向同一像素在不同网站上的配置差异，并覆盖自动事件、Event Setup Tool、第一方Cookie、AAM、UnwantedData与Core Setup等此前未被系统考察的配置项。 通过在测试网站创建开发者账号、迭代创建像素并对比修改设置前后的配置脚本，以及在Chrome DevTools中重放补丁后的脚本并对比发往facebook.com的流量，作者逐一验证了各配置项与行为的对应关系。
默认开启的追踪功能被绝大多数网站沿用：自动事件（AutomaticSetup与InferredEvents）与第一方Cookie的采用率在合并两类网站后于2022至2023年达到98.4%。 这提供了跨2017至2024年的纵向证据，说明采用率主要由Meta的默认设置驱动，而非网站主动选择。 基于Wayback Machine中检索到的配置脚本，按年统计采用比例并给出95%置信区间与两比例z检验结果；作者还用实时网站配置与至少4年连续出现的稳定网站子集做了稳健性检验。
健康网站上存在对潜在敏感信息的追踪，包括预约就诊、搜索医疗信息以及带有特定疾病名称的按钮点击，例如healthgrades.com以ViewContent事件追踪标注为“hiv”“schizophrenia”“autism”等按钮，docasap.com以Lead事件追踪“erectile dysfunction”等按钮，equitashealth.com以CompleteRegistration事件追踪HIV检测预约。 此前工作多聚焦表单字段的PII共享，本文通过Event Setup Tool的estRules与rule_id揭示了按钮文本所承载的语境敏感内容也会被关联。 来自配置脚本中estRules对象的解析，并给出具体域名与按钮文本示例；2023至2024年健康网站样本为N=150、对照网站为N=967。
追踪限制功能采用率有限且可被绕过：Core Setup在2024年覆盖34.3%的健康网站与8.7%的对照网站，UnwantedData的敏感键在健康网站采用率为25.4%；即便启用Core Setup，仍有网站通过ud[dl]参数共享完整URL的SHA-256哈希来规避限制。 这是对限制机制实际效果的测量，而非仅统计其是否存在，并指出限制多由Meta而非网站主动配置。 通过CrackStation反解73.8%的sensitive_keys哈希，得到4,136个唯一blacklisted键与898个唯一解密sensitive键；并给出wexnermedical.osu.edu等具体绕过案例。
启示与展望
该框架面向希望审计追踪像素实际配置的研究者、隐私工程师与合规团队，适用于以Meta Pixel为对象、以配置脚本为证据来源的测量场景；作者已将PixelConfig与数据开源，便于后续研究将其适配到其他追踪像素。纵向结论适用于2017至2024年间被Wayback Machine归档的网站快照，健康网站样本来自AHA与CMS的US机构，对照为top-10K网站。
Wayback Machine的归档并不完整：作者报告实时网站上约51%的对照网站与40%的健康网站Pixel安装未出现在归档快照中，配置脚本在一年内被归档的比例为对照68.3%、健康18.1%，因此逐年比较并非同一组网站，绝对数值可能偏低。作者用实时配置与至少4年连续出现的稳定子集做了稳健性检验，趋势保持一致，但归档偏差是否完全消除仍是开放问题。此外，AutomaticSetup在2023年后消失、InferredEvents在健康网站下降，作者将其解释为可能的平台级弃用与Core Setup下的自动关闭，并明确表示归档偏差等替代解释无法完全排除；AAM在健康网站自2023年起的下降与监管行动的时间关联也属于作者的推测性联系。