User-Agent パーサー

パーサーは UA 文字列内の既知のブラウザ、OS、エンジンのシグネチャとパターンマッチングを行ってコンポーネントを識別します。UA 文字列は偽装可能なため、結果は最善の推定となります。

はい。Googlebot、Bingbot などの一般的なボット、クローラー、スパイダーを既知のパターンとの照合で識別します。

ページ読み込み時に現在のブラウザの User-Agent 文字列を自動的に検出して表示します。

互換性のためです。Chrome は WebKit の系統にあり、その UA 文字列は Safari をコピーしたもので、Safari 自身もさらに古いブラウザをコピーしていました。そのため、今日の Chrome の UA は Mozilla/5.0 ... AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 のようになります。各トークンは古いサーバー側検出スクリプトとの歴史的なハンドシェイクであり、最後に一致したブラウザトークンが通常は実際のブラウザである理由でもあります。

Chrome の User-Agent 削減とともに導入された、プライバシーに配慮した代替手段です。サーバーは Accept-CH レスポンスヘッダーで高エントロピーのヒントを要求し、以降のリクエストで Sec-CH-UA-Platform や Sec-CH-UA-Full-Version といった構造化されたフィールドを受け取ります。新しいコードでは、生の UA 文字列の解析よりも機能検出や UA-CH を優先すべきです。

分析や大まかなルーティングには妥当ですが、セキュリティに関わる用途には脆弱です。UA 文字列は簡単に偽装でき、サードパーティのブラウザはしばしば Chrome のトークンをそのままコピーし、削減された UA ではマイナーバージョンが固定されます。MDN が推奨するベストプラクティスは、ブラウザではなく機能を検出し（CSS @supports、if ('IntersectionObserver' in window)）、UA 解析はフォールバックとして扱うことです。

はい。デスクトップ版 Chrome、Edge、Firefox の DevTools は UA の上書きが可能なデバイスエミュレーションを提供し、Safari には Develop > User Agent メニューがあり、curl では -A で設定できます。UA 文字列でコンテンツを制限しているサイトは設計上バイパス可能です。これも、サーバーが UA を本人確認の証明として扱うべきではないもう一つの理由です。

Chrome の削減計画（2020 年から段階的に展開）では、デフォルトの UA からバージョンの詳細が徐々に取り除かれます。マイナーバージョンは 0 に固定され、ほとんどのデバイス情報が削除され、Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36 のような文字列になります。目的はパッシブフィンガープリントの制限であり、正確なデータはオプトイン式の Client Hints に移行されました。