Cookies, almacenamiento y rastreo tras las cookies de terceros
Las cookies fueron la forma original de reconocer a un navegador que vuelve, y durante veinte años bastaron. Los cambios que han hecho los navegadores explican por qué la huella digital volvió a ser interesante.
Primera parte y terceros
Una cookie propia la establece el sitio de la barra de direcciones. Es lo que te mantiene con la sesión iniciada. Una cookie de terceros la establece un dominio distinto cuyo contenido incrustó la página, como un script publicitario, y ese dominio puede leerla en cada sitio que lo incrusta. Esta segunda propiedad es lo que hizo trivial el rastreo entre sitios: un anunciante, una cookie, todos los sitios.
Qué cambió
Safari empezó a bloquear por defecto las cookies de terceros en 2017 mediante Intelligent Tracking Prevention y la fue endureciendo repetidamente. Firefox siguió en 2019 con Enhanced Tracking Protection y luego con Total Cookie Protection, que da a cada sitio su propio tarro de cookies, de modo que la cookie de un tercero en un sitio es invisible en otro. Chromium introdujo las cookies particionadas (el atributo Partitioned, «CHIPS») para que el contenido incrustado pueda conservar estado por sitio de nivel superior, y pasó varios años anunciando, aplazando y por fin dando marcha atrás en la eliminación total de las cookies de terceros, para quedarse en la elección del usuario.
El resultado práctico es que el rastreo entre sitios mediante cookies es poco fiable en Safari y Firefox y cada vez más particionado en Chromium. Eso es bueno para la privacidad y empujó a los rastreadores hacia las señales que no necesitan almacenamiento.
Otros almacenes
localStorage, IndexedDB y la Cache API son propios por naturaleza; pertenecen al origen que los escribió y ahora están particionados por sitio de nivel superior en todos los navegadores principales, así que no pueden usarse como identificadores entre sitios como se hacía con las antiguas cookies de terceros. Existen trucos de rastreo con ETag y con la caché, pero son frágiles y están ampliamente mitigados.
Por qué la huella digital llena el hueco
Una huella digital no necesita almacenamiento. Se recalcula a partir de las propias propiedades del navegador en cada visita, así que borrar las cookies no la reinicia y la partición no la aísla. Ese es su atractivo para los rastreadores y su peligro para quien creyera que «borrar los datos del sitio» era empezar de cero. Las contramedidas también son distintas: no bloquear el almacenamiento, sino reducir la diversidad de lo que una página puede leer, y para eso sirven la reducción del user agent, el ruido en canvas y el enmascaramiento del renderizador.
Lo que puede mostrar un diagnóstico
Una página puede informar de si las cookies están activadas y de si la cabecera Do Not Track está establecida (una señal que casi ningún sitio respeta, y por eso los navegadores la retiran en favor de Global Privacy Control). No puede leer las cookies de otro sitio, y un diagnóstico de confianza no establece ninguna propia. PowerScan funciona sin cookies, sin almacenamiento y sin identificadores, algo que puedes verificar en las herramientas de desarrollo del navegador: el panel de almacenamiento del sitio está vacío después de un análisis.
Qué significa hoy el aislamiento
Para quien mantiene cuentas separadas, las cookies son la parte fácil: perfiles separados tienen tarros de cookies separados. La parte difícil es la huella digital, porque dos perfiles en el mismo equipo con el mismo navegador comparten todas las señales de hardware y de renderizado a menos que el navegador las cambie. De eso trata el siguiente artículo.
PowerOps
