Seguimiento, cookies y fingerprinting

Los sitios web utilizan varios mecanismos para rastrear a los usuarios entre sesiones y sitios: cookies, almacenamiento local, píxeles de rastreo y fingerprinting del navegador. Estos datos se utilizan para publicidad, análisis y, en ocasiones, elaboración maliciosa de perfiles.

Las cookies propias las establece el sitio web que está visitando. Almacenan el estado de la sesión, las preferencias y los tokens de autenticación. Por lo general, son necesarias para que los sitios web funcionen y se consideran aceptables.

Las cookies de terceros las establecen dominios distintos del que está visitando — normalmente redes publicitarias, proveedores de analítica o widgets de redes sociales. Le rastrean en todos los sitios que incluyen sus recursos.

Los principales navegadores están eliminando gradualmente las cookies de terceros.

Atributos importantes de seguridad de las cookies:

• HttpOnly — impide el acceso desde JavaScript (protección contra XSS)
• Secure — se envía únicamente mediante HTTPS
• SameSite=Strict/Lax — impide ataques CSRF
• Max-Age/Expires — limita la duración de la sesión

Un píxel de rastreo es una imagen transparente de 1x1 incrustada en correos electrónicos o páginas web. Al cargarse, envía la dirección IP del usuario y la hora de carga al rastreador. Los clientes de correo que cargan imágenes automáticamente revelan cuándo se abren los correos y desde dónde.

Las API web como localStorage y sessionStorage permiten que los sitios almacenen datos en el navegador. A diferencia de las cookies, estos datos no se envían automáticamente al servidor y pueden almacenar más información. Persisten después de cerrar el navegador (localStorage) hasta que se eliminan explícitamente.

El fingerprinting del navegador identifica a los usuarios sin cookies mediante la combinación de características únicas del navegador:

• Cadena user-agent
• Resolución de pantalla y profundidad de color
• Fuentes y plugins instalados
• Resultado del renderizado de Canvas y WebGL
• Configuración de zona horaria e idioma

Cada combinación es muy singular — a menudo más fiable que las cookies.

El fingerprinting de Canvas dibuja gráficos ocultos en un elemento canvas de HTML. Las distintas combinaciones de GPU y controladores renderizan el texto de forma ligeramente diferente. El hash de los datos de píxeles identifica de forma única el dispositivo sin establecer cookies.

Medidas contra el rastreo:

• Utilice Firefox con Enhanced Tracking Protection
• uBlock Origin con listas de bloqueo de rastreadores
• Privacy Badger para un bloqueo basado en aprendizaje
• Tor Browser para obtener el máximo anonimato
• Desactive JavaScript en sitios sensibles (bloquea el fingerprinting)

Tor Browser estandariza todos los valores de fingerprinting entre los usuarios: todos parecen iguales. También enruta el tráfico a través de tres saltos, ocultando su IP. Desventaja: una reducción significativa del rendimiento y algunos sitios bloquean los nodos de salida de Tor.

El RGPD (UE) y la Directiva ePrivacy exigen obtener el consentimiento antes de colocar cookies no esenciales. Los banners de cookies son el resultado. A pesar de los banners, la aplicación de la normativa es irregular y muchos sitios utilizan dark patterns para inducir a los usuarios a aceptar todas las cookies.

Los sitios web rastrean a los usuarios mediante cookies propias y de terceros, píxeles de rastreo, localStorage y fingerprinting del navegador. El fingerprinting es especialmente persistente: no requiere cookies y sobrevive al borrado de la caché. Las defensas incluyen ETP (Firefox), uBlock Origin, Privacy Badger y Tor Browser para necesidades de alta privacidad.