Las cookies de terceros son cookies HTTP que se utilizan principalmente para el seguimiento web como parte del ecosistema de publicidad web .
Si bien las cookies HTTP normalmente se envían únicamente al servidor que las configura o a un servidor en el mismo dominio de Internet , una página web puede contener imágenes u otros componentes almacenados en servidores de otros dominios. Las cookies de terceros son las cookies que se configuran durante la recuperación de estos componentes.
Por lo tanto, una cookie de terceros puede pertenecer a un dominio diferente al que se muestra en la barra de direcciones, pero aún así puede estar potencialmente correlacionada con el contenido de la página web principal, lo que permite el seguimiento de las visitas de los usuarios en múltiples sitios web.
Este tipo de cookie suele aparecer cuando las páginas web presentan contenido de sitios web externos, como anuncios publicitarios . Aunque originalmente no estaban destinadas a este propósito, la existencia de cookies de terceros abrió la posibilidad de realizar un seguimiento web del historial de navegación de un usuario y los anunciantes las utilizan para mostrar anuncios relevantes a cada usuario. Las cookies de terceros se consideran ampliamente una amenaza a la privacidad y el anonimato de los usuarios de la web. A partir de 2024 , todos los principales proveedores de navegadores web[update] eliminarán gradualmente la compatibilidad con cookies de terceros .
Como ejemplo, supongamos que un usuario visita www.example.org. Este sitio web contiene un anuncio de ad.foxytracking.com, que, cuando se descarga, establece una cookie que pertenece al dominio del anuncio ( ad.foxytracking.com). Luego, el usuario visita otro sitio web, www.foo.comque también contiene un anuncio de ese dominio ad.foxytracking.comy establece una cookie perteneciente a ese dominio ( ad.foxytracking.com). Eventualmente, ambas cookies se enviarán al anunciante cuando cargue sus anuncios o visite su sitio web. Luego, el anunciante puede utilizar estas cookies para crear un historial de navegación del usuario en todos los sitios web que tienen anuncios de este anunciante, mediante el uso del campo de encabezado de referencia HTTP .
En 2014 [update], algunos sitios web configuraban cookies legibles para más de 100 dominios de terceros. [1] En promedio, un solo sitio web configuraba 10 cookies, con un número máximo de cookies (propias y de terceros) que superaba las 800. [2]
Los estándares más antiguos para cookies, RFC 2109 [3] y RFC 2965, [4] recomiendan que los navegadores protejan la privacidad del usuario y no permitan compartir cookies entre servidores de forma predeterminada. Sin embargo, un estándar más nuevo, RFC 6265, [5] publicado en abril de 2011 permitía explícitamente a los agentes de usuario implementar cualquier política de cookies de terceros que desearan, y hasta finales de la década de 1990, permitir cookies de terceros era la política predeterminada implementada por la mayoría de los principales proveedores de navegadores. .
Si bien es útil para los anunciantes, el seguimiento web se considera ampliamente una amenaza a la privacidad personal. Esto impulsó la creación de leyes contra el seguimiento sin el consentimiento del usuario, la más destacada de las cuales es el RGPD europeo .
Esto llevó a la creación de cuadros de diálogo de "consentimiento de cookies", que rápidamente se convirtieron en una característica estándar en los sitios web financiados con publicidad (y en muchos otros), y que se destacan por el uso de patrones oscuros para intentar obligar a los usuarios a permitir el seguimiento dificultando el acceso a las cookies. negarse a otorgar el consentimiento.
Algunos sitios web también respondieron simplemente bloqueando geográficamente a los usuarios de países con leyes favorables a la privacidad.
La mayoría de los navegadores web modernos contienen configuraciones de privacidad que pueden bloquear las cookies de terceros, y algunos ahora bloquean todas las cookies de terceros de forma predeterminada; a partir de julio de 2020, dichos navegadores incluyen Apple Safari , [6] Firefox , [7] y Brave . [8] Safari permite que los sitios integrados utilicen la API de acceso al almacenamiento para solicitar permiso para configurar cookies de origen. En mayo de 2020, Google Chrome 83 introdujo nuevas funciones para bloquear las cookies de terceros de forma predeterminada en su modo Incógnito para navegación privada, haciendo que el bloqueo sea opcional durante la navegación normal. La misma actualización también agregó una opción para bloquear las cookies de origen. [9] Google planea comenzar a bloquear las cookies de terceros de forma predeterminada a fines de 2024, y en enero de 2024 inició este proceso con un esquema piloto en el que se implementó el bloqueo para el 1% de todos los usuarios de Chrome. [10] [11]
Dado que el seguimiento web basado en cookies de terceros era una parte esencial del ecosistema publicitario web existente, se están implementando múltiples propuestas para intentar reemplazarlo.
Google propone el uso de una segmentación por intereses basada en el navegador, en la que el navegador puede registrar localmente los intereses de los usuarios y luego señalarlos a los servidores de publicidad sin revelar directamente la identidad del usuario. Privacy Sandbox de Google es una de esas implementaciones.
Otros enfoques incluyen el uso de huellas digitales del navegador para rastrear a los usuarios en todos los sitios, lo que generalmente se considera una amenaza tan grave para la privacidad como las cookies de terceros. También existe la preocupación de que se pueda abusar del seguimiento basado en intereses para los usuarios de huellas dactilares.
Existen varios métodos para eludir el bloqueo de cookies de terceros. Una es que los operadores de sitios web apunten un nombre DNS dentro del propio dominio del sitio al servidor de un anunciante, haciendo así que las cookies establecidas en ese servidor sean cookies de origen desde el punto de vista del navegador y al mismo tiempo proporcionen a un tercero control sobre la información de las cookies.
Otro enfoque consiste en que el operador del sitio web envíe el tráfico desde el cliente a los servidores del servicio de seguimiento. Como esto permitiría fácilmente que el operador del sitio web proporcione información falsa al servicio de seguimiento, es poco probable que se adopte ampliamente.