Tus e-mails te espían. En serio, no estoy siendo paranoico: la mayoría de los correos que llegan a nuestras bandejas de entrada cada día hacen uso de un sencillo sistema de seguimiento que permite saber cuáles de ellos abrimos y cuáles no. Lo usan, sobre todo, las empresas y departamentos de marketing para analizar el impacto de sus 'campañas masivas' y saber qué e-mail se abren y cuáles no.

Este método es el conocido como 'píxeles de seguimiento': se trata de pequeñas imágenes de 1x1 píxeles incrustadas en un e-mail que has recibido. Suelen ser ficheros en formato GIF o PNG, lo que permite también que la imagen sea transparente.

Y así, al abrirlo en tu cliente de e-mail favorito, nuestro equipo accede al servidor donde se almacena la imagen, lo que le permite registrar la interacción.

Así, el remitente no sólo es capaz de detectar si hemos abierto o no su correo, sino que también es capaz de saber cuántas veces lo hemos vuelto a abrir y, a no ser que usemos un servicio VPN, nuestra conexión le permitirá saber desde qué localización y dispositivo hemos accedido.

En Genbeta

La historia del correo electrónico: fue creado incluso antes que internet

Más aún: hay estudios que demuestran que algunos anunciantes (y actores maliciosos) se dedican a vincular nuestra actividad con el e-mail con la que muestran nuestras cookies, lo que nos permite identificarnos desde donde sea que nos conectemos.

Nadie puede culpar a los responsables de marketing por recurrir a tan potente herramienta analítica... pero si valoras tu privacidad y no eres fan de tal ejercicio de monitorización encubierta, debes saber que hay formas de protegerse de estos píxeles de seguimiento.

Cinco pasos para protegernos

Los píxeles de seguimiento son, como hemos dicho antes, invisibles. Aunque los grandes clientes y plataformas de correo electrónico (como Gmail y Outlook) no nos advierten de su presencia antes de abrir el email, todavía tenemos varias opciones para no caer en su trampa:

• Recurrir a extensiones de terceros, como Ugly Email (sólo para Gmail), o Trocker (para Gmail, Yahoo y Outlook), que se integran con los clientes webs de e-mail para bloquear la apertura de los píxeles de seguimiento.

• Bloquear la apertura automática de los píxeles en seguimiento es algo que podemos hacer directamente desde nuestros clientes web de e-mail. En Gmail podemos acceder a "Configuración > General > Imágenes", y deseleccionar "Mostrar siempre imágenes externas". En Outlook, deberemos acceder a "General > Privacidad y datos > Imágenes externas".

Así se hace en GMail

Así se hace en Outlook.

• Utilizar servicios de protección de privacidad del correo, como el Email Protection de DuckDuckGo, que actúan como intermediarios entre nuestra cuenta de siempre y nosotros, evitando así que el servidor de origen pueda extraer datos de nuestro equipo.

• Olvidarnos de 'nuestra cuenta de siempre' y optar por alguna que nos proteja por defecto de los emails de seguimiento, como hacen, por ejemplo, Protonmail (muy centrado en la privacidad) o HEY.com (un servicio de pago que busca revolucionar el concepto de email).

Vía | LaptopMag

Hace un par de semanas, te explicábamos en estas páginas en qué consistían los 'parámetros de seguimiento' que ciertos sitios web adjuntan a las URLs tras un símbolo de interrogación (ejemplo: dominio.com/?fbclid=IwAR0blrXd), y te informamos acerca de cómo Mozilla Firefox —a partir de su versión 102— había empezado a suprimir algunos de ellos con el fin de evitar poner en peligro la privacidad del usuario.

Y es que, como repasábamos en dicho artículo, existen ciertos parámetros necesarios (los modificadores de contenido, cuya supresión altera la misma funcionalidad de la web), y los de seguimiento (pensados con el único fin de conocer qué 'ruta' ha seguido el usuario para llegar hasta la web en cuestión).

Estos últimos son, precisamente, los que Firefox ha empezado a suprimir en su 'Modo Privado'. Aunque también puede activarse esta función en el modo de navegación normal de Firefox y —extensiones mediante— en otros navegadores como Google Chrome, Microsoft Edge, y derivados.

En Genbeta

Parámetros de seguimiento en las URLs: qué son, por qué Firefox ha empezado a eliminarlos y cómo puedes hacerlo en Chrome y Edge

¿Que queréis que quitemos los parámetros de seguimiento? Cómo no, cómo no, denos un segundo…

Ahora, sin embargo, Facebook ha decidido reaccionar para convertir en inútiles los esfuerzos de Mozilla y compañía, impidiendo que puedan detectar —y, con ello, suprimir— los parámetros de seguimiento de las URLs. Así, a partir de ahora, la red social de Mark Zuckerberg no se limitará a añadir el parámetro 'fbclid' al final de los enlaces (un parámetro eliminable, a mano o automáticamente, sin mayor repercusión para el usuario)…

Ejemplo de uso de un parámetro de seguimiento en un enlace externo a Facebook (estos, por ahora, no se ven alterados).

…sino que, desde ahora, fusiona el parámetro de seguimiento con el resto de la URL, de tal forma que ya no podremos suprimirlo sin romper la URL (y, por tanto, sin que se nos impida visitar el contenido web deseado).

Para ello, Facebook ha optado por recurrir a la encriptación (lo cual resulta, sin duda, irónico, dado que esta técnica suele asociarse con un reforzamiento de la privacidad, justo lo contrario de lo que presenciamos en este caso).

A partir de ahora, las direcciones de facebook.com (por fortuna, este método no es aplicable a los enlaces salientes) con parámetro de seguimiento lucirán así:

Vía | GHacks

Imagen | Basada en originales de Alessio Jacona & EFF Photos & Sean MacEntee

Seguramente, alguna vez te habrás fijado en que la URL de algún enlace en el que has hecho clic incorpora —además de la típica estructura 'https://dominio.algo/etcetera'— un símbolo de interrogación hacia el final, seguido de letras y/o números, un símbolo de 'igual' y más letras/números. Es decir, algo como esto: 'https://dominio.algo/etcetera?orig=marketing'. ¿Te suena, verdad?

Pues bien, toda esa última parte (desde la interrogación al final) es lo que conocemos como un 'parámetro de URL', que hace que, cuando visitamos el servidor web del enlace, le estemos aportando —inadvertidamente— información extra al mismo que no le aportaríamos si la URL careciera de tal parámetro.

Parámetros necesarios e innecesarios

En muchos casos es una información necesaria para que el navegador nos proporcione el contenido que buscamos cuando estamos visitando un sitio web dinámico. Por ejemplo, entrar en https://dominio.algo/tienda?product=12345 o https://dominio.algo/?document=010101 nos dará acceso a una web distinta de cómo hubiera sido si el código hubiera sido otro. Esto son lo que llamamos 'parámetros de modificación de contenido'.

Sin embargo, en otros casos, la diferencia será inexistente para nosotros, porque el parámetro tan sólo le aporta información al propietario del sitio web. Información, normalmente, sobre cómo ha llegado hasta nosotros ese enlace, lo cual puede revelar qué web hemos visitado antes, o algún dato que permita perfilarnos como usuarios. Eso es lo que llamamos 'parámetros de seguimiento'.

En Genbeta

Esta herramienta analiza cualquier URL y muestra información detallada de todos los recursos que solicita

Normalmente, tales parámetros se añaden a propósito como parte de campañas de marketing/analítica web, variando el código dependiendo de si estamos publicando el enlace en redes sociales, en un grupo de WhatsApp o en un boletín de correo, por ejemplo, de tal modo que el administrador de la web, haciendo uso de herramientas como Google Analytics, es capaz de saber cómo hemos llegado hasta su contenido.

¿Qué hace Firefox por nosotros y cómo podemos mejorar la configuración?

Como podemos ver, es un asunto potencialmente sensible en lo que a la privacidad respecta. Y es por ello que Mozilla ha incluido en la última versión de Firefox una función que protege a sus usuarios de este rastreo borrando el parámetro en cuestión cuando accede a la web. El problema es que esto sólo funciona cuando el navegador se encuentra en modo de 'Navegación privada' o en el modo estricto de protección anti-rastreo.

Es decir: no se aplica por defecto. ¿Cómo podemos cambiar eso? Pues, en realidad, es muy sencillo, sólo hay que seguir una serie de pasos que detallábamos ayer al abordar el lanzamiento de Firefox 102, y que pasan por acceder al 'about:config' y alterar a 'true' el estado de dos parámetros, así:

Por supuesto, esta solución no es perfecta: ante la posibilidad de suprimir un parámetro de modificación de contenido por error cuando pretendíamos filtrar sólo los de seguimiento, Firefox ha optado por suprimir sólo los parámetros de seguimiento de las plataformas más populares y conocidas, como Google, Facebook o Microsoft.

¿Y si no estoy usando Firefox como navegador?

Pero, ¿y si estamos usando otro navegador, como Google Chrome o Microsoft Edge, que —casualmente— pertenecen a dos de las compañías antes citadas? Bueno, quizá deberíamos esperar sentados a que copien el ejemplo de Firefox. O mejor aún, no esperemos a que hagan nada y hagámoslo nosotros a través de extensiones. Tenemos dos para elegir:

• ClearURLs: El principal referente en este campo, con más de 100.000 usuarios. Según recoge en su web, "esta extensión eliminará automáticamente los elementos de seguimiento de las URL para ayudar a proteger su privacidad al navegar por Internet. Para este propósito, utilizamos un gran catálogo de reglas, que es actualizado activamente tano por nosotros como por la comunidad". Puedes instalarlo tanto desde la Chrome Web Store como desde MS Edge Addons.

• URL Tracking Stripper & Redirect Skipper: Esta extensión tiene una ventaja y una desventaja con respecto a la anterior. La ventaja es que, además de los parámetros de seguimiento, también suprime algunas clases de redireccionamiento camuflado que te llevan a tu URL de destino forzándote a pasar por una URL intermedia, cómo hacen, por ejemplo, el buscador de Google y las principales redes sociales. ¿La desventaja? Lleva dos años sin actualizarse. Puedes instalarla desde la Chrome Web Store.

Acceder a Internet sin que una empresa multimillonaria tenga todo tipo de recursos para monitorizar nuestra actividad es algo muy difícil de conseguir estos días. Sin embargo, siempre podemos disminuir nuestra huella en la red mediante cierto tipo de procedimientos. Estar pendiente de lo que recibimos y lo que vemos en algo tan simple como nuestro correo también es esencial, y ProtonMail es una buena alternativa para prevenir cierto tipo de riesgos, sobre todo ahora que ha actualizado su cliente con una serie de interesantes opciones.

ProtonMail anunciaba a través de una entrada en su blog oficial que su app ya permite bloquear los píxeles de seguimiento y ocultar nuestra IP para ofrecer mayor seguridad. No está de más aprovechar este artículo para explicar qué son estos píxeles y que alternativas tenemos para hacerles frente.

¿Qué son los píxeles 'espía' o de seguimiento?

Los píxeles de seguimiento son una serie de técnicas que tienen las empresas para recopilar información acerca de nuestra actividad cuando entramos a sus e-mails. Estos pueden ser una newsletter, correos promocionales, etc. Básicamente monitorizan nuestro comportamiento a través de la inserción de un 'pixel invisible' en el mail, haciendo que puedan estar al tanto de cuánto tiempo hemos pasado leyendo el e-mail, cuándo lo hemos abierto, en qué dispositivo lo hemos hecho, e incluso conocer nuestra localización e IP.

Este tipo de seguimiento se está volviendo cada vez más frecuente, y desde ProtonMail aseguran que más del 40% que recibimos diariamente incorporan estas técnicas de monitorización. La web app de ProtonMail nos protege ahora por defecto de este tipo de medidas, bloqueando dichos píxeles de seguimiento, además de ocultar nuestra IP. Sin embargo, no es la única alternativa para hacer frente a esta nueva forma de recopilar nuestra actividad.

En Genbeta

Asegura tu privacidad en Google, Instagram, Facebook y Twitter siguiendo estos pasos

Cómo hacer frente a estas técnicas en nuestro cliente habitual de correo

El pixel de seguimiento inserta una imagen de 1x1 'invisible' que sirve de puerta de acceso para conocer nuestra actividad. Para bloquear esta táctica, lo único que tenemos que hacer es desactivar la descarga automática de imágenes en nuestro cliente de correo preferido. Esto se puede hacer tanto en Gmail como en OutLook o incluso Apple Mail.

Esto lo podemos encontrar en el apartado de ajustes de cada servicio de e-mails. En Gmail podemos encontrar la opción de 'Preguntar antes de mostrar imágenes externas' en la pestaña 'General' de ajustes. En OutLook podemos desactivar la función en los ajustes de 'Privacidad y datos' de la pestaña 'General', marcando la opción de 'Usar siempre el servicio de OutLook para cargar las imágenes'. Y en Apple Mail, tenemos que desmarcar la opción de 'Cargar contenido remoto en mensajes', dentro de la pestaña de 'Vista'.

La opción de ProtonMail es menos sutil, ya que el servicio nos advertirá cuántos de estos trackers ha bloqueado. Para acceder a su propuesta, podemos hacerlo desde su versión web, o a través de su app para iOS y Android.

Google puso hace un tiempo sobre la mesa una propuesta denominada 'Privacy Budget' destinada a evitar el seguimiento durante las sesiones de navegación. recurriendo al bloqueo de la tecnología de fingerprinting.

Esta propuesta, enmarcada en una iniciativa pro-privacidad más amplia denominada Privacy Sandbox, busca permitirnos limitar la cantidad de información que le permitimos a nuestro navegador que revele sobre nosotros a los sitios web, estableciendo umbrales de privacidad y bloqueando el acceso o detección a los datos que queden fuera de los citados límites.

En palabras de un portavoz de Google,

"Privacy Budget es una propuesta preliminar para proteger a las personas del fingerprinting, un problema que creemos que es fundamental resolver a medida que la web va evolucionando".

No, Privacy Budget (aún) no puede proteger tu privacidad

El problema es que Google está dejando caer Privacy Budget como una solución para proteger la privacidad a la hora de proponer otras tecnologías que podrían vulnerarla, como si fuera verdaderamente una herramienta ya disponible y no una propuesta totalmente abstracta por ahora.

De hecho, la primera mención oficial de Google a Privacy Budget fue dentro de la versión preliminar de las especificaciones de FLoC, la enormemente polémica tecnología con la que Google quiere sustituir a las actuales cookies de terceros, y que ya ha sido rechazada de plano por competidores de Google como Brave, DuckDuckGo o Mozilla.

En Genbeta

Qué son las 'supercookies', los nuevos sistemas de seguimiento de nuestra navegación para los que no existe un botón de borrado

Pero esta propuesta de Google no está siendo enarbolada únicamente cuando se discuten tecnologías de la misma compañía, sino que ha empezado a aparecer en documentos de debate del Grupo de Interés de Privacidad en el Worldwide Web Consortium (o W3C, el organismo que regula la evolución de las tecnologías web). Así, ya ha aparecido como argumento en debates sobre el uso de tipografías o la selección de multimedia.

Eric Rescorla, CTO de Mozilla Firefox pone voz a las legítimas dudas del resto de compañías ante la propuesta de Google:

"Privacy Budget es más una aspiración que una propuesta concreta. […] Estoy un poco sorprendido ante el hecho de que esté apareciendo mencionado en muchos sitios, porque como implementador no sé qué hacer con ese texto".

"La gente no debería engañarse pensando que si una especificación tiene problemas de privacidad esta propuesta vendrá a solucionar dichos problemas".

Konrad Dzwinel, ingeniero de DuckDuckGo, se manifiesta en el mismo sentido:

"Google sólo ha compartido por ahora una definición vaga de la idea detrás de Privacy Budget […] estamos esperando a que Google comparta más detalles sobre su idea".

Una pesadilla para los desarrolladores web

Pero es que, incluso si lo que Google ha mostrado hasta ahora llega a implementarse en algún momento, hay expertos que dudan cómo podrá hacerse sin que tenga efectos secundarios graves.

No está claro, por ejemplo, cómo podría evitar que se aplique fingerprinting sobre los usuarios que hayan hecho login en un sitio web sin romper de paso la llamada 'persistencia de sesión', que permite evitar que más de un usuario permanezca conectado al mismo tiempo con la misma cuenta.

Según Pete Snyder, director de privacidad de Brave, sería un "infierno para los desarrolladores" que rompería toda una serie de funciones web estándar:

"Es difícil hacer que la gente escriba código que diga 'verifica que tal funcionalidad está disponible cada segundo".

De hecho, durante la reunión que el W3C mantuvo el pasado mayo, el ingeniero de Google Chris Cunningham, coeditor de la especificación, reconoció que en la compañía aún no se han planteado cómo deberían interactuar el navegador y los sitios web para gestionar los mensajes de error en caso de sobrepasar los límites del Privacy Budget.

Por último, Snyder plantea un problema básico de planteamiento de Privacy Budget: no puede evitar al 100% el fingerprinting, porque la misma configuración personalizada de sus umbrales de privacidad constituye una huella digital en sí misma, una que no puede ser indetectable si se pretende que funcione en el resto de casos. "Es enormemente irónico".

Vía | Digiday

En los últimos meses se ha venido 'animando' el debate en torno a las tecnologías de seguimiento de la actividad digital de los usuarios, así como el desarrollo de nuevas alternativas, tanto en tecnologías móviles como en la WWW.

Se suceden las demandas contra los sistemas de seguimiento de iOS y Android (este último, demandado esta misma semana por una plataforma paneuropea), pero las alternativas que se plantean tampoco están exentas de aspectos negativos.

¿Quién y por qué ha denunciado el uso de AAID en Android?

La plataforma NOYB (siglas en inglés de 'No es asunto tuyo'), fundada por el activista pro-privacidad austríaco Max Schrems, ha presentado una demanda ante la Autoridad de Protección de Datos de Francia acusando a Google de violar la normativa de la UE con su AAID, o 'Identificador de Publicidad de Android'.

Según denuncia NOYB, esta identificación (presente en casi todos los smartphones Android de la UE) se crea automáticamente y Google impide su eliminación, lo cual viola las normas europeas que exigen contar con el permiso "informado e inequívoco" del usuario. Es cierto que existe la opción de restablecer el AAID (es decir, cambiarlo por uno nuevo), pero eso no elimina los datos anteriores ni impide que los anunciantes rastreen su actividad con el nuevo ID.

En Genbeta

Lo sentimos, Google, pero no podemos creerte del todo cuando hablas de privacidad

Schrems no es un activista cualquiera: este abogado interpuso la demanda que desembocó en la anulación del 'Privacy Shield' por no garantizar la protección de los datos de los ciudadanos europeos; y ahora, su decisión de presentar su demanda en Francia (y la de fundamentarla con base en la directiva de privacidad electrónica de la UE, y no del GDPR) está calculada con el fin de permitir una rápida actuación contra Google por parte de la autoridad francesa, sin que el asunto se eternice en los tribunales.

Apple ya está pensando en el siguiente paso

Además, se da la circunstancia de que NYOB ya demandó el año pasado a Apple por el uso de IDFA (IDentifier For Advertisers), una tecnología de seguimiento equivalente a AAID... y una de las consecuencias de la demanda es que ahora Apple parece decidido a restringir el seguimiento a la actividad digital de sus usuarios móviles.

En las próximas semanas saldrá al mercado iOS 14.5, y una de sus novedades reside en el hecho de que las aplicaciones para iPhone estarán obligadas a pedir permiso a los usuarios para rastrear su actividad digital accediendo a su IDFA.

Por otra parte, Facebook está resultando ser uno de los mayores opositores a la nueva medida de Apple, habiéndose proclamado portavoz -aunque a algunos pueda resultarles chocante- de los defensores "del Internet libre" y de "las pequeñas empresas" que se verán afectadas por la imposibilidad de mostrar anuncios personalizados.

La compañía de Zuckerberg, de hecho, ha llegado a pagar anuncios a página completa contra Apple, durante dos días seguidos, en destacados periódicos estadounidenses como The New York Times, The Wall Street Journal y The Washington Post.

FLoC marca el (polémico) camino

Pero, al fin y al cabo, todas estas noticias en torno a las técnicas de seguimiento de la actividad de los usuarios móviles son sólo el reflejo de un debate que ya lleva mucho más tiempo en marcha en la WWW, un paralelismo que -con las salvedades comprensibles- nos muestra hacia dónde pueden terminar evolucionando las cosas en iOS y Android.

Un ejemplo de lo que decimos es la tecnología FLoC, desarrollada por Google como modo de "decir adiós a las cookies" y poner fin al rastreo individual de usuarios sin suprimir por ello toda opción de personalizar los anuncios (pues se utilizarán como referencia las 'cohortes' de usuarios).

En Xataka

Cómo funciona FLoC y qué dudas plantea la alternativa de Google a las cookies que promete revolucionar la publicidad online

Es decir, nos encontramos ante una API centrada en la privacidad que, además, es de código abierto. No parece haber nada malo en ello. Y, sin embargo, se alzan numerosas voces denunciando que esto no hará más que centralizar el negocio de la publicidad online en torno a Google. Como denuncian desde Marketers for an Open Web:

"Las propuestas de Google son malas para los propietarios de medios independientes, malas para la tecnología publicitaria independiente y malas para los anunciantes. Las personas que se verán más afectadas por esto serán los editores locales más pequeños y las empresas independientes".

Significativamente, las primeras pruebas de Google con esta tecnología no se han podido realizar en España, pues por ahora FLoC no se ajusta al Reglamento General de Protección de Datos (RGPD) europeo.

Vía | Axios & Engadget

Los responsables de la aplicación de gestión de emails HEY hicieron público recientemente un informe sobre las técnicas de seguimiento utilizadas en el sector del correo electrónico, arrojando la conclusión de que el uso de 'píxeles espía' se había convertido en "endémico" dentro del mismo.

Concretamente, según HEY, hasta dos tercios de los emails enviados a las cuentas personales de sus usuarios contenían un "píxel espía"... y eso después de haber excluido los mensajes de spam.

Las empresas que los usan alegan que se trata de una táctica de marketing común, que suelen recoger en sus políticas de privacidad. Sin embargo, a ojos del fundador de HEY, David Heinemeier Hansson, constituyen una "grotesca invasión de la privacidad".

De modo que... ¿qué son exactamente los píxeles espía y cómo funcionan?

En Genbeta

Qué son las 'supercookies', los nuevos sistemas de seguimiento de nuestra navegación para los que no existe un botón de borrado

Invisibles. Y chivatos.

Los píxeles espía o píxeles de seguimiento son pequeñas imágenes (frecuentemente con formato GIF o PNG y dimensiones de 1x1 px) que se insertan en el cuerpo de los emails HTML que recibimos de tal forma que son imposibles de reconocer a simple vista.

Pero, dado que dichas imágenes se encuentran alojadas en servidores web, cada vez que visualizamos un email con píxel espía (sí, sólo visualizar, no hace falta que hagamos clic en nada), nuestro equipo lleva a cabo un acceso HTTP para acceder al mismo.

Y estos accesos son los que permiten que el propietario del servidor pueda saber:

• Si un email se ha abierto o no, en qué horarios se abre y cuántas veces lo ha hecho en total.

• Desde qué dispositivo(s) y mediante qué clientes de e-mail se abre.

• La ubicación física aproximada del destinatario en el momento del acceso (a partir de la dirección IP).

Esta clase de datos pueden servir para arrojar estadísticas sobre el éxito de una campaña comercial masiva de emails, por ejemplo... pero también permite rastrear la actividad de mensajes y/o usuarios individuales, pues podemos crear un píxel espía diferente para cada uno de ellos.

Por supuesto, este potencial seguimiento ultrapersonalizado casa mal con las promesas de anonimización a posteriori enarboladas por muchas compañías de Internet.

Algunos clientes de email (en el ejemplo, Protonmail) ya bloquean por defecto la carga de imágenes y otros elementos HTML alojados en servidores web.

El propio Hansson pone el ejemplo de comerciales y consultores que utilizan esta clase de seguimiento para mandar correos como el siguiente:

"Vi que abriste mi correo electrónico ayer, pero aún no has respondido. ¿Puedo llamarte?".

Vía | BBC

Todos sabemos qué son las cookies, esos pequeños ficheros que muchas webs utilizan para identificar usuarios únicos y guardar datos relativos a sus hábitos y preferencias de navegación o, meramente, para mantener abierta una sesión.

Y sí, también son las culpables de que cada vez que buscas un producto termines viendo docenas de anuncios sobre el mismo allá por donde vayas, lo que solemos llamar 'retargeting'.

Sin embargo, en los últimos años, a medida que los datos se van convirtiendo en el negocio emergente de Internet, algunas plataformas están apostando por una clase algo distinta de cookie, una que no podemos limitarnos a borrar desde el apartado de 'Opciones' de nuestro navegador.

Pero las llamadas supercookies son mucho más difíciles de eliminar y bloquear, lo que hace casi imposible para los usuarios proteger su privacidad mientras navegan... incluso si recurrimos a la navegación en Modo Privado.

Y es que, en realidad, la etiqueta 'supercookie' (también se utiliza 'permacookies' o 'zombie cookies') se viene aplicando a un amplio abanico de sistemas de seguimiento de nuestros datos de navegación.

En Xataka

Cómo va a cambiar la web con el fin de las cookies de terceros de Chrome

Usos creativos de la caché del navegador

Una de las técnicas usadas por los rastreadores de supercoookies se basa en aprovecharse del funcionamiento de la caché de los navegadores: habitualmente, éstos comparten recursos entre las diferentes webs (por ejemplo, cargando sólo una vez una imagen incrustrada en una web si ya la había mostrado previamente en otras).

Sin embargo, eso ha provocado que los rastreadores puedan crear supercookies codificando identificadores en una imagen, con lo que es capaz de recopilar datos sobre todas las ocasiones en que accedemos a la misma desde diversas web, permitiendo reconstruir nuestros hábitos de navegación.

Para evitar esto, desde Mozilla anunciaron hace unos días que su nuevo navegador Firefox 85 implementará el 'particionado de caché', para que cada sitio web pueda acceder únicamente a los ficheros cargados desde el mismo dominio.

En Genbeta

Los datos de navegación anonimizados son un mito: nos identifican de modo similar a los datos biométricos, según Mozilla

Huellas dactilares del usuario de Internet

Un segundo método para crear supercookies,** muy usado hace unos años**, se basaba en hacer un uso 'inventivo' del sistema HSTS (HTTP Strict Transport Security), una tecnología que permite al sitio web indicar al navegador que haga uso del protocolo HTTPS en lugar del HTTP.

En estos casos el navegador, al responder a dicha solicitud, lo hace enviando diversas 'flags' (piezas de información sobre el equipo) que permiten identificar al usuario.

Esta técnica ya fue bloqueada hace unos años por los principales navegadores, aunque las nuevas técnicas de 'fingerprinting' se pueden considerar una evolución de la anterior y siguen, por desgracia, muy vigentes.

Y más...

Otro de los ejemplos representativos de supercookies serían las creadas por los botones 'Me Gusta' de Facebook que podemos encontrar insertados en diversas páginas web, lo que permite a la red social recopilar información de nuestros hábitos de navegación en todas ellas.

Peor aún: en algunos casos se ha detectado que dichas supercookies han sido creadas por las operadoras de telecomunicaciones, que inyectan a nivel de red los llamados 'encabezados de seguimiento' o 'tracking headers', por lo que no puede ser bloqueados por los usuarios.

La próxima versión del navegador de Mozilla, Firefox 85, llegará en enero con una nueva característica que mejorará la privacidad de los usuarios combatiendo con mayor eficacia la acción de los rastreos que podemos encontrar en la web; una batalla que lleva librándose años.

Firefox incorporará, tras haberlo hecho en su momento Safari y más recientemente Google Chrome, el particionado de red. Una característica que está siendo desarrollada en un grupo sobre privacidad del Consorcio de la World Wide Web como nuevo estándar para dificultar la labor de seguimiento que realizan servicios de terceros sin que los usuarios prácticamente lo adviertan.

Combatiendo más eficazmente el rastreo

Explicado muy sencillamente, el particionado de red consiste en repartir la información que un navegador almacena conforme es usado para acceder a sitios webs diferentes: caché de imágenes, de fuentes, de favicon, de HTTP... Si antes esos datos se guardaban en un único espacio y alguien accedía a él, podía ver el resto de lo guardado. Ahora no será exactamente así.

En Genbeta

Cómo evitar que una web te rastree utilizando Chrome, Firefox y Safari

Esta nueva característica lo que hará será crear espacios por cada una de las webs que se visiten. De este modo, un servicio determinado alojado en una web determinada solo podrá ver la información habilitado para esa web, es decir, su propia información. El rastreo, por tanto, se dificulta.

Este sistema de particionado, aunque es similar al que ya se encuentra presente en los navegadores de Apple y Google, es más ambicioso. Según informa ZDNet, esto puede suponer que se pierda algo de rendimiento como le pasó a Chrome con las fuentes de Google, pero desde Mozilla están dispuesto a asumir estos inconvenientes por los beneficios que supone para los usuarios la característica.

Desde hace un par de días, todas y cada una de las 1,8 millones de apps que Apple distribuye desde sus tiendas App Store y Mac App Store están obligadas a revelar con claridad a sus usuarios qué clase de información recopilan sobre ellos.

Así, antes de instalar cada app, podremos visualizar sus respectivas políticas de privacidad con respecto a tres grandes áreas: "datos utilizados para rastrearte", "datos vinculados a ti" y "datos no vinculados a ti".

No todas las políticas de privacidad son accesibles aún, pese a todo: así, por ejemplo, la mayoría de las apps de Google no las muestran, pues sólo se incorpora este nuevo apartado en aquellas se han actualizado en los dos últimos días.

Un debate reabierto en redes

Las directrices de Apple consideran "rastreo" el acto de cruzar los datos del usuario y/o el dispositivo con datos recopilados por otras aplicaciones o sitios web, con el ánimo de medir anuncios, servir publicidad dirigida o compartir esa información con 'corredores de datos'.

En Xataka

Cómo funcionan las apps que espían el uso de WhatsApp y crean un historial de hábitos de alguien sin su consentimiento

Sin embargo, más allá de las exigencias de Apple a los desarrolladores que busquen distribuir apps desde sus tiendas de ídem, esto ha servido para renovar el debate en las redes sociales sobre la cantidad de datos (muchas veces difícilmente justificables) que las aplicaciones móviles recopilan sobre nosotros.

De hecho, varios usuarios han aprovechado para recopilar y comparar en Twitter las políticas de privacidad de algunas de sus apps más usadas. En el caso de Facebook, por ejemplo, la lista es más bien interminable...

Apple exposing all the ways Facebook tracks you with it iOS app is really quite something pic.twitter.com/hDhB85qk1L

— Tom Warren (@tomwarren) December 16, 2020

...tanto que deja a Twitter, por oposición, como una app muy respetuosa con nuestra privacidad:

Twitter pic.twitter.com/kX7odOsNAC

— Leigh Burnett (@LeighBurnett85) December 16, 2020

En Xataka

Así es como gana dinero Facebook: el otro gigante publicitario tiene dos ases en la manga

Otro aspecto destacado por los usuarios es la cantidad de datos que recopilan muchas apps gratuitas frente a otras más o menos equivalente de pago; se cumple a la perfección aquello de "si un software es gratuito, es porque el producto eres tú":

la app para editar fotos gratuita que te cambia caras y pone efectos raros vs la app para editar fotos de pago pic.twitter.com/iRxQCbnuco

— ████████ rus (@CristianRus4) December 15, 2020

Claro, que también hay diferencias entre apps gratuitas de mensajería instantánea; aquí WhatsApp vs Telegram:

And this is @telegram pic.twitter.com/FykwRbQY3X

— Abdulkarim Sarmini (@Abdelkareem10_s) December 16, 2020