O que são cookies de terceiros? Como funciona o rastreamento (e como se proteger)

Um cookie é um pequeno ficheiro de texto que um site armazena no seu computador através do navegador. É só isso. Não há nada de misterioso nem inerentemente perigoso nos cookies: são uma das tecnologias mais antigas da web, com origem em 1994.

Quando visita um site, o servidor pode enviar uma pequena quantidade de dados, um cookie, que o seu navegador guarda. Da próxima vez que visitar o mesmo site, o navegador envia o cookie de volta. Isto permite ao site lembrar-se de coisas sobre si entre visitas.

Os cookies têm muitos fins legítimos e essenciais. Quando inicia sessão num site, um cookie lembra-se de que já está autenticado, para não ter de introduzir a password em cada página. Quando adiciona artigos a um carrinho de compras online, um cookie regista o que lá está. Quando define o modo escuro num site ou escolhe um idioma, um cookie lembra-se dessa escolha. Sem cookies, cada carregamento de página seria um recomeço: sem sessões de início de sessão, sem preferências, sem carrinhos de compras.

Um cookie é apenas um par chave-valor, um nome e um valor, como "session_id=abc123" ou "language=en". Também inclui metadados: que domínio o definiu, quando expira e se só deve ser enviado em ligações encriptadas. Os cookies não podem executar código, aceder aos seus ficheiros nem instalar software. São dados passivos, não programas.

Os problemas de privacidade não vêm da tecnologia em si, mas da forma como é usada. Mais concretamente, o problema surge quando os cookies são definidos por um domínio diferente daquele que está realmente a visitar. Essa distinção, entre cookies de primeira parte e de terceiros, é a base do rastreio moderno na web. Percebê-la é essencial para entender como a indústria publicitária o segue pela internet e porque os criadores de browsers passaram anos a tentar travá-la.

A distinção entre cookies de primeira parte e de terceiros é simples, mas tem enormes implicações para a privacidade.

Um cookie de primeira parte é definido pelo site que está a visitar. Quando vai a example.com e o example.com armazena um cookie, isso é um cookie de primeira parte. Só pode ser lido pelo example.com. Estes cookies tratam normalmente de funcionalidades essenciais, como manter a sessão iniciada, lembrar preferências e gerir o carrinho de compras. Os cookies de primeira parte são, em geral, inofensivos e necessários para que os sites funcionem corretamente.

Um cookie de terceiros é definido por um domínio diferente daquele que está a visitar. Quando vai a example.com, mas um cookie é definido por ads.tracker.com porque example.com incorporou um anúncio ou um script de rastreio desse domínio, isso é um cookie de terceiros. A diferença crítica, ads.tracker.com pode definir e ler esse mesmo cookie em todos os sites que incluam o seu script de rastreio.

Este é o mecanismo que permite o rastreio entre sites. Se tracker.com tiver o seu script incorporado em milhares de sites, como sites de notícias, lojas online, plataformas de redes sociais e blogues, então tracker.com pode ver a sua atividade em todos esses sites através dos seus cookies. Sabe que leu um artigo sobre ténis de corrida num site de notícias, depois visitou o site de uma loja de sapatos e, por fim, consultou um site de avaliações. Tudo através do mesmo cookie.

Os cookies de primeira parte ficam dentro de um único site. Os cookies de terceiros seguem-no pela web. Essa é a diferença fundamental, e é por isso que os cookies de terceiros têm sido o principal alvo das medidas de privacidade dos browsers.

Convém notar que a fronteira entre primeira parte e terceiros nem sempre é clara. Técnicas como CNAME cloaking permitem que empresas de rastreio disfarçem os seus cookies como se fossem de primeira parte, usando um subdomínio do site que está a visitar. Um domínio de rastreio pode aparecer como analytics.example.com em vez de tracker.com, tornando tecnicamente os seus cookies de primeira parte. O Safari implementou contramedidas contra esta técnica, mas isso ilustra como a indústria de rastreio se adapta constantemente para contornar proteções de privacidade.

Perceber a mecânica do rastreamento entre sites mostra porque os cookies de terceiros foram tão valiosos para a indústria da publicidade e tão prejudiciais para a privacidade.

Na prática, funciona assim. Uma rede de publicidade, chamemos-lhe AdTrack, fornece scripts de anúncios a milhares de websites. Quando visita o Site A, um site de notícias, o seu navegador carrega o script da AdTrack juntamente com o conteúdo da página. A AdTrack define um cookie com um identificador único, algo como "user_id=x7f9k2." Este cookie é guardado no seu computador e associado ao domínio da AdTrack.

Agora visita o Site B, uma loja de roupa online que também usa a AdTrack. O seu navegador carrega novamente o script da AdTrack e envia o cookie que tinha definido anteriormente. A AdTrack sabe agora que a mesma pessoa que visitou o Site A também visitou o Site B. Regista isso. Ao longo de dias e semanas, a AdTrack constrói um perfil: lê artigos sobre tecnologia e culinária, compra sapatilhas de corrida e livros, visita sites de viagens ao fim da tarde de sexta-feira. A AdTrack não sabe necessariamente o seu nome, mas conhece os seus padrões de navegação com um detalhe notável.

Esse perfil é depois usado para publicidade direcionada. Quando visita o Site C, a AdTrack reconhece o seu cookie e mostra-lhe um anúncio das sapatilhas de corrida que viu no Site B. É por isso que os anúncios parecem segui-lo pela internet. Seguem mesmo.

A escala é impressionante. Grandes redes de publicidade, como as operadas pela Google e pela Meta, têm os seus scripts de rastreamento incorporados em milhões de websites. Os vários serviços de rastreamento da Google, Google Analytics, Google Ads, Google Tag Manager, DoubleClick, estão presentes em cerca de 85% dos um milhão de websites mais visitados. Isto significa que a Google pode observar a sua atividade na maior parte da web.

Os dados recolhidos vão muito além dos sites que visita. Os scripts de rastreamento podem registar quanto tempo passa numa página, no que clica, até onde faz scroll, o que procura, o que adiciona aos carrinhos de compras e o que acaba por comprar. Estes dados são agregados, analisados e vendidos a anunciantes para criar perfis comportamentais detalhados. Você não é o cliente destas redes de publicidade. Você é o produto. Os websites são os clientes, e aquilo que está a ser vendido é a sua atenção e os seus dados.

Os cookies de terceiros estão a desaparecer. O Safari e o Firefox bloqueiam-nos por predefinição há anos. O Google Chrome, o último grande resistente, tem vindo a avançar para restrições, embora a Google tenha adiado repetidamente a eliminação total porque o seu negócio de publicidade depende da infraestrutura de rastreamento que os cookies permitem.

Mas o fim dos cookies de terceiros não significa o fim do rastreamento. A indústria da publicidade passou anos a desenvolver métodos alternativos de rastreamento que não dependem de cookies de todo. É essencial compreender estes métodos, porque já estão amplamente em uso.

A impressão digital do navegador é a substituição mais preocupante. Em vez de guardar um identificador no seu computador, a impressão digital identifica-o ao recolher dezenas de detalhes técnicos sobre o seu navegador e dispositivo: resolução do ecrã, tipos de letra instalados, capacidades da placa gráfica, fuso horário, definições de idioma, versão do sistema operativo, plugins do navegador e muito mais. Individualmente, estes dados não são únicos. Em conjunto, criam uma impressão digital extraordinariamente distinta. Investigações mostraram que a combinação de atributos do navegador é única para mais de 90% dos utilizadores. Sem necessidade de cookies.

A impressão digital é mais difícil de bloquear do que os cookies, porque não guarda nada no seu computador. Não há nada para apagar, nenhum banner para mostrar e nenhuma definição para ativar ou desativar. O seu navegador tem de trabalhar ativamente para o impedir, apresentando informação padronizada ou aleatória aos websites.

O rastreamento do lado do servidor é outro método em crescimento. Em vez de o rastreamento acontecer no seu navegador através de JavaScript, acontece no servidor do website. Quando visita uma página, o servidor regista a sua atividade e envia-a diretamente para o serviço de rastreamento, de servidor para servidor. O seu navegador nunca vê o pedido de rastreamento, o que significa que as ferramentas de bloqueio baseadas no navegador não o conseguem impedir.

A Topics API da Google, parte da iniciativa Privacy Sandbox, propõe substituir o rastreamento individual por categorias baseadas em interesses. Em vez de rastrear o seu histórico de navegação exato, o Chrome classificaria os seus interesses em categorias amplas e partilharia isso com os anunciantes. Os críticos argumentam que isto ainda permite criar perfis e que o controlo da Google sobre o navegador e a plataforma de anúncios cria uma situação anticoncorrencial.

A era pós-cookie não é, por defeito, mais privada. Os métodos de rastreamento que substituem os cookies são muitas vezes mais difíceis de detetar, mais difíceis de bloquear e menos transparentes. Os banners de cookies davam-lhe um sinal visível, ainda que irritante, de que o rastreamento estava a acontecer. A impressão digital e o rastreamento do lado do servidor acontecem de forma invisível.

Dado que o rastreamento vai muito além dos cookies, uma proteção eficaz requer uma abordagem em camadas. Nenhuma ferramenta resolve o problema por completo, mas a combinação certa reduz drasticamente a sua exposição.

Comece pelo navegador. Escolha um que bloqueie cookies de terceiros por predefinição e inclua proteção contra fingerprinting. Safari e Firefox fazem isto bem. O Brave vai mais longe com bloqueio agressivo integrado. Seja qual for a sua escolha, reveja as definições de privacidade: ative a proteção rigorosa contra rastreamento, desative a telemetria e a partilha de dados com o fabricante do navegador e considere usar um motor de pesquisa focado na privacidade, como o DuckDuckGo, em vez do Google.

Instale um bloqueador de conteúdos. O uBlock Origin é o padrão de referência para bloquear scripts de rastreamento, anúncios e tentativas de fingerprinting no navegador. Funciona impedindo que os scripts de rastreamento sejam carregados logo à partida, o que é mais eficaz do que tentar limitar o que podem fazer depois de carregados. No Safari, onde o uBlock Origin não está disponível, o bloqueador de conteúdos integrado e extensões como o AdGuard oferecem proteção semelhante.

Limpe os cookies com regularidade. Mesmo com os cookies de terceiros bloqueados, os cookies de primeira parte ainda podem ser usados para rastreamento através de técnicas como link decoration e bounce tracking. Limpar os cookies periodicamente, ou usar funcionalidades do navegador como o Total Cookie Protection do Firefox, que isola os cookies por site, limita este problema.

Use uma VPN em redes não confiáveis para impedir que o seu endereço IP seja usado como identificador de rastreamento. O seu endereço IP pode revelar a sua localização aproximada e é usado por alguns sistemas de rastreamento para ligar atividade entre sites.

Mas aqui está a peça crítica que a maioria dos guias omite: os cookies e o rastreamento no navegador são apenas uma via. As apps do seu Mac rastreiam-no através das suas próprias ligações, completamente fora do navegador. Spotify, Zoom, Slack, Adobe e dezenas de outras apps enviam dados de telemetria e análise diretamente para servidores de rastreamento. As definições de privacidade do seu navegador não fazem nada quanto a isto.

É aqui que uma ferramenta ao nível do sistema como o NetMute fecha a lacuna. O NetMute monitoriza todas as ligações de saída de todas as apps no seu Mac, não apenas do navegador. O seu Tracker Shield bloqueia automaticamente ligações para mais de 1100 domínios de rastreamento conhecidos em todas as aplicações. Um rastreador que o navegador bloqueia com sucesso ainda pode recolher dados através de uma app de ambiente de trabalho, a menos que tenha proteção ao nível da aplicação.

A abordagem completa para bloquear rastreamento em 2026 combina um navegador privado para rastreamento na web, um bloqueador de conteúdos para scripts e anúncios e uma firewall ao nível das apps para tudo o resto. Os cookies foram o início da história do rastreamento. Já não são a história toda. Proteger-se significa tratar de todas as formas como os dados saem do seu computador, não apenas das que acontecem numa janela do navegador.