💻 computer science

From Third-Party to First-Party: Measuring and Protecting Against Modern Web Tracking Mechanisms

Este artículo investiga el cambio del seguimiento web de terceros hacia el de primera parte y del lado del servidor, revelando mediante una medición a gran escala que más del 54 % de los principales sitios emplean ahora estas técnicas opacas, y propone nuevas reglas de detección que superan significativamente a las listas de filtrado tradicionales al bloquear tales solicitudes.

Autores originales: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Publicado 2026-06-16

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

La visión general: El juego del escondite y la búsqueda

Imagina que el internet es una ciudad gigante. Durante años, las empresas que intentaban rastrear tus movimientos (los "rastreadores") usaron un truco específico: te seguían de tienda en tienda usando un disfraz de terceros (como un uniforme que decía claramente "Trabajo para AdCo").

Como podías ver el uniforme, tú (o tu guardia de seguridad, el navegador) podías detectarlos fácilmente y decir: "No, no puedes seguirme dentro de esta tienda". Esta era la era del Rastreo de Terceros (Third-Party Tracking).

Pero recientemente, los rastreadores se volvieron más inteligentes. Se dieron cuenta de que si usan el propio uniforme de la tienda (un disfraz de "Primera Parte"), el guardia de seguridad no los detendrá. Ahora se están mezclando con los propios empleados de la tienda. Este es el cambio que investiga el artículo: el Rastreo de Primera Parte (First-Party Tracking - FPT) y el Rastreo del Lado del Servidor (Server-Side Tracking - SST).

El problema: El acosador invisible

Los autores (investigadores de Alemania y Stanford) querían saber: ¿Qué tan grande es este nuevo problema? ¿Quién lo está haciendo? ¿Y podemos detenerlo?

Trataron el internet como una enorme investigación en la escena de un crimen. No solo miraron una calle; visitaron 13,000 sitios web diferentes y observaron la carga de 750,000 páginas. Establecieron sus "patrullas" (navegadores web) en dos ciudades diferentes (Alemania y EE. UU.) para asegurarse de ver todo el panorama.

Lo que encontraron

1. El disfraz está en todas partes
Descubrieron que más del 54% de los sitios web que visitaron están utilizando ahora estos disfraces de "Primera Parte".

La forma antigua: Un rastreador enviaba una solicitud desde tracker.com a tu navegador. Fácil de bloquear.
La nueva forma: El sitio web mismo (por ejemplo, news.com) recopila tus datos y los envía al rastreador desde bastidores. Para tu navegador, parece que el sitio web simplemente está hablando consigo mismo. Es como un espía que viste el traje del Presidente; no puedes arrestarlo sin arrestar al Presidente.

2. Los "Grandes Jefes" siguen al mando
Aunque los rastreadores usan diferentes uniformes, los investigadores descubrieron que las mismas grandes empresas siguen dirigiendo el espectáculo.

Google es el jugador más grande, seguido por Meta (Facebook), Amazon y Adobe.
Construyeron un mapa (un grafo de red) que muestra que todos estos rastreadores están conectados. Es un club muy cerrado donde se reutilizan los mismos scripts (código) a través de miles de sitios web diferentes, solo que usando diferentes "uniformes de tienda".

3. El guardia de seguridad está dormido
Los investigadores probaron las herramientas actuales que la gente usa para bloquear anuncios y rastreadores (como "EasyList").

El resultado: Estas herramientas son casi inútiles contra los nuevos disfraces. Pasaron por alto la gran mayoría de estos intentos de rastreo porque estaban buscando los antiguos "uniformes de terceros" que ya no existen.

La solución: Un nuevo tipo de detector de metales

Dado que no puedes simplemente bloquear a la "tienda" (el sitio web) porque eso rompería el internet, los investigadores tuvieron que ser creativos. Se dieron cuenta de que, aunque los rastreadores usan disfraces, todavía llevan herramientas específicas en sus bolsillos.

La analogía: Imagina a un ladrón que viste un uniforme de policía. No puedes arrestarlo solo por vestir el uniforme. Pero, si notas que siempre lleva una ganzúa y una linterna específicas en su bolsillo, puedes establecer una regla: "Cualquiera que entre al banco con una ganzúa y una linterna es detenido".

Los investigadores desarrollaron un método para encontrar estas "ganzúas".

Observaron las URLs (las direcciones web) a donde estos rastreadores enviaban los datos.
Notaron que las solicitudes de rastreo siempre tenían palabras clave específicas en su dirección (como cid=, r=, o v=) que el tráfico normal de los sitios web no tenía.
Utilizaron una herramienta estadística para encontrar combinaciones de estas palabras clave que aparecían juntas con mucha frecuencia en el rastreo, pero rara vez en la navegación normal.

El resultado: Un mejor escudo

Utilizando este método, crearon 181 nuevas reglas para los bloqueadores de anuncios.

La prueba: Probaron estas nuevas reglas en los sitios web.
El éxito: Estas nuevas reglas bloquearon un 63% más de las solicitudes de rastreo que las listas antiguas.
La seguridad: Crucialmente, verificaron si estas reglas rompían los sitios web (como detener la reproducción de un video o el funcionamiento de un botón). Descubrieron que las reglas rompían casi nada (solo el 0.04% de las páginas tuvieron problemas).

La conclusión

El artículo concluye que el juego del "Gato y el Ratón" ha cambiado. Los rastreadores se han movido de las sombras (terceros) a la luz (primera parte), lo que los hace más difíciles de ver.

La amenaza: Estamos siendo rastreados más que nunca, pero esto está oculto dentro de los sitios web que visitamos.
La realidad: Las grandes empresas tecnológicas (Google, Meta) son las que realizan la mayor parte de este rastreo, incluso cuando fingen ser el propio sitio web.
La esperanza: Los investigadores demostraron que podemos construir mejores escudos. Al buscar las "huellas dactilares" específicas (patrones de URL) que estos rastreadores dejan atrás, podemos bloquearlos sin romper el internet.

En resumen: Los rastreadores cambiaron de ropa para mezclarse, pero los investigadores encontraron una nueva forma de detectarlos mediante las herramientas específicas que llevan en sus bolsillos.

Resumen Técnico: Del seguimiento de terceros al de primera parte: Medición y protección contra los mecanismos modernos de seguimiento web

Planteamiento del problema
El panorama del seguimiento de usuarios en la web está experimentando un cambio significativo desde el seguimiento tradicional de terceros hacia el Seguimiento de Primera Parte (FPT, por sus siglas en inglés) y el Seguimiento del Lado del Servidor (SST). A medida que los navegadores implementan defensas más estrictas contra las cookies de terceros y el seguimiento del lado del cliente, los rastreadores están reubicando la lógica de recolección de datos en el backend del sitio web o en el contexto de primera parte. Esta migración oscurece los flujos de datos, vuelve ineficaces la detección basada en URL y las listas de filtros del lado del cliente, y reduce la transparencia para el usuario. Si bien estudios previos han examinado implementaciones específicas (por ejemplo, Google Tag Manager o Meta), existe una falta de comprensión a gran escala sobre la prevalencia, la estructura del ecosistema y los mecanismos de protección efectivos para estas técnicas de seguimiento emergentes.

Metodología
Los autores realizaron un estudio de medición a gran escala que involucró 13.187 sitios y 758.960 páginas (derivados de la lista Tranco) a través de cuatro perfiles de medición (dos ubicaciones: Alemania y EE. UU.; dos ejecuciones por ubicación).

Recolección de datos: Utilizando el marco MultiCrawl (basado en OpenWPM) con Firefox, los investigadores instrumentaron el navegador para registrar solicitudes HTTP, respuestas, cookies e interacciones de JavaScript. Para asegurar un conjunto de datos representativo, interactuaron con los banners de consentimiento utilizando una extensión modificada "Consent-O-Matic" para aceptar todas las cookies. Se desactivaron las cookies de terceros para forzar a los sitios a utilizar mecanismos de primera parte si se pretendía realizar un seguimiento.
Identificación de cookies de seguimiento: Para distinguir las cookies de seguimiento de los identificadores de sesión estándar, los autores desarrollaron un heurístico basado en reglas aplicado a las cookies de primera parte. Los criterios incluyeron:
- Longevidad: Vida útil > 90 días (no de sesión).
- Longitud: Al menos 8 bytes (entropía suficiente).
- Unicidad: Única a través de las ejecuciones de medición.
- Similitud: Similitud de cadenas (Ratcliff/Obershelp) ≤ 60%.
- Validación: El heurístico fue validado manualmente contra rastreadores conocidos y contrastado con el conjunto de datos CookieGraph, mostrando una alta concordancia e identificando cookies adicionales omitidas por bases de datos comunitarias como Cookiepedia.
Análisis del ecosistema:
- Agrupación de scripts (Script Clustering): Los archivos JavaScript que interactúan con las cookies de seguimiento identificadas se agruparon basándose en la similitud del código fuente mediante SimHash (distancia de Hamming $k=8$ ). Esto permitió a los autores agrupar scripts independientemente de si estaban alojados en dominios de primera o tercera parte.
- Atribución: Los grupos se atribuyeron a entidades específicas (por ejemplo, Google, Meta) utilizando la base de datos WhoTracksMe, analizando principalmente las URLs de scripts de terceros encontradas dentro de los grupos.
- Grafo de red: Se construyó un grafo donde los nodos representaban grupos de cookies y grupos de JavaScript, con aristas que indicaban las relaciones de uso, para visualizar la topología del ecosistema.
Desarrollo de mecanismos de protección:
- Extracción de características: Los autores analizaron los parámetros de consulta de las URL de las solicitudes de JavaScript relacionadas con FPT, identificando una distribución altamente sesgada de claves de consulta (tipo Zipfiana). Se centraron en las 161 claves principales que cubren el 99% de las ocurrencias.
- Minería de patrones: Utilizando FP-Growth, minaron conjuntos de elementos frecuentes (combinaciones de claves de consulta) de un conjunto de datos de URLs relacionadas con FPT frente a un conjunto de control de no seguimiento.
- Calificación estadística: Los conjuntos de elementos fueron calificados mediante una Relación de Soporte (SR) y la prueba exacta de Fisher para asegurar que fueran estadísticamente significativos y estuvieran enriquecidos en el tráfico de seguimiento.
- Generación de reglas: Los conjuntos de elementos validados se tradujeron en reglas compatibles con AdBlock Plus (ABP) utilizando búsquedas positivas anticipadas (positive lookaheads) para manejar parámetros de consulta desordenados.

Resultos clave

Prevalencia: Más del 54% de los sitios analizados despliegan técnicas relacionadas con FPT o SST. El estudio identificó 6.249 nombres de cookies distintos que potencialmente contienen IDs de usuario, los cuales fueron normalizados a 25.136 nombres potenciales de cookies FPT.
Estructura del ecosistema: El ecosistema FPT es operado por 492 entidades distintas pero está altamente centralizado. Los 10 grupos principales representan el 44% de las URLs de scripts y están presentes en el 74% de los sitios. Google es el actor dominante, seguido de Meta, Adobe y otros.
Migración: Una parte significativa del seguimiento (más del 8% de las solicitudes de seguimiento analizadas) involucra rastreadores de terceros operando dentro de contextos de primera parte. El estudio encontró que el 37% de todos los grupos de scripts podían atribuirse a proveedores de seguimiento conocidos, cubriendo el 76% de las URLs de scripts medidas.
Ineficacia de las defensas actuales: Las listas de filtros existentes (EasyList y EasyPrivacy) bloquearon solo el 27,5% de las URLs identificadas relacionadas con FPT.
Protección propuesta: Los autores generaron 181 nuevas reglas de bloqueo basadas en patrones de parámetros de consulta. Estas reglas bloquearon un 63% más de las solicitudes relacionadas con FPT que las listas de filtrado tradicionales.
Falsos positivos/Rotura de páginas: Las nuevas reglas causaron la rotura de páginas en solo el 0,04% de los sitios probados (1 de cada 2.300), lo que indica una alta precisión y un bajo impacto en la funcionalidad del sitio.

Significancia y Reivindicaciones
El artículo afirma proporcionar la primera medición a gran escala del ecosistema FPT y SST, demostrando que el seguimiento no es meramente un desplazamiento, sino que está profundamente arraigado en el contexto de primera parte, siendo a menudo indistinguible de la funcionalidad legítima del sitio sin un análisis de contenido.

Los autores sostienen que:

Las defensas actuales son inadecuadas: Las listas de bloqueo tradicionales que dependen de nombres de dominio fallan en detectar FPT porque la lógica de seguimiento reside en el dominio de primera parte.
El ecosistema está interconectado: FPT depende fuertemente de la infraestructura de terceros existente (por ejemplo, Google Tag Manager), creando una densa red de dependencias que refleja el ecosistema de terceros.
La minería de patrones estadísticos es viable: Al analizar los parámetros de consulta de las URL en lugar de solo los dominios, es posible derivar reglas de bloqueo efectivas que superan significativamente a las listas actuales sin causar una rotura de página significativa.

El estudio concluye que el FPT constituye una amenaza emergente para la privacidad que requiere nuevas estrategias de detección y mitigación basadas en datos, dado que el juego del "gato y el ratón" ha evolucionado a un punto donde el control del usuario y la transparencia se ven significativamente disminuidos. Los autores señalan las limitaciones, específicamente que su análisis está restringido a indicadores del lado del cliente y no inspecciona la lógica del backend del lado del servidor, sugiriendo que trabajos futuros deberían explorar directamente los mecanismos del lado del servidor.