💻 computer science

From Third-Party to First-Party: Measuring and Protecting Against Modern Web Tracking Mechanisms

Questo articolo investiga il passaggio dal tracciamento web di terza parte a quello di prima parte e lato server, rivelando attraverso una misurazione su larga scala che oltre il 54% dei principali siti impiega ora queste tecniche opache, e propone nuove regole di rilevamento che superano significativamente le liste di filtraggio tradizionali nel bloccare tali richieste.

Autori originali: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Pubblicato 2026-06-16

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il quadro generale: Il gioco del nascondino

Immaginate che Internet sia una città gigantesca. Per anni, le aziende che cercavano di tracciare i vostri movimenti (i "tracker") hanno usato un trucco specifico: vi seguivano da un negozio all'altro indossando un travestimento da terza parte (come una divisa che diceva chiaramente "Lavoro per AdCo").

Poiché potevate vedere la divisa, voi (o il vostro guardiano della sicurezza, il browser) potevate facilmente individuarli e dire: "No, non puoi seguirmi dentro questo negozio". Questa era l'era del Tracciamento di Terza Parte (Third-Party Tracking).

Ma recentemente, i tracker sono diventati più furbi. Si sono resi conto che se indossano la divisa del negozio stesso (un travestimento "First-Party"), il guardiano della sicurezza non li fermerà. Si stanno ora mimetizzando con i dipendenti del negozio. Questo è il cambiamento che il documento investiga: il Tracciamento di Prima Parte (First-Party Tracking) e il Tracciamento Lato Server (Server-Side Tracking - SST).

Il problema: Lo stalker invisibile

Gli autori (ricercatori dalla Germania e da Stanford) volevano sapere: Quanto è grande questo nuovo problema? Chi lo sta facendo? E possiamo fermarlo?

Hanno trattato Internet come una massiccia investigazione sulla scena del crimine. Non si sono limitati a guardare una singola strada; hanno visitato 13.000 siti web diversi e osservato il caricamento di 750.000 pagine. Hanno posizionato le loro "auto della polizia" (browser web) in due città diverse (Germania e Stati Uniti) per assicurarsi di avere un quadro completo.

Cosa hanno scoperto

1. Il travestimento è ovunque
Hanno scoperto che oltre il 54% dei siti web visitati utilizza ora questi travestimenti di "Prima Parte".

Il vecchio modo: Un tracker inviava una richiesta da tracker.com al tuo browser. Facile da bloccare.
Il nuovo modo: Il sito stesso (ad es. news.com) raccoglie i tuoi dati e li invia al tracker dietro le quinte. Per il tuo browser, sembra che il sito stia parlando con se stesso. È come uno spia che indossa il completo del Presidente; non puoi arrestarlo senza arrestare il Presidente.

2. I "Grandi Capo" sono ancora al comando
Anche se i tracker indossano divise diverse, i ricercatori hanno scoperto che le stesse grandi aziende gestiscono ancora lo show.

Google è il giocatore più grande, seguito da Meta (Facebook), Amazon e Adobe.
Hanno costruito una mappa (un grafo di rete) mostrando che tutti questi tracker sono collegati. È un club molto ristretto dove gli stessi script (codice) vengono riutilizzati in migliaia di siti diversi, semplicemente indossando diverse "uniformi da negozio".

3. Il guardiano della sicurezza dorme
I ricercatori hanno testato gli strumenti attuali che le persone usano per bloccare pubblicità e tracker (come "EasyList").

Il risultato: Questi strumenti sono quasi inutili contro i nuovi travestimenti. Hanno mancato la stragrande maggioranza di questi tentativi di tracciamento perché stavano cercando le vecchie "uniformi di terza parte" che non esistono più.

La soluzione: Un nuovo tipo di metal detector

Poiché non puoi semplicemente bloccare il "negozio" (il sito web) perché questo romperebbe Internet, i ricercatori hanno dovuto essere creativi. Si sono resi conto che anche se i tracker indossano travestimenti, portano comunque degli attrezzi specifici nelle loro tasche.

L'analogia: Immaginate un ladro che indossa una divisa da poliziotto. Non potete arrestarlo solo perché indossa la divisa. Ma, se notate che porta sempre un certo tipo di grimaldello e una torcia in tasca, potete stabilire una regola: "Chiunque entri in banca con un grimaldello e una torcia viene fermato".

I ricercatori hanno sviluppato un metodo per trovare questi "grimaldelli".

Hanno esaminato gli URL (gli indirizzi web) dove questi tracker inviavano i dati.
Hanno notato che le richieste di tracciamento avevano sempre delle parole chiave specifiche nel loro indirizzo (come cid=, r=, o v=) che il normale traffico del sito non aveva.
Hanno utilizzato uno strumento statistico per trovare combinazioni di queste parole chiave che apparivano insieme molto spesso nel tracciamento, ma raramente nella navigazione normale.

Il risultato: Uno scudo migliore

Utilizzando questo metodo, hanno creato 181 nuove regole per gli ad blocker.

Il test: Hanno provato queste nuove regole sui siti web.
Il successo: Queste nuove regole hanno bloccato il 63% in più di richieste di tracciamento rispetto alle vecchie liste.
La sicurezza: Fondamentalmente, hanno controllato se queste regole rompevano i siti web (come impedire a un video di riprodursi o a un pulsante di funzionare). Hanno scoperto che le regole hanno rotto quasi nulla (solo lo 0,04% delle pagine ha avuto problemi).

La conclusione

Il documento conclude che il gioco del "Gatto e del Topo" è cambiato. I tracker si sono spostati dalle ombre (terza parte) alla luce (prima parte), rendendoli più difficili da vedere.

La minaccia: Siamo tracciati più che mai, ma questo avviene all'interno dei siti web che visitiamo.
La realtà: Le grandi aziende tecnologiche (Google, Meta) sono quelle che effettuano la maggior parte di questo tracciamento, anche quando fingono di essere il sito stesso.
La speranza: I ricercatori hanno dimostato che possiamo costruire scudi migliori. Cercando le specifiche "impronte digitali" (modelli di URL) che questi tracker lasciano dietro di sé, possiamo bloccarli senza rompere Internet.

In breve: I tracker hanno cambiato vestiti per mimetizzarsi, ma i ricercatori hanno trovato un nuovo modo per riconoscerli grazie agli attrezzi specifici che portano nelle loro tasche.

Riepilogo Tecnico: Dal Terzo a il Primo Parte: Misurare e Proteggere contro i Moderni Meccanismi di Tracciamento Web

Problematica
Il panorama del tracciamento degli utenti sul web sta subendo un cambiamento significativo dal tradizionale tracciamento di terze parti verso il Tracciamento di Prima Parte (FPT) e il Tracciamento Lato Server (SST). Poiché i browser implementano difese più rigorose contro i cookie di terze parti e il tracciamento lato client, i tracker stanno spostando la logica di raccolta dati nel backend del sito web o nel contesto di prima parte. Questa migrazione oscura i flussi di dati, rende inefficaci i tradizionali rilevamenti basati su URL e le liste di filtri lato client, e riduce la trasparenza per l'utente. Sebbene studi precedenti abbiano esaminato implementazioni specifiche (ad es., Google Tag Manager o Meta), manca una comprensione su larga scala riguardo alla prevalenza, alla struttura dell'ecosistema e ai meccanismi di protezione efficaci per queste emergenti tecniche di tracciamento.

Metodologia
Gli autori hanno condotto uno studio di misurazione su larga scala coinvolgendo 13.187 siti e 758.960 pagine (derivati dalla lista Tranco) attraverso quattro profili di misurazione (due località: Germania e Stati Uniti; due esecuzioni per località).

Raccolta Dati: Utilizzando il framework MultiCrawl (basato su OpenWPM) con Firefox, i ricercatori hanno strumentato il browser per registrare richieste HTTP, risposte, cookie e interazioni JavaScript. Per garantire un dataset rappresentativo, hanno interagito con i banner del consenso utilizzando un'estensione modificata "Consent-O-Matic" per accettare tutti i cookie. I cookie di terze parti sono stati disabilitati per costringere i siti a utilizzare meccanismi di prima parte qualora il tracciamento dovesse avvenire.
Identificazione dei Cookie di Tracciamento: Per distinguere i cookie di tracciamento dagli identificatori di sessione standard, gli autori hanno sviluppato un'euristica basata su regole applicata ai cookie di prima parte. I criteri includevano:
- Longevità: Durata > 90 giorni (non di sessione).
- Lunghezza: Almeno 8 byte (entropia sufficiente).
- Unicità: Unico tra le esecuzioni della misurazione.
- Similarità: Similarità tra stringhe (Ratcliff/Obershelp) ≤ 60%.
- Validazione: L'euristica è stata validata manualmente rispetto a noti tracker e incrociata con il dataset CookieGraph, mostrando un alto grado di accordo e identificando ulteriori cookie omessi da database della comunità come Cookiepedia.
Analisi dell'Ecosistema:
- Clustering degli Script: I file JavaScript che interagiscono con i cookie di tracciamento identificati sono stati raggruppati in base alla similarità del codice sorgente utilizzando SimHash (distanza di Hamming $k=8$ ). Ciò ha permesso agli autori di raggruppare gli script indipendentemente dal fatto che fossero ospitati su domini di prima o di terza parte.
- Attribuzione: I cluster sono stati attribuiti a entità specifiche (ad es., Google, Meta) utilizzando il database WhoTracksMe, analizzando principalmente gli URL degli script di terze parti trovati all'interno dei cluster.
- Grafo di Rete: È stato costruito un grafo in cui i nodi rappresentavano i cluster di cookie e i cluster di JavaScript, con archi che indicavano le relazioni di utilizzo, per visualizzare la topologia dell'ecosistema.
Sviluppo dei Meccanismi di Protezione:
- Estrazione delle Caratteristiche: Gli autori hanno analizzato i parametri di query degli URL delle richieste JavaScript relative a FPT, identificando una distribuzione altamente asimmetrica delle chiavi di query (di tipo Zipfian). Si sono concentrati sulle 161 chiavi principali che coprono il 99% delle occorrenze.
- Pattern Mining: Utilizzando FP-Growth, hanno estratto itemset frequenti (combinazioni di chiavi di query) da un dataset di URL relativi a FPT rispetto a un dataset di controllo non legato al tracciamento.
- Scoring Statistico: Gli itemset sono stati valutati tramite un Rapporto di Supporto (SR) e il test esatto di Fisher per garantire che fossero statisticamente significativi e arricchiti nel traffico di tracciamento.
- Generazione di Regole: Gli itemset validati sono stati tradotti in regole compatibili con AdBlock Plus (ABP) utilizzando lookahead positivi per gestire i parametri di query non ordinati.

Risultati Chiave

Prevalenza: Oltre il 54% dei siti analizzati implementa tecniche correlate a FPT o SST. Lo studio ha identificato 6.249 nomi di cookie distinti potenzialmente contenenti ID utente, che sono stati normalizzati in 25.136 potenziali nomi di cookie FPT.
Struttura dell'Ecosistema: L'ecosistema FPT è operato da 492 entità distinte ma è altamente centralizzato. I primi 10 cluster sono responsabili del 44% degli URL degli script e sono presenti nel 74% dei siti. Google è l'attore dominante, seguito da Meta, Adobe e altri.
Migrazione: Una parte significativa del tracciamento (oltre l'8% delle richieste di tracciamento analizzate) coinvolge tracker di terze parti che operano all'interno di contesti di prima parte. Lo studio ha rilevato che il 37% di tutti i cluster di script può essere attribuito a noti provider di tracciamento, coprendo il 76% degli URL degli script misurati.
Inefficacia delle Difese Attuali: Le liste di filtri esistenti (EasyList e EasyPrivacy) hanno bloccato solo il 27,5% degli URL identificati come relativi a FPT.
Protezione Proposta: Gli autori hanno generato 181 nuove regole di blocco basate sui pattern dei parametri di query. Queste regole hanno bloccato il 63% in più delle richieste legate a FPT rispetto alle tradizionali liste di filtri.
Falsi Positivi/Rotture: Le nuove regole hanno causato la rottura delle pagine in solo lo 0,04% dei siti testati (1 su 2.300), indicando un'alta precisione e un basso impatto sulla funzionalità del sito.

Significatività e Rivendicazioni
L'articolo sostiene di fornire la prima misurazione su larga scala dell'ecosistema FPT e SST, dimostrando che il tracciamento non si sta semplicemente spostando, ma è profondamente radicato nel contesto di prima parte, spesso indistinguibile dalle legittime funzionalità del sito.

Gli autori affermano che:

Le difese attuali sono inadeguate: Le tradizionali blacklist basate sui nomi di dominio falliscono nel rilevare FPT perché la logica di tracciamento risiede nel dominio di prima parte.
L'ecosistema è interconnesso: FPT si affida pesantemente a preesistenti infrastrutture di terze parti (ad es., Google Tag Manager), creando una densa rete di dipendenze che rispecchia l'ecosistema di terze parti.
Il pattern mining statistico è un metodo valido: Analizzando i parametri di query degli URL anziché solo i domini, è possibile derivare regole di blocco efficaci che superano significativamente le liste attuali senza causare rotture significative dei siti.

Lo studio conclude che FPT rappresenta una minaccia emergente per la privacy che richiede nuove strategie di rilevamento e mitigazione basate sui dati, poiché il gioco del "gatto e del topo" si è evoluto fino a un punto in cui il controllo dell'utente e la trasparenza sono significativamente diminuiti. Gli autori segnalano i limiti, specificamente che la loro analisi è limitata agli indicatori lato client e non ispeziona la logica backend lato server, suggerendo che lavori futuri dovrebbero esplorare direttamente i meccanismi lato server.