💻 computer science

From Third-Party to First-Party: Measuring and Protecting Against Modern Web Tracking Mechanisms

Este artigo investiga a mudança do rastreamento web de terceiros para o de primeira parte e do lado do servidor, revelando através de medição em larga escala que mais de 54% dos principais sites agora empregam essas técnicas opacas, e propõe novas regras de detecção que superam significativamente as listas de filtros tradicionais no bloqueio de tais requisições.

Autores originais: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Publicado 2026-06-16

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

O Panorama Geral: O Jogo de Esconde-Esconde

Imagine que a internet é uma cidade gigante. Durante anos, as empresas que tentavam rastrear seus movimentos (os "rastreadores") usavam um truque específico: elas te seguiam de loja em loja usando um disfarce de terceiro (como um uniforme que dizia claramente "Eu trabalho para a AdCo").

Como você conseguia ver o uniforme, você (ou seu segurança, o navegador) podia facilmente identificá-los e dizer: "Não, você não pode me seguir para dentro desta loja". Esta era a era do Rastreamento de Terceiros (Third-Party Tracking).

Mas recentemente, os rastreadores ficaram mais espertos. Eles perceberam que, se usarem o próprio uniforme da loja (um disfarce de "Primeira Parte"), o segurança não os impedirá. Eles agora estão se misturando com os próprios funcionários da loja. Esta é a mudança que o artigo investiga: o Rastreamento de Primeira Parte (First-Party Tracking - FPT) e o Rastreamento do Lado do Servidor (Server-Side Tracking - SST).

O Problema: O Perseguidor Invisível

Os autores (pesquisadores da Alemanha e de Stanford) queriam saber: Qual o tamanho deste novo problema? Quem está fazendo isso? E podemos pará-los?

Eles trataram a internet como uma investigação de cena de crime em massa. Eles não olharam apenas para uma rua; eles visitaram 13.000 sites diferentes e observaram o carregamento de 750.000 páginas. Eles posicionaram seus "carros de polícia" (navegadores web) em duas cidades diferentes (Alemanha e EUA) para garantir que vissem o quadro completo.

O Que Eles Descobriram

1. O Disfarce Está em Todo Lugar
Eles descobriram que mais de 54% dos sites que visitaram estão agora usando esses disfarces de "Primeira Parte".

O Jeito Antigo: Um rastreador enviaria uma requisição de rastreador.com para o seu navegador. Fácil de bloquear.
O Novo Jeito: O próprio site (ex: noticias.com) coleta seus dados e os envia para o rastreador nos bastidores. Para o seu navegador, parece que o site está apenas conversando consigo mesmo. É como um espião vestindo o terno do Presidente; você não pode prendê-lo sem prender o Presidente.

2. Os "Grandes Chefes" Ainda Estão no Comando
Mesmo que os rastreadores estejam usando uniformes diferentes, os pesquisadores descobriram que as mesmas grandes empresas ainda comandam o show.

O Google é o maior player, seguido pela Meta (Facebook), Amazon e Adobe.
Eles construíram um mapa (um grafo de rede) mostrando que todos esses rastreadores estão conectados. É um clube muito unido onde os mesmos scripts (códigos) são reutilizados em milhares de sites diferentes, apenas vestindo diferentes "uniformes de loja".

3. O Segurança Está Dormindo
Os pesquisadores testaram as ferramentas atuais que as pessoas usam para bloquear anúncios e rastreadores (como o "EasyList").

O Resultado: Essas ferramentas são quase inúteis contra os novos disfarces. Elas perderam a grande maioria dessas tentativas de rastreamento porque estavam procurando pelos antigos "uniformes de terceiros" que não existem mais.

A Solução: Um Novo Tipo de Detector de Metais

Como você não pode simplesmente bloquear o "estabelecimento" (o site), pois isso quebraria a internet, os pesquisadores tiveram que ser criativos. Eles perceberam que, embora os rastreadores usem disfarces, eles ainda carregam ferramentas específicas nos bolsos.

A Analogia: Imagine um ladrão vestindo um uniforme de policial. Você não pode prendê-lo apenas por usar o uniforme. Mas, se você notar que ele sempre carrega um tipo específico de gazua (ferramenta de abertura de fechaduras) e uma lanterna no bolso, você pode estabelecer uma regra: "Qualquer pessoa que entrar no banco com uma gazua e uma lanterna será parada."

Os pesquisadores desenvolveram um método para encontrar essas "gazuas".

Eles observaram as URLs (endereços web) para onde esses rastreadores enviavam os dados.
Notaram que as requisições de rastreamento sempre tinham palavras-chave específicas em seus endereços (como cid=, r=, ou v=) que o tráfego normal de sites não possuía.
Usaram uma ferramenta estatística para encontrar combinações dessas palavras-chave que apareciam juntas com muita frequência no rastreamento, mas raramente na navegação normal.

O Resultado: Um Escudo Melhor

Usando este método, eles criaram 181 novas regras para bloqueadores de anúncios.

O Teste: Eles testaram essas novas regras nos sites.
O Sucesso: Essas novas regras bloquearam 63% mais requisições de rastreamento do que as listas antigas.
A Segurança: Crucialmente, eles verificaram se essas regras quebravam os sites (como impedir que um vídeo seja reproduzido ou que um botão funcione). Eles descobriram que as regras quebraram quase nada (apenas 0,04% das páginas apresentaram problemas).

A Conclusão

O artigo conclui que o jogo de "Gato e Rato" mudou. Os rastreadores saíram das sombras (terceiros) para a luz (primeira parte), tornando-se mais difíceis de visualizar.

A Ameaça: Estamos sendo rastreados mais do que nunca, mas isso está escondido dentro dos sites que visitamos.
A Realidade: As grandes empresas de tecnologia (Google, Meta) são as que realizam a maior parte desse rastreamento, mesmo quando fingem ser o próprio site.
A Esperança: Os pesquisadores provaram que podemos construir escudos melhores. Ao procurar pelas "impressões digitais" específicas (padrões de URL) que esses rastreadores deixam para trás, podemos bloqueá-los sem quebrar a internet.

Em resumo: Os rastreadores mudaram de roupa para se misturarem, mas os pesquisadores encontraram uma nova maneira de identificá-los através das ferramentas específicas que carregam nos bolsos.

Resumo Técnico: Do Terceiro para o Primeiro: Medindo e Protegendo Contra Mecanismos de Rastreamento Web Modernos

Definição do Problema
O cenário do rastreamento de usuários na web está passando por uma mudança significativa do rastreamento tradicional de terceiros para o Rastreamento de Primeira Parte (FPT - First-Party Tracking) e o Rastreamento de Lado do Servidor (SST - Server-Side Tracking). À medida que os navegadores implementam defesas mais rigorosas contra cookies de terceiros e rastreamento no lado do cliente, os rastreadores estão realocando a lógica de coleta de dados para o backend do site ou para o contexto de primeira parte. Essa migração obscurece os fluxos de dados, torna ineficazes a detecção baseada em URL tradicional e as listas de filtros no lado do cliente, e reduz a transparência para o usuário. Embora estudos anteriores tenham examinado implementações específicas (ex: Google Tag Manager ou Meta), há uma falta de compreensão em larga escala sobre a prevalência, a estrutura do ecossistema e os mecanismos de proteção eficazes para essas técnicas de rastreamento emergentes.

Metodologia
Os autores realizaram um estudo de medição em larga escala envolvendo 13.187 sites e 758.960 páginas (derivados da lista Tranco) em quatro perfis de medição (dois locais: Alemanha e EUA; duas execuções por local).

Coleta de Dados: Usando o framework MultiCrawl (baseado em OpenWPM) com Firefox, os pesquisadores instrumentaram o navegador para registrar requisições HTTP, respostas, cookies e interações JavaScript. Para garantir um conjunto de dados representativo, eles interagiram com banners de consentimento usando uma extensão modificada "Consent-O-Matic" para aceitar todos os cookies. Os cookies de terceiros foram desativados para forçar os sites a utilizar mecanismos de primeira parte, caso o rastreamento fosse ocorrer.
Identificação de Cookies de Rastreamento: Para distinguir cookies de rastreamento de identificadores de sessão padrão, os autores desenvolveram uma heurística baseada em regras aplicada a cookies de primeira parte. Os critérios incluíram:
- Longevidade: Tempo de vida > 90 dias (não-sessão).
- Comprimento: Pelo menos 8 bytes (entropia suficiente).
- Unicidade: Único entre as execuções de medição.
- Similaridade: Similaridade de string (Ratcliff/Obershelp) ≤ 60%.
- Validação: A heurística foi validada manualmente contra rastreadores conhecidos e cruzada com o conjunto de dados CookieGraph, mostrando alta concordância e identificando cookies adicionais omitidos por bancos de dados comunitários como o Cookiepedia.
Análise do Ecossistema:
- Agrupamento de Scripts (Script Clustering): Arquivos JavaScript que interagem com os cookies de rastreamento identificados foram agrupados com base na similaridade do código-fonte usando SimHash (distância de Hamming $k=8$ ). Isso permitiu que os autores agrupassem scripts independentemente de serem hospedados em domínios de primeira ou terceira parte.
- Atribuição: Os clusters foram atribuídos a entidades específicas (ex: Google, Meta) usando o banco de dados WhoTracksMe, analisando principalmente as URLs de scripts de terceiros encontradas dentro dos clusters.
- Grafo de Rede: Um grafo foi construído onde os nós representavam clusters de cookies e clusters de JavaScript, com arestas indicando relações de uso, para visualizar a topologia do ecossistema.
Desenvolvimento de Mecanismo de Proteção:
- Extração de Características: Os autores analisaram os parâmetros de consulta (query parameters) de URL das requisições JavaScript relacionadas ao FPT, identificando uma distribuição altamente enviesada de chaves de consulta (tipo Zipfiana). Eles focaram nas 161 principais chaves que cobrem 99% das ocorrências.
- Mineração de Padrões: Usando FP-Growth, eles mineraram conjuntos de itens frequentes (combinações de chaves de consulta) de um conjunto de URLs relacionadas ao FPT versus um conjunto de controle de não-rastreamento.
- Pontuação Estatística: Os conjuntos de itens foram pontuados usando uma Razão de Suporte (SR) e o teste exato de Fisher para garantir que fossem estatisticamente significativos e enriquecidos no tráfego de rastreamento.
- Geração de Regras: Os conjuntos de itens validados foram traduzidos em regras compatíveis com o AdBlock Plus (ABP) usando lookaheads positivos para lidar com parâmetros de consulta não ordenados.

Principais Resultados

Prevalência: Mais de 54% dos sites analisados implantam técnicas relacionadas a FPT ou SST. O estudo identificou 6.249 nomes de cookies distintos que potencialmente contêm IDs de usuário, os quais foram normalizados para 25.136 nomes potenciais de cookies FPT.
Estrutura do Ecossistema: O ecossistema FPT é operado por 492 entidades distintas, mas é altamente centralizado. Os 10 principais clusters respondem por 44% das URLs de scripts e estão presentes em 74% dos sites. O Google é o player dominante, seguido por Meta, Adobe e outros.
Migração: Uma parte significativa do rastreamento (mais de 8% das requisições de rastreamento analisadas) envolve rastreadores de terceiros operando dentro de contextos de primeira parte. O estudo descobriu que 37% de todos os clusters de scripts puderam ser atribuídos a provedores de rastreamento conhecidos, cobrindo 76% das URLs de scripts medidas.
Ineficácia das Defesas Atuais: Listas de filtros existentes (EasyList e EasyPrivacy) bloquearam apenas 27,5% das URLs identificadas como relacionadas ao FPT.
Proteção Proposta: Os autores geraram 181 novas regras de bloqueio baseadas em padrões de parâmetros de consulta. Essas regras bloquearam 63% mais requisições relacionadas ao FPT do que as listas tradicionais de filtros.
Falsos Positivos/Quebra de Página: As novas regras causaram quebra de página em apenas 0,04% dos sites testados (1 de cada 2.300), indicando alta precisão e baixo impacto na funcionalidade do site.

Significância e Alegações
O artigo afirma fornecer a primeira medição em larga escala do ecossistema FPT e SST, demonstrando que o rastreamento não está apenas mudando, mas está profundamente enraizado no contexto de primeira parte, muitas vezes sendo indistinguível da funcionalidade legítima do site sem análise de conteúdo.

Os autores afirmam que:

As defesas atuais são inadequadas: As listas de bloqueio tradicionais que dependem de nomes de domínio falham em detectar o FPT porque a lógica de rastreamento reside no domínio de primeira parte.
O ecossistema é interconectado: O FPT depende fortemente da infraestrutura de terceiros existente (ex: Google Tag Manager), criando uma densa rede de dependências que espelha o ecossistema de terceiros.
A mineração de padrões estatísticos é viável: Ao analisar os parâmetros de consulta de URL em vez de apenas domínios, é possível derivar regras de bloqueio eficazes que superam significativamente as listas atuais sem causar quebras de página significativas.

O estudo conclui que o FPT representa uma ameação emergente à privacidade que requer novas estratégias de detecção e mitigação baseadas em dados, uma vez que o jogo de "gato e rato" evoluiu para um ponto onde o controle do usuário e a transparência estão significativamente diminuídos. Os autores observam limitações, especificamente que sua análise é restrita a indicadores do lado do cliente e não inspeciona a lógica de backend do lado do servidor, sugerindo que trabalhos futuros devem explorar diretamente os mecanismos do lado do servidor.