ESLas Supercookies son mecanismos de seguimiento que utilizan el estado del navegador o identificadores de red más allá de las cookies HTTP ordinarias para reconocer a los usuarios. Algunas conservan un identificador después de eliminar las cookies. Otros pueden restaurar una cookie eliminada desde otra copia almacenada. El término es informal y cubre varias técnicas, por lo que la persistencia depende del mecanismo y del navegador.
Si un sitio aún lo reconoce después de la limpieza, primero verifique si ha iniciado sesión. La información de la cuenta y las señales del navegador pueden explicar el reconocimiento sin una cookie recuperada. Las recomendaciones familiares por sí solas no muestran que haya regresado un identificador eliminado.
¿Cómo funcionan las Supercookies?
Una cookie normal se almacena en el almacén de cookies del navegador. El navegador lo envía con solicitudes que coinciden con su alcance y reglas de seguridad. Eliminar esa cookie elimina ese registro en particular.
Las técnicas de supercookies utilizan información fuera de ese registro. El identificador podría sobrevivir en otra ubicación de almacenamiento o recuperarse del estado del navegador. En su lugar, las técnicas de red históricas proporcionaban un identificador a través de la conexión.
Estado del navegador y reaparición de cookies
Los navegadores almacenan más que cookies. El almacenamiento local contiene datos del sitio, IndexedDB almacena registros estructurados y los cachés retienen recursos para una carga más rápida. Estos sistemas cumplen funciones normales del sitio web, pero los scripts de seguimiento también pueden usarlos para preservar identificadores.
A diferencia de las cookies, los registros de almacenamiento local no se adjuntan automáticamente a las solicitudes HTTP. Un script debe leer los datos y utilizarlos o transmitirlos. Por lo tanto, el bloqueo de cookies y las restricciones de acceso a scripts abordan diferentes partes del proceso.
La reaparición de cookies ocurre cuando otra copia restaura una cookie eliminada:
- Un rastreador guarda el mismo identificador de visitante en una cookie y en otra ubicación de almacenamiento accesible.
- El visitante elimina la cookie pero deja la otra copia.
- En una visita posterior, el rastreador lee esa copia y recrea la cookie con el identificador anterior.
El proceso depende de que la copia restante sea legible. Si las protecciones del navegador bloquean el acceso o la limpieza elimina las copias relevantes, esa ruta de recuperación puede fallar.
Simplemente crear una nueva cookie en su próxima visita no significa reaparición. La distinción importante es si regresa el identificador anterior.
Identificadores de red
Algunas Supercookies históricas procedían de redes móviles y no del almacenamiento del navegador. En su investigación de Verizon de 2016, la FCC describió encabezados de identificador único, o UIDH, insertados en el tráfico de los clientes. También informó su uso para restaurar identificadores de cookies borrados. La eliminación de una cookie del navegador no puede eliminar un identificador proporcionado por la red.
Ejemplos de técnicas de supercookies
Una acción de limpieza sólo ayuda si llega al estado que lleva el identificador. La limpieza del navegador puede eliminar datos locales relevantes, pero no puede eliminar un encabezado agregado por una red.
| Técnica | De dónde viene el identificador | lo que importa |
|---|---|---|
| Abuso de caché o ETag | Recursos almacenados en caché o un validador de recursos asignado deliberadamente | La reutilización entre sitios depende de los límites de la caché del navegador |
| Reapareciendo a partir de datos almacenados | Otra copia accesible de un identificador de visitante | Eliminar una cookie puede dejar una copia recuperable |
| Abuso estatal HSTS | Reglas de actualización HTTPS recordadas utilizadas para codificar información | Los navegadores han introducido protecciones contra este abuso. |
| Cookies de Flash | Almacenamiento gestionado por el complemento Flash | Este es un ejemplo heredado |
| Transportista UIDH | Un encabezado insertado en el tráfico de la red. | Este mecanismo histórico operaba fuera de la tienda de cookies. |
Una ETag normalmente identifica una versión de un recurso. Ayuda al navegador a comprobar si su copia en caché todavía está actualizada. Encontrar una ETag en una respuesta no establece un seguimiento.
El abuso puede ocurrir cuando un servidor asigna a un visitante un validador distintivo en lugar de simplemente identificar el contenido compartido. Si el navegador luego devuelve ese valor durante la validación de la caché, el servidor puede usarlo para reconocer al visitante.
HSTS normalmente le dice a un navegador que use HTTPS para un sitio web. En abuso de HSTS, las reglas recordadas para varios dominios controlados pueden codificar un patrón. Solicitudes posteriores pueden revelar ese patrón. Esto depende del comportamiento y las protecciones del navegador. La característica de seguridad en sí no es maliciosa y deshabilitarla ampliamente puede debilitar la protección.
Adobe finalizó la compatibilidad con Flash Player en diciembre de 2020. Un artículo que recomienda la limpieza de Flash como un paso de rutina para los navegadores actuales se basa en consejos obsoletos.
Supercookies frente a cookies, cookies zombies y huellas dactilares
Una vida útil prolongada de las cookies, un identificador recreado y el reconocimiento sin cookies son comportamientos separados.
| Término | lo que describe | distinción principal |
|---|---|---|
| galleta HTTP | Un registro gestionado por el navegador y enviado con solicitudes coincidentes. | Un mecanismo de almacenamiento estándar |
| Cookie de terceros | Una cookie asociada con un sitio distinto del sitio que se está visitando actualmente. | Su contexto no la convierte automáticamente en una supercookie. |
| Cookie zombi | Una cookie eliminada que se recrea | Describe el comportamiento de reaparición. |
| siemprecookie | Una implementación específica que preserva los identificadores en múltiples mecanismos de almacenamiento. | Una implementación asociada con la reaparición. |
| Huella digital del navegador | Un patrón creado a partir de señales del navegador y del dispositivo. | El reconocimiento no necesita depender de un identificador almacenado |
Una cookie común y corriente puede permanecer durante meses si su caducidad lo permite. Esa larga vida por sí sola no la convierte en una supercookie.
Una huella digital del navegador se puede reconstruir a partir de señales como la versión del navegador, la configuración de la pantalla, las fuentes y el comportamiento de los gráficos. Eliminar los datos almacenados no necesariamente cambia esas señales.
Por qué las Supercookies plantean preocupaciones sobre la privacidad
Eliminar una cookie de seguimiento es un intento deliberado de eliminar un identificador. Restaurar silenciosamente ese identificador puede permitir que un rastreador vuelva a conectar visitas posteriores con actividad anterior. El usuario puede ver una lista de cookies vacía inmediatamente después de la limpieza y aún tener una copia recuperable en otro lugar.
Los identificadores persistentes también pueden ayudar a conectar la actividad entre las visitas. Cuando los límites del navegador lo permitan, el estado compartido puede admitir el seguimiento entre sitios web.
Una lista de cookies también dice poco sobre lo que ya ha registrado un rastreador. La limpieza local puede eliminar datos del navegador sin eliminar observaciones anteriores del servicio que las recopiló.
Cómo limitar o eliminar el seguimiento de supercookies
La eliminación de cookies, la partición del almacenamiento y las conexiones cifradas resuelven diferentes problemas. Elija el control que llegue a la fuente sospechosa de reconocimiento.
Borrar los datos relevantes del navegador
Los controles de administración de cookies de Chrome abordan los registros de cookies. Los datos más amplios del sitio y la limpieza de caché pueden cubrir almacenamiento adicional. Verifique las categorías seleccionadas en lugar de asumir que una etiqueta de limpieza general lo incluye todo.
Para un posible problema de almacenamiento local:
- Identifique el sitio web afectado y el perfil del navegador.
- Verifique qué cookies, datos del sitio y recursos almacenados en caché cubre la acción de limpieza.
- Borre los datos relevantes, aceptando que esto puede eliminar inicios de sesión o contenido fuera de línea.
- Vuelva a visitar el sitio y distinga un identificador nuevo de uno restaurado.
Al verificar un identificador sospechoso, compare su valor antes y después de la limpieza. El nombre del registro por sí solo no es suficiente. Un sitio puede recrear una cookie con el mismo nombre pero asignar un nuevo valor de visitante. Los valores coincidentes justifican una mayor investigación, pero no revelan si la recuperación provino del almacenamiento local o de los registros del servidor.
Utilice protecciones de seguimiento del navegador
Las protecciones del navegador pueden bloquear algunos scripts de seguimiento antes de que almacenen o recuperen un identificador. Firefox también particiona cachés y conexiones de red por sitio web, lo que limita su reutilización entre sitios.
Supongamos que el mismo rastreador aparece en dos sitios web no relacionados. La partición puede darle un contexto de estado separado en cada sitio, en lugar de un contexto compartido. Es posible que el rastreador aún reconozca visitas repetidas dentro de un contexto permitido. El límite restringe la reutilización entre sitios.
Utilice contextos de navegación separados y HTTPS
Aislamiento de cookies separa el estado de las cookies entre los contextos admitidos. Otro almacenamiento necesita su propio límite de aislamiento. Abrir otra pestaña en el mismo perfil generalmente no crea un almacén de cookies independiente.
HTTPS protege los datos en tránsito contra la inspección y modificación ordinaria de intermediarios. No elimina los identificadores almacenados ni impide que el sitio web receptor los procese.
Iniciar sesión nuevamente puede conectar una nueva sesión del navegador con una cuenta existente. Si el sitio luego recuerda sus compras o preferencias, eso puede provenir de sus registros de cuenta. Limpiar repetidamente el navegador no eliminará esos registros.
Preguntas frecuentes sobre Supercookies
¿Las Supercookies son lo mismo que las cookies de terceros?
No. Tercero describe el contexto en el que se utiliza una cookie. Supercookies es un término más amplio e informal para realizar un seguimiento más allá del almacenamiento de cookies ordinario. El bloqueo de cookies de terceros no cubre automáticamente todos los demás mecanismos de reconocimiento.
¿Eliminar las cookies elimina las Supercookies?
Depende de lo que lleve el identificador. La eliminación de cookies elimina los registros de cookies, pero es posible que permanezca otra copia accesible o un estado relevante del navegador. Una limpieza más amplia puede abordar más datos locales, aunque su cobertura depende del navegador.
¿La navegación privada detiene las Supercookies?
La navegación privada generalmente separa el estado de navegación temporal del perfil normal y borra ese estado temporal cuando finaliza la sesión. No oculta todas las señales del navegador, no elimina los registros del servidor ni hace que alguien que haya iniciado sesión sea anónimo.
¿Puede una VPN eliminar Supercookies?
No. Una VPN puede proteger el tráfico a lo largo del túnel y cambiar la Dirección IP pública que ven los sitios web. No elimina cookies, almacenamiento local ni identificadores almacenados en caché. Los sitios web aún pueden reconocer la información de la cuenta y las señales disponibles del navegador.
¿Puedes probar cada supercookie?
Una sola prueba no puede establecer que todos los mecanismos posibles estén ausentes. Cover Your Tracks evalúa aspectos de la protección de seguimiento y Huellas digitales del navegador. Un resultado aprobado no establece que se hayan verificado todos los lugares de almacenamiento y métodos de reconocimiento.
¿Las Supercookies siguen siendo relevantes después de que finalice Flash?
Sí. Flash era un mecanismo de almacenamiento, no la base de todas las técnicas de supercookies. Otros estados del navegador pueden admitir identificadores persistentes donde el acceso permanece disponible. Evalúe el navegador y el mecanismo actuales en lugar de seguir las instrucciones de limpieza de complementos antiguos.
