Cum te urmăresc pe web: cookies, fingerprinting și pixeli de tracking

Fiecare pagină web deschisă trimite date despre tine la zeci de servere simultan. Nu e o metaforă: pagina medie a unui cotidian online are peste 10 trackere active, iar Daily Mail a ajuns la 125 de trackere unice înregistrate într-o singură sesiune. Tracking-ul web funcționează prin trei mecanisme principale — cookies, browser fingerprinting și pixeli de tracking — și înțelegerea lor tehnică e primul pas spre a-l limita eficient.

Cookies: mai complexe decât par

Un cookie este un mic fișier text pe care serverul îl trimite browserului tău și pe care browserul îl returnează automat la fiecare cerere ulterioară. Există două categorii fundamentale din perspectiva tracking-ului:

First-party cookies sunt setate de domeniul pe care îl vizitezi direct — coșul de cumpărături de pe un magazin online, sesiunea de login, preferințele de limbă. Sunt considerate legitime și necesare pentru funcționarea site-ului.

Third-party cookies sunt setate de un domeniu terț prin scripturi sau pixeli încărcați pe pagina ta. Cookie-ul fr al Meta, de exemplu, nu e setat de site-ul ziarului pe care îl citești — e setat de facebook.com prin codul JavaScript incorporat acolo și leagă sesiunea ta de identitatea ta Facebook.

Pe durata de viață, distingem session cookies (se șterg când închizi browserul) și persistent cookies (rămân pe disc luni sau ani). Un cookie de tracking persistent poate urmări comportamentul tău pe zeci de site-uri timp de un an sau mai mult, fără nicio interacțiune activă din partea ta.

Decizia Google care a schimbat regulile jocului

Pe 22 iulie 2024, Google a anunțat oficial că renunță la planul de eliminare a third-party cookies din Chrome — planul fusese anunțat în ianuarie 2020 și amânat de trei ori. Motivele: presiunea masivă a industriei de publicitate (care investise miliarde în alternative prin Privacy Sandbox), complexitate tehnică nerezolvată și îngrijorările Autorității pentru Concurență din Marea Britanie că eliminarea fără alternative mature ar consolida și mai mult monopolul publicitar al Google.

Rezultatul practic: Chrome nu blochează implicit third-party cookies în 2026, spre deosebire de Safari (care le blochează din 2017 prin Intelligent Tracking Prevention) și Firefox (din 2019 prin Enhanced Tracking Protection). Dacă folosești Chrome pe Android sau desktop fără extensii, ești tracked complet prin cookies pe orice site care le folosește.

Browser fingerprinting: urmărit fără niciun cookie

Dacă cookies sunt vizibile și pot fi șterse, fingerprinting-ul e invizibil și nu lasă nimic de șters. Tehnica colectează caracteristici ale browserului și sistemului tău și le combină într-o amprentă unică — fără să stocheze nimic pe dispozitivul tău.

Canvas fingerprinting funcționează printr-un element grafic invizibil pe care scriptul îl creează, desenează text și forme geometrice, apoi exportă rezultatul ca hash numeric. Aceeași instrucțiune produce pixeli ușor diferiți în funcție de GPU, driver grafic și engine de randare font al fiecărui dispozitiv — diferențe imperceptibile ochiului, dar detectabile precis numeric.

WebGL fingerprinting extrage direct din API-ul 3D al browserului informații despre GPU: model exact, versiunea driverului, comportamentul la compilarea shaderelor. Un NVIDIA GeForce RTX 4090 se comportă altfel decât un Apple M2 la nivel de virgulă mobilă.

AudioContext fingerprinting generează un semnal audio prin noduri de procesare (oscillator, compressor, gain) fără să redea vreun sunet. Output-ul depinde de comportamentul hardware al CPU-ului la calcule floating-point — și e constant pentru același dispozitiv.

Font enumeration detectează ce fonturi sunt instalate pe sistemul tău prin măsurarea diferențelor de dimensiune la redarea textului. Un Windows mediu are 200+ fonturi; combinațiile posibile creează miliarde de semnături unice.

Combinat cu rezoluția ecranului, fusul orar, versiunea browserului și User-Agent string, rezultatul e precis: 99,24% dintre utilizatori pot fi identificați unic prin amprenta combinată de browser și device, conform datelor din soluțiile comerciale anti-bot. Peste 10.000 din top site-urile globale folosesc activ tehnici de fingerprinting.

Pixeli de tracking: imaginea care transmite totul

Un pixel de tracking clasic este o imagine de 1×1 pixeli, transparentă, găzduită pe un server extern. Când browserul tău o încarcă, trimite automat un request HTTP care conține: URL-ul paginii curente, referrer-ul, dimensiunile ecranului, timestamp-ul, metadatele browserului. Dacă ai cookie-ul fr al Meta în browser, request-ul leagă comportamentul tău pe acel site de identitatea ta Facebook.

În 2026, implementarea modernă nu mai depinde de imaginea de 1×1 pixeli. Meta Pixel, Google Tag și TikTok Pixel funcționează prin JavaScript și, mai ales, prin Conversion API — date transmise direct din backend-ul site-ului la serverele platformei, ocolind complet browserul și orice restricție de browser sau adblocker.

Cel mai grav caz documentat a apărut în iunie 2022 când investigația The Markup a descoperit că Meta Pixel era instalat pe site-urile a 664 de sisteme spitalicești americane, inclusiv pe portalurile de pacienți protejate prin parolă. Ce s-a transmis: condiții medicale, date programări, informații identificabile — fără consimțământ și fără acordul obligatoriu prin HIPAA. Novant Health a plătit ulterior 6,6 milioane de dolari în settlement. În 2024, o treime din site-urile medicale analizate foloseau încă Meta Pixel.

Tehnici avansate care ocolesc blockerele

CNAME cloaking e metoda prin care un tracker third-party devine aparent first-party. Site-ul creează un subdomeniu propriu — analytics.mysite.com — și îl redirecționează prin DNS CNAME spre infrastructura tracker-ului terț. Browserul îl tratează ca first-party și nu aplică restricțiile pentru third-party. Consecința neașteptată: 95% din site-urile care folosesc CNAME cloaking scurg involuntar cookie-uri proprii ale utilizatorului spre tracker.

Link decoration prin click ID-uri — ?fbclid=, ?gclid= adăugate automat la URL-uri — identifică individual fiecare utilizator care a dat click pe un anunț publicitar și leagă comportamentul ulterior pe site de identitatea sa din reclama socială. Apple iOS 17 a introdus Link Tracking Protection în Safari care elimină automat acești parametri; iOS 26 extinde protecția implicit pentru toți utilizatorii.

Dimensiunea ecosistemului

Episodul următor acoperă latura ta de reacție: cum folosești GDPR pentru a cere companiilor exact ce date au despre tine și cum poți solicita ștergerea lor.