El web tracking es la recogida de datos sobre la identidad y el comportamiento de los visitantes dentro y entre sitios web. Usa cookies, píxeles de seguimiento, fingerprinting de navegador y scripts de grabación de sesiones para reconocer a las personas y registrar lo que hacen. El tracking alimenta la analítica, la publicidad y la personalización — y es lo que los banners de consentimiento, el GDPR y la actual ola de sanciones por privacidad sanitaria existen para regular.
¿Cómo funciona el web tracking?
Cada técnica de tracking responde a una de dos preguntas: quién es este visitante y qué está haciendo. Los mecanismos principales:
| Técnica | Cómo te identifica | ¿Sobrevive al borrado de cookies? |
|---|---|---|
| Cookies | Un ID guardado en el navegador, enviado con cada petición al dominio que lo estableció | ✗ |
| Píxeles de seguimiento | Una imagen diminuta o beacon que reporta una vista de página o evento a un tercero | ✗ (depende de cookies) |
| Fingerprinting de navegador | Combina atributos del dispositivo y el navegador (canvas, fuentes, WebGL, hardware) en un identificador estable | ✓ |
| Grabación de sesiones | Scripts que capturan clics, scrolls y pulsaciones para replay y mapas de calor | n/a — graba comportamiento, no identidad |
| Etiquetado server-side | Mueve el punto de recogida al dominio del propio sitio, esquivando el bloqueo de terceros | ✓ (desde el navegador parece propio) |
La mayoría de sitios comerciales ejecutan varias a la vez, normalmente cargadas por un gestor de etiquetas, y a menudo por scripts que cargan otros scripts — por eso el cuadro completo del tracking solo existe en el navegador en tiempo de ejecución.
¿Quién rastrea, y por qué?
- El propio sitio (first-party): analítica, tests A/B, recordar carritos y logins. Ampliamente esperado por los usuarios.
- Plataformas publicitarias: los píxeles de conversión y las etiquetas de remarketing de Google, Meta, Microsoft o TikTok conectan el comportamiento en el sitio con las subastas de anuncios en otros lugares.
- Exchanges publicitarios y data brokers: la larga cola de dominios en tu pestaña de red — exchanges, servicios de resolución de identidad, plataformas de gestión de datos — que vinculan actividad a través de todos los sitios donde están presentes. Nuestra guía de campo de dominios de tracker identifica los más comunes por nombre.
- Paneles de medición: beacons de medición de audiencias que alimentan los ratings del sector.
¿Qué exige la ley?
En la UE, el GDPR y la Directiva ePrivacy exigen consentimiento previo para el tracking no esencial — la razón por la que existen los banners de consentimiento. En EE. UU., las leyes estatales (CCPA/CPRA, Virginia, Colorado y otras) otorgan derechos de exclusión, y los reguladores sectoriales van más lejos: el tracking sanitario mediante herramientas como Google Analytics y el píxel de Meta ha producido sanciones de la OCR y demandas colectivas, cubiertas en nuestra guía de tracking web y HIPAA.
El modo de fallo del cumplimiento rara vez es una decisión de rastrear de más. Es un script añadido para un propósito que recoge más de lo previsto, en páginas donde nunca debió ejecutarse — que es un problema de visibilidad antes que un problema legal.
¿Cómo monitorizas el tracking en tu propio sitio?
La pestaña de red muestra una carga de página; la respuesta real cambia a diario según se actualizan etiquetas y proveedores. La visibilidad continua exige observar sesiones reales en la capa del navegador: qué scripts se ejecutan, qué datos pueden leer y qué dominios los reciben. Eso es lo que hace la monitorización de privacidad de cside — inventaría cada script en tus páginas y avisa cuando uno empieza a enviar datos a un sitio nuevo, que es la misma evidencia que piden las auditorías de consentimiento y las revisiones de herramientas GDPR.
Web tracking vs detección de web tracking
Un matiz que merece nombre propio: la misma ciencia de señales que usan los trackers para identificar visitantes también se usa defensivamente. El device fingerprinting desplegado por el propietario de un sitio para reconocer a defraudadores recurrentes — cside Device Intelligence — es arquitectónicamente similar al fingerprinting publicitario pero sirve al objetivo opuesto: proteger cuentas y pagos en lugar de construir perfiles publicitarios, sin cookies y limitado al sitio que lo despliega.
