Web tracking é a coleta de dados sobre a identidade e o comportamento dos visitantes dentro e entre sites. Usa cookies, pixels de rastreamento, fingerprinting de navegador e scripts de gravação de sessão para reconhecer pessoas e registrar o que fazem. O rastreamento alimenta analytics, publicidade e personalização, e é o que os banners de consentimento, o GDPR e a atual onda de fiscalizações de privacidade em saúde existem para regular.
Resumo: como os sites identificam e seguem os visitantes
- As técnicas: Cookies, pixels de rastreamento, fingerprinting do navegador, session recording e tagging do lado do servidor respondem cada um a quem é um visitante ou o que ele faz.
- Quem rastreia: O próprio site, as plataformas de publicidade, os exchanges de anúncios e os data brokers, e os painéis de medição, a maioria carregada por um gerenciador de tags.
- A lei: O RGPD exige consentimento prévio para o rastreamento não essencial; leis estaduais dos EUA concedem direitos de exclusão, e o rastreamento de dados de saúde já provocou aplicação da HIPAA.
Sem tempo? Veja o monitoramento de privacidade da cside. Ele inventaria cada script nas suas páginas e sinaliza quando um deles começa a enviar dados para um lugar novo.
Como o web tracking funciona?
Cada técnica de rastreamento responde a uma de duas perguntas: quem é este visitante e o que ele está fazendo. Os principais mecanismos:
| Técnica | Como ela identifica você | Sobrevive à limpeza de cookies? |
|---|---|---|
| Cookies | Um ID guardado no navegador, enviado com cada requisição ao domínio que o definiu | ✗ |
| Pixels de rastreamento | Uma imagem minúscula ou beacon que reporta uma visualização ou evento a um terceiro | ✗ (depende de cookies) |
| Fingerprinting de navegador | Combina atributos do dispositivo e do navegador (canvas, fontes, WebGL, hardware) em um identificador estável | ✓ |
| Gravação de sessão | Scripts que capturam cliques, scrolls e digitação para replay e mapas de calor | n/a: grava comportamento, não identidade |
| Tagging server-side | Move o ponto de coleta para o domínio do próprio site, contornando o bloqueio de terceiros | ✓ (do ponto de vista do navegador é first-party) |
A maioria dos sites comerciais roda várias ao mesmo tempo, normalmente carregadas por um gerenciador de tags, e muitas vezes por scripts que carregam outros scripts. Por isso o quadro completo do rastreamento só existe no navegador, em tempo de execução.
Quem rastreia, e por quê?
- O próprio site (first-party): analytics, testes A/B, lembrar carrinhos e logins. Amplamente esperado pelos usuários.
- Plataformas de publicidade: pixels de conversão e tags de remarketing do Google, Meta, Microsoft, TikTok conectam o comportamento no site aos leilões de anúncios em outros lugares.
- Exchanges de anúncios e data brokers: a cauda longa de domínios na sua aba de rede (exchanges, serviços de resolução de identidade, plataformas de gestão de dados) que ligam atividade em todos os sites onde estão presentes. Nosso guia de campo de domínios de tracker identifica os mais comuns pelo nome.
- Painéis de medição: beacons de medição de audiência que alimentam os ratings do setor.
O que a lei exige?
Na UE, o GDPR e a Diretiva ePrivacy exigem consentimento prévio para rastreamento não essencial, a razão de existirem banners de consentimento. Nos EUA, leis estaduais (CCPA/CPRA, Virgínia, Colorado e outras) concedem direitos de exclusão, e reguladores setoriais vão além: o rastreamento de saúde via ferramentas como Google Analytics e o pixel da Meta produziu fiscalizações da OCR e ações coletivas, cobertas no nosso guia de rastreamento de sites e HIPAA.
O modo de falha da conformidade raramente é uma decisão de rastrear demais. É um script adicionado para um propósito que coleta mais do que o pretendido, em páginas onde nunca deveria rodar, um problema de visibilidade antes de ser um problema jurídico.
Como monitorar o rastreamento no seu próprio site?
A aba de rede mostra um carregamento de página; a resposta real muda diariamente conforme tags e fornecedores se atualizam. Visibilidade contínua exige observar sessões reais na camada do navegador: quais scripts executam, que dados podem ler e quais domínios os recebem. É o que o monitoramento de privacidade do cside faz: inventaria cada script nas suas páginas e sinaliza quando um começa a enviar dados para um destino novo, a mesma evidência que auditorias de consentimento e avaliações de ferramentas GDPR pedem.
Web tracking vs detecção de web tracking
Uma nuance que merece nome: a mesma ciência de sinais que os trackers usam para identificar visitantes também é usada defensivamente. O device fingerprinting implantado pelo dono de um site para reconhecer fraudadores recorrentes, cside Device Intelligence, é arquiteturalmente parecido com o fingerprinting publicitário, mas serve ao objetivo oposto: proteger contas e pagamentos em vez de construir perfis de anúncios, sem cookies e limitado ao site que o implanta.
