Web tracking é a coleta de dados sobre a identidade e o comportamento dos visitantes dentro e entre sites. Usa cookies, pixels de rastreamento, fingerprinting de navegador e scripts de gravação de sessão para reconhecer pessoas e registrar o que fazem. O rastreamento alimenta analytics, publicidade e personalização — e é o que os banners de consentimento, o GDPR e a atual onda de fiscalizações de privacidade em saúde existem para regular.
Como o web tracking funciona?
Cada técnica de rastreamento responde a uma de duas perguntas: quem é este visitante e o que ele está fazendo. Os principais mecanismos:
| Técnica | Como ela identifica você | Sobrevive à limpeza de cookies? |
|---|---|---|
| Cookies | Um ID guardado no navegador, enviado com cada requisição ao domínio que o definiu | ✗ |
| Pixels de rastreamento | Uma imagem minúscula ou beacon que reporta uma visualização ou evento a um terceiro | ✗ (depende de cookies) |
| Fingerprinting de navegador | Combina atributos do dispositivo e do navegador (canvas, fontes, WebGL, hardware) em um identificador estável | ✓ |
| Gravação de sessão | Scripts que capturam cliques, scrolls e digitação para replay e mapas de calor | n/a — grava comportamento, não identidade |
| Tagging server-side | Move o ponto de coleta para o domínio do próprio site, contornando o bloqueio de terceiros | ✓ (do ponto de vista do navegador é first-party) |
A maioria dos sites comerciais roda várias ao mesmo tempo, normalmente carregadas por um gerenciador de tags, e muitas vezes por scripts que carregam outros scripts — por isso o quadro completo do rastreamento só existe no navegador, em tempo de execução.
Quem rastreia, e por quê?
- O próprio site (first-party): analytics, testes A/B, lembrar carrinhos e logins. Amplamente esperado pelos usuários.
- Plataformas de publicidade: pixels de conversão e tags de remarketing do Google, Meta, Microsoft, TikTok conectam o comportamento no site aos leilões de anúncios em outros lugares.
- Exchanges de anúncios e data brokers: a cauda longa de domínios na sua aba de rede — exchanges, serviços de resolução de identidade, plataformas de gestão de dados — que ligam atividade em todos os sites onde estão presentes. Nosso guia de campo de domínios de tracker identifica os mais comuns pelo nome.
- Painéis de medição: beacons de medição de audiência que alimentam os ratings do setor.
O que a lei exige?
Na UE, o GDPR e a Diretiva ePrivacy exigem consentimento prévio para rastreamento não essencial — a razão de existirem banners de consentimento. Nos EUA, leis estaduais (CCPA/CPRA, Virgínia, Colorado e outras) concedem direitos de exclusão, e reguladores setoriais vão além: o rastreamento de saúde via ferramentas como Google Analytics e o pixel da Meta produziu fiscalizações da OCR e ações coletivas, cobertas no nosso guia de rastreamento de sites e HIPAA.
O modo de falha da conformidade raramente é uma decisão de rastrear demais. É um script adicionado para um propósito que coleta mais do que o pretendido, em páginas onde nunca deveria rodar — um problema de visibilidade antes de ser um problema jurídico.
Como monitorar o rastreamento no seu próprio site?
A aba de rede mostra um carregamento de página; a resposta real muda diariamente conforme tags e fornecedores se atualizam. Visibilidade contínua exige observar sessões reais na camada do navegador: quais scripts executam, que dados podem ler e quais domínios os recebem. É o que o monitoramento de privacidade do cside faz — inventaria cada script nas suas páginas e sinaliza quando um começa a enviar dados para um destino novo, a mesma evidência que auditorias de consentimento e avaliações de ferramentas GDPR pedem.
Web tracking vs detecção de web tracking
Uma nuance que merece nome: a mesma ciência de sinais que os trackers usam para identificar visitantes também é usada defensivamente. O device fingerprinting implantado pelo dono de um site para reconhecer fraudadores recorrentes — cside Device Intelligence — é arquiteturalmente parecido com o fingerprinting publicitário, mas serve ao objetivo oposto: proteger contas e pagamentos em vez de construir perfis de anúncios, sem cookies e limitado ao site que o implanta.
