Mapa de solicitudes a terceros

Una página se arma con muchos servidores

La dirección de la barra del navegador nombra un solo sitio, pero el HTML que vuelve es en realidad una lista de encargos. Descarga esta fuente de Google, este script de un gestor de etiquetas, este reproductor de vídeo de YouTube. El navegador hace lo que le dicen y abre una conexión con cada uno de esos hosts. Cualquier host que no pertenezca al sitio que visitas es un tercero.

Ninguna de estas conexiones es anónima. Cada una lleva la dirección IP del visitante, el navegador y el sistema en la cabecera User-Agent y, normalmente, una cabecera Referer con el sitio o la página exacta que se está leyendo. Si el tercero ya guardó una cookie en ese navegador, en cualquier sitio, la cookie viaja también. Así, una empresa presente en muchos sitios puede reconocer a una misma persona que pasa de uno a otro. A menudo el dueño del sitio no eligió nada de esto, y fue un tema o un plugin quien añadió la solicitud.

Cómo se dibuja el mapa

Nuestro servidor descarga la página y lee su código fuente. Recoge los hosts nombrados en scripts, hojas de estilo, imágenes y listas srcset, medios, iframes, indicaciones preconnect y preload, destinos de formularios, valores CSS url() y píxeles de seguimiento dentro de <noscript>. Cuando la página carga Google Tag Manager, descargamos también el archivo del contenedor (dos contenedores como máximo) y buscamos en él los servicios que puede inyectar.

Cada host se compara con una lista de unos 120 servicios conocidos, que da un nombre, un propietario, el país de la sede del propietario y una categoría. Los hosts que no coinciden con nada se agrupan por dominio y se muestran como no identificados. Una dirección que solo está escrita dentro de un script en línea se conserva únicamente si pertenece a un servicio conocido, porque los scripts mencionan muchas direcciones a las que nunca llaman.

Después se localizan hasta 40 hosts. Una consulta DNS devuelve una dirección IP, y el servicio IP a ASN de Team Cymru devuelve la red que anuncia esa dirección y el país donde está registrado el bloque. La tabla se ordena de la categoría más intrusiva a la menos: publicidad, analítica, redes sociales, marketing, chat, vídeo, mapas, formularios, pagos, fuentes, protección contra bots, herramientas de consentimiento, bibliotecas, alojamiento. El contador «Seguimiento» suma las cuatro primeras.

Tres significados de «dónde»

Dónde está registrado el bloque de IP

Es lo que muestra el mapa. Es un dato administrativo que registran los registros regionales de internet.

Dónde está la máquina que responde

Las grandes redes anuncian la misma dirección desde centros de datos de todos los continentes y envían a cada visitante al más cercano. Un bloque registrado en Estados Unidos puede ser atendido desde Fráncfort para un visitante en Alemania, y los datos pueden copiarse después a otro lugar.

Dónde tiene su sede la empresa

Aparece como «HQ» en la tabla. Decide qué tribunales y autoridades pueden exigir datos a la empresa, estén donde estén sus máquinas.

Las leyes sobre transferencias internacionales miran sobre todo el tercer significado y el contrato vigente. Según el capítulo V del RGPD, los datos personales solo pueden salir del Espacio Económico Europeo hacia un país cubierto por una decisión de adecuación, o con garantías como las cláusulas contractuales tipo.

Cómo acortar la lista

• Quita lo que nadie usa. Los píxeles de campañas terminadas y los widgets de plugins desinstalados siguen informando durante años.
• Sirve tú mismo los archivos estáticos. Las fuentes, los conjuntos de iconos y las bibliotecas de scripts se pueden copiar a tu propio dominio. Con HTTP/2 suele ser más rápido que un CDN público, porque los navegadores ya no comparten archivos en caché entre sitios.
• Carga los contenidos incrustados bajo demanda. Muestra una imagen en lugar de un vídeo o un mapa y carga lo real al hacer clic. La herramienta de contenido incrustado con clic para cargar escribe ese código.
• Cuéntales menos a los que queden. Referrer-Policy: strict-origin-when-cross-origin envía a los terceros tu dominio en lugar de la dirección completa de la página.
• Evita que la lista vuelva a crecer. Una cabecera Content-Security-Policy funciona como lista de permitidos. Un host que no está en ella no puede ser llamado, sea lo que sea lo que añada un plugin.