Mapa de requisições de terceiros

Uma página é montada a partir de muitos servidores

O endereço na barra do navegador indica um site, mas o HTML que volta é na verdade uma lista de tarefas. Busque esta fonte no Google, este script em um gerenciador de tags, este player de vídeo no YouTube. O navegador obedece e abre uma conexão com cada um desses hosts. Qualquer host que não pertença ao site que você está visitando é um terceiro.

Nenhuma dessas conexões é anônima. Cada uma leva o endereço IP do visitante, o navegador e o sistema no cabeçalho User-Agent e normalmente um cabeçalho Referer com o nome do site ou da página exata que está sendo lida. Se o terceiro já guardou um cookie nesse navegador antes, em qualquer site, o cookie vai junto. Assim, uma empresa presente em muitos sites consegue reconhecer uma mesma pessoa passando de um para outro. Muitas vezes o dono do site nunca escolheu nada disso: foi um tema ou um plugin que adicionou a requisição.

Como o mapa é feito

Nosso servidor baixa a página e lê o código-fonte. Ele coleta os hosts citados em scripts, folhas de estilo, imagens e listas srcset, mídias, iframes, dicas preconnect e preload, destinos de formulários, valores CSS url() e pixels de rastreamento dentro de <noscript>. Quando a página carrega o Google Tag Manager, também buscamos o arquivo do contêiner (dois contêineres no máximo) e procuramos nele os serviços que ele pode injetar.

Cada host é comparado com uma lista de cerca de 120 serviços conhecidos, que fornece um nome, um dono, o país da sede do dono e uma categoria. Os hosts que não correspondem a nada são agrupados por domínio e exibidos como não identificados. Um endereço que aparece apenas escrito dentro de um script inline só é mantido quando pertence a um serviço conhecido, porque os scripts citam muitos endereços que nunca chamam.

Em seguida, até 40 hosts são localizados. Uma consulta DNS retorna um endereço IP, e o serviço IP-to-ASN da Team Cymru retorna a rede que anuncia esse endereço e o país onde o bloco está registrado. A tabela vai da categoria mais invasiva para a menos invasiva: publicidade, analytics, redes sociais, marketing, chat, vídeo, mapas, formulários, pagamento, fontes, proteção contra bots, ferramentas de consentimento, bibliotecas, hospedagem. O contador “Rastreamento” soma as quatro primeiras.

Três sentidos de “onde”

Onde o bloco IP está registrado

É isso que o mapa mostra. É um fato administrativo, registrado pelos registros regionais da internet.

Onde fica a máquina que responde

Grandes redes anunciam o mesmo endereço a partir de data centers em todos os continentes e mandam cada visitante para o mais próximo. Um bloco registrado nos Estados Unidos pode ser atendido a partir de Frankfurt para um visitante na Alemanha, e os dados podem ser copiados para outro lugar depois.

Onde a empresa tem sede

Aparece como “Sede” na tabela. É isso que decide quais tribunais e autoridades podem exigir dados da empresa, onde quer que estejam as máquinas dela.

As leis sobre transferências internacionais olham sobretudo para o terceiro sentido e para o contrato em vigor. Pelo Capítulo V do GDPR, dados pessoais só podem sair do Espaço Econômico Europeu para um país coberto por uma decisão de adequação ou com garantias como as cláusulas contratuais padrão.

Encurtando a lista

• Remova o que ninguém usa. Pixels de campanhas encerradas e widgets de plugins desinstalados continuam reportando por anos.
• Sirva os arquivos estáticos você mesmo. Fontes, pacotes de ícones e bibliotecas de scripts podem ser copiados para o seu próprio domínio. Com HTTP/2, isso costuma ser mais rápido que um CDN público, já que os navegadores não compartilham mais arquivos em cache entre sites.
• Carregue as incorporações sob demanda. Mostre uma imagem no lugar de um vídeo ou de um mapa e carregue o conteúdo real no clique. A ferramenta incorporação com clique para carregar escreve esse código.
• Diga menos aos que ficam. Referrer-Policy: strict-origin-when-cross-origin envia aos terceiros o seu domínio em vez do endereço completo da página.
• Impeça a lista de crescer de novo. Um cabeçalho Content-Security-Policy funciona como uma lista de permissões. Um host que não está nela não pode ser chamado, não importa o que um plugin adicione.