El fin de las cookies de terceros en Chrome, dentro de 2 años
La semana pasada, Google anunció el fin del soporte para cookies de terceros en Chrome dentro de 2 años, como tuiteó Justin Schuh, Director de ingeniería, confianza y seguridad de Chrome.
Este anuncio debería haberse producido hace tiempo, ya que Chrome va por detrás de otros navegadores en el bloqueo de rastreadores de terceros, como señala John Wilander, el ingeniero de Apple responsable del sistema de protección de la privacidad Intelligent Tracking Prevention (ITP), integrado en Safari.
Las motivaciones de Google
Google ya había insinuado sus intenciones el pasado mes de agosto, indicando que quería proteger mejor la privacidad de sus usuarios de Chrome, pero procurando diferenciarse de otros navegadores que bloquean directamente las cookies de terceros sin ofrecer alternativas a los anunciantes. Los 2 argumentos destacados en aquel momento:
- El bloqueo de cookies de terceros fomentaría el uso del fingerprinting, una técnica destinada a crear una huella de un usuario a partir de las características de su navegador, sus extensiones, su IP, etc. A diferencia de las cookies, el usuario no puede restablecer fácilmente esa huella. Los esfuerzos de Chrome para bloquear el fingerprinting son loables (aunque distan mucho de ser únicos: Firefox y Safari ya luchan contra el fingerprinting), pero este argumento es, como mínimo, falaz: el fingerprinting es una práctica sucia y no puede servir de coartada para justificar el uso de cookies de terceros.
- El bloqueo de cookies de terceros reduce los ingresos publicitarios de los editores; Google se basa en un estudio interno para indicar una caída media del 52% de los ingresos cuando se eliminan las cookies de terceros. Aunque la cifra sea creíble (por experiencia, la caída es mucho más severa en RTB), no es muy serio proponer un estudio basado en la herramienta publicitaria interna DoubleClick, de sólo 3 páginas y sin auditoría externa.
¿Propuestas alternativas que respeten la privacidad?
Como alternativa, Google creó el proyecto "Privacy Sandbox" para recoger sus primeras ideas y adelantarse a las discusiones con otros navegadores, el ecosistema publicitario y la web en general. El objetivo declarado de Google es crear nuevos estándares respetuosos con la privacidad; su objetivo oculto es permitir que prospere su modelo publicitario basado en el capitalismo de vigilancia. A diferencia de Apple o Firefox, bloquear las cookies de terceros sin un plan B no es posible para Google, por varios motivos:
- Google se estaría disparando en los pies al matar a DoubleClick, su herramienta publicitaria dominante entre los editores y anunciantes, así como a AdSense, su red publicitaria también dominante en la web.
- Google podría compensar en parte la pérdida de ingresos publicitarios relacionados con DoubleClick y AdSense (comisión sobre los ingresos publicitarios de los editores y sobre los gastos publicitarios de los anunciantes) transfiriendo los gastos de los anunciantes a sus propios sitios (Google AdWords, YouTube, etc.), pero sería atacado por abuso de posición dominante.
- Google provocaría la ira de los editores debido a importantes pérdidas en los ingresos publicitarios.
Para avanzar hacia la creación de nuevos estándares, Google invita a las partes interesadas de la web y del ecosistema publicitario a participar en los debates del Web Advertising Business Group del W3C sobre sus propuestas. Hasta finales de 2020, Google pretende realizar las primeras pruebas, primero sobre la medición de conversiones y luego sobre la publicidad personalizada. Pero si miramos en detalle, como hace la EFF, las propuestas de Privacy Sandbox de Google parecen proteger no tanto la privacidad del usuario como el modelo publicitario de Google: el capitalismo de vigilancia.
Medición de conversión
Hoy en día, esta medición es posible sin cookies de terceros, pero sólo para herramientas de análisis. Al hacer clic en un anuncio (por ejemplo, un enlace patrocinado en Google), el usuario es redirigido al sitio del anunciante con un parámetro de seguimiento en la URL. La herramienta de análisis captura este parámetro para colocar una cookie de origen. Esta cookie se envía luego a la herramienta de análisis durante la navegación por el sitio, hasta la posible compra, permitiendo establecer el enlace con el clic inicial. Si la medición de la conversión la realiza una herramienta que distribuye la publicidad (ejemplos: el retargeter de Criteo o el servidor de anuncios del anunciante), la transmite desde su propio dominio y, por tanto, coloca una cookie de terceros. El anunciante deberá instalar un script de esta herramienta en su página de conversión para poder realizar la medición.
¿Cómo prescindir de las cookies de terceros? Conviene señalar que Apple ya ha propuesto al W3C una técnica para medir conversiones sin rastrear a los usuarios, llamada "Private Click Measurement". Google copia a Apple con su “API de medición de conversiones”, pero de forma burda: el anunciante puede añadir metadatos al clic en un anuncio, incluida la URL de la página de conversión, la URL del informe de conversión y un identificador adicional. El navegador almacena esta información y puede devolver después la URL de informe con el identificador adicional si el usuario convierte. Problema: si Apple transmite 6 bits de información en el identificador adicional (es decir, 2^6 = 64 valores distintos, lo que permite al anunciante saber qué campaña y qué anuncio “convirtieron”, pero no permite un seguimiento individualizado), Google transmite 64 bits de información (2^64 valores distintos), lo que permite seguir a cada usuario.
Publicidad personalizada
Google propone aquí utilizar el historial de navegación del usuario para asignarlo a una cohorte. El proceso llamado "Federated Learning of Cohorts" (o FLoC) permite utilizar modelos de aprendizaje automático localmente y actualizarlos sin compartir toda la información del usuario (historial de navegación) con la red (si quieres saber más sobre el aprendizaje federado, te recomiendo el excelente cómic de Google sobre el tema).
Todo esto parece prometedor; el problema es que la cohorte en la que tu navegador te clasificará, según la propuesta de Google, se enviará en la cabecera HTTP de todos los sitios con los que interactúas (activos o pasivos, incluidos por tanto los anunciantes). Esto permitirá a esos mismos anunciantes que hoy te siguen en casi toda la web inferir mucha información adicional sobre ti gracias a esta cohorte (mal historial crediticio, pertenencia a una minoría, lo que te gusta, dónde te mueves...), sin ninguna transparencia (un modelo de aprendizaje automático local). Los sitios de comercio electrónico podrán estudiar el comportamiento de las cohortes y adaptar sus mensajes y precios según el objetivo. Además, los sitios web que hoy respetan tu privacidad (no utilizan cookies de terceros) no podrán impedir recibir tu cohorte.
Conclusiones
Si bien es demasiado pronto para juzgar las alternativas que el equipo de Chrome pondrá en marcha para sustituir las cookies de terceros, las primeras propuestas sugieren que Google priorizará primero su modelo de negocio publicitario y no el respeto a la privacidad de los usuarios de su navegador.