A impressão digital do navegador substituiu silenciosamente os cookies como método padrão de rastreamento
Os cookies de terceiros deveriam ter morrido anos atrás. O Safari da Apple os bloqueou por padrão desde 2019-2020 com o Intelligent Tracking Prevention, o Enhanced Tracking Protection do Firefox seguiu no mesmo ano, e o Google passou de 2020 a 2024 prometendo eliminá-los completamente do Chrome — antes de dar meia-volta em julho de 2024 e anunciar que manteria os cookies de terceiros e, em vez disso, ofereceria aos usuários um prompt de escolha. Nada disso impediu o rastreamento entre sites. Apenas mudou o rastreamento para uma técnica que os arcabouços legais construídos em torno de cookies nunca foram projetados para detectar: a impressão digital do navegador (browser fingerprinting).
Essa é a mudança silenciosa que vale entender: em aproximadamente metade do mercado de navegadores — Safari e Firefox combinados — o rastreamento por cookies entre sites está morto há anos, e o rastreamento não parou, migrou para ler sinais que o navegador já expõe em vez de gravar um identificador nele. Os arcabouços de consentimento construídos sobre "cookies exigem permissão" não se aplicam claramente a uma técnica que nunca armazena nada no dispositivo, para começar.
O que a impressão digital realmente lê
A impressão digital de canvas renderiza um gráfico oculto usando a API Canvas do navegador e lê os pixels resultantes; pequenas diferenças em GPU, driver e pilhas de renderização de fontes produzem um hash de saída quase único entre dispositivos. A impressão digital de WebGL faz algo semelhante consultando a string do renderizador da GPU e as extensões suportadas. A impressão digital de AudioContext toca um tom inaudível via API Web Audio e mede diferenças mínimas de ponto flutuante na forma de onda de saída causadas por diferenças de hardware e sistema operacional.
Nenhuma dessas técnicas exige armazenar algo. Combine sinais de canvas, WebGL e áudio com enumeração de fontes, resolução de tela, fuso horário e extensões de navegador instaladas, e o projeto Cover Your Tracks da EFF (sucessor do Panopticlick) descobriu repetidamente que a grande maioria dos navegadores testados produz uma impressão digital única ou quase única entre todos os outros testados — suficiente para rastrear um usuário entre sites sem jamais tocar em um cookie.
Ironicamente, a própria redução do User-Agent do Chrome, motivada por privacidade — substituindo a antiga string de texto livre do User-Agent por Client Hints estruturados — tornou alguns sinais de impressão digital mais limpos e consistentes de ler, em vez de mais confusos. E técnicas no nível de rede somam-se às do nível do navegador: o CNAME cloaking disfarça uma solicitação de rastreamento de terceiros como uma solicitação de subdomínio próprio, escapando de ferramentas de listas de bloqueio de rastreadores que verificam apenas o domínio visível.
A zona cinzenta legal, explicada
O Artigo 5(3) da Diretiva ePrivacy da UE exige consentimento para "armazenar ou acessar informações já armazenadas" no dispositivo de um usuário. Essa linguagem foi escrita pensando em cookies — um cookie grava um identificador no armazenamento, e essa gravação é o ato que exige consentimento. A impressão digital não grava nada; ela lê sinais que o navegador já expõe a qualquer página que os solicite. Por anos, isso criou um argumento genuíno de que a impressão digital estava fora do escopo literal da lei de consentimento de cookies.
A CNIL francesa fechou parte dessa lacuna em diretrizes de 2020, afirmando explicitamente que a impressão digital se enquadra no Artigo 5(3) porque "acessar informações" cobre a leitura de sinais existentes, não apenas a gravação de novos sinais — portanto, o consentimento é exigido de qualquer forma. A ICO do Reino Unido emitiu diretrizes semelhantes. Mas o escopo legal declarado e a aplicação real são coisas diferentes: provar que uma chamada específica de API de canvas ou áudio foi usada para rastreamento, em oposição à detecção legítima de bots ou prevenção de fraude, é um problema forense técnico para o qual os reguladores não estão bem equipados em escala, e ações de fiscalização que visam especificamente a impressão digital continuam raras comparadas a violações de banners de consentimento de cookies.
Também existe uma brecha de enquadramento que talvez seja maior do que a zona cinzenta legal: empresas como Fingerprint (antes FingerprintJS), Seon, Arkose Labs e a iovation da TransUnion comercializam exatamente a mesma coleta de sinais como "prevenção de fraude" em vez de "rastreamento". O enquadramento de prevenção de fraude se aproxima mais de uma base legal de interesse legítimo que não exige o mesmo fluxo de consentimento que a publicidade — mesmo quando uma impressão digital originalmente calculada para pontuação de fraude é reaproveitada depois para atribuição de anúncios.
O que isso significa para os banners de consentimento de cookies
A consequência prática é que os banners de consentimento de cookies — o que a maioria dos usuários agora associa a "conformidade de privacidade" — não fazem nada contra o rastreamento baseado em impressão digital. Um site pode exibir um banner de cookies totalmente compatível, rejeitar todos os cookies não essenciais por padrão, e ainda assim coletar a impressão digital de cada visitante por meio de sinais de canvas e áudio que o banner nunca menciona, porque todo o enquadramento legal e técnico do banner é específico de cookies.
A própria tentativa de substituição do Google — as APIs do Privacy Sandbox (Topics API para segmentação de anúncios baseada em interesses, Protected Audience para remarketing, Attribution Reporting para medição de conversão) — é uma tentativa genuína de uma alternativa sem impressão digital, construída em torno de computação agregada e no dispositivo em vez de coleta de sinais brutos. A adoção tem sido lenta e contestada por empresas de adtech que argumentam que ela favorece o próprio negócio de anúncios do Google, e ela só se aplica dentro do Chrome em qualquer caso — não faz nada pelos usuários do Safari ou Firefox, e nada sobre usos não publicitários de impressão digital, como pontuação de fraude.
O que realmente fazer sobre isso
Se você administra um site: saiba o que seus fornecedores de análise, prevenção de fraude e adtech realmente coletam. "Não usamos cookies de rastreamento" não é a mesma afirmação que "não coletamos impressões digitais", e os reguladores esperam cada vez mais que você consiga responder a ambas. Se a documentação de um fornecedor não aborda explicitamente a impressão digital de canvas, WebGL ou áudio, pergunte diretamente a eles — as diretrizes de 2020 da CNIL significam que a resposta tem peso legal na UE, independentemente do que seu banner de cookies diga.
Se você é um desenvolvedor construindo ferramentas antifraude, divulgue explicitamente aos usuários os sinais baseados em impressão digital em vez de confiar em um banner de cookies genérico para cobrir isso — a lacuna entre o enquadramento de "prevenção de fraude" e o reaproveitamento real do mesmo sinal para rastreamento publicitário é exatamente para onde a fiscalização está se dirigindo a seguir.
Se você é um usuário preocupado com privacidade, as configurações de cookies por si só não protegem você. O "farbling" da Brave (randomizando saídas de API relevantes para impressão digital em cada site) e o letterboxing e a randomização de canvas do Tor Browser são as únicas contramedidas consistentes atualmente disponíveis, porque não existe um interruptor de consentimento para uma técnica que, para começar, não exige sua permissão.