Cookies e fingerprinting: como os sites rastreiam você

Os sites rastreiam você principalmente de três jeitos: com cookies, pequenos arquivos que o navegador guarda; com fingerprinting, a combinação de características do seu navegador e do seu aparelho; e com pixels e tags de terceiros, que avisam outras empresas sobre cada visita. Dá para reduzir bastante esse rastreamento com alguns ajustes no navegador, um bloqueador de conteúdo e escolhas conscientes nos avisos de cookies.

Este guia explica cada técnica sem exagero, mostra o que mudou nos navegadores até 2026 e termina com um passo a passo para se proteger no computador e no celular.

O que são cookies

Cookies são pequenos textos que um site pede para o navegador guardar e devolver nas próximas visitas. Eles surgiram na Netscape, em meados dos anos 1990, para resolver problemas práticos: manter você logado, lembrar o carrinho de compras ou o idioma escolhido. Sem cookies, a maior parte da internet que exige login não funcionaria.

Cookies primários

São criados pelo próprio site que aparece na barra de endereço. Login, preferências e carrinho são exemplos. Alguns serviços de medição também usam cookies primários: o Google Analytics 4 grava cookies como _ga no domínio do próprio site, e não no domínio do Google, embora os dados de uso sejam enviados ao Google para gerar os relatórios.

Cookies de terceiros

São gravados por domínios diferentes do site que você está visitando, normalmente por conteúdo incorporado à página: redes de anúncios, botões de redes sociais, vídeos e widgets. Como o mesmo domínio de publicidade aparece em milhares de sites, ele consegue reconhecer o seu navegador em todos eles e montar um perfil de interesses. É o motivo de um produto pesquisado numa loja “perseguir” você em outros sites.

A situação dos cookies de terceiros em 2026

O Safari bloqueia cookies de terceiros por padrão desde 2020. O Firefox, desde 2022, guarda os cookies de cada site num compartimento separado (a Proteção Total de Cookies), o que impede que um mesmo cookie siga você entre sites. O Chrome seguiu outro caminho: depois de adiar várias vezes o plano de eliminá-los, o Google desistiu e, em 17 de outubro de 2025, anunciou o fim da maior parte das tecnologias do Privacy Sandbox, que deveriam substituí-los, como Topics, Protected Audience, Attribution Reporting e IP Protection. Ficaram mantidos recursos como o CHIPS (cookies particionados por site) e o FedCM (login federado). Na prática, no Chrome, bloquear cookies de terceiros depende de você, em Configurações > Privacidade e segurança > Cookies de terceiros. Na aba anônima do Chrome eles já são bloqueados por padrão.

Fingerprinting: identificação sem cookies

O fingerprinting, ou impressão digital do navegador, identifica o aparelho pela soma de detalhes técnicos. Nenhum dado precisa ser gravado no seu computador, e por isso apagar cookies não resolve. Existem duas formas de coleta:

• Passiva: informações que chegam ao servidor em toda conexão, como o IP, o User-Agent, o idioma preferido nos cabeçalhos e características da conexão segura (TLS).
• Ativa, via JavaScript: scripts que perguntam ao navegador resolução de tela, fuso horário, número de núcleos do processador, fontes disponíveis e como ele desenha imagens e processa áudio.

Veja o que o seu navegador entrega a qualquer site com a ferramenta qual é o meu navegador, e o que o seu IP revela no Meu IP.

Canvas, WebGL, fontes e áudio

No canvas fingerprinting, o site pede ao navegador para desenhar um texto ou uma imagem invisível. Placa de vídeo, drivers, sistema e renderização de fontes deixam pequenas diferenças nos pixels, e o resultado vira um código. O WebGL faz o mesmo com gráficos 3D e ainda pode expor o modelo da placa de vídeo. A lista de fontes disponíveis varia conforme os programas instalados, e o processamento de áudio pela Web Audio API também deixa uma assinatura. Todas essas técnicas dependem de JavaScript.

O que dizem os estudos

• No estudo pioneiro da EFF, de 2010, com 470.161 navegadores, 83,6% tinham uma impressão digital única naquele momento. O mesmo estudo mostrou que as impressões mudam: 37,4% dos visitantes recorrentes tiveram pelo menos uma alteração.
• Em 2014, pesquisadores da KU Leuven e de Princeton encontraram scripts de canvas fingerprinting em mais de 5% dos 100 mil sites mais acessados da época.
• Em 2021, um estudo apresentado no IEEE Symposium on Security and Privacy encontrou fingerprinting em mais de 10% dos 100 mil sites mais acessados e em mais de um quarto dos 10 mil primeiros.

Esses números variam conforme a amostra, o ano e o tipo de aparelho, e celulares do mesmo modelo tendem a ser mais parecidos entre si. A conclusão que se mantém é que o fingerprinting existe, é usado em escala e é difícil de bloquear só com configurações básicas.

Como os navegadores reagem

O Firefox bloqueia scripts de fingerprinting conhecidos e reforça as proteções nas janelas privativas e nos modos mais rígidos. O Safari ativa por padrão, na navegação privada, a proteção avançada contra rastreamento e identificação, que bloqueia empresas que usam essas técnicas e remove parâmetros de rastreamento dos links, e permite ligá-la para toda a navegação. O Brave embaralha levemente as respostas das APIs mais usadas para identificação. O Tor Browser vai pelo caminho oposto: faz todos os usuários parecerem iguais.

Supercookies e outros armazenamentos

“Supercookie” é o nome informal de qualquer identificador que sobrevive à limpeza de cookies. Exemplos clássicos são o ETag, um código que o servidor envia junto com arquivos em cache e que o navegador devolve depois, o abuso do HSTS, a lista de sites que exigem HTTPS, e o uso de localStorage e IndexedDB, armazenamentos do navegador que não são apagados quando você remove só os cookies.

Esses truques perderam força entre sites diferentes. O Chrome passou a particionar o cache HTTP por site a partir da versão 86, e os outros grandes navegadores adotaram medidas parecidas: o que um site guarda no contexto de outro fica isolado. Dentro de um mesmo site, porém, eles continuam funcionando, por isso a opção “cookies e outros dados do site” na limpeza do navegador é mais eficaz do que apagar só os cookies.

Pixels, tags e links rastreados

Pixels de e-mail

Um e-mail de marketing pode trazer uma imagem minúscula e invisível hospedada no servidor do remetente. Quando o programa de e-mail baixa essa imagem, o remetente fica sabendo que a mensagem foi aberta, quando e de qual IP. No iPhone, a Proteção de Privacidade do Mail oculta o seu IP e impede que remetentes vejam se você abriu a mensagem (nos ajustes do app Mail, toque em Proteção de Privacidade e ative “Proteger a Atividade do App Mail”). No Gmail para computador, você pode ir em Configurações > Ver todas as configurações > Imagens e escolher “Perguntar antes de exibir imagens externas”.

Tags de terceiros nos sites

Nos sites, o papel do pixel é feito por tags em JavaScript de redes sociais e plataformas de anúncios, que registram visitas, cliques e compras para medir campanhas e montar públicos. Essas tags podem ler e gravar cookies. Parte desse rastreamento também migrou para os servidores das empresas: a loja envia os eventos de compra direto do servidor dela para a plataforma de anúncios, e nenhum bloqueador no seu navegador alcança esse envio.

Parâmetros de rastreamento nos links

Códigos como utm_source, gclid e fbclid no fim de um link identificam de onde veio o clique. O Safari remove parâmetros de rastreamento conhecidos na navegação privada, o Brave faz isso por padrão e o Firefox oferece a opção de copiar um link limpo, sem esses códigos.

IDs de publicidade no celular

Nos apps, o equivalente ao cookie é o identificador de publicidade do sistema. No Android, você pode redefinir ou excluir o seu em Configurações > Privacidade > Anúncios (em versões antigas, Privacidade > Avançado > Anúncios). Depois de excluído, os apps passam a receber só zeros no lugar do ID. No iPhone, desde o iOS 14.5, cada app precisa pedir permissão para rastrear sua atividade em apps e sites de outras empresas. Se você tocar em “Pedir ao App para Não Rastrear”, ele perde acesso ao identificador de publicidade. A lista de apps que pediram fica em Ajustes > Privacidade e Segurança > Rastreamento.

Como funciona o leilão de anúncios

Em muitos sites com anúncios, o espaço é vendido em leilões automáticos que duram frações de segundo, no modelo chamado RTB (real-time bidding). A página informa à plataforma que há um espaço disponível e envia dados como o endereço da página, identificadores do navegador ou do aparelho, um IP aproximado, o tipo de navegador, a localização aproximada e segmentos de interesse associados a você. Os anunciantes dão lances automaticamente, e o vencedor exibe o anúncio. Quanto mais identificadores circulam, mais preciso fica o perfil.

Como se proteger: passo a passo

Uma VPN complementa essas medidas ao trocar o IP que os sites veem, mas não bloqueia cookies nem fingerprinting. E a aba anônima ajuda a não deixar rastros no aparelho, mas também não impede o rastreamento durante a sessão. Para ver os cookies e os cabeçalhos de privacidade que um site envia, use a ferramenta de headers HTTP.

O que a LGPD diz sobre cookies

A LGPD não fala em “banner de cookies”, mas trata como dado pessoal qualquer informação que permita identificar alguém, o que inclui identificadores de cookies em muitos casos. Em outubro de 2022, a ANPD publicou o guia orientativo “Cookies e proteção de dados pessoais”. Os pontos principais para você:

• Para cookies não necessários, como os de publicidade e formação de perfil, o consentimento costuma ser a base legal mais apropriada. O guia afirma que o legítimo interesse dificilmente será adequado para cookies de publicidade, sobretudo de terceiros.
• Cookies estritamente necessários ao funcionamento do site podem dispensar o consentimento.
• O aviso deve ter um botão para rejeitar todos os cookies não necessários, tão fácil de ver quanto o de aceitar, e esses cookies devem começar desativados.
• Um banner com um único botão “Concordo”, sem opção de recusar, contraria a exigência de consentimento livre.

Em resumo

Cookies primários fazem a internet funcionar, cookies de terceiros e tags alimentam o rastreamento entre sites, e o fingerprinting tenta identificar você mesmo sem nada gravado. Ninguém precisa abrir mão da internet para se proteger: bloquear cookies de terceiros, usar um bloqueador de conteúdo, recusar cookies não necessários e cuidar do ID de publicidade do celular já reduzem muito o que as empresas conseguem saber sobre a sua navegação.