La Evolución de la Privacidad en los Navegadores: Aprendizaje Federado de Cohortes (FLoC)

Más concretamente, “pronto” aquí significa el inicio de 2022. Aún tenemos algo de tiempo por delante, pero considerando el gran número de empresas que aún dependen de las cookies de terceros para sus operaciones, el momento para adaptarse es ahora. ¿Estaría la pieza central del rastreo cross-site desmoronándose?

Contextualización histórica 🍪

Las cookies fueron bien aceptadas tan pronto como aparecieron, a mediados de la década de 1990. En ese momento, prácticamente no se pensaba en la privacidad de los navegadores de internet, y el Internet Explorer introdujo el uso de cookies sin ningún aviso previo o explicación – y terminó pagando por ello. En poco tiempo, cálidos debates comenzaron a surgir, y el tema se convirtió en objeto de audiencias en la Federal Trade Commission de EE. UU.

El tiempo pasó, y la internet se volvió cada vez más familiar para todos nosotros. Con esto, los internautas comenzaron a darse cuenta de la fragilidad de su privacidad en línea, exigiendo cada vez más medidas de protección para sus datos. Podemos decir que las discusiones sobre las cookies (y la privacidad en línea en general) continúan hasta hoy y están en el centro de un enfrentamiento entre gigantes de la tecnología.

---

Incluso, empresas como Apple, Mozilla y Microsoft han reconocido la importancia del tema y han comenzado a incluir funcionalidades cada vez más avanzadas de control de privacidad en sus navegadores.

• 03/2019 – Safari (Intelligent Tracking Protection 2.3)
• 09/2019 – Firefox (Enhanced Tracking Protection habilitado por defecto)
• 12/2019 – Safari (impidió el rastreo cross-site a través de HTTP referer, nuevas restricciones a cookies de terceros)
• 01/2020 – Edge (más limitaciones a formas de rastreo)

Vale destacar que Apple valora mucho la seguridad de los datos. Esto quedó aún más claro durante y después del escándalo de Cambridge Analytica, el cual Apple supo explotar a su favor.

---

Por otro lado, Apple no hace esto porque sea buena. Incluso dejando de lado las tendencias del mercado y regulaciones del sector, simplemente no tiene nada que perder. Por el contrario, se beneficia al reforzar un posicionamiento de empresa que luchará (sin gran empeño) por la privacidad de los usuarios, mientras intentan desgastar la imagen de otras empresas que continúan empleando medidas de privacidad más relajadas.

A bien de la verdad, recientemente Google también tomó algunas medidas en esta dirección:

• 01/2020 – Chrome anuncia la Privacy Sandbox
• 02/2020 – Chrome lanza el atributo SameSite, que permite declarar cookies entre subdominios como cookies primarias
• 08/2020 – Chrome hace obligatorio que el atributo SameSite=”none” se realice en conexión segura (HTTPS)

Como Google es, al mismo tiempo, dueño de Chrome y de una de las mayores redes de anuncios display (AdSense), bloquear cookies de terceros sería un tiro en el pie. Aun así, ya se hablaba por los pasillos de Silicon Valley que otra gigante de la tecnología estaba a punto de unirse al club anti-cookies, y eso fue lo que sucedió – a partir de 2022, Chrome eliminará las cookies de terceros.

Consecuencias del embargo de las cookies

El enfoque de la discusión suele girar en torno a los sistemas de anuncios display, pero es bueno recordar que estos no son los únicos que utilizan cookies de terceros. Las tendencias de mercado, en teoría, deberían afectar a los mayores jugadores. Sin embargo, en la práctica, son los pequeños los que suelen sufrir más.

Una pequeña red de anuncios puede incluso ser más ágil que una gigante como Google, pero por otro lado, también está más vulnerable a cambios que pueden influir en los pilares de su modelo de negocio. ¡Espero que este no sea el caso de su empresa!

Dicho esto, no es posible entender las consecuencias sin aclarar algunos puntos.

Ignorancia sobre cookies de terceros

Hay quienes no comprenden bien las diferencias entre cookies primarias y cookies de terceros. Y seamos justos, de hecho nunca ha habido una identificación clara para cada tipo de cookie, algo que diga “esto es una cookie de tercero”. En la práctica, posiblemente continuaremos viendo cookies de terceros en 2022, y las cookies primarias podrán ser bloqueadas. ¿Cómo puede suceder esto?

La diferencia entre cookies “primarias” y “de terceros” se refiere a la relación entre el dominio que generó la cookie y el dominio que lee la cookie.

Vamos a ilustrar con un ejemplo: Usted entra en un sitio que tiene rastreo por el Pixel de Facebook, que es un pequeño script que escribe una cookie en su navegador. Esta cookie es de tercero, pues fue escrita por el dominio facebook.com y no por el sitio que usted está visitando. Sin embargo, después de un tiempo, usted decide acceder a Facebook. Ahora, esa misma cookie será reconocida como una cookie primaria y no de terceros!

Por qué Google tiene tanto miedo de bloquear cookies de terceros…

Simplemente porque, sin ellas, Google no puede rastrear a un usuario entre varios sitios. Los productos que usted vio en un dominio pueden seguir siendo almacenados a través de cookies incluso después del embargo, pero no podrán ser leídos por otro dominio que contiene elementos de publicidad display.

Esto afecta principalmente a Google AdSense. Mientras que los anuncios de la red de búsqueda (Google Ads) continuarán funcionando sin cambios – pues las búsquedas que usted realiza van directamente a Google –, AdSense depende específicamente de las cookies de terceros. Los elementos de publicidad en otros sitios no podrán acceder a la información sobre su historial y preferencias de navegación.

…pero Facebook no.

Supongamos que usted ha cerrado sesión en Facebook, y todas las cookies de Facebook han sido eliminadas. Luego, usted entra en el sitio mencionado anteriormente. El Pixel inserta una cookie de tercero mientras usted navega por el sitio, y comienza a enviar datos anónimos a los servidores de Facebook. Anónimos, pero no imposibles de identificar. Incluyen un número de identificación único, que se transmite junto con su actividad en el sitio.

Cuando el aburrimiento golpea y usted vuelve a Facebook, la cookie de tercero pasa a ser reconocida como cookie primaria – después de todo, el dominio que está leyendo la cookie es el mismo que la escribió. Así, ese número de identificación hasta entonces anónimo ahora está vinculado a una identidad concreta: la suya.

FLoC: Federated Learning of Cohorts

Todo lo que el usuario hace – llamadas telefónicas, clics, páginas visitadas – es una fuente de datos. Los algoritmos utilizan estos datos para elegir los anuncios que van a presentar. Esto sucede en una unidad externa, por ejemplo un servidor de Google, donde sus datos son procesados y el algoritmo aprende.

Cuando usted accede a un sitio y ve un anuncio, este fue elegido por el algoritmo de Google como algo que puede ser de su interés. En este caso, el algoritmo fue alimentado por cookies de terceros que informaron su comportamiento anterior en internet. La forma en que usted interactúe con el anuncio alimentará al algoritmo con más información, continuando su entrenamiento.

Esta vez es diferente

El Federated Learning of Cohorts, o FLoC, es una tecnología que permite la personalización de anuncios sin necesidad de compartir datos personales con una fuente externa.

Con el Federated Learning of Cohorts (en español, “Aprendizaje Federado de Cohortes”), el algoritmo preentrenado de Google estará en su dispositivo – smartphone o navegador – y el propio dispositivo decidirá cuál es su perfil de intereses. Más precisamente, su cohorte.

El algoritmo se entrena localmente, y no comparte su cohorte con el resto de la red. Después de presentar un anuncio con éxito, puede compartir algunos hiperparámetros con el modelo primario, ayudando al algoritmo en su conjunto a aprender. Por eso podemos decir que el proceso es descentralizado, o federado.

Hablemos sobre cohortes

Las cohortes de intereses son los grupos de intereses asignados a usuarios que comparten comportamientos similares basados en un algoritmo. Para mantener un equilibrio entre privacidad y eficacia, las cohortes deben ser razonablemente grandes (algunos miles de usuarios) y mantener la mayor coherencia interna posible.

El número total de cohortes no debe exceder 2^32 (4 294 967 296), ya que estudios (no oficiales) apuntan a que la intención es almacenar sus números de ID como un valor de 32 bits.

• El navegador no comparte datos individuales, como el historial de navegación, y tampoco los intereses que componen la cohorte a la que está asociado, exponiendo solo la ID numérica de la cohorte.
• Las cohortes agrupadas en torno a temas sensibles como cuestiones médicas, de sexualidad o religión, son excluidas del sistema.
• A medida que el comportamiento de navegación cambia con el tiempo, las cohortes asociadas al navegador también cambian.
• Los usuarios pueden impedir el uso de cohortes de interés en cualquier momento.

Es una solución inteligente, ¿no?

Ahora que sabe cómo funciona, creo que el nombre “Aprendizaje Federado de Cohorte” tiene más sentido. Los datos de los usuarios están descentralizados, pero Google aún puede aprender sobre el comportamiento de los usuarios y presentar contenidos personalizados sin violar la privacidad de nadie. Aun así, si un usuario no se siente cómodo con esto, puede simplemente desactivar la personalización en una página específica, o en el navegador en su totalidad.

¿Y qué hay de la eficacia de este nuevo modelo de anuncios? Google dice que llega al 95% de la eficacia del modelo basado en cookies de terceros. ¡Parece un precio justo a pagar por un sistema con mayor protección a la privacidad de todos!

Huella Digital de Navegador

Google dice que el FLoC estará disponible para otros servicios de anuncios. ¿Por qué? En mi opinión, Google no quiere fomentar la percepción de haber creado una tecnología para uso propio, mientras aplasta a los pequeños competidores que mencioné anteriormente.

Al final, todo es una cuestión de privacidad y protección. Vale la pena destacar que las cookies de terceros no son el único método para rastrear usuarios entre sitios. De hecho, hasta es uno de los métodos más transparentes!

Un ejemplo menos ético es el de Huella Digital de Navegador. Este método captura todos los datos posibles sobre el navegador como su versión, plugins utilizados, datos del hardware (tamaño y proporción de pantalla, modelo de la computadora, sistema operativo…), todo lo que pueda ayudar a distinguir su dispositivo de todos los demás.

Cuando esta práctica salió a la luz, los principales navegadores comenzaron a combatirla como podían, sabiendo que sería una batalla perdida.

La lección aquí es que, si bloqueamos tecnologías moralmente dudosas sin ofrecer una alternativa mejor, estaremos impidiendo solo a las personas bien intencionadas de usarlas.

Yo creo que ofrecer una alternativa mejor es justamente el objetivo de Google al proponer el FLoC. Con el fin de las cookies, más temprano que tarde, alguna otra forma de rastreo en línea surgirá. Si no tenemos buenas alternativas, solo podemos esperar eficiencia en los anuncios, pero sin respeto a su privacidad.