Oímos mucho hablar de las ‘cookies’ informáticas, ¿pero sabemos cómo funcionan?

Todos hemos escuchado hablar de las cookies informáticas. Algunos incluso saben que son muy importantes a la hora de facilitar la navegación del usuario, al permitir una carga más rápida de las páginas, y en la publicidad digital personalizada. ¿Pero sabemos cómo funcionan?

Cuando uno se conecta a una página web, el navegador del usuario envía una petición a un ordenador remoto, llamado servidor, que le envía la respuesta de vuelta. Así, usar nuestro teléfono para leer las entradas de Crónicas del Intangible supone que el navegador de nuestro móvil inicie una comunicación con el servidor de elpais.com. Si todo va bien, elpais.com responderá diciendo OK, aquí va la página que me has solicitado. El navegador, entonces, recibe una cierta cantidad de información separada en dos partes: por un lado, el cuerpo de la respuesta, que lleva los datos que forman parte del contenido que se mostrará al usuario; por otro, una sección con cabeceras de la respuesta, que contiene datos no visuales (aspectos que el lector no ve reflejada en la página, pero que son importantes para las máquinas). Algunos de ellos son imprescindibles para que la comunicación tenga éxito.

Al solicitar a un servidor la lectura de una página web, el cuerpo de la petición es texto en un formato llamado HTML. El texto en HTML incluye el propio texto que se quiere mostrar y, además, lleva marcas de formato, que le dicen al navegador: “Este texto va en negrita, este otro en cursiva, aquí has de colocar una imagen”.

Pero, para que el navegador sepa que lo que se le está entregando es HTML y pueda dibujarlo como tal, con sus cursivas y negritas, el servidor le envía al navegador, en la sección de cabeceras, información acerca del tipo de contenido que se le está enviando: “Oye, ojo, que lo que te estoy enviando en el cuerpo es texto en HTML”.

A veces, junto a las negritas, las cursivas y muchas otras marcas de formato, al navegador se le dice que en cierto lugar va una imagen o, incluso, un pequeño programa que el navegador puede interpretar y ejecutar y con el que podemos resolver el crucigrama de Mambrino (in memoriam) que, desde hace poco, se publica en la web de este diario. La imagen puede ir incrustada en el propio texto HTML; pero, en otras, la imagen no se le envía directamente, sino que el servidor le envía al navegador una dirección de Internet a la que el navegador debe pedir la imagen que va en ese sitio. Esta dirección de Internet puede estar en el mismo servidor que en la petición original (elpais.com, en nuestro ejemplo) o puede estar en otro.

En cualquier caso, el navegador envía una nueva petición al servidor que se le ha indicado para descargarse la imagen: el servidor se la enviará en el cuerpo de la respuesta y, en la sección de cabeceras, el servidor le indica al navegador que la información que viaja en el cuerpo es una imagen en JPG, PNG, un vídeo, un audio o un programa. De este modo, con esa información no visual que se incluye en las cabeceras, el navegador sabe cómo tratar la información que le está llegando, dibujándola o escribiéndola adecuadamente, o ejecutando alguna instrucción que me dice que he completado correctamente el crucigrama.

Así, la carga de una única página como la de elpais.com supone en realidad que nuestro navegador envíe muchas, muchísimas peticiones al servidor: una para el texto, una para cada imagen que encontremos, otra para cada vídeo, otra para cada anuncio, etcétera.

Además del tipo de contenido, en la sección de cabeceras que contiene las respuestas a las peticiones, el servidor puede colocar información adicional, por ejemplo, una o más cookies, las conocidas galletitas informáticas con la información que el servidor decida. En la ilustración anterior aparecen algunas de las cookies que me ha dejado elpais.com cuando me he conectado a su página principal. Cada una tiene, entre otras propiedades, un nombre (name), un valor (value) y una fecha de expiración (Max-Age). La capacidad de las cookies para monitorizar nuestra actividad en la red reside en que, cada vez que yo regrese a elpais.com, mi navegador le enviará todas las cookies que el propio elpais.com me dejó anteriormente. Por ejemplo, la última cookie que aparece en la figura se llama _chartbeat2, su valor empieza por .1626 y caduca el 1 de agosto de 2022. Si mañana, como es habitual, regreso a la página principal o visito cualquier otra página del mismo servidor, mi navegador enviará al servidor el nombre y valor de esta cookie, lo cual permitirá al servidor saber que soy la misma persona que ayer estuvo aquí.

Observe el lector en la parte izquierda de la figura que muchos otros servidores me han dejado también cookies: todas ellas proceden de la misma petición de datos a elpais.com. Y es que, cuando nuestro navegador va interpretando y mostrando la respuesta que recibe, envía otras peticiones a otros servidores para descargarse, decíamos antes, imágenes, vídeos o anuncios.

Así, la petición de lectura de la página principal de este diario ha enviado en algún momento una petición al segundo servidor que aparece en la parte izquierda de la figura, identificado como googleads.g.doubleclik.net. Este servidor nos ha dejado dos cookies: DSID (cuyo valor es NO_DATA) e IDE (con valor AHWq...).

Si, acto seguido, visito un diario de la competencia, estaré iniciando una comunicación con su servidor para recuperar su página principal. El procesamiento de la respuesta es similar: múltiples peticiones a diversos servidores para recuperar texto, fotos, vídeos, anuncios... Y, si alguna de estas múltiples peticiones se envía a googleads.g.doubleclik.net, el valor de las cookies que este servidor me dejó al visitar EL PAÍS viajarán de nuevo a este servidor publicitario, de modo y manera que googleads.g.doubleclik.net sabrá que, aunque ahora esté leyendo el ABC, acabo de venir de leer EL PAÍS.

Quizás el hecho de que estos sistemas conozcan esta información no sea demasiado importante, pues revela sobre nosotros lo mismo que sabe el camarero del bar en el que desayunamos, que conoce nuestros horarios y ve a diario cómo vamos cogiendo, de encima de la barra, el periódico local o el nacional y sabe si nos detenemos en la sección de Opinión, de Sociedad o de Deportes.

La amenaza a nuestra intimidad aparece cuando se relacionan estos datos de navegación con otros personales: si relleno un formulario con mi nombre, correo, mi domicilio, doubleclick.net sabrá que quien lee esos periódicos es Macario, que no le interesa el deporte porque apenas visita esas páginas, pero que, sin embargo, responde correctamente SAL a las tres letras horizontales de La pide el huevo. Sabrá también, y no solo por los datos del formulario, sino por la posibilidad de geolocalizar una IP con cierta precisión, que habitualmente me encuentro en Ciudad Real. Pero además, si en cualquier página de las que se conecta a doubleclick.net (y son muchísimas) acepto por descuido el permiso de compartir mi ubicación, conocerá con exactitud las coordenadas de mi domicilio y de mi trabajo.

Aceptar las cookies sin leer su política ni personalizarlas nos expone a que estos sistemas externos nos conozcan y nos clasifiquen, pues producimos al navegar una cantidad ingente de información con la que se nos coloca en determinados grupos de internautas.

¿Y si no hubiera cookies? Los programitas como el de los pasatiempos, que nuestro navegador descarga y ejecuta, pueden también acceder a mucha información de nuestro equipo, que puede enviarse al servidor sin nuestro conocimiento. Además de la marca y versión del navegador, de nuestro idioma, de nuestra IP, puede viajar la resolución de nuestra pantalla, el tipo de letra que usamos en nuestro equipo, las sesiones que tenemos abiertas en redes sociales... Los valores de estos y otros parámetros conforman nuestra huella digital, que permite identificarnos con una precisión muy alta.

También está la posibilidad ir disfrazados al bar, con gabardina y sombrero y un postizo de bigote y gafas. Cuando lleguemos, el camarero nos dará El País y nos preguntará que si queremos lo de siempre.

Macario Polo Usaola es catedrático de la Universidad de Castilla-La Mancha.

Crónicas del Intangible es un espacio de divulgación sobre las ciencias de la computación, coordinado por la sociedad académica SISTEDES (Sociedad de Ingeniería de Software y de Tecnologías de Desarrollo de Software). El intangible es la parte no material de los sistemas informáticos (es decir, el software), y aquí se relatan su historia y su devenir. Los autores son profesores de las universidades españolas, coordinados por Ricardo Peña Marí (catedrático de la Universidad Complutense de Madrid) y Macario Polo Usaola (profesor titular de la Universidad de Castilla-La Mancha).

Para consultar las crónicas de otros años, haga clic aquí.

Puedes seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.