La cookie de terceros por fin está muriendo de verdad. Safari acabó con ella hace años, Firefox lo siguió y Chrome la ha ido retirando. La mayoría de la cobertura lo presentó como una victoria para la privacidad, y lo es. Pero también rompió en silencio buena parte de la maquinaria legítima que funcionaba sobre cookies sin que nadie se parara a pensarlo demasiado: la detección de fraude, el filtrado de bots, la continuidad de sesión, la analítica básica de «¿es este el mismo visitante?».

El primer instinto del sector fue buscar algo nuevo que almacenar en el dispositivo del usuario y llamarlo sustituto. Esa es la lección equivocada. El problema de las cookies nunca fue el mecanismo de almacenamiento; era la premisa de que uno identifica a alguien plantándole una marca y leyéndola de nuevo más tarde. Tracio parte de una premisa completamente distinta: se puede entender quién está usando un producto sin almacenar absolutamente nada en su dispositivo.

Qué hacían las cookies en realidad

Para sustituir algo, hay que ser honesto sobre lo que hacía. Las cookies desempeñaban discretamente al menos cuatro tareas distintas:

  • Detección de fraude y abuso: ¿es este el mismo actor que acaba de probar cinco tarjetas robadas?
  • Filtrado de bots: ¿hay siquiera un humano aquí, o un navegador headless ejecutando un script?
  • Continuidad de sesión: ¿es esta la misma persona que añadió un artículo al carrito hace dos clics?
  • Analítica: ¿cuántos visitantes distintos, recurrentes frente a nuevos?

Cuando las cookies desaparecieron, las cuatro se rompieron a la vez, y la mayoría de las soluciones «sin cookies» solo abordan la de analítica. Los problemas difíciles —el fraude y los bots— son justamente los que más importan, porque al otro lado hay un adversario que intenta activamente vencerle.

Identidad a partir del comportamiento, no del almacenamiento

Tracio construye su señal a partir de cómo se comporta una sesión y en qué dispositivo se ejecuta, no de nada que deje atrás. La alimentan dos grandes clases de señal.

La primera es conductual. Las personas interactúan con una pantalla de formas notablemente consistentes para cada individuo y notablemente difíciles de falsificar de manera convincente: la cadencia y el ritmo al escribir, los micropatrones del movimiento del ratón y del desplazamiento, cómo corrige un error, los tiempos entre acciones. Nada de esto se almacena en el dispositivo. Se observa en el momento y se evalúa en el momento.

La segunda son las características del dispositivo y del entorno: la configuración que expone un navegador, ensamblada en un perfil. Por sí sola es débil y la comparten muchos usuarios, pero combinada con el comportamiento se afina considerablemente.

La decisión de diseño crítica es lo que Tracio deliberadamente *no* hace. No construye un perfil que siga a una persona de un sitio a otro. No hay grafo de identidad entre sitios, ni identificador compartido que se venda a las redes publicitarias. La señal vive dentro del contexto propio de un único negocio, respondiendo a las preguntas de ese negocio —¿es arriesgada esta sesión?, ¿es un bot?, ¿es el usuario recurrente que dice ser?— y nada más. Eso es lo que la hace respetuosa con la privacidad por diseño, y no por nota de prensa. Cumple con el GDPR y la CCPA desde el primer momento precisamente porque no hay rastreo entre sitios que reconciliar.

Los bots son la verdadera prueba

La analítica perdona los errores; el fraude no. El terreno en el que un enfoque sin cookies tiene que demostrar su valía es frente a un adversario, y la versión más afilada de ese adversario es el bot sofisticado: un navegador headless o un framework de automatización creado específicamente para parecer humano.

Aquí es donde el comportamiento le gana a la huella digital. Un bot puede falsear un user agent, fingir una resolución de pantalla y rotar direcciones IP todo el día. Lo que le cuesta falsificar es la textura de la interacción humana: los tiempos ligeramente irregulares, las trayectorias imperfectas del ratón, la vacilación antes de un clic. Los sistemas basados en reglas miran lo que una sesión *dice* ser y se engañan con facilidad. Tracio puntúa lo que una sesión realmente *hace*, y esas señales delatoras son mucho más difíciles de fingir. Esa ventaja conductual es lo que lleva la precisión de detección de bots al 99,2 % frente a tráfico diseñado para pasar por real.

La detección de fraude funciona igual, una capa más arriba. En lugar de un permitir/bloquear binario, cada sesión recibe una puntuación de riesgo construida a partir de anomalías conductuales: un patrón de interacción que no encaja con el usuario recurrente que afirma ser, un ritmo que parece automatizado, un desajuste entre el dispositivo y el comportamiento. Esa puntuación es la señal sobre la que actúa un equipo antifraude, y atrapa las cuentas que superan todas las comprobaciones basadas en reglas porque, sobre el papel, no hay nada malo en ellas.

Cómo es la integración

Pese a toda la maquinaria que hay debajo, la superficie que ve el desarrollador es deliberadamente pequeña. Tracio ofrece SDK para JavaScript, Python, Node.js y Go, y el caso habitual es una sola llamada que devuelve, juntos, la resolución de identidad, un veredicto sobre si es un bot y una puntuación de riesgo.

import { Tracio } from "@tracio/node";

const tracio = new Tracio(process.env.TRACIO_KEY);

const result = await tracio.evaluate({ sessionId, signals });
// {
//   returningUser: true,
//   isBot: false,
//   riskScore: 0.08   // 0 = trusted, 1 = hostile
// }

if (result.isBot || result.riskScore > 0.8) {
  return challenge();
}

La respuesta llega en menos de 100 milisegundos, que es el número que decide si esto puede situarse en una ruta de inicio de sesión o de pago sin convertirse en la parte lenta. El reconocimiento entre dispositivos se apoya en la misma evaluación: un usuario recurrente se reconoce por cómo se comporta, así que aguanta a través de un navegador nuevo o un dispositivo nuevo, donde una cookie nunca pudo.

Construir para el mundo que ya está aquí

La web pos-cookie ya no es un pronóstico; es el entorno en el que usted publica hoy. Los equipos que lo traten como una historia puramente de privacidad se llevarán una sorpresa cuando sus tasas de fraude suban y su tráfico de bots se vuelva invisible. Las señales que transportaban las cookies siguen necesitando respuesta; lo único es que ya no puede responderlas almacenando algo en el usuario.

La apuesta de Tracio es que el comportamiento es un cimiento mejor de lo que jamás fue el almacenamiento: más difícil de falsear, imposible de robar de un dispositivo que no guarda nada, y honesto respecto a la privacidad porque, de verdad, no hay nada siguiendo al usuario a todas partes. Eso no es un apaño ante la muerte de la cookie. Es lo que debería haber sido la respuesta desde el principio.