O cookie de terceiros está finalmente, de verdade, morrendo. O Safari o matou anos atrás, o Firefox seguiu o exemplo, e o Chrome o descontinuou. A maior parte da cobertura enquadrou isso como uma vitória da privacidade, e é. Mas também quebrou discretamente muita maquinaria legítima que vinha funcionando sobre cookies sem que ninguém pensasse muito a respeito — detecção de fraude, filtragem de bots, continuidade de sessão, a análise básica de "este é o mesmo visitante".

O primeiro instinto do setor foi encontrar uma nova coisa para armazenar no dispositivo do usuário e chamá-la de substituta. Essa é a lição errada. O problema dos cookies nunca foi o mecanismo de armazenamento; foi a premissa de que você identifica alguém plantando um marcador na pessoa e lendo-o de volta mais tarde. O Tracio parte de uma premissa totalmente diferente: dá para entender quem está usando um produto sem armazenar absolutamente nada no dispositivo da pessoa.

O que os cookies de fato faziam

Para substituir uma coisa, você precisa ser honesto sobre o que ela fazia. Os cookies carregavam, discretamente, pelo menos quatro tarefas diferentes:

  • Detecção de fraude e abuso — este é o mesmo ator que acabou de tentar cinco cartões roubados?
  • Filtragem de bots — existe sequer um humano aqui, ou é um navegador headless rodando um script?
  • Continuidade de sessão — esta é a mesma pessoa que adicionou um item ao carrinho dois cliques atrás?
  • Análise — quantos visitantes distintos, recorrentes versus novos?

Quando os cookies desapareceram, as quatro quebraram de uma vez, e a maioria das soluções "sem cookies" só resolve a de análise. Os problemas difíceis — fraude e bots — são justamente os que mais importam, porque há um adversário do outro lado tentando ativamente vencer você.

Identidade a partir do comportamento, não do armazenamento

O Tracio constrói seu sinal a partir de como uma sessão se comporta e em que dispositivo ela roda, e não a partir de algo que ela deixa para trás. Duas grandes classes de sinal o alimentam.

A primeira é comportamental. As pessoas interagem com uma tela de formas que são notavelmente consistentes para cada indivíduo e notavelmente difíceis de falsificar de modo convincente: a cadência e o ritmo da digitação, os micropadrões de movimento do mouse e de rolagem, como você corrige um erro, o intervalo de tempo entre as ações. Nada disso é armazenado no dispositivo. É observado no momento e avaliado no momento.

A segunda são as características de dispositivo e de ambiente — a configuração que um navegador expõe, reunida em um perfil. Isoladamente, isso é fraco e compartilhado por muitos usuários, mas, combinado com o comportamento, fica consideravelmente mais nítido.

A decisão de design crítica é o que o Tracio deliberadamente *não* faz. Ele não constrói um perfil que segue a pessoa de site em site. Não há grafo de identidade entre sites, não há ID compartilhado vendido a redes de anúncios. O sinal vive dentro do contexto do próprio negócio, respondendo às perguntas do próprio negócio — esta sessão é arriscada, isto é um bot, este é o usuário recorrente que afirma ser — e nada mais. É isso que o torna respeitoso com a privacidade por design, e não por press release. Ele está em conformidade com GDPR e CCPA de fábrica justamente porque não há rastreamento entre sites a conciliar.

Os bots são o verdadeiro teste

A análise perdoa erros; a fraude não. O lugar em que uma abordagem sem cookies precisa se provar é contra um adversário, e a versão mais afiada desse adversário é o bot sofisticado — um navegador headless ou framework de automação construído especificamente para parecer humano.

É aqui que o comportamento vence o fingerprinting. Um bot pode forjar um user agent, falsificar uma resolução de tela e trocar de endereço IP o dia inteiro. O que ele tem dificuldade de falsificar é a textura da interação humana: o timing ligeiramente irregular, os trajetos imperfeitos do mouse, a hesitação antes de um clique. Sistemas baseados em regras olham para o que uma sessão *afirma* ser e são facilmente enganados. O Tracio pontua o que uma sessão de fato *faz*, e essas pistas são muito mais difíceis de forjar. É essa vantagem comportamental que leva a precisão de detecção de bots a 99,2% contra tráfego projetado para se passar por real.

A detecção de fraude funciona da mesma forma, uma camada acima. Em vez de um permitir/bloquear binário, cada sessão recebe uma pontuação de risco construída a partir de anomalias comportamentais — um padrão de interação que não bate com o usuário recorrente que ela afirma ser, um ritmo que parece roteirizado, uma incompatibilidade entre dispositivo e comportamento. Essa pontuação é o sinal sobre o qual uma equipe de fraude age, e ela pega as contas que passam por toda verificação baseada em regras porque, no papel, não há nada de errado com elas.

Como é a integração

Apesar de toda a maquinaria por baixo, a superfície para o desenvolvedor é deliberadamente pequena. O Tracio disponibiliza SDKs para JavaScript, Python, Node.js e Go, e o caso comum é uma única chamada que retorna, juntas, a resolução de identidade, um veredito sobre bot e uma pontuação de risco.

import { Tracio } from "@tracio/node";

const tracio = new Tracio(process.env.TRACIO_KEY);

const result = await tracio.evaluate({ sessionId, signals });
// {
//   returningUser: true,
//   isBot: false,
//   riskScore: 0.08   // 0 = trusted, 1 = hostile
// }

if (result.isBot || result.riskScore > 0.8) {
  return challenge();
}

A resposta volta em menos de 100 milissegundos, que é o número que decide se isso pode ficar em um caminho de login ou de checkout sem virar a parte lenta. O reconhecimento entre dispositivos se apoia na mesma avaliação — um usuário recorrente é reconhecido por como se comporta, então isso se mantém mesmo em um navegador novo ou em um dispositivo novo, onde um cookie jamais conseguiria.

Construindo para o mundo que já chegou

A web pós-cookie não é mais uma previsão; é o ambiente para o qual você está lançando hoje. As equipes que tratam isso como uma história puramente de privacidade vão se surpreender quando suas taxas de fraude subirem e seu tráfego de bots se tornar invisível. Os sinais que os cookies carregavam ainda precisam ser respondidos — você só não pode mais respondê-los armazenando algo no usuário.

A aposta do Tracio é que o comportamento é uma base melhor do que o armazenamento jamais foi: mais difícil de forjar, impossível de roubar de um dispositivo que não guarda nada, e honesto quanto à privacidade porque genuinamente não há nada seguindo o usuário por aí. Isso não é uma gambiarra para a morte do cookie. É o que deveria ter sido a resposta desde o começo.