Cómo la sincronización de cookies empareja IDs publicitarios entre sitios

¿Qué es la sincronización de cookies?

Las empresas de ad-tech usan la sincronización de cookies para emparejar el ID que una empresa guarda en tu navegador con el ID que una segunda empresa guarda para ese mismo navegador, de modo que ambas puedan tratar sus dos registros como una sola persona. Cada empresa pone su propia cookie de terceros desde su propio dominio, y el navegador no deja que un dominio lea la cookie de otro. La sincronización de cookies esquiva esa barrera pasando el ID en una URL en lugar de leer la cookie directamente.

Google explica el motivo en su guía de Authorized Buyers: "the security model of internet browsers restricts one from reading a cookie set by another domain." Su servicio de cookie matching existe para que un pujador pueda emparejar su propia cookie con "a corresponding bidder-specific Google User ID", que Google describe como "an encrypted form of the doubleclick.net cookie." El sector llama a lo mismo cookie matching, sincronización de IDs o emparejamiento de usuarios.

Si tienes un sitio web, la sincronización de cookies ocurre en tus páginas cada vez que cargas una etiqueta de anuncios, un píxel de retargeting o un contenedor de tag manager que incluya cualquiera de los dos. Tu propia analítica nunca ve los IDs emparejados. Las empresas de publicidad sí.

¿Cómo funciona la sincronización de cookies, paso a paso?

La sincronización de cookies funciona mediante una cadena de peticiones HTTP que un píxel inicia y una redirección termina, con el ID de usuario de una empresa escrito en la URL que sigue el navegador. La guía de cookie matching de Google documenta el flujo para sus socios de Real-Time Bidding, y otras redes publicitarias siguen el mismo patrón:

1. Se carga una etiqueta de emparejamiento. Una página que abre el visitante incluye una etiqueta de píxel de un pujador que dirige el navegador al Cookie Matching Service de Google. El navegador envía a Google su cookie de doubleclick.net con esa petición.
2. Google redirige. Google responde con una redirección HTTP 302 a la URL de cookie matching del pujador y pone el Google User ID específico de ese pujador en un parámetro google_gid.
3. El pujador lee ambos IDs. El navegador sigue la redirección al dominio del pujador, que recibe su propia cookie en los encabezados de la petición y el ID de Google en la URL.
4. El par entra en una tabla de correspondencias. El pujador guarda la correspondencia en su propia tabla, o envía a Google su propio ID en un parámetro google_hm para que sea Google quien aloje la tabla.
5. Las peticiones de puja llevan el emparejamiento. Las peticiones de puja posteriores para ese navegador incluyen los datos emparejados del pujador, así que el pujador sabe que la impresión pertenece a un usuario del que tiene un perfil.

Google también ejecuta el flujo a la inversa con un parámetro google_push, en el que Google coloca la etiqueta y el pujador redirige de vuelta a Google para completar el emparejamiento. El visitante no ve nada de esto. El píxel es una imagen de 1x1 o una petición invisible, la misma pieza básica que se describe en la guía sobre píxeles espía.

¿Por qué necesitan las empresas de ad-tech la sincronización de cookies?

Las empresas de ad-tech necesitan la sincronización de cookies porque cada una solo reconoce un navegador por su propia cookie, y una subasta en tiempo real necesita que comprador y vendedor se pongan de acuerdo sobre quién es el visitante en milisegundos. Supón que un data broker conoce un navegador como a91f, un exchange lo conoce como 7c2e y un pujador lo conoce como 55d0. Sin una tabla de correspondencias, el pujador no puede saber que la impresión en venta pertenece a la persona que ayer abandonó un carrito en otro sitio.

Cada sincronización suma otra empresa que guarda un ID para el mismo navegador. Por eso la sincronización de cookies está en el centro del rastreo entre sitios y por eso la guía sobre cómo recopilan información personal los data brokers la pone junto a los píxeles y los SDK como fuente de datos de comportamiento online. Una etiqueta de sincronización en una página de noticias se reparte a todos los socios con los que sincroniza el dueño de la etiqueta, y cada uno de ellos conoce ahora el mismo navegador por la misma clave.

¿Qué hicieron Safari y Firefox con la sincronización de cookies?

Safari y Firefox rompieron la sincronización de cookies desde la base al cortar la cookie de terceros de la que depende cada paso de la cadena de redirecciones. El emparejamiento solo funciona si la propia cookie del pujador llega con la petición redirigida, y ambos navegadores lo impiden por defecto.

WebKit llama a este patrón de redirección "tracker collusion." Cuando un dominio se clasifica como rastreador, "a check is made to see which other domains have previously redirected to" él, "and all of them get classified too." Un dominio clasificado con el que el usuario no ha interactuado como first party en los últimos 30 días de uso del navegador pierde todos sus datos de sitio web.

Mozilla describe el enfoque de Firefox en términos más sencillos: cualquier cookie que pone un sitio web o un contenido incrustado "is confined to the cookie jar assigned to only that website." Un pujador sigue recibiendo una cookie, pero es una cookie distinta en cada sitio, justo lo contrario de lo que necesita una sincronización. La guía de cookies particionadas CHIPS explica cómo Chrome ofrece el mismo modelo particionado a los sitios que lo activan.

¿Sigue funcionando la sincronización de cookies en Chrome?

La sincronización de cookies sigue funcionando en Chrome para todos los usuarios que no han bloqueado las cookies de terceros, porque Google decidió mantener las cookies de terceros como ajuste del usuario. En una publicación del 22 de abril de 2025, el responsable de Privacy Sandbox de Google, Anthony Chavez, escribió que Chrome iba a "maintain our current approach to offering users third-party cookie choice in Chrome, and will not be rolling out a new standalone prompt for third-party cookies." Los usuarios eligen una opción en los ajustes de Privacidad y seguridad de Chrome, y la página de ayuda de Chrome dice "by default, third-party cookies are blocked in Incognito mode."

Después, Google retiró la mayor parte de la tecnología de sustitución. Una actualización del 17 de octubre de 2025 enumeró las APIs de Privacy Sandbox que se retiraban, entre ellas Topics, Protected Audience, la Attribution Reporting API y Related Website Sets, alegando "their low levels of adoption." CHIPS y FedCM se quedan.

Para el dueño de un sitio, cualquier etiqueta de anuncios o de retargeting que cargues en Chrome puede seguir sincronizando IDs con sus socios. Quitar la etiqueta es la única forma de pararlo en tus páginas.

¿Cómo puede el dueño de un sitio ver la sincronización de cookies en sus propias páginas?

El dueño de un sitio ve la sincronización de cookies abriendo el panel de red del navegador en su propia página y buscando cadenas de redirecciones entre dominios publicitarios que lleven IDs en la query string. Carga en Chrome, con las cookies de terceros permitidas, una página con anuncios o etiquetas de retargeting, abre DevTools, filtra por "Img" o "Doc" y ordena por dominio.

Señales de una sincronización:

• Una petición a un dominio publicitario que devuelve un estado 302 con un encabezado Location que apunta a otro dominio publicitario.
• Parámetros de consulta con nombres como uid, gid, buyeruid, partner_uid o google_gid que contienen un valor aleatorio largo.
• Un GIF de 1x1 o una respuesta vacía al final de la cadena.
• La misma cadena disparándose en cada página vista, no una vez por visita.

Después repite la comprobación en Safari. El Informe de privacidad de Safari lista los rastreadores conocidos a los que impidió crear un perfil del visitante, y la guía del informe de privacidad de Safari explica cómo leerlo. La diferencia entre los dos navegadores te muestra cuántos socios traen tus etiquetas.

¿Por qué la analítica first-party no necesita la sincronización de cookies?

La analítica first-party no necesita la sincronización de cookies porque solo cuenta las visitas al sitio en el que está instalada, así que no hay una segunda empresa cuyo ID tenga que emparejar. Una página vista, un referente, un objetivo y una compra pertenecen a un solo sitio web. La herramienta de analítica necesita distinguir una sesión de otra en ese sitio, no reconocer el mismo navegador en un blog de recetas y en una tienda de zapatos.

Flowsery está construido para ese trabajo más acotado. El script de tracking de Flowsery funciona sin cookies con un hash de visitante que rota cada día y no recoge datos personales, y en el modo sin cookies los IDs de visitante rotan a diario, así que Flowsery no enlaza a un visitante anónimo entre días ni entre dispositivos. Flowsery afirma que nunca vende ni comparte datos de analítica y que no recoge huellas digitales del navegador. Para usuarios con sesión iniciada, la llamada identify() de Flowsery asocia el ID de usuario que ya tienes, y la atribución de ingresos vincula un pago de Stripe, Paddle, Polar, Lemon Squeezy o Shopify con la sesión que convirtió. Ninguno de los dos pasos usa el ID de un socio publicitario. La página de la solución de tracking sin cookies muestra cómo se agrupan las sesiones con hashes con sal.

Preguntas frecuentes

¿La sincronización de cookies es lo mismo que el cookie matching?

Sí. La documentación de Authorized Buyers de Google lo llama cookie matching, y el sector también usa sincronización de IDs y emparejamiento de usuarios. Los cuatro nombres describen el mismo intercambio de IDs basado en redirecciones entre dos dominios de ad-tech.

¿La sincronización de cookies necesita cookies de terceros?

Sí, el flujo clásico de redirección necesita que la cookie de terceros del pujador llegue con la petición redirigida. Safari bloquea todas las cookies de terceros y Firefox las particiona por sitio, así que el pujador o no recibe cookie o recibe una específica de ese sitio. Chrome sigue enviando cookies de terceros a los usuarios que no las han bloqueado.

¿Puedo parar la sincronización de cookies en mi sitio web?

Paras la sincronización de cookies en tus propias páginas quitando las etiquetas de anuncios, de retargeting y de data brokers que la inician. Un banner de consentimiento que bloquea esas etiquetas hasta que el visitante acepta también detiene las sincronizaciones para los visitantes que rechazan. Tu herramienta de analítica no tiene ningún ajuste que desactive la sincronización de etiquetas que no controla.

¿La sincronización de cookies cuenta como dato personal según el RGPD?

Un ID sincronizado es un identificador en línea que distingue a un navegador entre sitios, y eso lo convierte en dato personal según el RGPD. En la UE, poner y leer las cookies que hay detrás exige consentimiento según las normas de ePrivacy. Compartirlo con socios también exige una base jurídica para cada destinatario.

¿Bloqueó Chrome las cookies de terceros?

No. La publicación de Google del 22 de abril de 2025 dice que Chrome seguirá ofreciendo la elección sobre cookies de terceros en sus ajustes y que no lanzará un aviso independiente. Chrome bloquea las cookies de terceros por defecto solo en el modo Incógnito.

¿Flowsery sincroniza cookies con redes publicitarias?

No. Flowsery mide el tráfico de tu propio sitio, afirma que nunca vende ni comparte datos de analítica, y su modo sin cookies usa un hash de visitante que rota cada día, sin datos personales. Flowsery no tiene IDs de socios publicitarios que emparejar.

¿Qué es una tabla de coincidencias en la sincronización de cookies?

Una tabla de coincidencias es la lista donde una empresa de ad-tech guarda qué ID propio corresponde a qué ID de un socio. El bidder la construye tras la redirección, cuando ha visto su propia cookie y el ID del socio en la misma petición. En el flujo de Google, el bidder también puede devolver su ID en un parámetro google_hm para que Google aloje la tabla.

¿Cómo compruebo si mi sitio usa sincronización de cookies?

Abre DevTools en Chrome con las cookies de terceros permitidas, carga una página con etiquetas de anuncios o de retargeting y filtra por "Img" o "Doc". Busca una respuesta 302 cuyo encabezado Location apunte a otro dominio publicitario, y parámetros como uid, gid o google_gid con un valor aleatorio largo. Un GIF de 1x1 al final de la cadena es otra señal de una sincronización.

¿Safari bloquea la sincronización de cookies?

Safari bloquea la cookie de la que depende la sincronización. El ITP de WebKit bloquea todas las cookies de terceros sin excepciones, así que la redirección llega al bidder sin su cookie y no hay nada que cruzar. Safari también clasifica los dominios que redirigen entre rastreadores, lo que mete a cada dominio de la cadena en la clasificación.

¿Funciona la sincronización de cookies en modo Incógnito?

La ayuda de Chrome dice que las cookies de terceros se bloquean por defecto en modo Incógnito. La cookie del bidder no llega con la petición redirigida, así que la sincronización clásica no tiene nada que cruzar mientras el usuario no cambie ese ajuste.