Cómo funciona un píxel de seguimiento y qué no puede ver

¿Qué es un píxel de seguimiento?

Los equipos de marketing incrustan un píxel de seguimiento, una imagen de 1x1 referenciada por una URL que identifica la campaña, para que renderizar la página o el correo fuerce una petición a un servidor que la registra. La imagen es lo de menos. La petición es el producto.

Meta distribuye el patrón en su propio código base documentado, como alternativa para los visitantes cuyo navegador no ejecuta la versión en JavaScript:

<noscript>
  <img height="1" width="1" style="display:none"
       src="https://www.facebook.com/tr?id={your-pixel-id-goes-here}&ev=PageView&noscript=1"/>
</noscript>

Todo lo que reporta un píxel está en esa URL o en las cabeceras que adjunta el cliente. id nombra la cuenta, ev=PageView nombra el evento, noscript=1 registra que este fue el camino de respaldo. El cuerpo de la respuesta es irrelevante para quien envía, y por eso los endpoints devuelven un GIF transparente de 1x1 o un 204 No Content vacío, y por eso el elemento se oculta con display:none.

¿Qué recibe realmente el servidor?

Con una petición de píxel llegan cinco cosas, y solo una la elige quien colocó el píxel.

Fíjate en lo que falta. No hay título de página, ni tamaño de pantalla, ni posición de scroll, ni tiempo en página, porque nada de eso existe en el momento en que se pide una imagen. Un impacto de píxel es una línea en un log de acceso, y cada campo de esa línea lo adjuntó el cliente automáticamente o lo escribió en la URL quien envía semanas antes. Los analistas atribuyen de forma rutinaria a los datos de píxel un detalle que no pueden contener, y luego explican los huecos resultantes como bloqueo de anuncios.

La línea Referer es la que más gente sigue entendiendo mal. Los navegadores usan por defecto strict-origin-when-cross-origin, que MDN describe como enviar "the origin, path, and query string when performing a same-origin request" pero para peticiones cross-origin enviar "the origin (only) when the protocol security level stays same (HTTPS to HTTPS)." Un píxel de terceros aprende por tanto el sitio, no la página, salvo que el dueño de la página pasara la ruta en el query string a propósito.

¿Qué no puede hacer un píxel que sí puede hacer un script?

Un píxel no puede leer la página en la que está. Se dispara una vez, lleva solo lo que ya contenía la URL, y ahí acaba la petición.

La documentación de Meta muestra la diferencia dentro de un mismo producto. El píxel en JavaScript, dice, "will track URLs visited, domains visited, and the devices your visitors use." La imagen en noscript que va debajo reporta un único PageView con los parámetros ya escritos en el src. Misma cuenta, mismo nombre de evento, una fracción del detalle.

Por esto también el píxel es la herramienta equivocada y la preocupación equivocada en la mayoría de las discusiones sobre analítica web. La medición basada en script es la que lee la página; el píxel es el respaldo degradado. Para la pregunta más amplia de qué puede unir una petición de terceros entre sitios, el seguimiento entre sitios y la diferencia entre cookies propias y de terceros importan mucho más que el tamaño de la imagen.

¿Por qué las tasas de apertura de correo exageran las aperturas?

El seguimiento de aperturas de correo es el caso de uso clásico del píxel, y es el primero que se rompió. En el correo no existe ningún evento de apertura. Solo hay una imagen remota que el cliente de correo puede descargar o no, así que toda la métrica descansa en que el cliente se comporte como lo hacía en 2010.

Protect Mail Activity de Apple, el ajuste detrás de Mail Privacy Protection, rompe la inferencia en dos sitios. Apple afirma que "helps protect your privacy by preventing email senders, including Apple, from learning information about your Mail activity", y describe el mecanismo sin ambigüedad: "downloads remote content in the background by default", con independencia de si el destinatario interactúa con el correo. Esa sola frase convierte una tasa de apertura en una tasa de entrega para cada destinatario que tenga el ajuste activado. Del lado de la red, Apple "routes all remote content downloaded by Mail through two separate relays operated by different entities", así que la dirección IP que llega a quien envía no es la del destinatario, y "senders can't use your IP address as a unique identifier to connect your activity across websites or apps to build a profile about you."

Gmail ataca la misma señal desde otro ángulo, escaneando y sirviendo las imágenes él mismo. La página de ayuda de Google afirma que "senders can't use image loading to get information about your computer or location" y que "senders can't use the image to set or read cookies in your browser." También concede el límite de esa protección en una línea: "sometimes, senders may know whether you've opened an email that has an image."

Lee la consecuencia con cuidado antes de informar sobre una campaña. La tasa de apertura es ahora un límite superior hecho sobre todo de descargas automáticas, y las cuentas se inflan en los segmentos con más usuarios de Apple Mail, lo que significa que comparar tasas de apertura entre segmentos es comparar clientes de correo. Los clics siguen exigiendo a una persona, y por eso la tasa de clics, y los ingresos atribuidos al clic, sobreviven al cambio. El mismo razonamiento se aplica al seguimiento del lado del servidor en la web: cuanto más cerca está la medición de una acción que alguien tuvo que hacer, menos depende de una peculiaridad de renderizado.

¿Es un píxel de seguimiento lo mismo que un web beacon o un spy pixel?

Sí, son tres nombres para un mismo mecanismo con connotaciones distintas. "Web beacon" es el término neutro más antiguo, "píxel de seguimiento" es el término de los proveedores, y "spy pixel" es el que cuajó cuando los periodistas empezaron a contar cuántos correos de marketing llevan uno. El HTML es idéntico en los tres casos.

Detectar uno requiere un panel de red y ninguna herramienta más. Filtra las peticiones por tipo imagen, ordena por tamaño y busca respuestas de unos pocos cientos de bytes o menos cuya URL lleve un identificador y un nombre de evento. En un correo, ver el mensaje en crudo y buscar en el HTML etiquetas img con un width o un height de 1 encuentra lo mismo antes de que el cliente lo renderice.

Lo que varía es la divulgación y la jurisdicción, no la tecnología. Un píxel que reporta una compra a una plataforma publicitaria, uno que mide si se entregó una newsletter y uno que toma la huella de un lector entre sitios se ven igual en el marcado, y la ley de privacidad los trata de forma muy distinta. El elemento no te dice nada sobre la intención; el dominio de destino y los parámetros de la URL sí.

Preguntas frecuentes

¿Por qué un píxel de seguimiento es de 1x1?

Porque tiene que pedirse sin que se vea. Un píxel es la imagen válida más pequeña, y suele ocultarse con display:none o igualarse al fondo para que nada del layout se desplace.

¿Puede un píxel de seguimiento leer mi dirección de correo?

Solo la que ya está codificada en su URL. Quien envía añade un identificador de destinatario al query string antes del envío, así que el píxel devuelve la identidad que ya tenía, no una que haya descubierto.

¿Los bloqueadores de anuncios detienen los píxeles de seguimiento?

Las listas de bloqueo comparan la URL de la petición, así que un píxel que apunta a un dominio publicitario conocido se bloquea como cualquier otra petición de ese dominio. Un píxel servido desde el propio dominio del sitio es más difícil de clasificar para una lista.

¿Mail Privacy Protection de Apple bloquea los píxeles?

No bloquea la descarga. Apple descarga el contenido remoto en segundo plano por defecto haya o no interacción con el mensaje, y lo enruta por dos relés, así que la petición sigue llegando pero la apertura, el momento y la dirección IP dejan de significar lo que quien envía supone.

¿Puede un píxel poner una cookie?

Su respuesta puede enviar Set-Cookie para su propio dominio, que es una cookie de terceros cuando el píxel está en la página de otro. Que el navegador la guarde y la devuelva después depende de las reglas de cookies de terceros de ese navegador.

¿Es un píxel de seguimiento un dato personal según el RGPD?

La imagen no, los datos que recoge pueden serlo. Una dirección IP más un identificador de destinatario en un query string identifican a una persona, que es la prueba que importa, y no el formato del archivo.

¿Funciona un píxel de seguimiento si JavaScript está desactivado?

Un píxel no necesita JavaScript para funcionar. El código base de Meta incluye un <noscript> de respaldo hecho con una simple etiqueta <img>, porque cargar cualquier imagen obliga al navegador a hacer la petición sin importar si el script se ejecuta. Ese es todo el mecanismo: pedir la URL y registrar el impacto.

¿Por qué los píxeles de seguimiento devuelven una imagen en blanco o una respuesta 204?

El remitente nunca lee lo que vuelve. Lo único que importa es que la petición llegue al servidor y quede registrada, así que los endpoints responden con un GIF transparente de 1x1 o un 204 No Content vacío en lugar de algo con contenido real. El display:none del elemento sigue la misma lógica, porque nada de la imagen está pensado para verse.

¿Puede un píxel de seguimiento contar cuántas veces se abrió un correo?

Los conteos no son fiables. Protect Mail Activity de Apple se dispara con cada descarga en segundo plano, se haya abierto el mensaje o no, así que las aperturas repetidas no se distinguen de la primera. Gmail guarda en caché la imagen proxied, por lo que una segunda apertura puede pasar completamente inadvertida.

¿Sabe un píxel de seguimiento en qué página está alguien?

Casi nunca, más allá del dominio. Los navegadores usan por defecto strict-origin-when-cross-origin, que envía la ruta completa solo en peticiones del mismo origen y la recorta al origen en peticiones entre orígenes. Un píxel de terceros conoce entonces el dominio que lo incrustó, no la página exacta, a menos que el propietario del sitio haya escrito la ruta en la cadena de consulta.