Cookie de terceiro: como funciona e por que some
Cookie de terceiro, ou third-party, é o cookie gravado por um domínio diferente daquele que
o visitante está vendo na barra de endereços. Se a pessoa está em sualoja.com.br e um
recurso carregado de doubleclick.net grava um cookie no domínio dele, esse cookie é de
terceiro. Como o mesmo domínio aparece em milhares de sites, ele permite reconhecer a mesma
pessoa entre sites diferentes, que é a base histórica do remarketing.
O mecanismo, passo a passo
A página carrega um recurso externo: um script, um pixel de imagem, um iframe. A requisição
sai para o domínio do terceiro, que responde com Set-Cookie no domínio dele. Em outra
visita, a outro site, o mesmo terceiro recebe esse cookie de volta e liga as duas visitas.
Para o site que hospeda, há uma consequência desconfortável: cada terceiro carregado recebe o IP e o user agent do visitante antes de qualquer clique no banner. Uma requisição de rede executada já entregou dado.
Por que os navegadores estão fechando a porta
O mecanismo vem sendo restringido pelos próprios navegadores, por motivos de privacidade e de concorrência:
- Safari bloqueia cookies de terceiro por padrão há anos, com o Intelligent Tracking Prevention.
- Firefox isola cookies por site com a Total Cookie Protection, o que quebra o reconhecimento entre sites.
- Chrome anunciou a descontinuação em 2020, adiou três vezes e desistiu em julho de 2024: o cookie de terceiro continua ligado por padrão, e a Sandbox de Privacidade virou um conjunto de APIs opcionais.
O efeito já aparece no relatório de hoje, independentemente de datas: público de remarketing menor, janela de atribuição mais curta e conversão que o painel não enxerga.
O que entra no lugar
Três caminhos vêm substituindo o mecanismo, e nenhum deles dispensa consentimento: identificadores primários com medição do lado do servidor; envio de dados próprios pelo anunciante, sempre com base legal para isso; e modelagem estatística, como a que o Google Consent Mode alimenta com pings sem cookie. Muda a técnica de mensuração, e a obrigação de perguntar antes continua igual.
As portas de entrada que sobram no seu site
Mesmo sem redes de anúncio, sobram caminhos: iframe do YouTube ou do Google Maps, player de vídeo hospedado, widget de chat, formulário incorporado, mapa de calor, fonte ou ícone servido por CDN externa. Cada um é uma requisição a outro domínio, com o mesmo efeito.
O vídeo do YouTube na página de produto
Uma página de produto com vídeo do YouTube grava cookie de publicidade antes de qualquer
clique, inclusive quando o visitante nem dá play. Bloquear o iframe até o aceite de
marketing, substituindo-o por um aviso de conteúdo bloqueado que reabre as preferências,
resolve o caso sem tirar o vídeo do ar. Usar youtube-nocookie.com reduz o rastreamento sem
eliminá-lo.
Bloqueio de navegador não é prova de consentimento
Concluir que o banner virou desnecessário porque os navegadores já bloqueiam ignora três coisas: o Chrome ainda concentra a maior parte do tráfego brasileiro e o comportamento dele muda por decisão da empresa; o bloqueio do navegador não produz prova de consentimento, que é o que a LGPD cobra; e a migração para cookie primário e medição do lado do servidor não altera a finalidade do tratamento, então a base legal continua sendo consentimento.
O raciocínio simétrico também aparece: acreditar que "sem cookie de terceiro não há dado
pessoal". Identificador que permite reconhecer um visitante é dado pessoal, esteja ele em
cookie primário, em localStorage ou num parâmetro de URL.
Termos relacionados
Continue lendo
Cookie primário: quando ele também exige consentimento
O que define um cookie primário, por que primário não é sinônimo de necessário e como classificar os cookies do seu próprio domínio sem errar.
Dado pessoal sensível: a lista do art. 5º, II
A lista do art. 5º, II, as hipóteses restritas do art. 11 e como um e-commerce comum acaba tratando dado sensível sem perceber.
Dark pattern no banner de cookies e o aceite inválido
Os padrões de interface que empurram o visitante para o aceite, por que cada um contamina o art. 8º da LGPD e como testar o seu próprio banner.
Encarregado (DPO): atribuições e quando é obrigatório
O papel do encarregado na LGPD, as atribuições do art. 41, a regra especial para agentes de pequeno porte e onde divulgar o contato.