---
title: "Demo de Tracking & Targeting"
description: "Uma demonstração ao vivo: o que o seu navegador revela, como esses dados são leiloados e como os perfis servem para direcionar a manipulação. Nada sai dele sem que você rode o teste de rastreadores."
url: https://attentionmachine.org/pt/maquina-da-atencao/tracking-e-targeting/
lang: pt
updated: 2026-10-25
license: "CC BY-NC-SA 4.0 (https://creativecommons.org/licenses/by-nc-sa/4.0/)"
---

> **Conteúdo em revisão por voluntários** Falantes nativos estão conferindo esta tradução com o original em inglês. [Como traduzimos e como informar um erro (em inglês)](https://attentionmachine.org/en/about/translations/#volunteer-review)

# Demo de Tracking & Targeting

Uma demonstração ao vivo, em três fases: o que o seu navegador revela sobre você, como esses dados são leiloados e como o perfil que resulta deles é usado para direcionar a manipulação. Tudo roda no seu navegador. **Nada é enviado para lugar nenhum, a menos que você rode o teste de rastreadores: ele envia três requisições reais ao Google e ao X.**

A ideia desta demo vem do Cover Your Tracks[^src-eff], da EFF — a ferramenta que a Electronic Frontier Foundation mantém há anos para mostrar o que o seu navegador revela aos rastreadores e o quão única é a impressão digital (fingerprint) dele. Use-a junto com esta página para ter uma segunda leitura, independente, da sua exposição.

Este site usa só estatísticas de acesso sem cookies — nenhum dado pessoal, nenhum perfil (detalhes na [página de privacidade](https://attentionmachine.org/pt/sobre/privacidade/)). Com uma exceção, feita de propósito: _esta página_ pode carregar três rastreadores reais de publicidade e de estatísticas, uma única vez, para que a demonstração abaixo possa testar de verdade se o seu navegador os bloqueia — mas só quando você aperta o botão da primeira demo; nada é carregado antes disso. São os únicos rastreadores do site inteiro. Cada requisição leva o que qualquer requisição de imagem leva — o seu endereço IP, o endereço do site (não o desta página: o site pede ao seu navegador que deixe o resto do endereço de fora) e qualquer cookie que o seu navegador já guarde dessa empresa, que é justamente o identificador que faz dela um rastreador. Se o seu navegador aceita cookies de outros sites, duas das empresas gravam um em resposta: o X, um cookie chamado muc\_ads que dura dois anos, e a DoubleClick, um cookie de teste que dura quinze minutos[^src-probe-headers-2026]. Nada mais é enviado, e nós não guardamos nada.

## Fase 1 — O que esta página já sabe

Sem você clicar em nada, sem fazer login, o seu navegador revela muita coisa a cada site que você visita. A lista abaixo é o que esta página consegue ler sobre você com JavaScript comum — sem permissões especiais, sem nenhuma requisição ao servidor. Nenhum pedido de consentimento aparece para nada disso. Na UE, deveria aparecer: as Diretrizes 2/2023[^src-european-data-2024] do Comitê Europeu para a Proteção de Dados confirmam que ler informações já armazenadas no seu aparelho — que é o que a impressão digital do navegador faz — está sujeito ao artigo 5(3) da Diretiva ePrivacy e exige consentimento. Você raramente vai ver esse pedido. É o estado normal da web.

Cada sinal, sozinho, é banal. O tamanho da tela, o idioma, o fuso horário, a densidade de pixels do aparelho. Juntos, formam uma impressão digital muitas vezes suficiente para identificar você de um site para outro, sem cookie nenhum[^src-eckersley-2010]. Para medir com precisão o quão único é o seu navegador, a referência é a ferramenta Cover Your Tracks, da EFF[^src-eff].

Esses sinais — somados ao seu endereço IP, ao seu histórico de navegação e a registros de corretores de dados com quem você nunca teve contato — formam um perfil persistente. Os cookies são só um mecanismo entre muitos. A impressão digital do navegador resiste a apagar os cookies[^src-eckersley-2010]. O seu navegador também pode pedir para não ser rastreado. Na Califórnia, a lei obriga as empresas a respeitar o Global Privacy Control[^src-california-attorney-2026] como um pedido para parar de vender ou compartilhar os seus dados, e o Colorado o reconhece[^src-colorado-department-2026] com base na sua própria lei de privacidade; o sinal mais antigo, Do Not Track, foi engavetado pelo W3C em 2019[^src-w3c-2019], porque poucos sites e navegadores o adotaram.

O teste ao vivo acima examina três camadas, cada uma mais invasiva do que parece. As **estatísticas de acesso** são a camada que todo mundo aceita como inofensiva — "só estatística de visitas". Mas o Google Analytics está em quase metade de todos os sites — mais de quatro em cada cinco dos que usam alguma ferramenta de estatística (W3Techs[^src-w3techs-2026]). O cookie dele é gravado separadamente em cada site[^src-google-2026], mas em cada um deles o seu navegador envia ao Google o endereço da página e o seu endereço IP[^src-google-2026-b], que o Google pode usar, dependendo das suas configurações, para personalizar os anúncios que você vê em outros lugares. "Só estatística" é a matéria-prima de um registro de por onde você anda de um site para outro. A camada da **bolsa de anúncios** é onde esse registro vira produto: você é separado em públicos de remarketing[^src-google-2026-c] e vendido. A camada **social** é aquela com que a maioria das pessoas nunca concordou — o botão Curtir do Facebook[^src-court-justice-2019] e seus equivalentes[^src-x-2026] informavam a sua visita a cada página em que apareciam, você clicasse ou não, você tivesse conta ou não. A presença era o dado. O botão era o sensor.

**Por que o teste de rastreadores diz só 'bloqueado' ou 'carregado' — e não 'parcialmente bloqueado'**

O teste ao vivo acima informa dois resultados para cada rastreador: ele foi **bloqueado** ou **carregou**. O Cover Your Tracks, da EFF[^src-eff] — a ferramenta em que esta demo se inspira —, informa um terceiro resultado, intermediário: proteção _parcial_. Algumas ferramentas de privacidade não bloqueiam o rastreador de vez; deixam a requisição passar, mas tiram dela a parte que identifica (o cookie), e assim o rastreador dispara sem conseguir reconhecer você de fato. O nosso teste de dois resultados não enxerga isso: chamaria esse rastreador de "carregado" e daria a entender que não há proteção, quando na verdade você está parcialmente protegido. Um resultado em três níveis — "bloqueado / parcial / carregado" — seria mais exato e ensinaria uma distinção real: um rastreador _bloqueado_ não é o mesmo que um rastreador apenas _neutralizado_.

**Por que, de propósito, não fazemos isso aqui.** Para detectar o estado intermediário, o rastreador precisa informar o que recebeu — o cookie chegou? o identificador chegou? Rastreadores reais (Google, X) não nos contam isso. Então teríamos de manter um endpoint de rastreamento _nosso_, que registrasse o que recebeu. Só que ele precisaria ficar num endereço da web _separado_, que os bloqueadores de anúncios realmente reconheçam e bloqueiem — um endpoint próprio, neste site, nunca é bloqueado, e por isso diria "sem proteção" para quase todo mundo e enganaria você. E qualquer endpoint desse tipo _recebe dados do seu navegador_ — o que quebraria a promessa feita no topo desta página: nada aqui é enviado para lugar nenhum. Toda versão honesta dessa melhoria exige uma infraestrutura que não temos, ou quebra essa garantia. Por isso mantemos o teste de dois resultados e o combinamos com a leitura da impressão digital logo abaixo dele, que mostra o ponto mais importante sem enviar nada: você continua identificável mesmo quando todos os rastreadores daqui estão bloqueados.

Este site não faz nada disso. Ele usa uma instância do Plausible hospedada por nós mesmos — sem cookies, sem coleta de dados pessoais e sem nada que identifique você. O que o quadro acima mostra é o que qualquer site recebe do seu navegador, inclusive este. Nós escolhemos não usar isso contra você. O que o site conta, sim, está listado na [página de privacidade](https://attentionmachine.org/pt/sobre/privacidade/).

## Fase 2 — Como esses dados são leiloados

Num site comercial típico, os milissegundos entre você abrir a página e a página ficar pronta para usar escondem um acontecimento: um leilão em tempo real (real-time bidding, RTB). O perfil do seu navegador é montado numa solicitação de lance[^src-openrtb-specification] e transmitido ao mesmo tempo para dezenas de empresas de publicidade. Elas avaliam, dão lances, e o anúncio de quem vence aparece. O leilão termina em cerca de 100 milissegundos[^src-wang-2017] — antes de você acabar de ler a manchete.

O detalhe decisivo está na palavra _transmitido_. Segundo uma pesquisa do Irish Council for Civil Liberties[^src-iccl-2022], estima-se que isso aconteça com o usuário médio de internet na UE **376 vezes por dia**. Nos Estados Unidos, a estimativa é de **747 vezes por dia**. Não só para quem vence o leilão — para todos os que dão lance. Toda empresa que recebe a transmissão pode guardar uma cópia do seu perfil, vencendo o leilão ou não, e nada no sistema impede isso.

Em 2022, a Autoridade de Proteção de Dados da Bélgica[^src-belgian-data-2022] concluiu que o sistema de consentimento que o setor usa para o RTB viola o GDPR, e em 2024 o Tribunal de Justiça da União Europeia[^src-court-justice-2024], respondendo a questões do tribunal de apelação belga, confirmou as duas premissas dessa decisão: a TC String que registra o seu consentimento é dado pessoal, e a IAB Europe é controladora conjunta dela — o que o Tribunal de Mercados da Bélgica confirmou em maio de 2025[^src-belgian-data-2025], mantendo a multa, mas decidindo que o papel da IAB Europe não se estende ao tratamento de dados dentro do próprio leilão. O leilão em si nunca foi declarado legal; o sistema que deveria legitimá-lo foi declarado ilegal. Em palavras mais simples: o mecanismo de consentimento em que o RTB se apoia foi considerado em desacordo com a lei, e o leilão continua rodando mesmo assim.

A simulação abaixo usa como entrada os sinais reais do seu navegador. As empresas que dão lance são reais; os valores dos lances são ilustrativos. Este site não faz RTB de verdade — o que você vê é o que acontece nos sites que fazem.

## Fase 3 — Como esse perfil é usado para manipular você

O perfil montado na Fase 1 e vendido na Fase 2 pode ser comprado por qualquer um que tenha verba de publicidade — inclusive campanhas políticas, operações de influência patrocinadas por Estados e criadores de conteúdo de má-fé. O direcionamento que começou como publicidade comercial virou, pelo mesmo mecanismo, uma infraestrutura de influência psicológica em grande escala.

A demonstração abaixo mostra como. Com base nos sinais que deduziu de você, o sistema escolhe uma vulnerabilidade emocional. A partir dela, escolhe uma técnica de manipulação com um mecanismo psicológico documentado. A partir dessa técnica, monta o conteúdo — nome da fonte, manchete, texto, gancho de engagement, cada elemento uma escolha deliberada. Depois, o enquadramento é ajustado à faixa de renda[^src-mattioli-2012] e à região que o sistema deduziu para você — o medo de perder[^src-kahneman-1979], para perfis que parecem ter patrimônio; o medo de ficar de fora, para perfis que parecem ter menos — e, como num sistema real, a variante que você recebe é escolhida por teste A/B[^src-kohavi-2009] conforme a combinação dos seus sinais. A demo diz exatamente quais deduções fez e por quê, inclusive as erradas: previsões grosseiras e erradas também viram ação.

O post que você vai ver é **fictício e está identificado como tal**. O objetivo é que você reconheça a técnica: pesquisadores da Universidade de Cambridge[^src-roozenbeek-linden-2022] mostraram que saber como uma técnica de manipulação funciona antes de dar de cara com ela torna você significativamente mais resistente. Esse efeito se chama _prebunking_, ou inoculação psicológica. O jogo Bad News, da DROG[^src-bad-news], ensina isso de forma interativa em cerca de quinze minutos[^src-roozenbeek-2019].

Uma coisa para fazer agora

**Veja o que o Google e a Meta acham que você é.** Os dois deixam você ver os interesses que atribuíram a você e desligar os anúncios baseados neles: [Google My Ad Center](https://myadcenter.google.com/) · [Preferências de anúncios da Meta](https://accountscenter.facebook.com/ad_preferences) (faça login antes).

## O que você acabou de ver

Três fases, um único sistema. O seu navegador revela dados sem que você faça nada. Esses dados são leiloados para anunciantes — e para qualquer outro que tenha verba. O perfil que resulta disso é usado para escolher, e depois montar, conteúdo feito para driblar o seu senso crítico.

Nenhuma configuração isolada resolve isso por completo. Existem defesas parciais — o uBlock Origin (o bloqueador de rastreadores que [Ferramentas & sites](https://attentionmachine.org/pt/informe-se/ferramentas/) recomenda), o Firefox com a proteção aprimorada contra rastreamento, o navegador Brave, o Privacy Badger da EFF. Cada uma reduz a superfície de ataque; nenhuma a elimina. A resposta à altura da escala do sistema é estrutural; o GDPR e o Digital Services Act são as tentativas mais sérias até agora, e nenhum dos dois terminou o trabalho.

A defesa mais duradoura é reconhecer as técnicas quando você as vê. Esse é o argumento a favor do prebunking, e o motivo de esta página existir.

## Fontes

[^src-openrtb-specification]: [OpenRTB specification](https://iabtechlab.com/standards/openrtb/) — IAB Tech Lab.

[^src-eckersley-2010]: Eckersley, P. (2010), [_How Unique Is Your Web Browser?_](https://coveryourtracks.eff.org/static/browser-uniqueness.pdf), PETS 2010 — o estudo por trás do Cover Your Tracks, da EFF; fonte dos números de entropia por sinal no quadro da conta da impressão digital.

[^src-iccl-2022]: [ICCL](https://www.iccl.ie/news/iccl-report-on-the-scale-of-real-time-bidding-data-broadcasts-in-the-u-s-and-europe/) — pesquisa sobre RTB (2022); 376 (UE) / 747 (EUA) exposições por dia.

[^src-european-data-2024]: Comitê Europeu para a Proteção de Dados (2024), [_Guidelines 2/2023 on the Technical Scope of Art. 5(3) of the ePrivacy Directive_](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) — a impressão digital do navegador e outras técnicas de leitura do aparelho estão sujeitas à exigência de consentimento.

[^src-belgian-data-2022]: Autoridade de Proteção de Dados da Bélgica (2 de fevereiro de 2022), [Decisão 21/2022 — o Transparency and Consent Framework da IAB Europe é declarado em violação do GDPR](https://www.dataprotectionauthority.be/citizen/iab-europe-held-responsible-for-a-mechanism-that-infringes-the-gdpr).

[^src-belgian-data-2025]: Autoridade de Proteção de Dados da Bélgica (14 de maio de 2025), [The Market Court rules in the IAB Europe case](https://www.dataprotectionauthority.be/the-market-court-rules-in-the-iab-europe-case) — a Decisão 21/2022 anulada por razões processuais, a multa de €250.000 confirmada; a IAB Europe é controladora conjunta “for the processing of user preferences within the TCF”, mas não do tratamento feito inteiramente dentro do protocolo OpenRTB.

[^src-court-justice-2024]: Tribunal de Justiça da União Europeia (7 de março de 2024), [_IAB Europe_, Processo C-604/22](https://curia.europa.eu/juris/liste.jsf?num=C-604/22) — uma TC String é dado pessoal, e a IAB Europe é controladora conjunta.

[^src-court-justice-2019]: Tribunal de Justiça da União Europeia (29 de julho de 2019), [_Fashion ID_, Processo C-40/17](https://curia.europa.eu/juris/liste.jsf?num=C-40/17).

[^src-roozenbeek-linden-2022]: Roozenbeek & van der Linden et al. (2022), [_Psychological inoculation improves resilience against misinformation_](https://doi.org/10.1126/sciadv.abo6254), Science Advances.

[^src-cambridge-social]: [Cambridge Social Decision-Making Lab](https://www.sdmlab.psychol.cam.ac.uk) — pesquisa sobre prebunking.

[^src-bad-news]: [Bad News](https://getbadnews.com) — o jogo de inoculação, gratuito no navegador, do Cambridge Social Decision-Making Lab e da DROG.

[^src-eff]: [EFF Cover Your Tracks](https://coveryourtracks.eff.org).

[^src-w3techs-2026]: [W3Techs](https://w3techs.com/technologies/details/ta-googleanalytics) — uso do Google Analytics: 47% de todos os sites, 82% dos que usam uma ferramenta de análise de tráfego (outubro de 2026). Levantamento de um fornecedor comercial sobre os 10 milhões de sites mais visitados — uma estimativa do setor.

[^src-google-2026]: Google, [_\[GA4\] Cookie usage on websites_](https://support.google.com/analytics/answer/11397207), Analytics Help (lido em outubro de 2026) — as tags do GA4 usam cookies first-party para distinguir usuários únicos.

[^src-google-2026-b]: Google, [_How Google uses information from sites or apps that use our services_](https://policies.google.com/technologies/partner-sites), Google Privacy & Terms (lido em outubro de 2026) — quando você visita um site que usa o Google Analytics, o seu navegador envia automaticamente ao Google, entre outras coisas, o URL da página e o seu endereço IP.

[^src-wang-2017]: Wang, J., Zhang, W. & Yuan, S. (2017), [_Display Advertising with Real-Time Bidding (RTB) and Behavioural Targeting_](https://doi.org/10.1561/1500000049), Foundations and Trends in Information Retrieval 11(4–5), 297–435 (versão aberta: arXiv:1610.03013) — da visita à página ao anúncio vencedor, "geralmente em até 100 ms".

[^src-roozenbeek-2019]: Roozenbeek, J. & van der Linden, S. (2019), [_Fake news game confers psychological resistance against online misinformation_](https://doi.org/10.1057/s41599-019-0279-9), Palgrave Communications 5(65) — a avaliação do Bad News, com 15.000 jogadores; as seis técnicas que o jogo ensina.

[^src-google-2026-c]: Google, [_About your data segments_](https://support.google.com/google-ads/answer/2453998), Google Ads Help (lido em outubro de 2026) — as listas de remarketing, agora chamadas _your data_: anúncios mostrados a pessoas que já interagiram com uma marca ou serviço, enquanto navegam no Google ou em sites parceiros.

[^src-x-2026]: X, [_How cookies are used on X_](https://help.x.com/en/rules-and-policies/x-cookies), X Help Center (lido em outubro de 2026) — o X recebe informações sobre o seu aparelho, esteja você conectado ou não, quando você visita um site que integra serviços do X ou o site de um anunciante do X; um aparelho que já entrou no X continua associado àquela conta.

[^src-probe-headers-2026]: As próprias requisições do teste de rastreadores, registradas no Chromium em 22 de outubro de 2026 — cada uma levou `Referer: https://attentionmachine.org/`; `t.co` respondeu com `Set-Cookie: muc_ads=…; Max-Age=63072000` (dois anos), `googleads.g.doubleclick.net` com `Set-Cookie: test_cookie=CheckForPermission`, que expira depois de quinze minutos, e `www.google-analytics.com` sem cookie nenhum. O painel de rede do seu navegador mostra os mesmos cabeçalhos quando você roda o teste.

[^src-kahneman-1979]: Kahneman, D. & Tversky, A. (1979), [_Prospect Theory: An Analysis of Decision under Risk_](https://doi.org/10.2307/1914185), Econometrica 47(2), 263–291 — “as perdas pesam mais do que os ganhos”.

[^src-kohavi-2009]: Kohavi, R., Longbotham, R., Sommerfield, D. & Henne, R.M. (2009), [_Controlled experiments on the web: survey and practical guide_](https://doi.org/10.1007/s10618-008-0114-1), Data Mining and Knowledge Discovery 18, 140–181 — o método _hash and partition_: um hash do identificador de cada usuário define a variante em que ele cai.

[^src-mattioli-2012]: Mattioli, D. (25 de junho de 2012), [_On Orbitz, Mac Users Steered to Pricier Hotels_](https://www.wsj.com/articles/SB10001424052702304458604577488822667325882), The Wall Street Journal — a Orbitz constatou que usuários de Mac “gastam até 30% a mais por noite em hotéis” e passou a mostrar a eles “opções de viagem diferentes, e às vezes mais caras, do que as que os visitantes com Windows veem”.

[^src-california-attorney-2026]: California Attorney General (2026), [_California Consumer Privacy Act (CCPA)_](https://oag.ca.gov/privacy/ccpa), Departamento de Justiça do Estado da Califórnia (atualizado em 28 de agosto de 2026) — um controle global de privacidade ativado pelo usuário “deve ser respeitado pelas empresas abrangidas como um pedido válido do consumidor para interromper a venda ou o compartilhamento de informações pessoais”.

[^src-colorado-department-2026]: Colorado Department of Law (2026), [_Colorado Privacy Act_](https://coag.gov/resources/colorado-privacy-act/) (lido em outubro de 2026) — o Global Privacy Control, “o primeiro mecanismo universal de opt-out do estado”; o Departamento “publicou uma lista de mecanismos universais de opt-out (Universal Opt-Out Mechanisms) reconhecidos como compatíveis com os padrões do Colorado Privacy Act”.

[^src-w3c-2019]: W3C (17 de janeiro de 2019), [_Tracking Preference Expression (DNT)_](https://www.w3.org/TR/tracking-dnt/), Working Group Note — publicado como Note porque não havia “implantação suficiente dessas extensões (como definidas) para justificar novos avanços”, nem “apoio previsto entre os agentes de usuário, os terceiros e o ecossistema em geral”.

[← Publicidade & vigilância](https://attentionmachine.org/pt/maquina-da-atencao/publicidade/)\
[Demo de combinação de dados →](https://attentionmachine.org/pt/maquina-da-atencao/combinacao-de-dados/)\
[Atores estatais →](https://attentionmachine.org/pt/maquina-da-atencao/atores-estatais/)\
[Informe-se →](https://attentionmachine.org/pt/informe-se/)

---

Parte do conteúdo deste site foi criada com o auxílio de ferramentas de IA e pode conter erros. [Como usamos IA →](https://attentionmachine.org/pt/sobre/como-usamos-ia/)