Lo que App Tracking Transparency de iOS no detiene — y cómo bloquear el rastreo de aplicaciones de verdad

En resumen: ATT bloquea un identificador específico (el IDFA — el ID publicitario de Apple). Las aplicaciones que quieren seguir rastreándote simplemente dejan de usar el IDFA y recurren a cualquiera de una docena de otros identificadores que ATT no contempla. Investigaciones independientes han descubierto que muchas aplicaciones continúan rastreando mediante huellas digitales incluso después de que los usuarios pulsen "Ask App Not to Track." A continuación, lo que ATT hace realmente, lo que no hace y qué cubre esa brecha.

Lo que App Tracking Transparency bloquea realmente

ATT, introducido con iOS 14.5 en abril de 2021, obliga a las aplicaciones a mostrar un aviso del sistema antes de poder acceder al IDFA (Identifier for Advertisers) del dispositivo — una cadena global única que Apple asigna a cada dispositivo. Si pulsas "Ask App Not to Track", la aplicación debería recibir un IDFA lleno de ceros. Eso es todo. Ese es el mecanismo completo.

La protección limitada tiene sentido en el marco de Apple: ATT se refiere a un único identificador controlado por Apple. Lo que ATT nunca fue diseñado para hacer — y lo que la mayoría de los usuarios asume que hace — es impedir que las aplicaciones rastreen tu comportamiento por otros medios.

A qué recurrieron las aplicaciones tras ATT

Cuando el IDFA se apagó, la industria de publicidad móvil no se rindió. Cambió de técnicas:

• Huella digital del dispositivo. Combina resolución de pantalla, modelo, versión del sistema operativo, idiomas instalados, zona horaria, patrones de ruido del acelerómetro y ~30 señales más en una huella que es lo suficientemente única para reidentificar tu dispositivo entre aplicaciones. La huella se construye a partir de datos que Apple permite que las aplicaciones lean libremente.
• Identificadores de usuario hasheados. Si accedes a una aplicación gratuita con tu correo electrónico, el SDK hashea ese correo y envía el hash a la red publicitaria. El hash coincide con el de otras aplicaciones que tienen tu correo. ATT no lo impide — lo aceptaste al registrarte.
• SDKs compartidos como nexo entre aplicaciones. El SDK de Facebook está integrado en ~30% de las aplicaciones móviles. Cuando usas cualquiera de esas aplicaciones, el SDK informa a Meta — incluso si no tienes cuenta de Facebook. ATT pregunta a la aplicación anfitriona, no a los identificadores separados del SDK integrado.
• Enmascaramiento CNAME. Un sitio o aplicación crea un alias DNS (analytics.bigsite.com → realmente hotjar.com) para que el rastreador parezca de origen propio. ATT no tiene capa DNS; los bloqueadores de contenido del navegador no pueden resolver fácilmente la cadena de alias.
• Atribución mediante SKAdNetwork. El propio sustituto de Apple compatible con ATT — las aplicaciones informan de eventos de atribución de instalación a través de canales agregados por Apple. Menos granular que el IDFA, pero sigue siendo atribución. No es insignificante.

El panorama empírico

Investigadores independientes han descubierto repetidamente que ATT, en la práctica, bloquea un canal y deja muchos otros abiertos: muchas aplicaciones continúan alguna forma de rastreo después de que el usuario deniega el permiso de ATT, principalmente mediante huellas digitales e identificadores de SDK compartidos.

Esto no es un argumento de que ATT sea malo — es una protección limitada pero útil. Es un argumento de que ATT por sí solo es insuficiente si tu objetivo es "las aplicaciones no deberían rastrearme".

Qué cubre realmente esa brecha

Todas las técnicas anteriores comparten una característica estructural: requieren que el SDK llegue a un servidor remoto. La huella digital tiene que enviarse a algún lugar. El correo hasheado tiene que conectarse a casa. El SDK de Facebook tiene que enviar su contenido a graph.facebook.com. Los rastreadores enmascarados con CNAME siguen resolviendo a un destino real tarde o temprano.

Eso significa que un filtro a nivel de red (DNS) que bloquea las conexiones a dominios de rastreo conocidos intercepta todos estos en una sola intervención, independientemente del identificador que la aplicación estuviera a punto de enviar. Este es el enfoque que Pi-hole popularizó para las redes domésticas, y lo que herramientas móviles como Casper's Cloak, NextDNS y AdGuard DNS hacen para dispositivos individuales.

El mecanismo, simplificado:

1. El SDK integrado de la aplicación intenta enviar su huella digital / ID hasheado / señal de comportamiento a su servidor (p. ej. graph.facebook.com, amplitude.com, mixpanel.com).
2. Antes de que esa conexión pueda completarse, el dispositivo realiza una consulta DNS para encontrar la IP del servidor.
3. El perfil VPN del sistema envía las consultas DNS a través de un resolvedor con filtrado.
4. El resolvedor reconoce que el nombre de host es un rastreador y se niega a devolver una IP.
5. La conexión nunca se abre. Los datos nunca salen de tu teléfono.

Lo crucial es que esto funciona para todas las aplicaciones del dispositivo — no solo Safari. ATT actúa en la capa API del SDK de la aplicación. Los bloqueadores de contenido del navegador actúan en la capa DOM. El filtrado DNS actúa en la capa de red, por debajo de ambas, donde convergen todas las aplicaciones.

Lo que ATT hace bien — reconocimiento donde corresponde

ATT es genuinamente valioso en dos aspectos:

• Cambió el valor por defecto. Antes de ATT, el IDFA estaba siempre activo. Después de ATT, la mayoría de los usuarios se dan de baja cuando se les solicita. Es un cambio real en la privacidad a nivel poblacional, incluso con los métodos alternativos.
• Obligó a Meta y a otros a revelar la infraestructura de rastreo que antes era invisible. Las etiquetas "App Privacy" en el App Store, que las aplicaciones deben completar con precisión, fueron una consecuencia directa.

ATT fue una intervención valiosa. Simplemente no es completa — y Apple nunca ha afirmado que lo fuera.

Recomendaciones prácticas

• Sigue pulsando "Ask App Not to Track." La protección marginal vale el segundo de fricción.
• Usa un filtro a nivel DNS junto con ATT — Casper, NextDNS, AdGuard DNS, o un Pi-hole autogestionado. Esto es lo que intercepta las técnicas que ATT no cubre.
• Revisa las etiquetas App Privacy de las aplicaciones antes de instalarlas. Si las etiquetas de una aplicación muestran "Data Linked to You — Identifiers" para fines no esenciales, busca una alternativa.
• Ten en cuenta que las aplicaciones "gratuitas" se monetizan mediante el rastreo por defecto. Las alternativas de pago a menudo tienen posturas de privacidad significativamente diferentes porque no dependen de él.
• No inicies sesión con Apple/Google/Facebook si funciona un correo electrónico real. SSO encadena identificadores que de otro modo permanecerían aislados.

Conclusión

ATT es una función de privacidad útil pero limitada. Bloquea un único identificador controlado por Apple. Las aplicaciones que quieren seguir rastreando simplemente usan otros identificadores. Si tu objetivo es el más amplio "las aplicaciones no deberían rastrearme", ATT es el comienzo, no el final — combínalo con un filtro a nivel de red que capture lo que ATT nunca fue diseñado para bloquear.