Gravatar a la escucha
31 mar 07Hace un par de semanas hablaba con Blat sobre seguridad y privacidad. La verdad es que son temas que me interesan mucho y sobre los que espero tener algo que escribir de cuando en cuando. El tema es que durante la conversación le hablé sobre una cosa a la que le vengo dando vueltas desde hace algún tiempo, y es que Gravatar no me gusta, y me gustan aun menos los sitios que lo implementan. El caso es que, como no me dio la sensación de que Blat creyera que estoy totalmente pirado, he decidido escribir mis pensamientos al respecto :)
¿Qué es Gravatar?
Antes que nada, y para los que a lo mejor no lo conocen, una descripción del servicio :)
Traducción de la web del sitio con algunos enlaces míos :)
Un Gravatar, o avatar reconocido globalmente, es simplemente una imagen de 80x80 pixels que te sigue de weblog en weblog apareciando junto a tu nombre cuando comentas en sitios que tienen activado gravatar. Los avatares ayudan a identifiar tus posts en los foros, así que, por qué no en los weblogs?
La idea es que cuando te creas una cuenta en gravatar, subes tu avatar y leste queda asociado a tu cuenta de correo, con lo que cualquier sitio puede acceder a tu avatar a partir de tu cuenta de correo.
Cómo funciona
Gravatar proporciona una URL desde la que cargar el avatar de cualquier usuario de gravatar, o una imagen por defecto en caso de no existir. Para hacer referencia al avatar que se quiere obtener se pasa como argumento en la URL el Hash del e-mail del usuario.
La mayoría de las webs que usan gravatar tratan de cargar la el avatar de todos sus usuarios. Lo que quiere decir que siempre que dejas un comentario en un blog que usa este servicio, el blog va poner en su código una imagen con la que se está enviando el Hash de tu mail a gravatar cada vez que un usuario trata de cargar la imagen. Además, esto es independientemente de si eres usuario de gravatar o no.
Las implicaciones
El simple hecho de que a gravatar le llegue el Hash de tu e-mail no es preocupante por si solo. La parte peliaguda viene por cómo funcionan los navegadores web.
Cuando tu navegador va a cargar una imagen de cualquier web, al realizar la petición de la imagen al servidor siempre envía una cabecera llamada Referer. En dicha cabecera el navegador le indica al servidor en qué web se está cargando la imagen, por ejemplo: cuando entráis a la página principal de este blog, todas las imágenes del mismo se piden a los servidores con una línea que dice Referer: http://www.lacoctelera.com/ernesto-jimenez.
¿Qué pasa cuando juntamos en la misma petición a Gravatar el Hash del mail y el Referer? Pues que Gravatar tiene la posibilidad de trazar un perfil con los blogs en los que comentas, con que frecuencia, en qué posts... Y da lo mismo que seas usuario de Gravatar o no, en los blogs que implementan gravatares, todos los usuarios que comentan pasan por el aro.
A mí ver la cantidad de información privada que les llega a los de gravatar me pone los pelos de punta.
¿Y tú? ¿Valoras tu privacidad?
