¿Cerrar la sesión en una tienda al cambiar de servidor VPN?
Una nueva dirección de salida no vacía el tarro de cookies. Decide primero si estás probando la ruta de red, la sesión iniciada o los datos guardados del sitio.
Cambia la salida de la VPN mientras una tienda está abierta en otra pestaña y la cesta suele seguir ahí. Eso no es un fallo de la VPN; es el navegador haciendo exactamente lo que se le dijo. Una cookie la envía el navegador, y una nueva ruta de red no cambia lo que el navegador guarda. Detrás de «el sitio todavía me conoce» se esconden tres preguntas distintas, y la respuesta depende de cuál estés planteando en realidad.
Tres preguntas, un síntoma
Primera: ¿reconoce el sitio una cookie guardada? Segunda: ¿reconoce una cuenta con sesión iniciada, que sobrevive independientemente de cualquier cookie individual? Tercera: ¿reconoce algo del navegador o del dispositivo en lugar de un estado guardado? Cada una tiene su propia prueba y su propio remedio.
| What you changed | What it actually tests |
|---|---|
| VPN exit address | Whether the site treats a different network origin differently |
| Cookie jar for one site | Whether a stored identifier was doing the recognition |
| Browser profile or account | Whether identity, rather than storage, links the visits |
La mayor parte de la confusión viene de cambiar la primera y esperar que siga la segunda. Una dirección de red y un almacén del navegador son sistemas separados que resulta que usa la misma página.
Qué lleva realmente una cookie
La gestión de estado HTTP, especificada en RFC 6265, es deliberadamente sencilla: el servidor fija un nombre y un valor con un ámbito, y el navegador los devuelve para las peticiones que coinciden con ese ámbito. El valor puede ser un identificador de sesión, una preferencia o un testigo opaco que el servidor asocia a un registro de cesta. Nada en el mecanismo menciona la dirección del cliente.
Ese diseño es la razón por la que los inicios de sesión y las cestas normales sobreviven a un cambio de red, y también la razón por la que lo sobreviven en el caso de los rastreadores. El mismo mecanismo sirve para ambos fines y no los distingue. No hay ningún campo en el protocolo para la dirección del cliente, así que no hay nada que una nueva salida pueda invalidar. Un sitio que quisiera atar una cookie a un origen de red tendría que añadir esa lógica por su cuenta.
Cuando un sitio devuelve una cookie, el servidor busca el registro al que apunta ese valor. Cambiar la ruta que tomó la petición no cambia esa búsqueda, y esa es toda la explicación de la observación con la cesta de la compra.
Decide qué mide tu prueba
Antes de cambiar nada, anota el estado desde el que partes: qué perfil de navegador, qué cuenta, qué datos del sitio, qué ruta de red. Luego cambia exactamente uno de ellos y observa. Una prueba que cambia a la vez la dirección de salida y el perfil del navegador no demuestra nada sobre ninguno de los dos.
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' https://shop.example/cart
curl -sS -c /tmp/jar.txt -b /tmp/jar.txt -o /dev/null -w '%{http_code}\n' --interface 198.51.100.44 https://shop.example/cartAmbos comandos reutilizan el mismo archivo de cookies, y el segundo fuerza una dirección de origen local distinta donde el anfitrión lo permite. La respuesta de la cesta es la misma en ambos casos porque el servidor nunca vio una identidad de cliente distinta, solo una ruta distinta. Ese es el mecanismo en un par de peticiones reproducible.
Si el objetivo es ver si el sitio te reconoce sin estado guardado, borra los datos de ese sitio y repite. Si sigue reconociéndote, los siguientes sospechosos son la cuenta con sesión iniciada, un enlace que seguiste o características del navegador en lugar de una cookie.
Borra el estado correcto, no la red
Eliminar el almacenamiento de un solo sitio corresponde a los controles propios del navegador, y a menudo cerrará tu sesión o restablecerá preferencias como efecto secundario. No borra la cuenta ni los registros que el servicio ya tiene; para eso hace falta el procedimiento propio del servicio.
Las restricciones entre sitios abordan otra parte del problema. Los navegadores pueden bloquear o dividir el almacenamiento que los servicios incrustados compartirían entre sitios, mientras que un inicio de sesión de primera parte sigue funcionando. Por tanto, un inicio de sesión correcto no es prueba de que el rastreo entre sitios funcione.
Las ventanas privadas son otra herramienta con un alcance más estrecho de lo que la gente espera. Los sitios aún pueden fijar cookies durante la sesión, y un inicio de sesión sigue identificando la cuenta. Es terminar la sesión privada lo que descarta el estado temporal, lo que significa cerrar todas las ventanas privadas y no una sola pestaña.
Por último, trata la identificación por huella como una posibilidad y no como la primera explicación. Las características del dispositivo y del navegador pueden vincular visitas sin ninguna cookie guardada, y borrar el almacenamiento no las tocará. Comprueba primero las causas simples, luego amplía la investigación y toma nota de qué estado cambiaste para que la siguiente comparación tenga sentido.