Summary

  • El W3C publicó P3P 1.0 como recomendación el 16 de abril de 2002. Sus políticas XML permitían expresar prácticas declaradas de recogida y uso de datos para que las leyera un programa.
  • Un archivo de referencias indicaba qué política cubría cada zona del sitio o cada cookie. El navegador tenía que localizar el archivo, seguir la primera referencia aplicable y obtener la política.

Un visitante abre una tienda, mira un producto y llega al formulario de pago. La frase «consulta nuestra política de privacidad» puede estar presente en las tres páginas, pero el navegador que recibe preferencias del visitante necesita una respuesta más concreta. ¿Qué declaración cubre el formulario? ¿Y la cookie que llegó durante el recorrido? Un enlace cualquiera en el pie de página sirve de poco como plano de tráfico.

La recomendación P3P 1.0 del 16 de abril de 2002 proponía políticas en XML para que los sitios declarasen categorías de datos, fines de uso y destinatarios. El texto presenta a Claudia entrando en CatalogExample: su navegador recupera la política de la página y la compara con las preferencias que ella ha configurado. Es una escena doméstica con una labor de archivo detrás. Para comparar, primero hay que saber cuál de los documentos del sitio se aplica.

El primer documento que buscaba el agente de usuario era el archivo de referencias de políticas. El sitio podía situarlo en /w3c/p3p.xml, señalarlo mediante un elemento link de HTML o anunciarlo con una cabecera HTTP P3P. El navegador debía obtenerlo y analizarlo, después buscar la política a la que remitía y leer esa segunda pieza. Una era el plano; la otra, la declaración. En un sitio con varias secciones, el orden de estas operaciones impedía que la política del vestíbulo terminara explicando el formulario de caja.

Dentro del plano, cada POLICY-REF apuntaba a una política y delimitaba las direcciones o cookies a las que alcanzaba. Podía incluir unas rutas y excluir otras. Si más de una referencia coincidía con la dirección consultada, se utilizaba la primera aplicable del archivo. La posición de una línea en la lista podía cambiar el documento que veía el navegador. El plano de privacidad tenía prioridad de paso.

El W3C llevó la idea al terreno de las cookies con un nombre que parece escrito después de una reunión larga: obnoxious-cookie. En el ejemplo de la propia norma, una política cubre las cookies en general salvo esa, y otra se ocupa expresamente de la excepción. La gracia del nombre ilumina la mecánica. Una cookie recibida mientras se visita una página puede tener su propia ruta hacia la declaración pertinente. Mirar solo la URL visible dejaría fuera esa bifurcación.

La fecha también importaba. EXPIRY indicaba cuánto tiempo podían usarse el archivo de referencias o la política; cuando faltaba, la duración predeterminada era de 24 horas. Al cambiar su política, el sitio debía conservar las versiones anteriores y sus fechas para los datos recogidos bajo ellas. El anuncio del W3C, también del 16 de abril, presentó P3P como lenguaje común para estas declaraciones. El navegador recibía una ruta: dirección, referencia, política y vigencia.