O que 467 páginas iniciais populares enviam antes de qualquer clique

Por

Darkpool David

26 de outubro de 2026

Última verificação: 15 de outubro de 2026.

Nós desenvolvemos o Incognito Browser, um navegador da web para Android.

Como sabemos disso: medido pelo nosso próprio scanner. Em 15 de outubro de 2026, ele solicitou as páginas iniciais de 500 sites populares, e 467 responderam com uma página utilizável. No mesmo dia, verificamos nossa própria página inicial com as mesmas configurações. O que dizemos sobre o Brave e o Firefox vem das páginas dos fabricantes e de suas fichas no Google Play (veja Fontes).

A primeira resposta de um site pode definir cookies, e seu código HTML identifica os códigos de publicidade e análise utilizados pela página. Contamos ambos nos 467 sites populares que responderam, mas não citamos nenhum deles.

O que o scanner fez

Uma solicitação por site, apenas na página inicial. O sistema seguiu os redirecionamentos e leu a resposta que exibiu a página.
Foi executado uma vez, em 15 de outubro de 2026 (UTC), a partir de um computador conectado a uma única conexão.
Ele se identificou como o Chrome para desktop em um Mac, clicou no banner de recusa de consentimento e não fez login.
Ele não executou o JavaScript.
O sistema comparou todo o código HTML de cada página com 89 assinaturas identificadas. Dessas, 41 são códigos de publicidade ou de redes sociais, 43 são ferramentas de análise ou marketing e 5 são funcionais, como verificações de bots e relatórios de erros. A seguir, o termo “publicidade” inclui os códigos de redes sociais.
O programa testou todos os 500 sites da nossa lista. 33 não enviaram nenhuma página utilizável: a conexão falhou ou atingiu o tempo limite, ou a resposta foi um erro ou não estava no formato HTML. Todos os números a seguir referem-se aos 467 que responderam.

O que esses números não conseguem mostrar

Os números reais de cookies e assinaturas são maiores. As páginas carregam mais código por meio de scripts após a primeira resposta, e nós não executamos nenhum script. Os cookies definidos durante um redirecionamento não são contabilizados.
Uma assinatura é uma menção, não uma prova. Ela indica que o HTML se refere a esse código, não que ele tenha sido executado ou o que ele enviou. Algumas correspondências são vagas: a assinatura da verificação de bot corresponde à palavra “recaptcha” em qualquer lugar da página.
O termo “popular” depende da lista. Nossas anotações indicam que elaboramos a lista dos 500 em setembro de 2026, partindo do Tranco — um ranking de pesquisa de sites populares — e filtrando nomes de redes e do setor de publicidade. A data da lista do Tranco e os critérios exatos de filtragem não foram registrados, e a filtragem não estava completa. Muitos dos 500 são sites de empresas e desenvolvedores. Os 33 sem página utilizável estão faltando, e pelo menos 9 dos 467 exibiram uma página de login, verificação de idade ou verificação de bot.
Um dia, uma conexão, um navegador de desktop. Um celular, outro país ou outro dia podem exibir uma página diferente.
Não há detalhamento por tipo de site. Nosso scanner classifica a maioria desses sites na categoria “Geral”, portanto, suas categorias são muito genéricas para serem apresentadas no relatório.

O que a primeira resposta continha

Na primeira resposta	Sites de um total de 467	Compartilhar
O endereço final utilizou HTTPS	467	100.0%
Cabeçalho HSTS	330	70.7%
Cabeçalho Content-Security-Policy	235	50.3%
Cabeçalho “Permissions-Policy”	64	13.7%
Qualquer cookie definido	279	59.7%
Qualquer assinatura publicitária	115	24.6%
Qualquer assinatura de análise	278	59.5%
Assinatura de publicidade ou análise	308	66.0%
Apenas assinaturas funcionais	22	4.7%
Não há nenhuma assinatura da nossa lista	137	29.3%

Proteções básicas

O HSTS instrui o navegador a usar HTTPS em visitas futuras. Uma Content-Security-Policy restringe o que o código de uma página pode fazer. Uma Permissions-Policy permite ou nega o uso de recursos do navegador, como a câmera. 46 dos 467 sites (9,9%) enviaram todos os três cabeçalhos e 94 (20,1%) não enviaram nenhum. Verificamos apenas se cada cabeçalho estava presente.

Cookies

279 dos 467 sites (59,7%) instalaram pelo menos um cookie, totalizando 922. Nem todo cookie é um rastreador. Nosso scanner reconheceu 244 dos 922 (26,5%) pelo nome: 231 eram cookies de segurança, verificação de bots, balanceador de carga ou de sessão, e 13 tinham nomes relacionados a publicidade ou análise. Não podemos afirmar para que servem os outros 678.

Código de publicidade e análise

A assinatura mais comum foi a do Google Analytics ou do Google Tag Manager, que nosso scanner contabiliza em conjunto: 193 dos 467 sites (41,3%). De acordo com os nomes em nossa lista, as duas assinaturas de publicidade mais comuns foram a do Google DoubleClick, presente em 70 dos 467 sites (15,0%), e a do Google AdSense, presente em 29 (6,2%).

As ferramentas funcionais são contabilizadas separadamente: a verificação contra bots do reCAPTCHA foi detectada em 83 dos 467 sites (17,8%) e o sistema de relatório de erros do Sentry, em 10 (2,1%).

Nossa própria página inicial

Nosso site não está entre os 500. Em 15 de outubro de 2026, uma verificação do incognitobrowser.io com as mesmas configurações revelou HTTPS, ausência dos três cabeçalhos, nenhum cookie na primeira resposta e uma assinatura do Google Analytics ou do Tag Manager.

O que você pode fazer

O aplicativo gratuito Incognito Browser possui um bloqueador de anúncios integrado. Se você deseja que os rastreadores sejam bloqueados, outro navegador que os bloqueia por padrão é a melhor opção: o Brave e o Firefox podem ser instalados gratuitamente no Android, e ambos afirmam que bloqueiam rastreadores por padrão. Não testamos nenhum navegador nessas páginas, incluindo o nosso. A seção “Segurança de dados” do nosso aplicativo na Google Play indica que ele pode coletar registros de falhas, diagnósticos e outros dados de desempenho do aplicativo para fins de análise.