PerimeterX (HUMAN Security)

Qué es PerimeterX (HUMAN Security)

PerimeterX es un servicio de mitigación de bots y prevención del fraude que ahora forma parte de HUMAN Security tras la fusión de 2022. Ayuda a sitios web y aplicaciones a distinguir a los visitantes humanos del tráfico automatizado como raspadores, herramientas de relleno de credenciales y bots de creación de cuentas falsas. El servicio ejecuta JavaScript del lado del cliente que recopila señales de dispositivo, navegador y comportamiento, y luego puntúa cada solicitud en el servidor para decidir si la permite, la desafía o la bloquea. Se implementa con frecuencia en páginas de inicio de sesión, procesos de pago y API donde el abuso automatizado causa un daño económico real. Como la protección está integrada en la ruta de la solicitud, actúa sobre cada visitante y no solo sobre quienes utilizan una función concreta. Esta combinación de identificadores persistentes y puntuación a gran escala explica tanto su valor de seguridad como su sensibilidad para la privacidad.

Cookies y datos recopilados

PerimeterX coloca una pequeña familia de cookies propias en el dominio del operador del sitio. El identificador de visitante _pxvid persiste hasta un año y actúa como referencia estable del dispositivo, mientras que el hash de dispositivo _pxhd ayuda a comprobar la coherencia de la huella entre sesiones, y el token _px3 de corta duración lleva un veredicto de riesgo firmado que se renueva con frecuencia. Junto a estas cookies, el script cliente lee señales de dispositivo y navegador como características de canvas, WebGL y audio, propiedades del navegador y huellas TLS y HTTP a nivel de conexión. También recopila datos biométricos de comportamiento como movimientos del ratón, desplazamiento y ritmo de tecleo durante toda la sesión. En conjunto, estas señales construyen una huella de dispositivo y un perfil de comportamiento que el servidor utiliza para asignar un veredicto de bot o humano. El conjunto exacto de cookies y sus duraciones pueden variar según la implementación y la configuración.

Implicaciones del RGPD y ePrivacy

Las señales que procesa PerimeterX, incluidos los identificadores de dispositivo y los patrones de comportamiento, son datos personales conforme al RGPD porque permiten singularizar y reconocer a usuarios y dispositivos concretos. La seguridad y la prevención del fraude pueden constituir un interés legítimo en virtud del artículo 6(1)(f), y los considerandos reconocen expresamente la prevención del fraude como un interés válido, pero el responsable debe realizar y documentar una prueba de ponderación. La directiva ePrivacy añade una capa distinta porque leer y almacenar información en el dispositivo del usuario exige en principio el consentimiento, salvo que sea estrictamente necesario para un servicio solicitado expresamente. Autoridades como la CNIL tratan la huella de dispositivo igual que las cookies a este respecto. Si se aplica la exención de estrictamente necesario depende de los hechos y suele interpretarse de forma restrictiva, de modo que muchas implementaciones no pueden presumir que cubre toda la recopilación. Esta tensión entre una finalidad de seguridad legítima y la regla de ePrivacy sobre acceso y almacenamiento es la cuestión central de cumplimiento de la herramienta.

Requisitos de consentimiento e integración con la CMP

Muchos operadores sostienen que las cookies y señales de seguridad estrictamente necesarias para proteger un inicio de sesión o un pago entran en la exención de ePrivacy y por ello las colocan en una categoría de estrictamente necesarias que se carga sin consentimiento previo. Esa posición solo es defendible cuando la recopilación se limita realmente a la seguridad y no se reutiliza para análisis, publicidad o elaboración de perfiles. Cualquier recopilación de señales que vaya más allá de proteger el servicio solicitado, o que se reutilice con otros fines, debe condicionarse al consentimiento en su plataforma de gestión del consentimiento. Un enfoque práctico consiste en clasificar PerimeterX como una medida de seguridad, documentar por qué cada cookie y señal es necesaria y asegurarse de que su CMP refleje esa clasificación de forma transparente. También debe describir con claridad la huella de dispositivo en el aviso de cookies para que los usuarios comprendan que intervienen más que simples cookies.

Transferencias internacionales de datos

HUMAN Security tiene su sede en los Estados Unidos y opera sus servicios desde allí, por lo que las señales recopiladas de visitantes europeos se transfieren a los Estados Unidos para su tratamiento. HUMAN se autocertifica en el Marco de Privacidad de Datos UE Estados Unidos y sus extensiones del Reino Unido y Suiza, lo que ofrece un mecanismo de transferencia basado en la adecuación para las organizaciones participantes. Cuando el marco no cubre una transferencia concreta, las cláusulas contractuales tipo sirven de garantía de reserva. Como responsable del tratamiento, debe confirmar el estado actual de la certificación, registrar el mecanismo de transferencia elegido en su registro de actividades y realizar una evaluación de impacto de la transferencia cuando su enfoque de riesgo lo requiera. Conservar la prueba de estos mecanismos es importante porque el marco jurídico de las transferencias transatlánticas ha cambiado varias veces.

Pasos prácticos de cumplimiento

Comience por firmar un acuerdo de tratamiento de datos con HUMAN Security y trace con exactitud qué cookies y señales se recopilan en su sitio. Documente su evaluación de interés legítimo para la prevención del fraude y decida, página por página o flujo por flujo, si la exención de estrictamente necesario se aplica realmente o si hace falta consentimiento. Actualice su aviso de privacidad y su política de cookies para nombrar las cookies de seguridad, explicar la huella de dispositivo y el análisis de comportamiento e indicar que las señales se procesan en los Estados Unidos. Configure su plataforma de gestión del consentimiento para que toda recopilación no esencial quede bloqueada hasta que el usuario acepte. Establezca expectativas de conservación adecuadas y confirme con el proveedor cuánto tiempo persisten identificadores como la cookie de visitante. Por último, revise la configuración periódicamente para que su documentación siga alineada con la implementación real del producto.