O recuo do Chrome não é um salvo-conduto
Em abril de 2025 o Google anunciou que não ia mais forçar a descontinuação dos cookies de terceiros no Chrome. Em 2026 a situação se consolidou: o Chrome NÃO eliminou os cookies de terceiros por padrão. Eles continuam ligados por padrão, com um toggle nas configurações de Privacidade pra quem quiser desligar.
Pra muita gente que trabalha com produto e marketing, a leitura foi imediata e errada: "então não preciso mudar nada, o cookie de terceiro sobreviveu". Essa é a armadilha. O recuo do Chrome resolveu um problema (o prazo de sunset), mas não mexeu em nenhum dos outros que já estavam na mesa. Quem parou de se preparar por causa do anúncio está construindo em cima de uma base que já está rachada.
Este artigo é sobre por que, especialmente pra SaaS brasileiro, a resposta técnica certa continua sendo a mesma: sair da dependência de cookie de terceiro e ir pra medição first-party, LGPD-first.
O cenário está fragmentado, não resolvido
O Chrome é o maior browser, mas não é o único. E os outros já tomaram a decisão oposta faz tempo:
- Safari bloqueia cross-site tracking por padrão.
- Firefox bloqueia cross-site tracking por padrão.
- Brave bloqueia cross-site tracking por padrão.
Ou seja: mesmo com o Chrome mantendo os cookies de terceiros ligados, uma fatia relevante do seu tráfego já chega sem eles. Se a sua medição depende de cookie de terceiro pra funcionar, ela já está cega numa parte dos usuários. E essa cegueira não é aleatória, ela é enviesada: costuma pegar justamente o público mais preocupado com privacidade, que muitas vezes é o público mais técnico e mais valioso pra um SaaS.
O ponto técnico é esse: você não está escolhendo entre "cookie de terceiro funciona" e "cookie de terceiro morreu". Você está num mundo onde ele funciona em parte do tráfego e não funciona em outra, sem que você controle qual é qual. Basear decisão de produto em dado com esse tipo de buraco é ruim.
A LGPD não recuou
Aqui está a parte que o debate sobre browser costuma esconder. Independente do que o Chrome faz, a lei não mudou. LGPD no Brasil e GDPR na Europa continuam exigindo a mesma coisa: informar o usuário e obter consentimento explícito antes de setar cookies.
Repare que isso é ortogonal à discussão técnica do cookie de terceiro. O comportamento do browser é uma coisa. A obrigação legal é outra. Mesmo que o Chrome mantivesse cookies de terceiros ligados pra sempre, você, como controlador de dados no Brasil, continua obrigado a:
- Informar de forma clara quais dados coleta e pra quê.
- Obter consentimento explícito antes de setar o cookie, não depois.
- Permitir que o usuário negue e ainda assim use o produto.
O recuo do Chrome não te deu nenhum alívio nessa frente. Ele te deu uma falsa sensação de que o assunto "cookie" está encerrado, quando a parte que mais te expõe juridicamente (o consentimento) nunca esteve nas mãos do Google.
O trade-off técnico, sem enrolação
Vamos ser honestos sobre o custo de cada caminho.
Caminho A, continuar dependendo de cookie de terceiro. Barato de manter no curto prazo porque já está montado. Mas você paga em: cobertura furada nos browsers que bloqueiam, exposição a LGPD/GDPR se o consentimento não estiver rigoroso, e risco de plataforma (você depende de uma decisão de produto do Google que já mudou uma vez e pode mudar de novo). É dívida técnica com juros regulatórios.
Caminho B, medição first-party e sem cookie de terceiro. Dá mais trabalho pra montar, mas as fundações são estáveis. As três alternativas que sustentam medição sem depender de cookie de terceiro são:
- Dados first-party. Você mede o que acontece no seu próprio domínio, com identificadores que são seus. Não depende de um terceiro escrevendo cookie no browser do usuário atravessando sites. Sobrevive ao bloqueio do Safari/Firefox/Brave por construção.
- Medição server-side. Em vez de deixar o browser mandar tudo pra um script de terceiro, o evento passa pelo seu servidor. Você controla o que sai, o que fica e o que é anonimizado. Isso reduz superfície de bloqueio (adblock e ITP miram scripts de terceiro) e te dá controle real sobre o dado antes dele sair da sua infra.
- Consent-driven measurement. A medição respeita o estado de consentimento por design. Sem consentimento, você não seta cookie e coleta só o mínimo agregado que a lei permite. Com consentimento, você enriquece. O consentimento vira uma entrada de primeira classe do sistema, não um banner decorativo colado por cima.
O trade-off real é: Caminho A é barato agora e caro depois. Caminho B é caro agora e barato depois, e é o único que fica de pé nos três cenários ao mesmo tempo (browsers que bloqueiam, browsers que não bloqueiam, e a lei que exige consentimento em todos eles).
Por que isso pesa mais pra SaaS BR
Se você é founder ou dev de um SaaS no Brasil, o cálculo pende ainda mais pro Caminho B por três motivos concretos:
- A LGPD é o seu risco de casa. Não é uma preocupação distante de compliance europeu. É a lei que se aplica direto ao seu produto, com a ANPD podendo fiscalizar. Consentimento mal feito é passivo real.
- Seu público técnico usa os browsers que bloqueiam. Dev, founder, gente de produto, o público que compra ferramenta B2B costuma usar Firefox, Brave, Safari e extensões de privacidade. Você está cego justamente em quem mais importa.
- Soberania e localização do dado. Manter os dados de analytics no Brasil, sob a sua infra, simplifica a conversa de LGPD e evita transferência internacional desnecessária. É um argumento de vendas, não só de conformidade.
A jogada resiliente
Junta tudo: browsers fragmentados, LGPD que não recua, e um público técnico que já bloqueia rastreamento. A conclusão técnica é direta. Analytics first-party, sem cookie de terceiro, com consentimento embutido no design, é a única arquitetura que não depende de uma decisão do Google pra continuar funcionando. Você para de apostar no que o Chrome vai fazer no ano que vem e passa a controlar a sua própria medição.
Não é uma questão de "privacidade versus dado". É que a abordagem privacy-first, nesse cenário, também é a que te dá dado mais consistente e menos passivo jurídico. As duas coisas apontam pro mesmo lugar.
Onde a RET entra
Essa dor é exatamente a que a gente decidiu resolver. A RET tem um produto novo em beta chamado Métrica Pura: analytics sem cookie, LGPD-first, com os dados hospedados no Brasil e resistente a adblock via proxy first-party, e começa grátis, sem cartão. É beta, então tratamos como beta: ainda estamos lapidando, e o convite é pra quem quer testar essa abordagem na prática e dar retorno. Se quiser experimentar, está em métricapura.com.br.
O Chrome pode mudar de ideia de novo. A LGPD e a sua arquitetura de medição não deviam depender disso.
