Huella del navegador: qué pueden reconocer las webs

¿Qué es la huella digital del navegador?

Piensa en varias características corrientes: tu idioma, zona horaria, dimensiones de pantalla y la forma en que el navegador dibuja una imagen. Ninguna tiene por qué identificarte por separado. Juntas pueden hacer que tu navegador destaque entre un grupo de visitantes. Una web, o un tercero presente en varias, puede comparar esas características en visitas posteriores. Para intentar relacionarlas no necesita instalar una cookie, aunque una cookie, una cuenta o una dirección IP pueden facilitarlo.

Una cookie es un valor que guarda el navegador y vuelve a enviar en determinadas condiciones. Puedes borrar o bloquear muchas cookies, según las reglas de tu navegador. La huella digital se calcula a partir de propiedades observables. No hay un único archivo de huella que puedas borrar, pero esas propiedades tampoco son permanentes: cambian con los ajustes, las actualizaciones, los dispositivos y las defensas del navegador. Además, dos scripts pueden obtener huellas distintas de una misma visita.

La navegación privada suele limitar el historial y el almacenamiento local después de cerrar la ventana; no oculta por sí sola todas las señales a una web. Algunos navegadores añaden defensas contra la identificación por huella en ese modo, así que el efecto varía entre productos. La protección contra el rastreo también puede bloquear scripts conocidos antes de que se ejecuten. Las directrices del W3C sobre huellas digitales explican tanto el riesgo como la dificultad de eliminar todas las señales identificativas sin perder funciones web útiles.

Qué señales puede combinar una web

Los scripts pueden elegir entre muchas señales posibles, pero su acceso depende del navegador, el dispositivo, los ajustes y los permisos. Se pueden agrupar en pantalla y gráficos, información del sistema, funciones del navegador y preferencias. Una web no puede leer sin más todos los detalles del hardware de cualquier visitante.

Pantalla y gráficos. Una página puede conocer las dimensiones de la ventana y la pantalla, algunas propiedades del color, las funciones gráficas disponibles y el resultado de dibujar mediante Canvas o WebGL. Un script puede calcular un hash de la imagen para comparar resultados. El modelo exacto de GPU, la disposición de las pantallas y otros detalles gráficos no se exponen por igual en todos los navegadores.

Información del sistema. Una web puede recibir o deducir datos generales de plataforma y hardware a partir de cabeceras o API. Los fabricantes de navegadores han reducido algunos de esos datos. Las API de batería y sensores no son fuentes universales para crear huellas: su disponibilidad y requisitos de permiso varían. La documentación de la API de estado de la batería indica que su disponibilidad es limitada.

Funciones del navegador. Las pistas sobre su versión, las API y los códecs disponibles, y la forma de mostrar contenido pueden reducir el grupo de navegadores posibles. Las listas de antiguos complementos son mucho menos útiles en los navegadores actuales que en los primeros estudios. Una extensión puede alterar el comportamiento observable, pero una web no suele poder enumerar todas las extensiones que tienes instaladas.

Preferencias y salida multimedia. El idioma, la zona horaria, cierta información sobre tipografías y la salida de audio web pueden añadir diferencias. Los navegadores varían en cuánta información sobre fuentes exponen o estandarizan deliberadamente. También puede comprobarse si hay almacenamiento disponible, pero ese dato por sí solo rara vez identifica a alguien. Cualquier cifra fija de tipografías detectables depende de la plataforma y del método empleado.

Combinar señales puede hacer que un navegador sea más fácil de distinguir, aunque añadir campos no garantiza un reconocimiento fiable. Algunos valores los comparten millones de personas; otros cambian tras una actualización o varían deliberadamente entre webs. Un rastreador debe decidir qué cambios siguen correspondiendo al mismo navegador. El estudio original Panopticlick de la EFF demostró el principio en su muestra voluntaria de 2010, pero no estableció una regla universal según la cual un número fijo de características identifica a cualquiera.

Cómo funcionan los scripts de identificación

Un script puede pedir a las API del navegador información adicional a las cabeceras de las solicitudes, dibujar gráficos o comparar cómo funcionan ciertas prestaciones. Los datos disponibles dependen de lo que exponga el navegador y de si un bloqueador detiene el script. Una VPN cambia la ruta de red, no estas API. La navegación privada puede modificar el almacenamiento y, en algunos navegadores, las defensas contra la identificación por huella.

Representación mediante Canvas y WebGL.Un script dibuja una forma o escena, lee el resultado y lo compara con otras salidas. Los píxeles pueden variar por el hardware gráfico, el software, las tipografías o los ajustes del navegador. El resultado no tiene por qué ser único ni estable. Los navegadores pueden bloquear, igualar o añadir ruido a determinadas salidas. Impedir por completo el acceso a una API también puede afectar a funciones legítimas de una web.

Audio y otras API. La salida de audio web puede variar según la implementación y la configuración. Algunos scripts la combinan con datos gráficos y de idioma. La información sobre la batería solo está disponible en determinados navegadores y contextos; no es una señal universal. Un navegador puede reducir deliberadamente la precisión de una API o cambiar su respuesta para dificultar la relación entre mediciones repetidas.

Rendimiento y comportamiento. Los tiempos de ejecución y las pautas de interacción pueden aportar información, pero varían según la carga del dispositivo, la red y lo que hagas. Son más difíciles de interpretar que un identificador estable. Un entorno nuevo puede cambiar algunas señales, pero no garantiza que un observador no relacione dos visitas por una cuenta, una IP o el comportamiento.

Relación entre sesiones. Un rastreador puede combinar una huella con una cuenta, una dirección IP o visitas anteriores. Los algoritmos pueden tolerar que cambien algunos campos, pero su precisión depende de los datos y no puede resumirse en un porcentaje universal. Cambiar solo la cadena de agente de usuario quizá sirva de poco si otras señales siguen siendo parecidas. Una combinación inusual incluso puede hacer que tu navegador destaque más.

Una huella es una forma de relacionar visitas, no una prueba infalible de identidad. Bloquear scripts conocidos, reducir los detalles expuestos y hacer que los navegadores se parezcan más puede ayudar. Ejecutar las páginas en otro entorno cambia algunas señales, pero plantea otras cuestiones de confianza y de red. Nuestro artículo sobre las ventanas privadas explica la diferencia entre borrar datos locales y evitar el seguimiento online.

Qué indican realmente las cifras históricas

El estudio Panopticlick de 2010 de la EFF examinó 470.161 instancias de navegador de personas que acudieron voluntariamente a la prueba. La muestra estaba sesgada hacia visitantes interesados en la privacidad e incluía antiguas configuraciones con Flash y Java. Sus cifras muestran que crear huellas era viable en esas condiciones; no son porcentajes actuales de todos los usuarios de internet. Lee el estudio original junto con cualquier resultado moderno.

Según el modelo del estudio, 18,1 bits equivalían a un navegador coincidente entre unos 286.777. El trabajo también comunicó un 99,1 % de aciertos en un experimento concreto que relacionaba huellas cambiadas de visitantes recurrentes. No es una tasa universal de identificación de personas hoy. Los navegadores y sus defensas han cambiado, y una puntuación obtenida de una muestra autoseleccionada no permite saber si una web concreta podrá reconocerte después.

Comprueba qué revela tu navegador

Una prueba muestra señales seleccionadas, pero no puede certificar tu anonimato ni predecir si todas las webs podrán seguirte.

1. 1

   Lee primero cómo trata los datos la prueba

   Cover Your Tracks de la EFF recoge señales del navegador y utiliza resultados anónimos para compararlos. Consulta su explicación de la prueba antes de utilizarla. Una prueba de huella necesariamente recibe información de tu navegador: no se ejecuta por completo en tu dispositivo.
2. 2

   Anota las señales y los ajustes del navegador

   Apunta las características que muestra, la versión del navegador, si estás en modo privado y si tenías bloqueadores activos. La puntuación de singularidad solo se refiere a los visitantes y métodos de esa prueba. Un valor inesperado puede revelar lo que expone una API, pero un resultado no mide todo el seguimiento en internet.
3. 3

   Compara con una sesión remota

   Si utilizas Browser.lol, abre la misma prueba en una sesión remota. El código de la página se ejecuta allí, así que algunas señales del navegador y del dispositivo pueden diferir de las de tu navegador local. Los resultados dependen de la imagen elegida, del estado de la sesión, del perfil y de la prueba. Los perfiles guardados pueden conservar datos del navegador. Iniciar otra sesión no garantiza una huella nueva ni imposible de relacionar.
4. 4

   Compara los dos informes

   Distingue la IP que ve la web de las señales expuestas por el navegador. El navegador remoto tiene su propia salida a internet. Una VPN en tu dispositivo cambia tu conexión con el servicio remoto, no la salida de ese navegador. Que dos resultados coincidan no demuestra una causa de red; que sean distintos tampoco impide relacionar las visitas mediante una cuenta u otros datos.

Quién podría utilizar señales del navegador y para qué

Las mismas señales pueden servir para fines distintos. Una web podría usarlas para reconocer visitas repetidas, limitar abusos o adaptar un servicio. Un script de terceros presente en varias webs podría comparar observaciones entre ellas, según las defensas del navegador y el acceso que tenga. Las directrices del W3C señalan la relación de visitas entre webs como un riesgo para la privacidad. Cada producto publicitario o analítico utiliza métodos distintos; su presencia en una página no demuestra por sí sola que cree huellas digitales.

Los sistemas de seguridad y prevención de abusos también pueden comparar señales del navegador y de la conexión para evaluar un inicio de sesión o una solicitud automatizada. Sus decisiones dependen de muchos factores: una huella diferente no siempre genera una alerta. Por ejemplo, Cloudflare documenta señales del navegador en su detección de bots. Estos usos pueden ser útiles, pero siguen exigiendo un tratamiento cuidadoso de los datos e información clara.

Una página también puede combinar una observación parecida a una huella con datos que facilitas voluntariamente, como una cuenta o una dirección de correo. Eso puede vincular a una persona registros antes seudónimos. Las empresas de marketing y los intermediarios de datos pueden reunir información de varias fuentes, aunque habría que comprobar si un servicio concreto usa huellas del navegador. Una vez relacionadas las observaciones con una cuenta conocida, las defensas del navegador no pueden deshacer esa revelación.

Qué cambia con cada defensa

Estas herramientas actúan en puntos distintos. Su efecto depende de la versión y configuración del navegador, la web y quién observe.

Tor Browser está diseñado para reducir las diferencias entre usuarios y encamina su propio tráfico por la red Tor. Es útil, pero no puede garantizar el anonimato: una cuenta, un archivo descargado o un observador con gran capacidad para analizar el tráfico aún pueden revelar información. Algunas webs exigen comprobaciones adicionales a las direcciones de salida de Tor o funcionan de otra manera con niveles de seguridad más estrictos. Lee las recomendaciones de seguridad de Tor Project antes de usarlo para una tarea sensible.

Otros navegadores también incorporan defensas importantes. Firefox en modo estricto y en navegación privada limita determinadas señales; Brave altera algunas salidas mediante la técnica llamada farbling, y Safari restringe scripts conocidos. Sus protecciones son distintas y evolucionan. Consulta las explicaciones de Mozilla, Brave y WebKit sobre Safari 26.

Elige la separación adecuada para tu tarea

La huella digital ofrece a las webs otra forma de relacionar visitas cuando no hay identificadores almacenados. Los controles de cookies y las ventanas privadas siguen ayudando con los problemas para los que están pensados. Los navegadores modernos también añaden defensas contra la identificación por huella. Ninguno es un interruptor universal del anonimato. Empieza por distinguir si te preocupa el historial local, el rastreo entre webs, tu dirección de red o la ejecución del código de una página en tu dispositivo.

Mantén actualizado tu navegador y utiliza sus controles de privacidad para la navegación habitual. Si te conviene que el código de una página no se ejecute en tu dispositivo, puedes considerar un navegador remoto. Comprueba la imagen real que utiliza, el estado del perfil y su salida hacia las webs. Las cuentas, los datos que introduces, los archivos que transfieres y la ruta hasta el servicio remoto plantean riesgos distintos. Una VPN en tu dispositivo cambia tu conexión con Browser.lol, no la IP que el navegador remoto muestra a la web. Prueba la configuración que vayas a utilizar: una huella diferente no demuestra anonimato.