Huella del navegador: qué puede leer una web sin pedirte permiso
Se ejecuta en tu navegador: nada de lo que introduzcas aquí se nos envía.
Una IP nueva cambia un valor de cada cuarenta. Todo lo demás — tus fuentes, tu GPU, tu reloj, tus idiomas — sigue exactamente igual que antes. Esta página te muestra el resto y te dice qué partes son las que te identifican.
No se lee nada hasta que pulses el botón, y no se envía nada al hacerlo.
Un hash del valores de abajo, de ellos, lo bastante raros como para ser casi identificativos por sí solos. Cambia un ajuste del navegador y vuelve a ejecutar: lo que se mueva, se habrá movido también en tu huella.
Qué te dice esto y qué no
No dice que seas único —nadie puede decir eso sin una base de datos de las huellas de todos los demás, lo que sería lo contrario de lo que hace esta página. Lo que sí dice es cuáles de tus valores son poco comunes, y esa es la parte sobre la que puedes actuar. El fallo habitual no es una GPU poco común: es una zona horaria, un idioma y una dirección de salida que no coinciden sobre el país en el que estás.
Proveedores cuyos proxies te permiten ajustar la dirección al resto de esto →Ese último enlace es de afiliado: si compras a través de él podemos ganar una comisión, sin coste para ti, y no cambia nada de lo que informó el lector de arriba. Consulta nuestra política de monetización.
Todo lo de arriba se lee en esta pestaña y se queda en ella. No se envía ninguna petición a nosotros al pulsar el botón: abre la pestaña de red de tu navegador y compruébalo. No podríamos guardar tu huella aunque quisiéramos, porque nunca la recibimos.
Qué es una huella digital del navegador y por qué sobrevive a una IP nueva
Tu navegador responde a preguntas que nadie le hace en voz alta. Qué fuentes hay instaladas. Cuántos hilos de CPU dice tener la máquina. En qué zona horaria está puesto el reloj. Cómo se llama el chip gráfico. Nada de esto pide permiso, porque por separado nada de esto es privado: millones de personas tienen doce hilos, y la zona horaria no es ningún secreto.
La identificación sale de la combinación. Doce hilos no llaman la atención. Doce hilos más Europe/Warsaw más una cadena de GPU concreta más un conjunto de fuentes determinado más una pantalla de 3440×1440 es, en la práctica, tú. Un sitio no necesita saber tu nombre para reconocerte mañana; le basta con reconocer la misma combinación.
Y aquí es donde mucha gente se lleva la sorpresa cuando empieza a usar proxies. Cambiar tu dirección de salida cambia exactamente un valor de los cuarenta que una página puede leer. Todo lo de arriba —el hardware, las fuentes, el reloj, las preferencias de idioma— es idéntico a lo que había en tu dirección anterior. Si un sitio ya venía siguiendo la combinación, una IP nueva le parece el mismo visitante con una conexión nueva, que en cierto modo es un acontecimiento más interesante que un visitante nuevo.
Cómo lee esta página la tuya
Pulsa el botón y la página recoge las señales igual que lo haría un rastreador, muestra cada valor completo y convierte el conjunto en un hash, una sola cadena. La lista es lo que importa: un hash por sí solo no te dice nada sobre lo que puedes hacer, mientras que ver que tu renderizador de GPU es un nombre de modelo largo y concreto te dice exactamente qué valor te está identificando.
Cada señal lleva marcado cuánto te estrecha el cerco. Rara significa que por sí sola está cerca de identificarte. Compartida significa que la mayoría de los visitantes envía el mismo valor. Esta clasificación es lo útil que devuelve la página: es la diferencia entre «tengo una huella» y «los dos valores que me delatan son estos».
Todo ocurre en tu pestaña. Cuando pulsas el botón no se nos envía ninguna petición, y puedes comprobarlo en el panel de red de las herramientas de desarrollo. No es solo un detalle de privacidad: una página que sostiene que estos valores te identifican y luego los recogiera estaría defendiendo su propio argumento bastante mal.
La afirmación que no vamos a hacer
Muchas páginas de huellas digitales te dicen que eres único entre un número indeterminado de visitantes. Para decir eso, un sitio tiene que mantener una base de datos con las huellas de todos los demás y comparar la tuya con ellas, que es justo el comportamiento del que la página te está advirtiendo; y ese número, en cualquier caso, nunca es más que un recuento del tráfico del propio sitio. Nosotros no tenemos esa base de datos y no vamos a crearla, así que esta página te dice cuáles de tus señales son raras y no entra en la aritmética.
Dónde se usa esto en realidad
Tomar la huella del navegador tiene fama de ser algo turbio, y eso oculta lo corriente que se ha vuelto. Cuatro usos cubren casi todo, y solo uno de ellos es publicidad.
- Detección de fraude. Los bancos y los procesadores de pago toman la huella de cada sesión, porque iniciar sesión desde un dispositivo conocido en una dirección desconocida supone un riesgo distinto que hacerlo desde un dispositivo que nadie ha visto antes. Por eso también un perfil de navegador nuevo a menudo activa una verificación que una IP nueva por sí sola no activa.
- Detección de bots. Los servicios comerciales que se sitúan delante de sitios grandes buscan contradicciones internas, no rarezas: un navegador headless que olvidó falsear su GPU, un user agent que no concuerda con el conjunto de fuentes. Lo que miden es la coherencia.
- Vinculación de cuentas. Las plataformas que te limitan a una sola cuenta usan la huella para detectar que tus cinco cuentas comparten una máquina. Cambiar la IP de cada una y dejar todo lo demás idéntico es el error concreto que esto detecta.
- Publicidad. El uso original y, ahora, el menor de todos, porque las cookies de terceros lo cubrieron durante años de forma más barata y la normativa ha hecho que esta práctica sea incómoda de defender.
La consecuencia práctica es que quienes leen tu huella buscan sobre todo contradicciones, no valores raros. Una máquina coherente y de aspecto corriente no llama la atención aunque su combinación exacta sea única; y una máquina que claramente ha sido manipulada llama la atención aunque cada valor individual parezca común.
Qué hacer con los valores que destacan
El instinto es ir a por los exóticos: falsear el canvas, ocultar la GPU, bloquear el contexto de audio. Normalmente, esto empeora las cosas. Un navegador que declara no tener canvas, ni WebGL ni pila de audio no es anónimo; es uno de un número muy pequeño de visitantes que se han tomado esa molestia, y el bloqueo es en sí mismo la señal.
Los fallos que de verdad hacen que las cuentas queden marcadas son fallos de coherencia, y son aburridos:
- La zona horaria no concuerda con la dirección de salida. Un proxy residencial alemán y un reloj del navegador ajustado a Asia/Kolkata. Es el más común con diferencia y basta una línea de JavaScript para detectarlo.
- La lista de idiomas tampoco concuerda. Tanto las cabeceras Accept-Language como navigator.languages se pueden leer y deberían contar la misma historia que la dirección.
- La pantalla es imposible. Una ventana que declara un tamaño que no tiene ninguna pantalla comercial, normalmente porque una herramienta anti-detección lo redondeó.
- Un ordenador de sobremesa que dice tener soporte táctil, o un teléfono que dice no tenerlo. Las contradicciones dentro de la huella son más fáciles de detectar que cualquier valor extraño por sí solo.
El enfoque práctico es el aburrido: cambiar lo menos posible, hacer que lo que cambies concuerde con todo lo demás y usar una dirección en el país en el que tu navegador ya dice estar. Si llevas varias cuentas, dale a cada una un perfil de navegador coherente por dentro y no lo toques: la coherencia a lo largo del tiempo es lo que hace que parezca real.
Comprobar tu trabajo
Vuelve a ejecutar esta página después de cada cambio y observa qué valores se mueven. Un ajuste que se suponía que iba a cambiar tu huella y no lo hizo conviene saberlo antes de confiar en él. La prueba de fuga de WebRTC cubre la única señal que esta página no puede ver: la dirección que tu navegador ofrece por WebRTC, que tiene su propia forma de contradecir tu proxy.
Preguntas que recibimos sobre Huella del navegador
¿Enviáis mi huella?
No. Todos los valores se leen en tu pestaña y se quedan ahí, y el hash también se calcula en el navegador. Abre las herramientas de desarrollo, ve a la pestaña Red y pulsa el botón: no aparece nada. Una página que sostiene que estos valores te identifican estaría defendiendo mal su caso si los recogiera.
¿Por qué no me decís cómo de único soy?
Porque decirlo con honestidad exige una base de datos con las huellas de otras personas con las que comparar, que es justo el comportamiento del que esta página existe para advertir. El número que muestran otros sitios es un recuento de sus propios visitantes, no de internet. En su lugar, te decimos qué señales son raras, que es la parte sobre la que puedes actuar.
¿Cambiar mi IP cambia mi huella?
No, y esa es la conclusión principal. La dirección es un valor entre docenas. Tu hardware, tus fuentes, tu reloj y tus preferencias de idioma son idénticos antes y después, así que un sitio que rastrea la combinación ve al mismo visitante en una conexión nueva.
¿Debería instalar una extensión que bloquee el fingerprinting?
Con cuidado. Un navegador que no informa de canvas, WebGL ni pila de audio no es anónimo: es uno de un grupo muy pequeño que se ha tomado esa molestia, y el bloqueo es en sí mismo una señal fuerte. Para la mayoría de los propósitos, la coherencia gana a la ocultación.
¿Por qué cambia mi huella entre ejecuciones?
No debería, para el mismo navegador en la misma ventana. Si lo hace, algo en la mezcla es inestable; por lo general, una extensión que aleatoriza el canvas, que es una señal por sí misma. Cambiar el tamaño de la ventana también puede alterar los valores relacionados con la pantalla.
¿El modo privado o incógnito oculta esto?
Apenas. El modo privado impide que el navegador conserve cookies e historial en tu máquina. No cambia tu GPU, tus fuentes, tu reloj ni tu pantalla, así que la huella es casi idéntica.
¿Cuál es el error más común de todos?
Una zona horaria que no concuerda con la dirección de salida. Un proxy alemán y un reloj del navegador ajustado a Asia/Kolkata se detectan con una línea de JavaScript, y se comprueba mucho más a menudo que cualquier cosa exótica.