¿Qué es la huella Canvas? Cómo los sitios identifican tu dispositivo al dibujar en el navegador

En pocas palabras: la huella Canvas nace de una operación de dibujo real, y el resultado lo deciden en conjunto la tarjeta gráfica, el sistema, las fuentes y el motor del navegador; un valor aislado no identifica a nadie, pero cruzado con otros parámetros delata cómo es realmente un entorno. Para gestionarla, dos reglas: las lecturas de un mismo entorno deben mantenerse estables, y los entornos deben quedar claramente separados entre sí. A continuación van el principio, los factores que influyen, los límites de la identificación, la prueba y los dos modos de MostMate.

El mismo sitio web, dos dispositivos, una misma imagen dibujada por el código de la página, y aun así los píxeles no coinciden. No es un fallo de renderizado: al dibujar, cada dispositivo deja su propia marca. El sitio recoge esa marca y la convierte en un valor, y ese valor es la huella Canvas, uno de los parámetros con mayor poder de distinción dentro del fingerprinting del navegador. MostMate es un navegador anti-detección, y Canvas es uno de los parámetros básicos de su configuración de huellas; este artículo recorre el camino del parámetro, desde su generación hasta su ajuste.

Cómo un sitio dibuja con Canvas una «imagen firma» de tu dispositivo

La huella Canvas nace de una operación de dibujo real: el sitio pide al navegador que dibuje un contenido concreto, lee el resultado y lo convierte en un valor característico. El dibujo se apoya en la interfaz Canvas del navegador; juegos web, gráficas y editores de imágenes usan todos la misma capacidad 2D. Los detalles de la interfaz están en la documentación de la Canvas API en MDN. Todo el proceso pasa desapercibido para el usuario. Se descompone en tres pasos:

1. Dibujar: el script de la página pinta un contenido fijo sobre el lienzo, por lo general unas líneas de texto más figuras geométricas y degradados.
2. Leer: el script exporta el lienzo como cadena o matriz de píxeles con interfaces como toDataURL() o getImageData().
3. Comparar: el resultado exportado se convierte en un hash y se contrasta con los registros previos de este entorno o con los valores esperados de otras señales.

Por qué dos dispositivos nunca dibujan la misma imagen

El resultado del dibujo lo determina toda la cadena de renderizado, y si un solo eslabón difiere, los píxeles también. Envía las mismas instrucciones a dos dispositivos: el sistema operativo decide primero qué fuentes usar y cómo suavizar los bordes del texto, después el motor del navegador ejecuta el dibujo y al final la tarjeta gráfica con sus controladores produce la salida. Cuatro eslabones, cada uno a cargo de un tramo:

• GPU y controladores. Las mismas instrucciones de dibujo calculadas por otras tarjetas y versiones de controladores dan píxeles ligeramente distintos; ahí está la principal fuente de las diferencias.
• Sistema operativo y renderizado de texto. Windows, macOS y Linux renderizan el texto y el antialiasing a su manera, de modo que una misma línea de texto no tiene los bordes igual de suaves.
• Entorno de fuentes. El texto del lienzo se renderiza con las fuentes instaladas en el equipo; cuáles y en qué versión, todo entra en el resultado. Cómo se miden las listas de fuentes lo desmenuzamos en cómo se detecta la huella de fuentes; ambas comparten el mismo origen.
• Motor del navegador y versión. Chromium, Firefox y WebKit implementan el dibujo cada uno a su manera, y las actualizaciones mayores traen consigo cambios de detalle.

Los cuatro eslabones juntos fijan el poder de distinción de Canvas: cada diferencia es minúscula por separado, pero comprimida en un hash deja dos dispositivos con muchas probabilidades de no coincidir. Detrás de una imagen pequeña está la cadena de renderizado completa de un dispositivo, todo a la vez ante la cámara.

Hasta dónde puede identificar la huella Canvas

La huella Canvas es un rasgo de dispositivo con gran poder de distinción, pero por sí sola no establece ninguna identidad. Sus límites caben en tres puntos, mejor aclararlos de entrada.

Primero, un hash igual no significa un dispositivo igual: dos dispositivos cuyas cadenas de renderizado coincidan por azar pueden obtener el mismo valor, y las configuraciones habituales ya se repiten a montones.

Segundo, los sitios nunca juzgan solo con Canvas: la lectura se contrasta con el UA, la pantalla, las fuentes y el idioma, y dentro de ese grupo de parámetros hace de prueba firme que no se declara por sí misma y solo se mide en vivo.

Tercero, Canvas y las cookies no son el mismo mecanismo: las cookies viven en local y se pueden borrar o rechazar, Canvas se calcula en el momento de cada visita, y borrar cookies no le afecta.

Los tres límites desembocan en un mismo veredicto: Canvas no decide el destino de una cuenta, pero si toda una tanda de entornos informa exactamente el mismo hash, en el contraste cruzado están levantando la mano ellos solos.

Tres pasos para revisar la huella Canvas de tu entorno

Para la prueba no hace falta instalar nada: basta una página de detección y dos repeticiones. Sigue este orden:

1. Anota la lectura actual. Abre en el entorno la página de prueba Canvas de BrowserLeaks; la página muestra el hash actual y una vista previa de la imagen. Anota ambas cosas.
2. Repite la medición en el mismo entorno. Cierra y vuelve a abrir la página, o repite uno o dos días después: el hash de un mismo entorno debe mantenerse igual. Si dos lecturas no coinciden, interviene un procesado adicional en la lectura.
3. Compara entre entornos. Ejecuta la misma prueba en un segundo entorno; ambos hashes deben diferenciarse a simple vista. Cuanto mayor sea la distancia, más nítida la separación.

Valora las lecturas por «estables o no, distintas o no», no por cifras concretas. Los hash de distintos sitios de prueba pueden no coincidir: cada uno dibuja sus propias figuras, exporta a su manera y aplica su propio algoritmo de hash. Comparar entre sitios no sirve de nada; lo útil son las comparaciones antes-después dentro de la misma herramienta.

Real o Noise: cómo elegir entre los dos modos Canvas de MostMate

La configuración de huellas de MostMate reduce Canvas a dos modos, Real y Noise, con Real como opción predeterminada. Para ver el producto entero, consulta qué es MostMate; en la lista de ajustes manuales de huellas de la web, Canvas figura junto al audio, WebGL y otros parámetros, y se configura en el mismo bloque de huellas al crear un entorno. Las diferencias entre ambos modos, cara a cara:

El modo Real encaja cuando la «base» del equipo anfitrión está limpia: un Windows en inglés que atiende justo a un entorno estadounidense renderiza de verdad, la lectura coincide con la de un navegador abierto a mano y no deja marcas de ensamblaje. El límite es igual de claro: si varios entornos de la misma máquina usan Real, la lectura de Canvas es la misma y los entornos no se diferencian.

El modo Noise tapa justo ese hueco: añade ruido a la lectura de Canvas del entorno, la desliga del render real del anfitrión y logra que los entornos creados en lote se diferencien entre sí. La condición es ruido controlado: tras añadirlo, la lectura debe seguir cayendo dentro del rango normal de un dispositivo real; si no, esa «diferencia» se convierte ella misma en una anomalía llamativa. Dos lecturas que no cuadren dentro del mismo entorno también son señal de anomalía; el riesgo queda argumentado de principio a fin en por qué la aleatorización de huellas es insegura.

Canvas además se contrasta con sus parámetros hermanos. El renderizado del lienzo depende del sistema, las fuentes y la tarjeta gráfica, así que esos parámetros deben apuntar al mismo retrato de dispositivo: si eliges una persona de macOS, el audio y la imagen WebGL también deben confirmarse dentro de los rangos razonables de macOS; mirar solo Canvas deja pasar desajustes dentro del grupo. La lógica de modos para el audio la explicamos en cómo configurar la huella AudioContext; el razonamiento se puede trasplantar tal cual.

Tras la configuración toca una ronda de verificación: confirma el modo Canvas en los ajustes de huellas; el campo Canvas del panel de vista previa de la derecha mostrará un código como Noise[3LR450]. Ese código identifica esta configuración de ruido, es propio de cada entorno y no es el hash que calcula una página de prueba; no enfrentes nunca el código contra un hash. La lectura real se consulta abriendo el entorno y visitando una página de prueba, y contrastándola con lo esperado; después, tras cada cambio de proxy o ajuste de huella, repite la medición antes de poner el entorno en marcha.

Preguntas frecuentes

¿La huella Canvas es lo mismo que la huella del navegador?

No. La huella del navegador es un conjunto de decenas de parámetros y Canvas es solo un rasgo de renderizado entre ellos, en la misma familia que WebGL y la lista de fuentes. El todo es la suma de las partes; que Canvas discrimine mucho por sí solo no vuelve rara la huella entera.

¿Desactivar Canvas evita que te identifiquen?

No es recomendable. Canvas lo necesita buena parte de la web y desactivarlo estropea el uso normal; casi todos los navegadores normales lo admiten, de modo que el «no admitido» se convierte él mismo en un rasgo raro y más fácil de señalar. Lo sensato es controlar el origen y la coherencia de las lecturas, no apagar la interfaz.

¿La huella Canvas cambia con las actualizaciones del navegador?

Sí, pero a un ritmo sin ningún parecido con la aleatorización. Los cambios de renderizado de las actualizaciones mayores llegan a todos los usuarios a la vez y las plataformas conocen ese ritmo. Que el valor Canvas de un entorno real cambie unas cuantas veces al año es normal; cambios frecuentes y sin patrón son la anomalía.

¿Un navegador anti-detección puede dar a cada entorno un Canvas distinto?

Sí, y esa es exactamente la tarea del modo Noise: añade ruido a la lectura de Canvas para que los entornos en lote se separen. La condición es un ruido razonable y lecturas que sigan dentro del rango normal del sistema correspondiente.

Conclusión

En esencia, la huella Canvas es la cadena de renderizado de un dispositivo reunida sobre un solo lienzo: por sí sola no establece ninguna identidad, pero es el parámetro que no se declara por sí mismo y solo se mide en vivo. Para gestionarla, dos prioridades: lecturas que aguanten la repetición dentro del mismo entorno, hashes que separen con claridad los entornos y parámetros hermanos que apunten al mismo retrato de dispositivo. Para montar un entorno desde cero puedes descargar MostMate, verificar la lectura Canvas de cada entorno tras crearlo y solo entonces ponerlo en servicio.