¿Qué es la huella de fuentes? Cómo los sitios identifican tu entorno de navegador a través de la lista de fuentes

Cambias de entornos, cambias de proxies, y la maquetación sigue mostrando matices: en un mismo sitio web, el texto de un botón mide dos píxeles más en esta máquina que en aquella. Las fuentes son una de las causas de esos matices: qué fuentes tiene instalado cada equipo lo intuye una página web con bastante facilidad, y por eso la lista de fuentes es una familia de parámetros más de la huella del navegador. Este artículo cubre tres frentes: cómo miden las webs las fuentes, hasta dónde conviene fiarse del resultado y cuándo encaja cada uno de los tres modos de lista (real, aleatoria y personalizada). MostMate coloca las fuentes entre los parámetros básicos de sus ajustes de huella; si quieres ver el producto completo, pasa por Qué es MostMate.

Qué es la huella de fuentes: el sitio adivina qué fuentes tienes instaladas

La huella de fuentes no consiste en subir tus archivos de fuentes, sino en que el sitio ejecute una serie de pruebas para saber si tu equipo puede mostrar determinada fuente. El sistema operativo trae de fábrica un lote de fuentes, y usuarios y programas van añadiendo más: instalar Office suma un buen puñado, y una versión china de Windows incorpora además SimSun y Microsoft YaHei. Lo normal es que dos equipos no compartan el mismo conjunto de fuentes, y esa diferencia ya es información. En 2010, un estudio de EFF sobre rastreo ya incluía las fuentes entre los parámetros identificables, y desde entonces este tipo de pruebas no ha faltado en los grandes sitios.

Lo que distingue a este parámetro es su ritmo de cambio: Canvas y WebGL dependen del hardware y del motor de renderizado y suelen moverse una vez cada pocos meses; la lista de fuentes, en cambio, va siguiendo las instalaciones. Basta con instalar un programa nuevo de oficina o borrar un archivo de fuente para que cambie. Un parámetro que cambia rápido también delata rápido: una sola instalación deja la lista lejos de su estado original.

Cómo miden las webs tus fuentes: tres métodos que solo buscan la respuesta «sí o no»

Un sitio no puede leer directamente el inventario de fuentes del sistema, así que solo cabe deducirlo de forma indirecta. Los métodos habituales son tres:

1. La medición de diferencias de ancho. Se coloca en la página un texto fijo, se mide su ancho con una fuente de respaldo (por ejemplo monospace) y se vuelve a medir forzando la fuente objetivo. Si los dos anchos coinciden, la fuente no existe; si difieren, sí. Al pasar por cientos de nombres de fuentes comunes, el script de detección reconstruye una lista de «presentes» y «ausentes».
2. La comparación de renderizado en Canvas. Se dibuja el mismo texto con distintas fuentes en un Canvas y se comparan las diferencias de píxeles, lo que de paso destapa también los contrastes entre motores de renderizado.
3. Font Loading API. Los navegadores modernos ofrecen interfaces como document.fonts.check('12px "Segoe UI"'), que devuelve directamente si una fuente está disponible; mucho más cómodo que andar midiendo anchos.

Los tres métodos responden a la misma pregunta («¿ese nombre de fuente funciona en esta máquina?») y ninguno llega a ver los archivos. En la práctica se combinan: la medición de anchos como vía principal y Canvas como contraste. Los detalles de la interfaz están en la documentación de Document.fonts en MDN; la lista de fuentes probadas y la lógica de decisión puedes revisarlas en el código de detección de fuentes de FingerprintJS.

Un resultado de detección incompleto por naturaleza: no recibes la lista completa

Conviene corregir cuanto antes una idea extendida. Un sitio no puede probar todas las fuentes que tienes instaladas, solo las que figuran en su propia lista: el resultado real es la intersección entre «lista de fuentes comunes» y «tu equipo».

De esa limitación derivan dos consecuencias. La primera: dos equipos con conjuntos de fuentes distintos pueden obtener el mismo resultado. Supongamos que uno tiene las fuentes A y B y otro las A y C; si el detector solo prueba A y D, ambos informan «A presente, D ausente» y el hash sale igual. Una huella de fuentes idéntica no permite deducir que los equipos son idénticos: solo demuestra un comportamiento uniforme dentro del alcance de la lista.

La segunda: todo lo que queda fuera de la lista permanece invisible. Una estación de diseño con 300 fuentes instaladas y un sistema recién montado darán el mismo resultado si la lista de pruebas cubre solo 150 fuentes comunes; las 150 restantes no se ven por ningún lado.

Para quien gestiona varias cuentas, este resultado incompleto corta en ambos sentidos: las fuentes por sí solas no bastan para fijar una identidad, pero los sistemas antifraude cruzan esa lista con otras señales, y en cuanto deja de cuadrar con el sistema operativo o el idioma declarado se convierte en una anomalía muy visible. El número de fuentes y el hash que muestran las herramientas de detección deben leerse con la regla «estable dentro del mismo entorno, distinto entre entornos»; perseguir una cifra concreta no tiene sentido.

Los factores que moldean tu lista de fuentes

El conjunto de fuentes se forma apilando cuatro capas, y cualquiera de ellas basta para que dos equipos «idénticos» a simple vista dejen ver una diferencia:

• El sistema operativo y su versión. Windows, macOS y Linux no traen los mismos juegos de fuentes de fábrica, y tampoco coinciden Windows 10 y Windows 11. Es la base que permite a la lista de fuentes corroborar la plataforma declarada por el User-Agent.
• El idioma y la región del sistema. Una versión china de Windows trae de serie SimSun y Microsoft YaHei, ausentes en la mayoría de los equipos de Europa y América; lo mismo ocurre con los sistemas en japonés o coreano. La lista de fuentes suele delatar antes que nada la verdadera procedencia del entorno.
• El software que va quedando instalado. Office, Adobe y WPS meten cada uno sus fuentes en el sistema; entre un equipo de diseño y uno que solo navega, el conjunto dista mucho de ser el mismo.
• Las reglas de sustitución del motor del navegador. Ante un mismo nombre de fuente, Chromium y Firefox eligen sustitutos distintos y los anchos medidos se resienten; si cambia la versión del kernel del entorno, esos detalles pueden moverse con ella.

Ese apilamiento explica un fenómeno de sobra conocido: entornos con la IP, la zona horaria y el idioma en orden que conservan en las fuentes huellas de su «tierra natal»: un entorno que se presenta en inglés como estadounidense sigue arrastrando Microsoft YaHei. Al contrastar señales, este tipo de desajuste dice más que un parámetro suelto que falle.

Cómo evaluar la coherencia: tres criterios y una prueba en tres pasos

Dentro de la gestión de entornos, el parámetro de fuentes debe superar tres criterios:

1. Estabilidad dentro de un mismo entorno. Si pruebas el mismo entorno repetidamente, el número de fuentes y el hash se mantienen; mientras usas el entorno, no instales programas ni borres fuentes a la ligera.
2. Diferencias marcadas entre entornos. Los entornos que dicen venir de regiones distintas deberían mostrar listas visiblemente diferentes; si el entorno «estadounidense» y el «alemán» arrojan exactamente el mismo hash de fuentes, la señal es sospechosa.
3. Coherencia con lo declarado. Una fuente exclusiva de macOS en un entorno Windows o toda una fila de fuentes chinas en un entorno de idioma inglés son desajustes que saltan a la vista. Los riesgos de la aleatorización de parámetros se analizan en Por qué la aleatorización de la huella es peligrosa; las fuentes son el caso más claro de esa lógica, porque una combinación montada al azar casi no existe en el mundo real.

La prueba en tres pasos: abre la página de resultados de BrowserScan o Iphey, localiza el apartado de fuentes (Fonts) y anota el valor; refresca dos o tres veces dentro del mismo entorno para confirmar la estabilidad; ejecuta la misma prueba en un segundo entorno y compara si los desajustes encajan con la personalidad de cada uno.

Cómo elegir entre los tres modos de lista de fuentes de MostMate

En los ajustes de huella de MostMate, la lista de fuentes ofrece tres modos (real, aleatoria y personalizada) ligados a tres situaciones distintas:

• Real: el entorno usa tal cual la lista de fuentes actual de la máquina anfitriona, y el resultado de detección coincide con el de abrir el navegador a mano. Encaja cuando el anfitrión está limpio y la región de la identidad coincide con la del sistema anfitrión; por ejemplo, un Windows en inglés del que se crean entornos de Estados Unidos.
• Aleatoria: el entorno genera una combinación de fuentes, siempre que el algoritmo la componga dentro del rango que marcan el sistema operativo y el idioma, de modo que el conjunto resulte razonable para la identidad elegida. Encaja en la creación de entornos por lotes, cuando no toca revisar el detalle de cada fuente.
• Personalizada: marcas a mano las fuentes de la lista; es el modo para plataformas de control estricto o entornos que se alejan bastante del anfitrión. Completa el conjunto de fuentes del sistema correspondiente a tu identidad y repasa punto por punto con los tres criterios de la sección anterior.

Los tres modos se eligen en la sección de huella del formulario de creación de entornos; tras configurarlos, confirma el valor vigente en el campo «Lista de fuentes» del panel de vista previa de la huella y repite una medición en un sitio de detección. El flujo completo de configuración está en Cómo empezar con MostMate.

Conclusión

En el fondo, la huella de fuentes es un sitio que deduce el conjunto de fuentes de tu equipo a partir de una lista de pruebas limitada: la lista completa queda fuera de su alcance, pero basta para sacar a la luz desajustes al contrastar señales. En la gestión, tres prioridades: estabilidad dentro de cada entorno, diferencias claras entre entornos y una lista que cuadre con el sistema y la región declarados. Para montar tu primer entorno desde cero, empieza por descargar MostMate; la lógica de coherencia de cada parámetro de huella está explicada en Los cuatro principios de diseño de MostMate.

Preguntas frecuentes

¿Basta la huella de fuentes para identificar un dispositivo?

No. El resultado queda acotado por la lista de pruebas, y dos equipos con fuentes distintas pueden mostrar el mismo. Los sistemas antifraude suelen cruzar las fuentes con el User-Agent, Canvas, el idioma y otros parámetros; las fuentes por sí solas no bastan para fijar una identidad.

¿La huella de fuentes es la misma en todos los navegadores?

Con el mismo conjunto de fuentes, la tendencia general coincide, pero las reglas de sustitución y los detalles de renderizado cambian de un motor a otro, y los anchos medidos varían. Sobre la misma máquina, Chrome y Firefox suelen dar resultados con pequeñas discrepancias: es cosa del motor.

¿Cuantas más fuentes instalas, más fácil te identifican?

Una fuente extra solo se ve si entra en la lista de pruebas. La cantidad pesa poco por sí misma, salvo una excepción: las fuentes raras. En cuanto se detecta una fuente de diseño poco común, toda la lista pasa a parecer estadísticamente inusual.

¿Borrar las cookies elimina la huella de fuentes?

No. La lista de fuentes refleja lo instalado en la propia máquina y no forma parte del almacenamiento del sitio: ni las cookies ni la caché la afectan. Para cambiarla hay que tocar la configuración de fuentes a nivel de entorno.