¿Qué es el fingerprint del navegador? Cómo te reconocen sin que inicies sesión

Un sitio puede reconocerte muchas veces sin que inicies sesión y sin instalar nada en tu equipo. Cada vez que abres una página, el navegador entrega por iniciativa propia un lote de información.

Ese lote es lo bastante estable como para sobrevivir a un borrado del historial. Un sitio desconocido sigue reconociendo que eres el mismo dispositivo. Eso es el fingerprint del navegador.

MostMate es un navegador antidetect pensado para operar varias cuentas. Trabaja justo en la otra cara del problema: dar a cada cuenta una identidad de navegador propia, independiente y coherente consigo misma en el mismo ordenador.

A partir de aquí avanzamos con cuatro preguntas. De qué se compone la huella, por dónde la obtiene un sitio, si desactivar los scripts sirve para escapar y cómo probarlo tú mismo.

Ningún dato es raro por separado; el reconocimiento surge al combinarlos

Visto uno por uno, cada dato es demasiado común para identificar a nadie. Las pantallas de 1366×768 están por todas partes, las cadenas de identificación de Chrome abundan y en el huso UTC+8 viven cientos de millones de personas.

Lo que de verdad decide es la intersección. El tamaño de pantalla es un filtro, el sistema operativo es otro, el modelo de tarjeta gráfica otro más, y la lista de fuentes, la zona horaria o las preferencias de idioma suman cada uno el suyo. Con cada capa que se apila queda menos gente. Al llegar a siete u ocho capas, muchas veces solo queda una persona.

EFF hizo un experimento abierto en 2010 y recogió unas 470.000 muestras de información de navegadores. De ellas, el 83,6 % ya era única con ese juego de filtros.

Los investigadores tradujeron el resultado a cantidad de información: cada navegador arrastraba al menos 18,1 bits de capacidad de identificación. Elegir uno al azar daba una probabilidad de coincidencia de una entre unas 280.000. Las conclusiones completas están en el informe público de EFF. Esas cifras se citan sin parar desde entonces, y también se malinterpretan sin parar.

Es fácil leer ese número como un «todos vamos desnudos por internet». Conviene tomarlo más bien como un aviso: la fuerza de una huella no viene de lo raro que sea un dato concreto, sino de cuántos datos encajan a la vez. Un valor muy poco frecuente, de hecho, hace que ese dispositivo destaque estadísticamente.

Hay algo aún más decisivo que el número de datos: la estabilidad. Una huella sirve porque mañana y el mes que viene sigue en el mismo sitio. Un navegador que cambia de parámetros en cada arranque equivale a entregar cada día un juego nuevo de pistas para que te distingan.

Tres estudios, tres cifras: la diferencia está en cómo se tomaron las muestras

Quedarse con un solo número lleva a conclusiones equivocadas. Este tipo de estudios se ha repetido varias veces y, con condiciones distintas, los resultados se alejan mucho.

Las dos primeras filas proceden de webs dedicadas a hacer la comprobación. Quien se molesta en medirse ya se preocupa más por la privacidad, y sus equipos y configuraciones son más homogéneos que los del internauta medio.

La tercera fila cambia de escenario. El script de recogida se instaló en sitios de noticias franceses entre los quince más visitados y captó visitantes naturales de dos páginas: el tiempo y noticias políticas. Se usaron las mismas decenas de atributos.

Mismos atributos, otra muestra: la unicidad cae del 90 % a un tercio.

Así que la unicidad no es una propiedad fija del dispositivo. Depende de que tres cosas se cumplan a la vez: cuántos datos se recogen, a quién se recogen y con qué método. En 2021 los investigadores ampliaron los atributos de unas decenas a más de doscientos y volvieron a medir. La proporción de unicidad regresó al 81 %. Cuantos más datos, más se separan las personas.

Aquel estudio en sitios franceses dejó además un hallazgo más práctico. Las huellas no únicas se describían como «frágiles».

Una máquina que coincide con decenas de miles de personas puede caer en la categoría de única con solo tocar un poco su configuración. Actualizar el navegador, añadir una extensión o cambiar una vez la resolución cuentan. «He coincidido con otros» no demuestra seguridad, solo significa que todavía no te han separado.

La huella tiene tres entradas y solo una depende de los scripts

Para responder a «qué puede ver un sitio» hay que mirar tres capas. De las tres, solo la de abajo depende de los scripts; las otras dos ya han terminado antes de que el script se ejecute. Cuando la web oficial explica el aislamiento, también lo divide en estas tres capas: dispositivo, navegador y red.

Capa de conexión: la dirección queda registrada antes de enviar la petición

Antes de abrir la página, el navegador debe estrechar la mano con el servidor y luego enviar la petición. En ese proceso el servidor ya ha obtenido tu dirección de salida y un conjunto de parámetros negociados.

Los parámetros negociados incluyen los métodos de cifrado que admite cada parte, las extensiones y el orden de preferencia. Qué se anuncia y en qué orden lo decide la versión del navegador y el entorno donde se ejecuta. Son valores que no tocan el contenido de la página ni piden tu consentimiento: son un subproducto de la propia comunicación.

La dirección más ese juego de parámetros ya permiten un primer filtrado grueso. A qué operador pertenece el enlace y qué versión o navegador parece el otro lado suele deducirse a grandes rasgos.

Capa de cabeceras: el navegador informa de varios datos cada vez

Las cabeceras son las aclaraciones que el navegador añade a la petición. Hay varias que aparecen casi siempre: qué idiomas acepta, qué compresiones admite, su propia cadena de identificación y desde qué página llegas.

El apartado de idiomas lo determinan el sistema y la configuración del navegador, y es más detallado de lo que la mayoría cree. Dentro del chino, por ejemplo, se distingue simplificado, tradicional y región. Su rasgo es que son silenciosas, estables y se envían siempre, sin cambiar según el sitio que visites ni según si borras el historial.

Capa de página: el script puede leer más de lo que imaginas

Una vez cargada la página, el script puede seguir preguntando. El tamaño de pantalla y de ventana, el desfase horario, el número de núcleos de CPU y el tramo de memoria están al alcance de la lectura. Estas interfaces son públicas en el navegador y la documentación de interfaces del navegador las enumera con total claridad, así que cualquier sitio puede invocarlas directamente.

Al preguntar «qué es el fingerprint del navegador», lo primero que se le ocurre a casi todo el mundo es el canvas y las fuentes. Son, en efecto, los dos señalados con más frecuencia, y la razón no es lo exóticos que resultan, sino lo difícil que es cambiarlos.

Canvas y fuentes: los dos señalados con más frecuencia

El método del canvas es bien directo. La página dibuja una figura o una línea de texto en un punto que no ves y después relee la imagen píxel a píxel.

La misma instrucción, dibujada en tarjetas gráficas, controladores y sistemas distintos, no produce píxeles idénticos. La diferencia es demasiado pequeña para el ojo, pero lo bastante estable. Aunque cambies el fondo de pantalla o la escala, sigue en el mismo sitio.

La lista de fuentes va por otro camino. La página no te pregunta qué fuentes tienes, sino que prueba nombres de fuentes habituales uno a uno. Si al renderizar un texto con cierto tamaño la anchura medida no cuadra con la esperada, esa fuente no está en tu máquina. Cuantos más nombres prueba, más larga es la lista que obtiene.

Las fuentes que entraron de paso al instalar programas de diseño también cuentan aquí. Por eso la huella de fuentes suele ser más reveladora que el tamaño de pantalla: registra qué programas has instalado y para qué usas esta máquina.

Diferencias de renderizado: la clase que se esconde en los píxeles

El canvas es solo una salida de las diferencias de renderizado. La cadena de procesamiento de audio, las interfaces gráficas y los códecs de vídeo dejan cada uno pequeñas diferencias ligadas al hardware, y en una misma máquina encajan entre sí de un modo difícil de reproducir en otra.

Esta clase de valores tiene un rasgo común: los decide el hardware y el controlador, y no se pueden cambiar. Tocar los ajustes del navegador, borrar la caché o cambiar de línea no los alcanza.

Más que el número de datos, lo que conviene vigilar es la estabilidad. Estos valores son tan estables que sirven como identificador de dispositivo a largo plazo, y precisamente por serlo, volver más raro uno o dos parámetros no suele resolver nada.

¿Se soluciona todo desactivando JavaScript?

Si desactivas los scripts, la tercera entrada queda efectivamente cerrada. La página no puede leer la lista de fuentes ni obtener el resultado del renderizado.

Pero las dos primeras siguen igual. Las cabeceras no faltan ni una, la dirección de salida queda registrada igual y los parámetros negociados de la capa de conexión también siguen ahí. Desactivar los scripts elimina una capa, no todas.

En el experimento de 2010, los navegadores con scripts desactivados se clasificaron aparte como muestra «relativamente difícil de rastrear». Esa medida sí funcionaba entonces.

Pero «relativamente difícil» y «quedar oculto» son cosas distintas. Si todo el mundo tiene los scripts activados y tú formas parte de la minoría que los apaga, ese hecho ya es un rasgo en sí mismo. Un estado poco común no te hace desaparecer, solo te vuelve más fácil de señalar.

El problema real no está aquí. La molestia que genera la huella es sobre todo que se conecten entre sí varias identidades, no que un parámetro concreto sea más o menos discreto. Eso explica también por qué volver los parámetros más vistosos o más raros no suele ayudar.

Si cambias de navegador en el mismo ordenador, qué datos te siguen

Mucha gente cree que instalar varios navegadores equivale a tener varias identidades, y el cambio real es menor de lo que parece. Según cómo se comportan al cambiar de navegador, estos datos se dividen en dos grupos:

• Cambian con el navegador: la cadena de identificación, el resultado de renderizado de las interfaces gráficas y de canvas, la lista de extensiones y el almacenamiento local con el estado de sesión.
• No cambian: el modelo de tarjeta gráfica y controlador, los parámetros físicos de la pantalla, el número de núcleos de CPU, el tramo de memoria, la zona horaria del sistema y las fuentes a nivel de sistema.

El primer grupo lo aporta el propio navegador y se reordena al reinstalar, actualizar o instalar extensiones. El segundo viene del hardware y del sistema, y por muchos navegadores que cambies siguen siendo los mismos valores. Son justamente el hilo que conecta varias máquinas que «parecen distintas».

Abrir tres navegadores en el mismo ordenador se parece más, a ojos de un sitio, a tres usos del mismo dispositivo que a tres dispositivos.

Autoprueba en tres pasos: cómo aplicar este criterio en la gestión de varias cuentas

Las webs de comprobación públicas funcionan sin registro. En lugar de quedarte con las conclusiones, merece la pena ver qué está reportando tu propia máquina. Aterrizado en el escenario de varias cuentas, lo que conviene fijar antes que los resultados de la prueba es el orden; el orden de cero al primer entorno ya repasa proxies, formularios y listas de verificación en secuencia.

El orden de la prueba puede fijarse así:

1. Mira primero de qué datos viene la unicidad. Al terminar, no mires la puntuación total; mira los «rasgos más únicos» que señala, que suelen ser la parte más difícil de cambiar en ti.
2. Prueba después dos navegadores del mismo equipo, uno por uno, y marca los datos que coinciden en ambas pruebas. Esos pertenecen a la capa de hardware y sistema, y no se sueltan aunque cambies de navegador.
3. Por último, repite la prueba con los scripts desactivados y observa qué valores siguen siendo legibles. Lo que quede es lo que se obtiene sin necesidad de scripts.

Al terminar los tres pasos se suele llegar a la misma conclusión. Los datos verdaderamente difíciles de cambiar son pocos, pero son los que sostienen tu identidad.

Siguiendo esa conclusión, el enfoque para varias cuentas no es difícil de deducir. Lo que hay que hacer es que el entorno de cada cuenta se mantenga coherente dentro de su propio conjunto; los parámetros no necesitan ser más extraños.

MostMate sitúa esta cuestión en el paso de crear el entorno. El idioma, el idioma de la interfaz, la zona horaria y la ubicación geográfica siguen por defecto la salida. Los datos de hardware como pantalla, núcleos y memoria solo ofrecen dos niveles, real y aleatorio; para salir del valor por defecto hay que elegirlo a mano una vez. Este conjunto de valores y la comparación con la configuración manual dato a dato pueden verse en paralelo en la web oficial.

Por qué se toman estas decisiones y qué bloquea cada uno de los cuatro principios de diseño se explica con más detalle en ese artículo. Ahí se detalla qué principio corresponde a cada tipo de fallo y cuál hay que preservar primero cuando los cuatro entran en conflicto.

Si prefieres empezar directamente, también puedes descargar MostMate e, instalado, repetir los tres pasos anteriores con tu propio entorno.

Si antes quieres ver cómo MostMate reúne estos valores en un sistema de gestión de entornos, empieza por la descripción del producto.

Preguntas frecuentes

¿Cambia la huella si borro las cookies o uso el modo incógnito?

No. Las cookies y el almacenamiento local son notas que el navegador guarda para el sitio, y al borrarlas desaparecen. La huella es distinta: es un valor que se lee en el momento del dispositivo y del navegador, y no está guardado en tu máquina. El modo incógnito limita lo que queda en local, no cambia lo que el navegador informa al exterior.

¿Si cambio de IP ya tengo otra identidad?

Solo cambias la capa de red. Las preferencias de idioma, las fuentes, la tarjeta gráfica o la zona horaria del sistema no varían por cambiar de IP. Y si la región de la nueva línea no cuadra con tu zona horaria y tu idioma, lo que se forma es una combinación sin sentido.

¿Sirve de algo instalar una extensión antidetect?

Lo habitual es añadir ruido a algunos datos o unificarlos en un juego de valores mayoritarios. Unificar los valores sí te difumina entre la multitud, a cambio de que ese mismo grupo comparta los mismos rasgos. Añadir ruido, en cambio, puede hacer que un mismo entorno informe valores distintos en dos ocasiones, y eso ya es una anomalía. Ninguna de las dos cosas toca la capa de hardware y sistema.

¿De verdad los sitios comparan huellas?

En antifraude y control de riesgos es un método habitual, y resulta especialmente común en pasos como el inicio de sesión, el registro o el pago. Ahora bien, la mayoría de los sitios lo trata como una señal más y la lee junto al comportamiento de la cuenta y al historial del dispositivo; rara vez decide solo con un dato.

¿Dos ordenadores exactamente del mismo modelo tendrán la misma huella?

No serán idénticos. Los equipos del mismo modelo se separan pronto en versión del sistema, fuentes, controladores, zona horaria, idioma y extensiones instaladas, y todas esas diferencias acaban en la huella. Las máquinas clonadas instaladas en serie son las más parecidas, pero eso cubre solo una parte muy pequeña de los casos.

¿Con un navegador antidetect ya no me pueden encontrar?

No. El navegador antidetect trabaja en la frontera entre entornos, para que cada cuenta tenga una identidad de navegador independiente y coherente. No cambia cómo determina la plataforma a quién pertenece una cuenta ni promete ningún resultado. Conviene además distinguir una cosa: la coherencia de la huella es un método de autocomprobación, no una regla de detección de las plataformas. Confundir ambas lleva a esperar de la herramienta más de lo razonable.