Qué saben los sitios web de ti
Una señal es cualquier cosa que un sitio web puede leer sobre un visitante sin pedir permiso: un valor que tu navegador entrega como parte de la navegación normal, una propiedad de tu conexión o una preferencia que configuraste hace tiempo y olvidaste. Ninguna señal por sí sola te nombra, pero juntas forman un retrato lo bastante detallado para reconocerte, ubicarte aproximadamente y adivinar cómo te gusta navegar. La prueba de huella del navegador escribe ese retrato en un párrafo, para que puedas leerte tal como un sitio te ve en el primer segundo de una visita. Este artículo recorre cada capa de ese párrafo —conexión, dispositivo, navegador y preferencias silenciosas— y termina con lo que un sitio aún no puede ver. Se combina con filtraciones de VPN y comprobaciones de disfraz, que pregunta si el retrato coincide con la historia que tu VPN intenta contar.
El párrafo va primero
Abre cualquier sitio web moderno y, antes de que hayas hecho clic, desplazado o escrito un carácter, la página ya ha reunido un retrato funcional de ti. Sabe aproximadamente dónde pareces estar en el mundo, qué idioma probablemente lees, qué clase de dispositivo tienes en la mano, qué tan grande es tu pantalla y si tu configuración parece ordinaria o inusual. Nada de eso requirió un aviso de permiso, un inicio de sesión o un banner de cookies. Vino de la negociación ordinaria que todo navegador realiza para obtener y renderizar una página: la propia conexión, las cabeceras que acompañan cada petición y las API de JavaScript que existen para que las páginas se adapten a tu dispositivo.
El párrafo en la parte superior de la prueba de huella existe para hacer visible ese ensamblaje. En lugar de mostrar una tabla de valores técnicos brutos, escribe una frase que reconocerías como la descripción de una persona: alguien en una ciudad concreta, en una red concreta, usando un navegador concreto en una clase concreta de máquina, con preferencia por un idioma y una apariencia concretos. Cada valor rellenado en esa frase es rastreable hasta sus señales más abajo en la página, para que puedas comprobar no solo cuál es la conclusión sino cómo se llegó a ella. Cuando falta un valor, el párrafo lo dice honestamente —y esa ausencia, como explica la última sección, es en sí misma información—.
¿Por qué importa si ningún valor por sí solo es secreto? Porque la combinación es el punto. Un tamaño de pantalla solo describe a millones de personas. Un tamaño de pantalla más un modelo de GPU, una zona horaria, un orden de idiomas, una lista de códecs compatibles y un tipo de red reduce el grupo drásticamente. Los sitios usan esa combinación para trabajo legítimo —comprobaciones de fraude, prevención de abusos, reconocer que un inicio de sesión parece familiar— y los anunciantes la usan para reconocer a visitantes que regresan incluso cuando se borran las cookies. No puedes juzgar ninguno de los dos usos hasta que puedas ver tu propia combinación, que es para lo que sirve la prueba.
Lo que dice tu conexión
La primera capa es tu conexión, y su titular es tu dirección IP. Cada servidor al que contactas la ve, porque necesita un lugar al que enviar la respuesta. Solo con esa dirección un sitio puede averiguar bastante: una geolocalización aproximada de bases de datos comerciales, el número de sistema autónomo (ASN) y la organización propietaria del bloque, y si la dirección pertenece a un proveedor de banda ancha doméstica, un operador móvil, una empresa o una compañía de alojamiento. Esa última distinción es en sí misma una señal: un visitante que llega desde un rango de centro de datos se lee muy distinto de uno que llega desde una calle residencial, y los sistemas de fraude lo notan.
Trata la geolocalización con cuidado: la ciudad mostrada es la ciudad de la salida de tu red, no necesariamente la tuya. Las bases de datos asignan direcciones a donde los proveedores las registran y enrutan, así que las redes móviles, las pasarelas corporativas y los proveedores rurales ubican rutinariamente a personas a decenas o cientos de kilómetros, y ocasionalmente en el país equivocado. La prueba mejora la imagen consultando más de un punto de rastreo, porque redes diferentes pueden ver salidas diferentes: un rastreo de CDN, por ejemplo, puede revelar la dirección que esa red perimetral observó, que puede diferir cuando interviene un proxy, un relé o un túnel dividido. Las diferencias entre esas lecturas no son errores; son un mapa de los caminos que realmente toma tu tráfico.
La conexión también informa de su propia mecánica: la versión de TLS y el protocolo que la aseguró, y si llegó por IPv4 o IPv6. Esta es exactamente la capa que mueve una VPN —y solo esta capa—. Una VPN reemplaza la dirección IP que ven los sitios por su dirección de salida, así que la ciudad, el país, el ASN y la organización cambian a los del proveedor de VPN. No cambia tu pantalla, tus fuentes, tu zona horaria ni tu lista de idiomas. Ese desajuste —una conexión que afirma estar en un país y un navegador configurado para otro— es precisamente lo que buscan las comprobaciones de disfraz, y por qué cambiar solo tu dirección es un disfraz más débil de lo que parece.
Lo que dicen tu dispositivo y tu navegador
La segunda capa es el dispositivo y el navegador mismos. La señal más antigua es la cadena user agent, un banner en el que el navegador anuncia su familia, versión y sistema operativo; los navegadores Chromium modernos congelan cada vez más esa cadena y trasladan el detalle a User-Agent Client Hints, valores estructurados que un sitio puede solicitar sobre modelo, versión de plataforma y arquitectura. A su alrededor están el nombre de la plataforma, el número de procesadores lógicos informado como concurrencia de hardware, una cifra aproximada de memoria del dispositivo y los puntos táctiles máximos: individualmente mundanos, en conjunto un boceto de la clase y la edad de tu máquina.
Los gráficos y la pantalla añaden la cola larga. Tu geometría de pantalla —tamaño total, tamaño disponible, profundidad de color y relación de píxeles del dispositivo— describe tu monitor y tus elecciones de escala. Una sonda WebGL puede leer el proveedor y la cadena de renderizado de la GPU, que a menudo nombra el chip gráfico exacto o la familia de controladores. El renderizado en canvas, el procesamiento de audio y la medición de fuentes funcionan de forma similar: pide al navegador que dibuje una forma, renderice texto o enumere lo que puede mostrar, y pequeñas diferencias en hardware, controladores y fuentes instaladas producen resultados mediblemente diferentes. La prueba también sondea las fuentes instaladas indirectamente, los dispositivos multimedia en conjunto, y qué códecs de audio y vídeo puede reproducir el navegador: cada uno un hecho pequeño, juntos una combinación que pocos otros visitantes comparten exactamente.
Nada de esto requiere un acceso exótico. Son las mismas API que los sitios legítimos usan para servir el formato de vídeo correcto, elegir un diseño que encaje en tu ventana o evitar ofrecer una descarga que tu sistema no puede ejecutar. Ese doble uso es lo que hace que la huella sea difícil de eliminar por ley: no puedes retirar la capacidad sin romper la adaptación ordinaria. Lo que sí puedes hacer es conocer tu propia exposición. Una combinación rara no es una falta, pero sí significa que borrar las cookies hace menos por tu anonimato de lo que podrías esperar: la capa del dispositivo vuelve a identificar la misma máquina en su próxima visita sin ningún estado almacenado.
Las preferencias silenciosas
La tercera capa es más silenciosa: las preferencias y ajustes que lleva tu navegador. Informa si prefieres una combinación de colores clara u oscura, si has pedido movimiento reducido, si prefieres datos reducidos o ajustes de contraste, y elecciones similares de accesibilidad y apariencia hechas a través del sistema operativo o los ajustes del navegador. Existen para que los sitios puedan respetarlas, y la mayoría de la gente las configura una vez y nunca vuelve a pensar en ellas, que es exactamente por lo que son lo bastante estables para contribuir a una huella.
El idioma y la hora son más ruidosos. El navegador envía una lista ordenada de idiomas —no solo tu idioma principal sino los de respaldo y su orden de prioridad— y expone la zona horaria configurada en tu sistema, junto con cómo se formatean fechas y números en tu configuración regional. Una lista de idiomas de una sola entrada común no es notable; una lista de tres idiomas en un orden inusual, combinada con una zona horaria y un formato de fecha, está cerca de ser una firma. También contrasta la capa de conexión: un navegador configurado para una región mientras su dirección IP afirma otra es un signo clásico de viaje, trabajo remoto o una salida de VPN elegida en un país diferente al de la propia máquina.
Algunas preferencias fueron diseñadas como peticiones de privacidad. Do Not Track y su sucesor, Global Privacy Control, permiten al navegador señalar que te opones al rastreo o a la venta de tus datos —y GPC tiene peso legal en algunas jurisdicciones, cosa que Do Not Track nunca tuvo—. En la práctica ambos se honran de forma desigual, y enviarlos es en sí mismo una señal distintiva, porque relativamente pocos visitantes lo hacen. La misma paradoja recorre esta capa: la disponibilidad de cookies y almacenamiento, si se ofrece la API de batería, qué distribución de teclado se infiere: ajustes y ausencias por igual te describen, incluidos los destinados a protegerte. La prueba informa de lo que dice tu navegador y guarda silencio sobre los valores que retiene, para que puedas ver ambos lados.
Lo que un sitio aún no puede ver
Con todo lo anterior, los límites importan tanto como el alcance. Sin un aviso de permiso un sitio no puede leer tu nombre, tu dirección exacta, tu edad, tus contactos, tus archivos, tu ubicación GPS precisa, tu micrófono o tu cámara. La geolocalización, el acceso a dispositivos y las notificaciones están tras permisos explícitos del navegador por una razón, y una prueba bien comportada —como esta— lee solo lo que se ofrece libremente y no pide nada. Si una página aleatoria afirma conocer tu nombre solo por tu huella, está fanfarroneando o compró ese vínculo en otro lugar.
Ese otro lugar es la advertencia honesta. Las conjeturas seguras de la industria publicitaria sobre tu edad, género, ingresos e intereses no vienen de estas lecturas; vienen del comportamiento unido a través de muchos sitios y aplicaciones —lo que buscas, ves, compras y en lo que te detienes— ensamblado en perfiles y adjunto a identificadores con el tiempo. El papel de la huella en esa economía es más estrecho y técnico: ayuda a reconocer de nuevo el mismo navegador para que el registro de comportamiento pueda continuar. Mantener esas dos cosas separadas importa, porque las defensas difieren: el comportamiento se rige por cuentas, consentimiento y normas de rastreo, mientras que las señales se rigen por lo que tu navegador elige revelar.
Por eso una señal ausente merece respeto. Cuando la prueba dice “este navegador no lo dice”, es una función de privacidad funcionando como se pretendía, y los navegadores difieren deliberadamente aquí: los basados en Chromium generalmente ofrecen más detalle, mientras que Safari y Firefox retienen, hacen más gruesos o aleatorizan más valores, y los navegadores centrados en la privacidad van aún más lejos. Acortar tu párrafo es posible —las preguntas frecuentes de abajo dan pasos prácticos— pero el objetivo debería ser una elección informada, no la invisibilidad, que ninguna configuración convencional entrega honestamente. Para saber cómo la propia prueba compañera maneja los datos que lee, consulta cómo una prueba de privacidad no conserva datos: la versión corta es que tu retrato se escribe en tu navegador, para ti, y leerlo no debería requerir confiar en que guardemos una copia.