Huella del navegador:

cómo te siguen sin cookies y qué lo frena de verdad

Privacidad digital  |  unfantasmaenelsistema.com

Durante años, «borrar las cookies» fue sinónimo de empezar de cero. Ya no. Los sistemas de rastreo modernos no necesitan guardar nada en tu equipo: reconstruyen tu identidad a partir de las características técnicas que tu navegador revela en cada visita —qué fuentes tienes instaladas, cómo dibuja tu tarjeta gráfica un texto, qué resolución, qué idioma, qué extensiones—. La combinación de todos esos datos es tan particular que actúa como una matrícula. Es lo que se llama huella del navegador (browser fingerprinting).

Este artículo explica de qué se compone esa huella, por qué te hace único entre millones de usuarios, qué técnicas concretas se usan (canvas, WebGL, audio, supercookies) y —la parte que más confusión genera— qué medidas la reducen de verdad y cuáles son puro placebo.

1. Con estado y sin estado: dos formas de seguirte

El rastreo con estado guarda un identificador en tu dispositivo (una cookie, una entrada en localStorage) y lo lee en la siguiente visita. Tiene una debilidad: si borras ese almacenamiento, el identificador desaparece.

El rastreo sin estado —la huella— no guarda nada. Cada vez que visitas una web, el navegador envía cabeceras y ejecuta JavaScript que expone decenas de propiedades del sistema. El rastreador calcula un hash de esa combinación y, si vuelve a ver el mismo hash, asume que eres la misma persona. Borrar cookies no cambia nada, porque no había nada que borrar. Las dos técnicas se combinan: la huella sirve para re-vincular un perfil cuando el usuario borra las cookies («cookie respawning»).

2. De qué se compone una huella

La huella es la suma de muchas señales. Ninguna identifica por sí sola, pero juntas sí. La medida de cuánta información aporta cada señal se llama entropía: cuántos usuarios comparten ese valor contigo.

3. Entropía: por qué eres «único entre millones»

Cada señal divide a la población en grupos. Tu idioma quizá te mete en un grupo de 20 millones. Tu resolución exacta, en uno de 500.000. Tu combinación de fuentes, en uno de 5.000. Tu canvas, en uno de 50. Al cruzar todas, el grupo se reduce a una sola persona con altísima probabilidad. El proyecto de la EFF estimó que un navegador típico expone del orden de 18-19 bits de entropía identificativa, más que suficiente para singularizar a cualquiera dentro de una web con millones de visitas.

La huella no es perfectamente estable —cambia al actualizar el navegador o el sistema— pero los rastreadores usan algoritmos que toleran pequeñas variaciones y te siguen reconociendo durante semanas o meses.

4. Canvas, WebGL y audio

El canvas fingerprinting es la técnica estrella. La web pide al navegador que dibuje un texto con ciertas fuentes, colores y efectos en un lienzo invisible, y luego lee la imagen resultante. El dibujo depende de tu tarjeta gráfica, sus controladores, el sistema operativo y las librerías de renderizado de fuentes: dos equipos distintos producen imágenes con diferencias mínimas pero consistentes, que resumidas en un hash dan un identificador muy estable.

// Ilustrativo: asi se obtiene la senal de canvas (no es codigo de rastreo real)
const c = document.createElement('canvas');
const ctx = c.getContext('2d');
ctx.textBaseline = 'top';
ctx.font = '14px Arial';
ctx.fillText('Un fantasma en el sistema \u2620', 2, 2);
const huella = c.toDataURL();      // string distinto segun GPU / SO / drivers
// el rastreador hace hash(huella) y lo usa como ID

WebGL fingerprinting hace lo mismo con gráficos 3D y además lee directamente el modelo de tu GPU («ANGLE (NVIDIA GeForce RTX…)»). El audio fingerprinting procesa una onda con el motor de audio del navegador y mide diferencias numéricas ínfimas que dependen de tu hardware y sistema. Ninguna de las tres necesita permiso ni deja rastro visible.

5. Supercookies y evercookie

Entre el rastreo con estado clásico y la huella hay una zona intermedia: mecanismos de almacenamiento pensados para sobrevivir al borrado normal.

• Evercookie: una técnica que guarda el mismo identificador en una docena de sitios a la vez (localStorage, IndexedDB, caché HTTP, ETags, historial CSS…). Si borras uno, se regenera desde los demás
• Supercookies de operador: cabeceras únicas (tipo «HSTS supercookie» o identificadores inyectados por algunos ISP) añadidas fuera del navegador. El navegador no puede borrarlas
• Caché y favicon: la caché del navegador y la de favicons se han usado como almacenamiento encubierto de identificadores

Los navegadores han ido cerrando estas vías (particionando la caché por sitio, limitando localStorage de terceros), pero conviene saber que existen y que «borrar el historial» no siempre las alcanza.

6. Qué funciona y qué no

7. Cookies de terceros: dónde estamos en 2026

El rastreo entre sitios con cookies de terceros lleva años en retirada, pero de forma desigual:

• Safari (desde 2020) y Firefox (Total Cookie Protection) bloquean o particionan las cookies de terceros por defecto: cada sitio ve su propio «tarro» y no se comparten entre webs
• Chrome mantiene las cookies de terceros pero con controles de usuario y sin el borrado automático que se anunció y luego se pospuso; la industria se ha movido hacia otras técnicas
• El efecto secundario es que, al cerrarse las cookies de terceros, la huella gana importancia como método de rastreo. Cerrar una puerta ha empujado tráfico a la otra
• Iniciativas como la Privacy Sandbox de Google proponen sustituir el rastreo individual por segmentación en el propio navegador; su adopción y sus implicaciones siguen en discusión

8. Comprueba tu propia huella

• coveryourtracks.eff.org (EFF): mide tu entropía, te dice si eres único entre su base de visitantes y prueba si tu navegador resiste el rastreo
• amiunique.org: muestra el valor concreto de cada señal y su rareza
• browserleaks.com: desglose técnico por API (canvas, WebGL, fuentes, WebRTC…)
• Prueba el mismo test en tu navegador normal y en Tor Browser o Firefox con RFP para ver la diferencia de forma tangible

Conclusión

La huella del navegador es rastreo sin cookies: te reconstruye a partir de cómo es tu equipo, no de lo que guarda. Borrar el historial, usar el modo incógnito o poner una VPN no la tocan, y cambiar el user-agent a mano la empeora. Es una de esas áreas donde el sentido común lleva a la solución equivocada.

Lo que funciona es la uniformidad: Tor Browser si tu modelo de amenazas lo justifica, o Firefox con resistFingerprinting / protección estricta y un buen bloqueador para el uso diario, asumiendo que alguna web se queje. Y conviene recordar el movimiento de fondo: según se cierran las cookies de terceros, la huella se vuelve el método de rastreo dominante, así que este tema va a más, no a menos.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)