Cómo la huella digital del navegador te identifica sin una cookie

¿Qué es la huella digital del navegador?

Varias señales técnicas que el navegador y el dispositivo de un visitante reportan, combinadas en un único identificador sin establecer una cookie, es lo que la huella digital del navegador usa para reidentificar a ese visitante en una visita posterior. Cada señal por separado, como la resolución de pantalla o las fuentes instaladas, es común a muchos dispositivos, pero la combinación específica de docenas de señales es lo bastante rara como para reidentificar un dispositivo concreto entre visitas distintas. Un sitio puede calcular esta huella a partir de información que el navegador ya envía o expone a cualquier página que carga, y eso es lo que hace posible la técnica sin software de rastreo explícito.

¿Qué señales forman una huella digital del navegador?

Una huella digital del navegador se construye a partir de señales que incluyen la salida del renderizado en canvas, la lista de fuentes instaladas, la resolución de pantalla y la profundidad de color, la cadena de user agent, y la zona horaria que reporta el navegador. La huella digital de canvas funciona pidiéndole al navegador que dibuje una imagen oculta y leyendo después los píxeles resultantes, ya que pequeñas diferencias en el hardware gráfico y los drivers hacen que esa salida varíe ligeramente entre dispositivos incluso cuando las instrucciones de dibujo son idénticas. La cadena de user agent reporta el nombre del navegador, la versión y el sistema operativo, mientras que la zona horaria y la lista de fuentes instaladas reducen aún más el conjunto de dispositivos coincidentes con cada señal añadida.

¿Qué es la entropía y por qué importa para la unicidad de una huella digital?

La entropía mide cuántos bits de información identificadora aporta una señal, y la unicidad general de una huella digital surge de combinar señales con suficiente entropía total como para separar un dispositivo del conjunto de todos los demás dispositivos con hardware similar. Una señal común, como "usa Chrome", aporta muy poca entropía por sí sola porque millones de dispositivos la comparten, pero una lista de fuentes poco común o una combinación inusual de resolución de pantalla y zona horaria puede reducir el conjunto coincidente de forma drástica. Combinar diez o más señales de entropía media es lo que convierte una huella digital de "probablemente coincide con miles de dispositivos" en "coincide con un dispositivo específico con alta confianza".

¿Por qué la huella digital del navegador sobrevive a borrar las cookies?

La huella digital del navegador sobrevive a borrar las cookies porque las señales que lee provienen de la configuración del propio navegador y sistema operativo, no de un archivo almacenado por un sitio concreto. Borrar las cookies elimina los identificadores que un sitio escribió en el dispositivo del visitante, pero no cambia la resolución de pantalla, las fuentes instaladas ni cómo el hardware gráfico renderiza un elemento canvas, así que recalcular la huella digital en la siguiente visita produce el mismo resultado o uno muy similar. Esta es la propiedad que separa la huella digital del rastreo basado en cookies: borrar el almacenamiento derrota a una cookie, pero no derrota a una huella digital construida a partir de señales de hardware y configuración.

¿Cuál es la posición legal de la huella digital del navegador bajo el GDPR?

Bajo el GDPR, una huella digital del navegador que puede aislar y reidentificar un dispositivo concreto cuenta como dato personal, y recolectarla con fines de rastreo necesita la misma base legal y consentimiento que necesita una cookie de rastreo. El requisito de consentimiento de la Directiva ePrivacy se aplica a almacenar o acceder a información en un dispositivo sin importar si esa información se llama cookie, así que leer la salida de canvas o las listas de fuentes para construir una huella digital cae bajo la misma regla que leer el valor de una cookie. Un sitio que ejecuta scripts de huella digital antes de que un visitante haya dado su consentimiento de rastreo está procesando datos personales sin la base legal requerida, sin importar si alguna vez llama cookie a la técnica.

¿En qué se diferencia la huella digital de otras formas de rastreo entre sitios?

La huella digital identifica un único dispositivo usando señales recolectadas en un sitio a la vez, mientras que otras formas de rastreo entre sitios dependen de un identificador compartido, como una cookie third-party o un píxel de una red publicitaria, colocado deliberadamente en varios sitios. La huella digital no requiere que los sitios involucrados compartan un socio de rastreo en común, ya que cada sitio puede calcular de forma independiente una huella similar a partir de las mismas señales de dispositivo subyacentes. Esto es parte de la razón por la que la huella digital es más difícil de bloquear con un solo ajuste: una cookie third-party se puede desactivar a nivel del navegador, pero las señales subyacentes que lee la huella digital están expuestas a cualquier página por defecto, a menos que el navegador las restrinja de forma específica.

Preguntas frecuentes

¿Puedo bloquear por completo la huella digital del navegador?

No por completo, ya que algunas señales de las que depende una huella digital, como la resolución de pantalla, son difíciles de ocultar sin romper cómo se renderiza una página. Los ajustes del navegador que restringen el acceso a canvas, aleatorizan los valores reportados o bloquean scripts conocidos de huella digital reducen la precisión de la huella, pero no pueden eliminar cada señal que un sitio puede leer.

¿Es ilegal la huella digital del navegador?

La huella digital del navegador no es ilegal por sí misma, pero usarla para identificar y rastrear un dispositivo concreto sin el consentimiento que exigen el GDPR y la Directiva ePrivacy para ese fin es ilegal en la UE. La cuestión legal no es la técnica, sino si se usa para aislar un dispositivo sin una base legal válida.

¿Borrar la caché de mi navegador detiene la huella digital?

No, borrar la caché y las cookies elimina los identificadores almacenados que un sitio escribió, pero no cambia tu resolución de pantalla, tus fuentes instaladas ni cómo tu hardware renderiza un elemento canvas, que son las señales que la huella digital realmente lee. Una huella digital recalculada en tu próxima visita puede seguir coincidiendo con el mismo dispositivo.

¿En qué se diferencia la huella digital del navegador de una cookie first-party?

Una cookie first-party es un valor que el propio sitio escribe en tu navegador y vuelve a leer en una visita posterior, y borrarla elimina el identificador por completo. Una huella digital del navegador se deriva de la propia configuración y el comportamiento del hardware de tu dispositivo, así que no hay un único archivo almacenado que borrar.

¿Los modos de navegación privada o incógnito evitan la huella digital?

Los modos de navegación privada borran las cookies y el historial al final de una sesión, pero la mayoría de las señales que usa la huella digital, como el tamaño de pantalla, las fuentes instaladas y el user agent, no se ven afectadas por el modo privado y siguen siendo legibles para cualquier página cargada durante esa sesión.

¿Por qué las herramientas de analítica centradas en la privacidad evitan la huella digital?

La huella digital identifica un dispositivo individual sin consentimiento, lo que entra en conflicto directo con la analítica sin cookies, construida para operar bajo el GDPR sin recolectar identificadores personales. La analítica centrada en la privacidad de Flowsery se construye sin cookies y se aloja en la UE precisamente para que un sitio no necesite una huella digital ni un banner de cookies para medir el tráfico.

¿Cuántas señales hacen falta para construir una huella digital única del navegador?

No hay un número fijo, pero combinar diez o más señales de entropía media suele bastar para pasar de una huella que coincide con miles de dispositivos a una que identifica uno solo con alta confianza. Señales como la salida del canvas, las fuentes instaladas, la resolución de pantalla, el user agent y la zona horaria se combinan normalmente para llegar a ese punto. Con menos señales, o señales que comparten muchos dispositivos, la coincidencia queda dentro de un grupo más amplio y menos preciso.

¿Cómo es realmente una huella digital del navegador?

Una huella digital del navegador no es un archivo ni una imagen, es un único valor hash calculado combinando señales como la salida de renderizado del canvas, las fuentes instaladas, la resolución de pantalla, el user agent y la zona horaria. La misma combinación de entradas produce el mismo hash, así que un sitio puede recalcularlo en una visita posterior y comprobar si coincide. No hay nada que abrir ni ver, solo un valor que comparar.

¿Pueden dos dispositivos distintos terminar con la misma huella digital?

Dos dispositivos pueden producir la misma huella cuando sus señales combinadas no aportan suficiente entropía para diferenciarlos de otros con hardware y configuración similares. Una señal común como usar Chrome aporta muy poco por sí sola, ya que millones de dispositivos la comparten, así que dos máquinas con el mismo navegador, resolución de pantalla y zona horaria pueden coincidir. Añadir más señales, sobre todo señales raras como una lista de fuentes poco común, reduce ese grupo y la probabilidad de una coincidencia falsa.

¿Una huella digital del navegador cuenta como dato personal aunque no esté vinculada a mi nombre?

Puede contar como tal, ya que el GDPR clasifica una huella digital como dato personal siempre que pueda individualizar y volver a identificar un dispositivo concreto, esté o no vinculada a un nombre o correo electrónico. El umbral legal es la capacidad de distinguir un dispositivo de otros, no la presencia de un dato identitario. Por eso los scripts de fingerprinting necesitan el mismo consentimiento que una cookie de seguimiento en cuanto se usan con ese fin.