Huella digital del navegador: cómo te rastrean los sitios web más allá de las cookies

Las cookies de terceros se están erosionando bajo las políticas de los navegadores y la regulación, por lo que los sistemas de tecnología publicitaria y fraude se apoyan más en señales sin estado: combinaciones de rasgos de hardware y software observables desde JavaScript y CSS. Juntos forman una huella digital (fingerprint), que rara vez es perfecta, pero a menudo es lo suficientemente buena para correlacionar sesiones.

Categorías principales de señales

1. Capa HTTP — User-Agent (en reducción), Accept-Language, Client Hints.
2. Pantalla y renderizado — resolución, devicePixelRatio, colorGamut, fuentes disponibles.
3. Gráficos — las salidas de sombreadores de Canvas y WebGL varían según la GPU y el controlador.
4. Audio — los canales de oscilador + compresor producen pequeñas diferencias numéricas.
5. Comportamiento — cadencia de escritura, dinámica del puntero (recopilación de mayor latencia).

Ningún campo individual es determinante por sí solo; lo que importa son las distribuciones conjuntas.

Por qué esto es diferente de las cookies

Las cookies son almacenamiento explícito que puedes eliminar. Las huellas digitales se derivan de salidas ordinarias de las API. Borrar las cookies no restablece las peculiaridades de compilación de sombreadores de tu GPU. Esa asimetría impulsa el debate regulatorio: ¿es "estrictamente necesario" leer los píxeles de canvas?

Defensas del navegador

• Safari — Intelligent Tracking Prevention limita el almacenamiento y aísla a terceros.
• Firefox — Opciones para resistir la huella digital (Resist Fingerprinting) y listas de protección de rastreo mejorada (ETP).
• Chrome — Privacy Sandbox desplaza los casos de uso publicitario hacia temas (topics) y API protegidas; aún en evolución.
• Tor Browser — Estandariza el viewport y atenúa las API de alta entropía; prioriza la usabilidad sobre la unicidad.

Qué deberían hacer los propietarios de sitios web

Si no estás creando tecnología publicitaria, evita llamar a API de alta entropía "solo porque sí". Usa Permissions-Policy para desactivar funciones no utilizadas (camera, geolocation, payment). Prefiere analíticas del lado del servidor con métricas agregadas. Documenta los flujos de datos en tu política de privacidad; los revisores (humanos y automatizados) buscan honestidad.

Desarrolladores: no ayuden a los rastreadores accidentalmente

Las detecciones de características que escriben en canvas o enumeran fuentes en las páginas de destino pueden ayudar involuntariamente a los scripts de terceros cargados más tarde. Audita los administradores de etiquetas trimestralmente; un solo fragmento de A/B puede deshacer una ingeniería cuidadosa.

Combina esta lectura con nuestra herramienta de detección de navegador para ver qué anuncia tu UA — luego recuerda: el UA es solo el capítulo de apertura del libro de la huella digital.