Huella digital del navegador: cómo te rastrean sin cookies

Borras las cookies. Abres una ventana de incógnito. Activas una VPN. Entras en una web que no habías visitado nunca y, aun así, de algún modo ya sabe quién eres.

No necesariamente tu nombre. Pero sabe que eres la misma persona que pasó por allí ayer. Sabe qué dispositivo usas, qué software tienes y en qué otra docena de sitios has estado esta semana. Y todo ello sin guardar un solo archivo en tu ordenador.

Esto es la huella digital del navegador (browser fingerprinting), una técnica de rastreo que te identifica por las características únicas de tu navegador, tu dispositivo y tu hardware. Es invisible, persistente y prácticamente imposible de rechazar. Según una investigación de la Electronic Frontier Foundation (EFF), alrededor del 83,6 % de los navegadores tienen una huella lo bastante única como para distinguir a su usuario del resto de internet.

Y a medida que las cookies de terceros pierden terreno (bloqueadas por defecto en Safari, Firefox y Brave, aunque Chrome todavía las permite), la huella digital ha ocupado ese hueco. Hoy la usan miles de las webs más populares, desde redes publicitarias hasta bancos, y la inmensa mayoría de los usuarios no ha oído hablar de ella.

Esta guía explica qué es exactamente la huella digital del navegador, cómo funciona cada técnica por dentro, quién la utiliza y qué puedes hacer, siendo realistas, para protegerte.

¿Qué es la huella digital del navegador?

Cuando visitas una web, tu navegador comparte por su cuenta una cantidad sorprendente de información: qué navegador y qué sistema operativo usas, la resolución de tu pantalla, tu zona horaria, tus idiomas preferidos, las fuentes que tienes instaladas, el modelo de tu tarjeta gráfica y decenas de detalles más. Las webs necesitan buena parte de estos datos para funcionar bien: mostrar las páginas correctamente, reproducir vídeo a la resolución adecuada o servir el contenido en tu idioma.

La huella digital del navegador se aprovecha de ello: recopila tantos de estos datos como puede y los combina en un único identificador. Ningún detalle por separado es exclusivo tuyo. Millones de personas usan Chrome en Windows. Millones tienen una pantalla de 1920×1080. Pero ¿la combinación de tu navegador, la versión de tu sistema operativo, la resolución de pantalla, la GPU, la zona horaria, la configuración de idioma, las fuentes instaladas y un centenar de atributos más? Eso, casi con total seguridad, solo lo tienes tú.

Una comparación útil: imagina que estás en un estadio de fútbol con 80.000 personas. Si alguien pregunta "¿quién lleva camiseta roja?", son miles. "¿Camiseta roja y vaqueros?", siguen siendo cientos. "¿Camiseta roja, vaqueros, gafas, pelo castaño, sentado en la grada alta y con un tatuaje en la muñeca izquierda?" Probablemente, solo tú. La huella digital del navegador funciona igual: cada atributo reduce el grupo hasta que solo quedas tú.

Un script de huella digital suele recoger entre 50 y 200 datos en menos de 300 milisegundos. Se ejecuta en silencio en segundo plano, no se distingue de cualquier otro script que una web necesita para funcionar y, a diferencia de una cookie, no deja absolutamente ningún rastro en tu dispositivo. No hay ventana emergente, ni banner de consentimiento, ni ninguna entrada en los ajustes del navegador que puedas encontrar o borrar.

Cómo funciona la huella digital del navegador

La huella digital del navegador no es una sola técnica, sino una familia de métodos que explotan distintas API del navegador, características del hardware y protocolos de red para construir un identificador compuesto. Algunos son sencillos. Otros, de un ingenio notable. Así funciona cada una de las técnicas principales.

Cadena User-Agent y cabeceras HTTP

Los datos más básicos llegan gratis, antes incluso de que se ejecute código alguno en tu dispositivo. Cuando tu navegador se conecta a una web, envía un conjunto de cabeceras HTTP con cada petición. La más reveladora es la cadena User-Agent, una línea de texto que identifica tu navegador, su versión, tu sistema operativo y tu plataforma:

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36

Por sí sola, una cadena User-Agent la comparten millones de usuarios con el mismo navegador y el mismo sistema operativo. Pero se vuelve mucho más identificativa en combinación con otras cabeceras: el valor de Accept-Language revela tus idiomas preferidos y su orden de prioridad, Accept-Encoding revela las capacidades de compresión de tu navegador, e incluso el orden en que se envían las cabeceras varía entre familias de navegadores. Si usas una versión antigua del navegador o un sistema operativo poco común, destacas al instante.

Los navegadores modernos basados en Chromium están implantando además Client Hints, un sistema más reciente que envía detalles del hardware, como la memoria del dispositivo, el número de núcleos de la CPU o la arquitectura de la plataforma, en cabeceras HTTP separadas. Client Hints se diseñó como un sustituto más estructurado de la sobrecargada cadena User-Agent, pero también les sirve en bandeja a quienes recogen huellas unos datos perfectamente etiquetados.

Huella digital de Canvas

La huella digital de Canvas es una de las técnicas más extendidas y mejor estudiadas. Descrita por primera vez por investigadores de la Universidad de California en San Diego en 2012, explota el elemento <canvas> de HTML5, una API pensada originalmente para dibujar gráficos 2D en el navegador.

Funciona así: un script de huella digital le ordena a tu navegador que dibuje una imagen invisible, normalmente una combinación concreta de texto, formas, degradados, colores y, a veces, emojis. Después, el script lee los datos en bruto de los píxeles con la función toDataURL() y calcula un hash del resultado.

La clave está en que el dibujo exacto de esa imagen varía ligeramente según tu GPU, los controladores gráficos, el sistema operativo, el motor de renderizado de fuentes, la disposición de subpíxeles y la configuración del antialiasing. Son diferencias invisibles a simple vista (para una persona, las imágenes son idénticas), pero a nivel binario producen valores de píxel distintos y, por tanto, hashes distintos de un dispositivo a otro. Un equipo con Windows y una GPU de NVIDIA dibujará la misma instrucción de canvas de forma ligeramente distinta que un MacBook con Apple Silicon, y ambos se diferenciarán de un equipo Linux con una GPU integrada de Intel.

Los emojis son especialmente eficaces para la huella digital, porque su aspecto cambia muchísimo entre sistemas operativos y motores de navegador. El mismo emoji de la cara sonriente puede verse completamente distinto en las plataformas de Apple, Google, Microsoft y Samsung, lo que lo convierte en una señal muy eficiente para acotar el dispositivo.

Las investigaciones indican que la huella de Canvas por sí sola puede identificar de forma única a alrededor del 60 % de los usuarios. Combinada con otras técnicas, la cifra supera el 99 %.

Huella digital de WebGL

La huella digital de WebGL (Web Graphics Library) sigue un enfoque parecido, basado en el renderizado, pero en 3D en lugar de en 2D. La API WebGL dibuja gráficos tridimensionales en el navegador comunicándose directamente con la GPU del dispositivo.

Un script de huella digital renderiza una escena 3D compleja, con una iluminación, unas texturas y una geometría concretas, y analiza los píxeles resultantes. Como cada GPU, cada versión de controlador y cada configuración de hardware procesan el renderizado 3D de forma distinta, el resultado cambia de un dispositivo a otro.

Pero la huella de WebGL va más allá del renderizado. La API también expone información del hardware directamente. A través de la extensión WEBGL_debug_renderer_info, un script puede consultar el fabricante y el modelo exactos de tu GPU, por ejemplo "NVIDIA Corporation" y "NVIDIA GeForce RTX 4070". También puede enumerar las extensiones compatibles, el tamaño máximo de textura, los formatos de precisión de los shaders y otras capacidades de la GPU. Son datos muy identificativos y están disponibles sin ninguna interacción por tu parte.

Si la huella de Canvas pone a prueba el renderizado 2D básico, WebGL llega más hondo en la capa de hardware. Las dos técnicas suelen usarse juntas.

Huella digital de audio

La huella digital de audio usa la Web Audio API para generar un identificador único a partir de cómo procesa el sonido tu dispositivo, y lo importante es que nunca llega a sonar nada. Todo el proceso es un cálculo que ocurre en memoria.

Un script de huella digital crea una señal de audio con un OscillatorNode, la hace pasar por una cadena de procesamiento (normalmente con un DynamicsCompressorNode) y recoge la forma de onda resultante. Las sutiles diferencias en cómo procesan la señal las distintas pilas de audio (el motor del navegador, el sistema operativo, los controladores de audio y el hardware) producen resultados medibles y distintos. Esas diferencias bastan para crear un hash estable y único.

La huella de audio es especialmente valiosa por su estabilidad en el tiempo. Un usuario puede cambiar la resolución de pantalla, instalar fuentes nuevas o actualizar el navegador, pero la cadena de procesamiento de audio de su dispositivo suele mantenerse igual durante meses o años. Apple fue de los primeros fabricantes de navegadores en contrarrestar esta técnica: desde Safari 17, el navegador introduce pequeñas dosis de aleatoriedad en el procesamiento de audio durante la navegación privada, de modo que el mismo dispositivo genera hashes de audio distintos en cada sesión.

Huella digital de fuentes

El conjunto de fuentes instaladas en tu sistema es un identificador sorprendentemente potente. Cada sistema operativo trae un juego de fuentes por defecto, pero con el tiempo los usuarios van acumulando más: al instalar programas (solo Adobe Creative Suite añade decenas), por necesidades de trabajo o por gusto personal. El resultado es una biblioteca de fuentes que cambia mucho de una persona a otra.

La huella de fuentes consiste en mostrar un texto con cada una de las fuentes de una larga lista de candidatas y medir las dimensiones de los cuadros de texto resultantes mediante elementos DOM invisibles. Si una fuente está instalada, el texto se muestra con su anchura y altura propias. Si no, el navegador recurre a una fuente por defecto con otras dimensiones. Probando cientos de fuentes, un script puede trazar rápidamente tu inventario exacto de fuentes sin que veas nada en pantalla.

Las investigaciones han comprobado que alrededor del 57 % de los usuarios pueden identificarse de forma única solo por sus fuentes instaladas. Las fuentes también delatan tu sistema operativo y el software que tienes instalado: un equipo con Helvetica Neue es casi con seguridad un Mac, y uno con Segoe UI funciona con Windows.

Pantalla y atributos del hardware

Tu navegador expone toda una serie de características del hardware y de la pantalla a través de API estándar de JavaScript. Ninguna es única por sí sola, pero combinadas acotan rápidamente el abanico de dispositivos posibles:

• Resolución de pantalla y profundidad de color: mediante screen.width, screen.height y screen.colorDepth
• Memoria del dispositivo: mediante navigator.deviceMemory (navegadores Chromium)
• Número de núcleos de la CPU: mediante navigator.hardwareConcurrency
• Zona horaria: mediante Intl.DateTimeFormat().resolvedOptions().timeZone
• Plataforma: mediante navigator.platform
• Compatibilidad táctil: mediante navigator.maxTouchPoints
• Estado de la batería: la Battery Status API (ya eliminada de la mayoría de los navegadores, pero históricamente un vector de huella digital)

Un usuario con una pantalla de 2560×1440, 8 núcleos lógicos de CPU, 16 GB de memoria y la zona horaria Europe/Amsterdam ya está en un grupo muy reducido, antes incluso de que entren en juego las técnicas más avanzadas.

Huella digital TLS

La huella digital TLS (Transport Layer Security) actúa en el nivel del protocolo de red, antes de que se ejecute JavaScript o se cargue contenido alguno de la página. Cuando tu navegador inicia una conexión HTTPS, envía un mensaje "Client Hello" que incluye la lista de conjuntos de cifrado compatibles, extensiones TLS, métodos de compresión, curvas elípticas y formatos de punto.

La combinación concreta y el orden de estos valores varían entre familias de navegadores, versiones y sistemas operativos. Los investigadores de seguridad han desarrollado herramientas como JA3 y su sucesora, JA4, que convierten estos parámetros del handshake TLS en un hash que funciona como huella compacta. Por ejemplo, Chrome, Firefox y Safari generan hashes JA3 claramente distintos, porque admiten conjuntos de cifrado diferentes en distinto orden de prioridad.

Lo que hace tan potente la huella TLS es que no se puede bloquear con extensiones del navegador ni esquivar desactivando JavaScript. Ocurre en el nivel del protocolo, fuera del alcance de cualquier script de la página. Algunos proveedores de CDN y servicios de detección de bots usan las huellas TLS como primer filtro antes incluso de que cargue la página.

Fugas de WebRTC

WebRTC (Web Real-Time Communication) es una API del navegador que permite videollamadas, chat de voz e intercambio de archivos entre pares. Para establecer conexiones directas entre dispositivos, WebRTC necesita descubrir sus direcciones IP reales, y lo hace mediante peticiones a servidores STUN externos que se saltan por completo el túnel de tu VPN o proxy.

Eso significa que una web puede usar WebRTC para averiguar tu IP pública real aunque estés conectado a una VPN. También puede revelar tu IP local (interna), datos como 192.168.1.42, que dejan ver la topología de tu red y añaden un dato más a tu huella.

Firefox, Chrome, Opera y Edge tienen WebRTC activado por defecto. Brave bloquea por defecto las fugas de IP de WebRTC. Tor Browser desactiva WebRTC por completo.

Huella digital con CSS

La mayor parte de la huella digital depende de JavaScript, lo que ha llevado a muchos usuarios preocupados por su privacidad a desactivarlo del todo. Pero investigaciones recientes han demostrado que solo con CSS, sin nada de JavaScript, también se puede obtener una huella.

La técnica usa consultas @media de CSS para comprobar características del dispositivo (tamaño de pantalla, profundidad de color, tipo de puntero, preferencia de esquema de color) y reglas @font-face para sondear las fuentes instaladas. Para cada característica, el CSS asigna una URL de background-image única que el navegador solo solicitará si esa consulta se cumple. El servidor recoge el patrón de peticiones entrantes y lo usa para construir una huella.

La huella con CSS también puede detectar extensiones del navegador. Algunas extensiones inyectan hojas de estilo o modifican elementos del DOM de formas detectables, y las consultas de contenedor de CSS sirven para identificar esos cambios. Una investigación presentada en el simposio NDSS de 2025 demostró que las técnicas de huella basadas solo en CSS funcionan incluso con el nivel de seguridad más alto de Tor Browser, en el que JavaScript está completamente bloqueado.

Esto importa porque el CSS no se puede desactivar sin dejar inservible la web entera: a diferencia de JavaScript, no existe una extensión "NoCSS". Amplía considerablemente la superficie de ataque de la huella digital a entornos que antes se consideraban seguros, como los clientes de correo que eliminan JavaScript pero sí muestran CSS.

Huella digital de comportamiento

Más allá de las características estáticas del hardware y el software, algunos sistemas de huella digital analizan cómo interactúas con tu dispositivo:

• Patrones de movimiento del ratón: velocidad, aceleración, curvatura del movimiento
• Dinámica de escritura: ritmo de pulsación, tiempo que mantienes cada tecla, cadencia
• Comportamiento al desplazarte: velocidad, suavidad, frecuencia
• Gestos táctiles: presión, ángulo, patrones de deslizamiento en el móvil

Estos datos biométricos de comportamiento son más difíciles de recoger de forma fiable y se usan más en la detección de fraude que en publicidad. Pero son extremadamente difíciles de falsificar, porque nacen de las características físicas de tu cuerpo y de tus hábitos, no de la configuración de tu software.

¿Hasta qué punto es única tu huella?

El concepto que hace funcionar la huella digital es la entropía: una medida de cuánta información identificativa aporta un solo dato.

Tu zona horaria tiene poca entropía: millones de personas comparten America/New_York. La resolución de pantalla tiene algo más: hay decenas de valores habituales, pero aun así agrupan a los usuarios en grandes bloques. ¿Y la cadena del renderizador de tu GPU? Mucha más: te reduce a los usuarios con exactamente la misma tarjeta gráfica y la misma versión de controlador.

Pero la entropía se acumula. Cada dato nuevo multiplica el efecto de criba. Aunque tu zona horaria la compartan 10 millones de personas, tu resolución de pantalla 5 millones y tu GPU 500.000, la intersección de las tres podría quedarse en 50.000 personas. Añade tus fuentes instaladas, tu huella de audio, tu hash de canvas, tu configuración de idioma y tu número de núcleos de CPU, y enseguida llegas a un grupo de una sola persona.

El proyecto Panopticlick de la EFF (hoy llamado Cover Your Tracks) concluyó que solo 1 de cada 286.777 navegadores comparte la misma huella que un usuario dado. Investigaciones más recientes van aún más lejos: combinando atributos del navegador y del dispositivo, más del 99 % de los usuarios pueden identificarse de forma única.

Esto genera una tensión de fondo. Cada dato que expone tu navegador existe por un motivo legítimo: dibujar gráficos, adaptar el diseño, reproducir audio, localizar el contenido. Pero la suma de todos esos datos funcionales produce un identificador de rastreo más persistente y más difícil de esquivar que cualquier cookie.

¿Quién usa la huella digital del navegador y para qué?

La huella digital del navegador no es maliciosa en sí misma. La misma técnica sirve para fines muy distintos según quién la use y cómo.

La prevención del fraude y la seguridad es el uso más aceptado. Cuando entras en tu banco desde tu portátil de siempre, su sistema antifraude reconoce la huella del dispositivo y te deja pasar. Si alguien en la otra punta del mundo intenta entrar con credenciales robadas desde un dispositivo que el banco no ha visto nunca, la huella desconocida activa una verificación adicional. Los procesadores de pagos usan la huella digital para detectar fraudes con tarjeta, robos de cuentas y ataques de relleno de credenciales. En este contexto, la huella digital protege de verdad a los usuarios.

La publicidad y el rastreo entre sitios es donde empieza la polémica. A medida que las cookies se vuelven menos fiables, el sector publicitario ha recurrido a la huella digital para seguir a los usuarios de una web a otra, construir perfiles de comportamiento y mostrar anuncios personalizados. Los brókeres de datos recogen datos de huellas en miles de webs y elaboran historiales de navegación detallados que pueden vender a los anunciantes. A diferencia de las cookies, las huellas persisten entre sesiones de incógnito, sobreviven a los reinicios del navegador e incluso pueden vincular la actividad de distintos navegadores en un mismo dispositivo (ya que las huellas de canvas y de audio dependen del hardware, no del software).

La detección de bots se apoya en buena medida en la huella digital. Los bots automatizados suelen tener huellas raras o incoherentes: un navegador sin interfaz (headless) puede carecer de ciertas API, declarar configuraciones de hardware imposibles o no mostrar señales de comportamiento como el movimiento del ratón. La huella digital es un componente central de prácticamente cualquier sistema comercial de detección de bots, desde las alternativas al CAPTCHA hasta los servicios de protección de contenidos.

La analítica y la personalización de contenidos completan el cuadro. Algunas webs usan una huella digital ligera para contar visitantes únicos sin cookies o para recordar preferencias (idioma, diseño, ajustes de accesibilidad) sin necesidad de crear una cuenta.

Huella digital del navegador frente a cookies

Para entender por qué la huella digital es mucho más difícil de combatir que las cookies, conviene compararlas una al lado de la otra.

Las cookies son pequeños archivos de texto que las webs guardan en tu dispositivo. Son visibles: puedes encontrarlas en los ajustes del navegador, inspeccionarlas y borrarlas en unos pocos clics. Están sujetas a una regulación exhaustiva: el RGPD exige consentimiento antes de instalar cookies de rastreo, y por eso casi todas las webs muestran hoy banners de consentimiento. La mayoría de los grandes navegadores bloquean ya por defecto las cookies de terceros; Chrome, la gran excepción, todavía las permite. Y cuando cambias de navegador o usas el modo incógnito, tus cookies no te acompañan.

Las huellas del navegador funcionan en sentido contrario. No se guarda nada en tu dispositivo: el identificador se calcula y se almacena en el servidor a partir de datos que tu navegador transmite automáticamente. No hay nada que puedas encontrar, inspeccionar, bloquear o borrar. Las huellas persisten entre sesiones y sobreviven al borrado de cookies. Funcionan en los modos de navegación privada. Y como se derivan de características del hardware y del sistema, pueden seguirte incluso entre navegadores distintos en el mismo equipo, algo que las cookies nunca han podido hacer.

Las consecuencias prácticas son contundentes. Las cookies daban a los usuarios al menos la ilusión de control: podías borrarlas, bloquearlas o gestionarlas con extensiones. La huella digital elimina ese control por completo. Los datos de los que se nutre (resolución de pantalla, modelo de GPU, fuentes instaladas) son datos que tu navegador tiene que exponer para que las webs funcionen. No puedes excluirte sin dejar inservible la web.

Conviene señalar también que las cookies y la huella digital no siempre son alternativas: a menudo se usan juntas. Algunos sistemas de rastreo usan la huella para regenerar cookies borradas, una técnica conocida como evercookies. Si borras las cookies pero tu huella sigue siendo la misma, el rastreador puede asociarte con tu cookie anterior y volver a instalarla. Eso hace que la combinación sea más potente que cualquiera de las dos técnicas por separado.

Cómo se defienden los navegadores

Los fabricantes de navegadores son conscientes de la amenaza y están desarrollando contramedidas. Pero sus enfoques difieren de raíz, y cada uno implica renuncias reales.

Dos estrategias contra la huella digital

La primera estrategia es la uniformidad: hacer que el navegador de todos los usuarios parezca idéntico. Si todos los navegadores declaran la misma resolución de pantalla, las mismas fuentes y el mismo renderizado de canvas, no hay huella que extraer. Es el enfoque de Tor Browser y Mullvad Browser. Tor lo consigue con una estandarización agresiva: usa letterboxing para ocultar el tamaño de la ventana, restringe las fuentes disponibles, bloquea o estandariza los resultados de canvas y WebGL y falsea la cadena User-Agent. El objetivo es que todos los usuarios de Tor presenten exactamente la misma huella. A cambio, muchas webs fallan o se comportan de forma inesperada, y la navegación es notablemente más lenta.

La segunda estrategia es la aleatorización: hacer que tu huella sea distinta cada vez. Si tu huella cambia en cada sesión y en cada web, no sirve para un rastreo persistente. Brave fue pionero en este enfoque con su sistema de "farbling", que introduce pequeñas dosis de ruido aleatorio en el renderizado de canvas, en la salida de WebGL, en el procesamiento de audio, en los idiomas que declara y en la enumeración de fuentes. El ruido es lo bastante grande para desbaratar los scripts de huella digital, pero lo bastante pequeño para que las webs sigan funcionando con normalidad.

Las dos estrategias tienen limitaciones. La uniformidad reduce tu conjunto de anonimato a los demás usuarios del mismo navegador (y la base de usuarios de Tor es tan pequeña que el mero hecho de usar Tor ya puede ser una señal). La aleatorización puede neutralizarse con análisis estadístico: si quien rastrea recoge suficientes muestras, puede llegar a detectar el ruido y correlacionar las sesiones igualmente.

Navegador por navegador

Brave ofrece la protección integrada contra la huella digital más agresiva de todos los navegadores convencionales. Su sistema de farbling aleatoriza por defecto varias API de alta entropía, entre ellas canvas, WebGL, audio, preferencias de idioma, concurrencia del hardware y enumeración de fuentes. La protección contra la huella digital viene activada por defecto y puede desactivarse por sitio; Brave eliminó su modo más estricto contra la huella digital en 2024 porque rompía demasiadas webs. Brave también bloquea por defecto las fugas de IP de WebRTC y es el único gran navegador que muestra de forma explícita sus controles contra la huella digital en la interfaz de ajustes. Las pruebas independientes lo sitúan sistemáticamente entre los mejores, aunque la investigación académica apunta a que su aleatorización puede neutralizarse en parte con ataques estadísticos sofisticados.

Firefox incluye la Protección contra el rastreo mejorada, que bloquea los scripts de huella digital de terceros conocidos tanto en su nivel por defecto como en el estricto. Firefox ofrece además la opción privacy.resistFingerprinting (accesible desde about:config), que estandariza muchas características del navegador para hacerlo menos único, pero viene desactivada por defecto y puede hacer que algunas webs fallen. Tal como viene, la protección de Firefox contra la huella digital es más débil que la de Brave. Pero puede reforzarse mucho con configuración manual, y su enfoque basado en listas de bloqueo impide de forma eficaz que se carguen los scripts de huella digital de terceros más comunes.

Safari apuesta por un enfoque a nivel de plataforma. El Antirrastreo inteligente, de Apple, limita el rastreo entre sitios, y Safari introduce ruido estadístico en ciertos vectores de huella digital. Desde Safari 17, la huella de audio se altera en la navegación privada, el acceso a fuentes se limita a las fuentes del sistema para el idioma del usuario y los scripts de rastreo entre sitios se bloquean de forma agresiva. Las protecciones de Safari son menos configurables que las de Brave, pero son eficaces dentro del ecosistema de Apple, y Apple mantiene la postura más firme del sector frente a la huella digital: en sus directrices para desarrolladores afirma que "nunca está permitida".

Chrome ofrece una protección integrada mínima contra la huella digital. No bloquea por defecto los rastreadores de terceros, y sus protecciones de rastreo más recientes se limitan al modo incógnito. Ni siquiera ahí aleatoriza ni estandariza las superficies de huella digital como pueden hacerlo Brave o Firefox. Chrome también está implantando Client Hints, que proporcionan datos de hardware estructurados que pueden facilitar la huella digital en lugar de dificultarla. En febrero de 2025, Google abandonó la postura contraria a la huella digital que mantenía desde hacía años en su plataforma publicitaria y pasó a permitir ciertas formas de huella digital para publicidad y analítica, una decisión que la Information Commissioner's Office del Reino Unido calificó públicamente de "irresponsable".

Tor Browser sigue siendo la referencia en resistencia a la huella digital. Al estandarizar todos los atributos posibles del navegador para todos sus usuarios, consigue el anonimato más sólido de cualquier navegador. Bloquea la lectura de canvas, desactiva WebRTC, restringe las fuentes y usa letterboxing para normalizar las dimensiones de la ventana. El precio es alto: muchas webs modernas fallan en parte o del todo, la velocidad es menor por el enrutamiento a través de la red Tor, y su reducida base de usuarios hace que usar Tor ya sea en sí un rasgo distintivo.

Mullvad Browser es una versión reforzada de Firefox desarrollada por el equipo de Mullvad VPN en colaboración con el Tor Project. Aplica muchas de las medidas de Tor contra la huella digital (fuentes estandarizadas, letterboxing, protecciones de canvas) sin enrutar el tráfico por la red Tor. Eso lo hace más rápido y más compatible con las webs modernas, sin renunciar a una fuerte resistencia a la huella digital. Es un término medio excelente si quieres una protección al nivel de Tor con la comodidad de un navegador para el día a día.

Cómo comprobar tu huella

Antes de cambiar nada, merece la pena ver hasta qué punto es identificable tu configuración actual. Hay varias herramientas gratuitas para comprobar tu huella ahora mismo:

Cover Your Tracks (de la EFF) es la herramienta de prueba con más credibilidad. Comprueba si tu navegador es vulnerable al rastreo y te muestra lo única que es tu configuración en comparación con su base de datos. Es la sucesora del histórico proyecto Panopticlick.

BrowserLeaks ofrece desgloses detallados de cada vector de huella digital por separado: canvas, WebGL, audio, fuentes, WebRTC, consultas de medios CSS y más. Es la mejor herramienta para entender qué atributos concretos te hacen identificable.

AmIUnique es un proyecto de investigación del INRIA que muestra tu huella completa junto con estadísticas sobre cuántos usuarios de su conjunto de datos comparten cada atributo.

CreepJS es la prueba más agresiva. Intenta detectar activamente atributos falseados o aleatorizados, lo que la hace útil para evaluar cómo aguantan realmente tus herramientas contra la huella digital en condiciones adversas.

Prueba primero estas herramientas en Chrome o Edge (donde seguramente descubrirás que tu huella es completamente única) y después en Brave o Tor para ver la diferencia con tus propios ojos. El contraste es llamativo, y es un argumento para cambiar de navegador más tangible que cualquier artículo.

Cómo protegerte

Seamos claros: protegerse por completo de la huella digital del navegador no es posible sin estropear de raíz tu experiencia de navegación. Pero sí puedes dificultar mucho el rastreo. El objetivo no es volverte invisible, sino que tu huella sea lo bastante común para pasar desapercibido entre la multitud, o lo bastante inestable para que no sirva para seguirte en el tiempo.

Lo básico

Cámbiate a un navegador centrado en la privacidad. Es, con diferencia, el paso de mayor impacto que puedes dar, más eficaz que cualquier extensión o cambio de ajustes. Para la mayoría de la gente, Brave ofrece el mejor equilibrio entre protección contra la huella digital y comodidad en el día a día. Firefox con la Protección contra el rastreo mejorada en su nivel estricto es otra opción sólida. Los dos son gratuitos y están disponibles en todas las plataformas principales.

Mantén actualizados el navegador y el sistema operativo. Las versiones antiguas del navegador son especialmente identificables, porque la inmensa mayoría de los usuarios utiliza versiones recientes. Estar al día hace que tu cadena User-Agent se confunda con el grupo más grande posible. Lo mismo vale para las actualizaciones del sistema operativo, que afectan a los juegos de fuentes, a los motores de renderizado y a otras características que delatan tu huella.

Cuidado con las extensiones. Aquí la huella digital va contra la intuición. Instalar cinco extensiones de privacidad puede darte sensación de protección, pero en realidad hace tu huella más única. Cada extensión modifica el comportamiento del navegador de formas detectables, y la combinación concreta de extensiones que usas es en sí una señal de huella digital. Quédate con unas pocas herramientas consolidadas como uBlock Origin y resiste la tentación de añadir más.

Pasos intermedios

Instala uBlock Origin. Bloquea muchos scripts de huella digital conocidos antes de que puedan ejecutarse, y está considerado en general el bloqueador de contenido más eficaz que existe. No detiene la huella digital propia (cuando es la misma web que visitas la que ejecuta el script), pero bloquea con eficacia los rastreadores de huella digital de terceros incrustados en otras webs.

Desactiva JavaScript en las webs que no son de confianza. Extensiones como NoScript te permiten decidir qué sitios pueden ejecutar JavaScript. Como la mayoría de las técnicas de huella digital dependen de JavaScript, es una contramedida potente, aunque estropeará funciones en muchas webs, así que exige estar dispuesto a gestionar una lista blanca. Ten en cuenta que la huella basada en CSS puede seguir funcionando con JavaScript desactivado, así que no es una solución completa.

Usa una VPN, pero conoce sus límites. Una VPN oculta tu dirección IP, que es uno de los componentes de tu huella. No detiene la huella de canvas, de audio ni de fuentes. Pero sí elimina una señal identificativa importante y, combinada con las protecciones del navegador, reduce de forma apreciable lo identificable que eres en conjunto. Asegúrate de que tu VPN bloquea también las fugas de WebRTC, o tu IP real podría quedar expuesta igualmente.

Medidas avanzadas

Usa Tor Browser para la navegación sensible. Cuando el anonimato importa de verdad, Tor ofrece la protección más sólida disponible. Asume sus renuncias en velocidad y compatibilidad con las webs, y resiste la tentación de personalizarlo: cada modificación te hace más único dentro de su pequeña base de usuarios.

Separa tu navegación por compartimentos. Usa navegadores distintos para actividades distintas: uno para las redes sociales, otro para las compras, otro para buscar información. Así impides que quienes recogen huellas construyan un perfil completo de tu comportamiento entre sitios. Es una estrategia sencilla y sorprendentemente eficaz.

Plantéate Mullvad Browser. Si quieres una resistencia sólida a la huella digital sin las limitaciones de velocidad y compatibilidad de Tor, Mullvad Browser aplica protecciones al nivel de Tor (letterboxing, fuentes estandarizadas, bloqueo de canvas) sin enrutar el tráfico por la red Tor.

La paradoja de la privacidad

La protección contra la huella digital encierra una ironía importante que debes entender: cuanto más personalizas tu navegador para proteger tu privacidad, más único te vuelves.

Desactivar WebGL, bloquear el acceso a canvas, falsear tu User-Agent e instalar extensiones de privacidad minoritarias hace que tu navegador se comporte de una forma poco habitual, distinta de la del navegador de casi todo el mundo. Puede que un rastreador no consiga leer tu huella de canvas, pero sí ve que el acceso a canvas está bloqueado, y ese comportamiento en sí es una señal. Si solo el 0,1 % de los usuarios bloquea canvas, acabas de meterte tú solo en un grupo muy pequeño.

Por eso las estrategias más eficaces contra la huella digital son las que usa más gente. La aleatorización de Brave funciona en parte porque millones de usuarios de Brave comparten el mismo mecanismo de protección. La uniformidad de Tor funciona porque todos los usuarios de Tor tienen el mismo aspecto. Lo peor que puedes hacer es improvisar una combinación única de ajustes de privacidad rebuscados que no usa nadie más: eso ya es, en sí, una huella.

Lo que no funciona

Igual de importante es saber qué no te protege:

• Modo incógnito / navegación privada: estos modos borran las cookies y el almacenamiento local, pero no cambian tu huella. Tu hardware, tus fuentes y tus características de renderizado son idénticos dentro y fuera del modo incógnito.
• Borrar las cookies y el historial de navegación: las huellas no dependen de ningún dato almacenado, así que borrar los datos locales no tiene ningún efecto.
• Solo una VPN: una VPN cambia tu dirección IP, pero deja intactos todos los demás atributos de la huella (canvas, WebGL, audio, fuentes, pantalla, zona horaria y más).
• Solo un bloqueador de anuncios: los bloqueadores de anuncios pueden bloquear algunos scripts de rastreo de terceros, pero la huella digital se ejecuta cada vez más como código propio en las webs que visitas, y ahí los bloqueadores de anuncios no actúan.

El marco legal

La huella digital del navegador ocupa una zona gris legal: está más restringida en teoría de lo que la mayoría de las empresas reconoce, pero en la práctica se persigue mucho menos que las cookies.

Europa: el RGPD y el vacío de ePrivacy

Según el Reglamento General de Protección de Datos (RGPD) de la UE, las huellas del navegador se consideran datos personales siempre que puedan usarse para identificar a una persona, lo que, teniendo en cuenta que más del 99 % de las huellas son únicas, ocurre prácticamente siempre. Eso significa que usar la huella digital con fines de publicidad o analítica requiere una base jurídica, normalmente el consentimiento explícito del usuario.

En la práctica, la aplicación ha sido desigual. El RGPD se diseñó para ser tecnológicamente neutro y debería cubrir la huella digital con la misma claridad que las cookies. Pero la mayor parte de la atención de los reguladores se ha centrado en el consentimiento de cookies, y la naturaleza invisible de la huella digital hace que sea más difícil de detectar y de perseguir. La EFF sostiene que la huella digital con fines de rastreo no puede ampararse en el "interés legítimo" como base jurídica, porque la técnica está diseñada precisamente para escapar al conocimiento y al control del usuario.

El Reglamento ePrivacy propuesto pretende cerrar ese vacío aplicando expresamente a la huella digital los mismos requisitos de consentimiento que hoy rigen para las cookies. Lleva años avanzando por el proceso legislativo de la UE. Si se aprueba, será un paso importante para tratar por igual todos los mecanismos de rastreo persistente, sea cual sea la tecnología que haya detrás.

Estados Unidos: un mosaico de normas

En EE. UU., la Ley de Privacidad del Consumidor de California (CCPA) y su sucesora, la CPRA, consideran los datos de huella digital información personal. Los reguladores de California han declarado expresamente que el rastreo basado en huellas constituye publicidad conductual entre contextos y exige un mecanismo de exclusión (opt-out). Otros estados con leyes de privacidad integrales siguen el camino de California, pero no existe una regulación federal sobre la huella digital.

La postura del sector

Google prohibió públicamente durante años la huella digital en su plataforma publicitaria y luego, en febrero de 2025, dio marcha atrás y permitió ciertas formas de huella digital para publicidad y analítica. La Information Commissioner's Office del Reino Unido calificó la medida de "irresponsable" y advirtió de que reduciría la capacidad de las personas para controlar sus datos. Apple mantiene la postura contraria: la huella digital "nunca está permitida" en su ecosistema, y Safari sigue restringiendo con firmeza el acceso a las API de alta entropía. Estas posturas divergentes reflejan la tensión de fondo entre el modelo publicitario que financia buena parte de la web y la creciente demanda de una privacidad real para los usuarios.

El futuro de la huella digital del navegador

La carrera armamentística entre quienes recogen huellas y los fabricantes de navegadores no da señales de frenar.

Del lado del rastreo, las nuevas API web crean continuamente nuevas superficies de huella digital. WebGPU, el sucesor de WebGL, ofrece un acceso aún más profundo a las capacidades de la GPU y probablemente se convertirá en un nuevo vector de huella digital muy potente a medida que se extienda en los navegadores. La huella basada en CSS está ampliando la superficie de ataque a entornos donde JavaScript está bloqueado, como los clientes de correo. La huella digital en el servidor, que traslada el análisis del JavaScript del cliente a señales del nivel de red como los handshakes TLS y el orden de las tramas HTTP/2, es más difícil de contrarrestar para los navegadores porque ocurre fuera de su control. Y la biometría de comportamiento (movimientos del ratón, patrones de escritura, gestos táctiles) representa una categoría de huella digital que ningún ajuste del navegador puede impedir, porque la señal procede del cuerpo del usuario, no de su software.

Del lado de la defensa, los fabricantes siguen restringiendo sus API. Mozilla y Apple están invirtiendo en reducir la entropía que exponen sus navegadores. El Privacy Interest Group del W3C trabaja en estándares que limitarían las superficies de huella digital sin estropear el funcionamiento de la web. Y conceptos emergentes como la atestación con preservación de la privacidad (demostrar que eres una persona real sin revelar qué persona) podrían acabar reduciendo la necesidad legítima de la huella digital en la prevención del fraude.

Lo más probable no es que la huella digital desaparezca, sino que esté cada vez más regulada, más contrarrestada por las protecciones de los navegadores y más expuesta ante la opinión pública. Quienes tomen medidas ahora (eligiendo el navegador adecuado, entendiendo las técnicas en juego y comprobando de vez en cuando su exposición) serán bastante más difíciles de rastrear que quienes no lo hagan.

Y esa es una diferencia importante, aunque no sea perfecta.

---

¿Quieres ver cómo se comparan los navegadores centrados en la privacidad con las opciones más populares en protección contra la huella digital y mucho más? Explora nuestras comparativas de navegadores para encontrar el que mejor encaja contigo.