tu navegador?
Sin cookies y sin pedir permiso, cualquier web puede leer cómo dibuja tu tarjeta gráfica, qué fuentes tienes instaladas, tu pantalla o tu zona horaria. Juntos, esos datos forman una huella que te reconoce de una web a otra, también en modo incógnito. Con PrivacyProbe vas a ver la tuya, medir cuánta información da con datos de estudios reales y probar qué defensas funcionan.
Qué vas a aprender
- Qué es la huella digital del navegador y en qué se diferencia de las cookies.
- Qué datos puede leer cualquier web con JavaScript sin pedir permiso.
- Medir la información en bits con la entropía de Shannon, y sus límites.
- Por qué el modo incógnito no protege de la huella.
- Las dos estrategias de defensa: ruido (Brave) y uniformidad (Tor).
- Qué filtra WebRTC y qué dice la ley europea sobre la huella.
Cómo usar esta guía
Es una única página larga. El menú de arriba salta a cada parte:
| Menú | Qué hay |
|---|---|
| Tu huella | Selector de perfiles (Tu navegador, Incógnito, Estilo Brave, Estilo Tor, Laboratorio), la huella combinada y los bits según tres estudios. |
| Incógnito | Qué protege cada modo privado y cómo se une una sesión de incógnito con tu identidad. |
| Comparativa | Dos perfiles lado a lado, atributo por atributo. Debajo, el simulador de rastreo entre webs. |
| Datos técnicos | Una tarjeta por cada API: lienzo, GPU, fuentes, pantalla, hardware y audio, entorno. |
| WebRTC | Prueba de qué direcciones IP deja ver WebRTC. |
| Entropía | Gráfica de los tres estudios, calculadora de autoinformación y tus atributos con sus bits. |
| Defensas | Laboratorio con 7 defensas que se activan por separado. |
| Glosario | Casos reales de 2010 a hoy, glosario y qué navegador usar. |
Arriba a la derecha: EN (inglés), tema y contraste, Recorrido (visita guiada de 6 pasos), Informe (PDF, JSON o Markdown) y Analizar (vuelve a medir).
Una cookie es un dato que la web guarda en tu equipo para reconocerte después. Se puede ver, borrar o bloquear. La huella digital (browser fingerprinting) no guarda nada: la web mide tu navegador cada vez que entras y, como las medidas salen iguales, te reconoce.
| Cookie | Huella | |
|---|---|---|
| Dónde está | En tu equipo | En el servidor del rastreador (se recalcula en cada visita) |
| ¿La ves? | Sí, en la configuración | No |
| ¿La borras? | Sí | No: es tu equipo |
| Incógnito | Se borran al cerrar | Casi igual (depende del navegador) |
Con todas las medidas se calcula un hash: un resumen corto que sale igual mientras no cambie nada. Ese hash es tu identificador.
No todo uso es malicioso: los bancos y las tiendas usan la huella contra el fraude (detectar que «tu» cuenta entra desde un equipo desconocido). El problema es usarla para seguirte de una web a otra sin que lo sepas.
| Atributo | Cómo se lee | Por qué distingue |
|---|---|---|
| Lienzo (canvas) | Dibuja texto, formas y emojis en un <canvas> invisible y lee los píxeles. | Cada GPU, controlador y sistema suaviza el texto de forma ligeramente distinta. |
| GPU (WebGL) | Extensión WEBGL_debug_renderer_info. | Da el modelo exacto de la tarjeta gráfica. |
| Audio | Procesa un sonido que nunca suena (Web Audio). | Pequeñas diferencias de coma flotante del hardware. |
| Fuentes | Mide el ancho de un texto con cada tipografía. | Delatan programas: Calibri o Aptos (Office), Cascadia Code (Visual Studio)… |
| Pantalla | screen, devicePixelRatio. | Resolución, escala y hasta el tamaño de la barra de tareas. |
| Hardware | hardwareConcurrency, deviceMemory. | Núcleos y memoria. |
| Entorno | navigator.userAgent, languages, zona horaria. | Navegador y versión, idiomas y su orden, huso horario. |
| DNT / GPC | Cabeceras de «no rastrear». | Irónicamente, pedir que no te rastreen también distingue. |
Ninguna de estas APIs pide permiso: son funciones normales que las webs usan para dibujar gráficos, reproducir sonido o adaptar el diseño.
Un bit parte la población por la mitad
Si un dato tuyo lo comparte 1 de cada 2 navegadores, aporta 1 bit; si lo comparte 1 de cada 8, aporta 3 bits (2³ = 8). En general, un valor con probabilidad p aporta su autoinformación:
La entropía de Shannon de un atributo es la media de esa autoinformación en toda la población: H(X) = −Σ p(xᵢ) · log₂ p(xᵢ). Por eso un navegador no puede calcular su propia entropía: hace falta un estudio con muchas huellas.
¿Cuántos bits hacen falta para identificarte?
La Tierra tiene unos 8.100 millones de personas: log₂(8.100.000.000) ≈ 32,9 bits. Con 33 bits de información se podría, en teoría, distinguir a cada persona del planeta.
Tres estudios, tres cifras
| Estudio | Huellas | Únicas (escritorio) |
|---|---|---|
| Panopticlick (EFF), 2010 | 470.161 | 94,2 % |
| AmIUnique, 2016 | 118.934 | 89,4 % |
| Hiding in the Crowd, 2018 | 2.067.942 | 35,7 % |
- La entropía depende de la población: la zona horaria da 3,3 bits en AmIUnique (visitantes de todo el mundo) y 0,16 en Hiding in the Crowd (una web francesa: casi todos en la misma zona).
- Sumar bits exagera: los atributos están relacionados (el User-Agent y la plataforma, la GPU y el canvas). Matemáticamente, H(X,Y) ≤ H(X) + H(Y). Google midió en 2024 que la entropía conjunta real es claramente menor que la suma. La suma es una cota superior.
| Estrategia | Idea | Quién la usa | Límite |
|---|---|---|---|
| Ruido (farbling) | Altera un poco lo que leen las APIs, con una semilla distinta por web y sesión: cada visita da otro hash y no se pueden enlazar. | Brave; Firefox y Safari en modo privado | La GPU, la pantalla y el User-Agent siguen siendo los tuyos. |
| Uniformidad | Todos los usuarios dan los mismos valores: pareces uno más del grupo. | Tor Browser, Mullvad Browser, Firefox con resistFingerprinting | Funciona si el grupo es grande y nadie lo personaliza. |
| Bloqueo | La lectura devuelve algo vacío (Tor: canvas en blanco salvo que lo permitas). | Tor Browser | Algunas webs se rompen. |
- El modo incógnito se pensó para que otra persona que use tu equipo no vea tu historial. En Chrome y Edge no cambia la huella; Firefox y Safari añaden ruido a algunas lecturas.
- Las extensiones «anti-huella» suelen empeorarlo: dejan incoherencias (un User-Agent de Windows con fuentes de macOS) que te hacen más raro, y las propias extensiones se detectan.
WebRTC
Para llamadas y videollamadas, el navegador reúne candidatos ICE: las direcciones por las que se le puede alcanzar. Una web puede pedirlos sin permiso.
- host: la dirección de tu equipo. Hoy los navegadores la sustituyen por un nombre aleatorio
….local(mDNS). - srflx: la IP pública que ve un servidor STUN. Es la misma que ve cualquier web, así que no es una fuga… salvo que uses una VPN o proxy que solo cubra el navegador: entonces WebRTC puede salir por otro camino y delatar tu IP real.
- Rangos privados que no salen a Internet:
10.0.0.0/8,172.16.0.0/12,192.168.0.0/16;100.64.0.0/10es el NAT del operador (CGNAT).
Lo que dice la ley
- En la UE, la Directiva ePrivacy (art. 5.3) exige consentimiento para leer información del dispositivo con fines de rastreo: cubre la huella, no solo las cookies. Además, la huella es un dato personal según el RGPD si te identifica.
- Brown contra Google (2024): Google aceptó borrar miles de millones de registros recogidos en incógnito y cambiar el aviso del modo privado.
- En febrero de 2025 Google dejó de prohibir la huella a quien usa sus productos publicitarios; la autoridad británica (ICO) lo calificó de «irresponsable».
Pulsa ▶ Abrir PrivacyProbe en una ventana normal (no de incógnito) de tu navegador de siempre. Espera a que termine Analizando tu navegador….
Pulsa Recorrido y léelo hasta el final con Siguiente y Terminar.
Copia en tu tabla la Huella combinada (dos bloques hexadecimales unidos por un guion, por ejemplo 96f32a8d-7eafbfab). Pulsa Analizar y compárala.
El texto dice que no significa «1 entre billones». ¿Qué significa entonces?
Ver respuesta
En Bits según el estudio, pulsa Panopticlick (EFF) 2010, después AmIUnique 2016 y vuelve a Hiding in the Crowd 2018. Lee la frase que aparece debajo con cada uno.
¿Por qué Panopticlick da menos bits que AmIUnique si en 2010 había más huellas únicas?
Ver respuesta
Ve a Datos técnicos. Cada tarjeta indica los bits que midió el estudio para ese atributo y su estado (Expuesto).
Mira la imagen que ha dibujado tu navegador y anota el hash del canvas. En la tarjeta de GPU, anota el Modelo (renderizador).
ANGLE (…)).¿Qué ventaja le da a un rastreador conocer el modelo exacto de tu GPU?
Ver respuesta
Anota cuántas fuentes detecta (N de 39 detectadas). Usa los filtros Detectadas y Ausentes.
A partir de tus fuentes detectadas, ¿qué programas puede deducir una web que tienes instalados?
Ver respuesta
Anota la resolución, el área disponible, la escala, los hilos de CPU, la memoria, el User-Agent, los idiomas y la zona horaria.
Resta la altura disponible a la de la pantalla. ¿Qué le dice eso a una web?
Ver respuesta
Ve a Entropía. Compara las barras de Zona horaria y de Fuentes instaladas en los tres estudios.
¿Por qué la entropía de las fuentes cae tanto de 2010 a 2018?
Ver respuesta
En Autoinformación de un valor, mueve el control a 1 de cada 10, 1 de cada 100 y 1 de cada 1.000.000.
Calcula a mano: si 1 de cada 4 alumnos tiene tu resolución de pantalla, ¿cuántos bits aporta? ¿Y si la tiene 1 de cada 64?
Ver respuesta
Mueve el control de ¿Qué son N bits? a 10, 21 y 33. Pulsa Ver fórmulas.
H(X) = −Σ P(xᵢ) · log₂ P(xᵢ), I(x) = −log₂ P(x) y H(X, Y) ≤ H(X) + H(Y).Baja a Tus atributos y lo que aportan (con Hiding in the Crowd 2018).
Suma las tres primeras filas. ¿Qué porcentaje del total aportan?
Ver respuesta
Ve a Incógnito y lee la tabla Qué protege cada modo privado.
En Haz la prueba, anota el hash del canvas que aparece en el texto y pulsa Copiar el enlace. Abre una ventana privada de tu navegador real (Ctrl+Mayús+N en Chrome y Edge; Ctrl+Mayús+P en Firefox), pega el enlace y compara la huella combinada y el hash del canvas.
De vuelta en tu ventana normal, pulsa el perfil Incógnito (Chrome/Edge). Ve a Comparativa y elige Real vs incógnito.
Pulsa el perfil Estilo Brave (ruido). Anota la huella combinada, pulsa Analizar y vuelve a anotarla.
Pulsa Estilo Tor Browser (uniforme), anota la huella, pulsa Analizar y compárala. Después mira Datos técnicos.
en-US, en; zona UTC.Las dos huellas «protegen», pero de forma opuesta. ¿Por qué la de Brave cambia y la de Tor no?
Ver respuesta
En Comparativa, prueba Real vs Tor, Real vs Brave y Brave vs Tor. Usa el filtro Cambian para ver qué atributos difieren.
en-US, esos no cambiarían con Tor.Ve a Defensas y pulsa Sin defensas. Activa las 7 defensas de una en una (desactivando la anterior) y apunta los bits y la estrategia.
| Defensa | Bits expuestos | Neutralizados | Estrategia |
|---|---|---|---|
| Ruido en canvas y audio | 30,5 | 8,5 | Ruido |
| Ocultar el modelo de GPU | 33,5 | 5,5 | Uniformidad |
| Letterboxing de la ventana | 34,2 | 4,8 | Uniformidad |
| Solo fuentes empaquetadas | 32,1 | 6,9 | Uniformidad |
| Núcleos fijos y memoria oculta | 39,0 | 0,0 | Parcial |
| Zona horaria UTC | 38,9 | 0,1 | Parcial |
| User-Agent e idioma comunes | 28,0 | 11,0 | Parcial |
«Núcleos fijos» no resta nada. ¿Significa que no sirve?
Ver respuesta
¿Por qué el User-Agent común es la defensa que más resta?
Ver respuesta
Pulsa los preajustes Estilo Tor y Estilo Brave, y vuelve a Sin defensas.
Google observó que la mayoría de webs que usan la huella consumen o muy poco o más de 20 bits. Consigue bajar de 20 bits activando el menor número posible de defensas.
Pista
Ver solución
Con el ruido y el User-Agent activos, añade fuentes empaquetadas, ocultar GPU y letterboxing. ¿Cuánto queda?
Ver respuesta
Lee el recuadro Ojo con las extensiones «anti-huella» y pulsa Sin defensas.
¿Por qué instalar una extensión que cambia tu User-Agent puede hacerte más rastreable?
Ver respuesta
Con el perfil Tu navegador, baja a Así te enlazan sin cookies y recorre 1 · Tienda, 2 · Web de salud y 3 · Cruce.
ana@ejemplo.com y tu huella queda asociada. Web B, en incógnito: cookies de la web A: 0, pero la huella coincide. Cruce: Perfil: compras + consulta médica. La ventana privada no ha servido. Nota legal: Directiva ePrivacy (art. 5.3).Si Ana hubiera usado Brave en la web de salud, ¿la habrían enlazado? ¿Y con Tor?
Ver respuesta
En Glosario, lee los 10 Casos reales, de 2010 a hoy.
Elige dos casos y resume con tus palabras qué pasó y qué lección deja cada uno.
Ve a WebRTC y pulsa Probar WebRTC (contacta con stun.l.google.com). Clasifica cada dirección según la columna Tipo de candidato.
.local (nombre mDNS (IP oculta)) y un srflx con tu IP pública. Mensaje: STUN ve tu IP pública. Es normal…Pulsa Comparar con la IP que ven las webs (consulta api.ipify.org). Después pulsa ¿Cómo se corrige?.
media.peerconnection.ice.default_address_only o media.peerconnection.enabled = false en Firefox, una política en Chrome/Edge y un ajuste en Brave.¿En qué situación saldría «No coincide»? ¿Por qué sería grave?
Ver respuesta
Abre PrivacyProbe en todos los navegadores que tengas (Chrome, Edge, Firefox, Brave…), en ventana normal y privada. Para cada uno, anota en tu tabla: huella combinada, hash del canvas, GPU, número de fuentes y User-Agent.
¿Coincide el hash del canvas entre Chrome y Edge? ¿Y entre Chrome y Firefox? Explica por qué.
Ver respuesta
Poned en común el hash del canvas y la huella combinada de todo el aula (en el mismo navegador). Contad cuántos grupos de hashes iguales hay.
Si los equipos del aula son idénticos, ¿cuántos bits aporta en el aula el hash del canvas? ¿Y la huella combinada? ¿Qué atributos os diferencian?
Ver respuesta
Vuelve a tu navegador habitual, perfil Tu navegador, y pulsa Informe. Revisa Resumen, Atributos y JSON, y descárgalo en PDF.
Qué entregas
- Tu tabla de huellas (fases 1, 4 y 9) y la tabla de defensas de la fase 6.
- El informe en PDF de tu navegador.
- Las respuestas a estas preguntas, con tus propias palabras:
- Explica a alguien que no sabe informática por qué borrar las cookies o usar el modo incógnito no evita que una web lo reconozca.
- ¿Por qué la suma de bits es solo una cota superior? Pon un ejemplo de dos atributos relacionados.
- Compara ruido y uniformidad: ventajas, límites y qué navegador usa cada una.
- Recomienda un navegador y una configuración a: un periodista, un estudiante y una empresa con muchos equipos. Justifícalo.
- ¿Qué exige la ley europea para usar la huella con fines de rastreo? ¿Lo cumplen las webs que visitas a diario?
Autoevaluación
Marca lo que eres capaz de hacer sin mirar la guía:
Tu progreso en esta guía
—
| Término | Significado |
|---|---|
| Autoinformación | Bits que aporta un valor concreto: −log₂ p. |
| Candidato ICE | Dirección por la que WebRTC puede alcanzar tu equipo. |
| Conjunto de anonimato | Grupo de personas que comparten tu misma huella. |
| Entropía de Shannon | Información media que aporta un atributo en una población, en bits. |
| ePrivacy (art. 5.3) | Norma europea que exige consentimiento para leer información del dispositivo. |
| Farbling | Ruido por sesión en las lecturas de las APIs (Brave). |
| Hash | Resumen corto que sale igual con los mismos datos. |
| Huella digital (fingerprinting) | Identificar un navegador midiendo sus características, sin guardar nada. |
| Letterboxing | Márgenes para que el tamaño de la ventana sea un número redondo. |
| mDNS | Nombre aleatorio .local que sustituye a tu IP local en WebRTC. |
| resistFingerprinting | Preferencia de Firefox que aplica las defensas de Tor. |
| STUN | Servidor que te dice qué IP pública ve desde fuera. |
| User-Agent | Cadena con el navegador, su versión y el sistema operativo. |
| WebGL | API de gráficos 3D del navegador; deja leer el modelo de GPU. |