Cómo te rastrean los sitios web: lo que tu navegador revela sobre ti

En 2010, la Electronic Frontier Foundation realizó un experimento con casi medio millón de navegadores y descubrió que el 83,6% de ellos eran lo bastante únicos como para identificarse por sí solos, sin necesidad de cookies. Entre los navegadores con Flash o Java instalados, esa cifra subía al 94,2%. La técnica detrás de esto, el fingerprinting del navegador, no ha dejado de volverse más capaz desde entonces, mientras que el método que más preocupa a la gente, las cookies, se ha convertido en lo que mejor bloquean los navegadores.

La mayor parte de esto existe para servir anuncios. Un sitio no necesita tu nombre para vender espacio junto a tu atención; solo necesita reconocerte de nuevo. Esa es la razón práctica por la que el tracking sobrevivió a años de restricciones a las cookies: nunca hubo una sola forma de hacerlo.

Esto es lo que revela tu navegador, las distintas técnicas que lo aprovechan, y qué reduce realmente esa exposición.

Las tres formas en que los sitios web te rastrean

El tracking se divide en tres familias que funcionan de forma independiente entre sí, por lo que bloquear una rara vez detiene a las demás.

Las cookies son pequeños archivos que un sitio le pide a tu navegador que guarde y devuelva en visitas posteriores. Son el mecanismo más conocido y el que está bajo mayor restricción activa, y se explican en detalle en qué cambia realmente aceptar o rechazar cookies. Este artículo no volverá a explicarlas.

El fingerprinting no almacena nada en tu dispositivo. Lee características que tu navegador ya expone, como fuentes, tamaño de pantalla y peculiaridades de renderizado, y las combina en una firma que puede identificarte sin escribir jamás un archivo.

Los píxeles de seguimiento son un mecanismo de entrega, no de almacenamiento: una diminuta solicitud de imagen que le dice a un servidor que estuviste ahí, a menudo combinada con cookies pero sin depender de ellas.

Las cookies son también lo que los navegadores combaten con más fuerza, mediante bloqueo, límites de caducidad y avisos de consentimiento. El fingerprinting y los píxeles no se guardan en un tarro de cookies que un navegador pueda vaciar, por eso el resto de este artículo dedica más tiempo a cómo funcionan.

¿Qué es el fingerprinting del navegador?

El fingerprinting del navegador es una técnica de rastreo que te identifica combinando características que tu navegador revela automáticamente, sin establecer una cookie ni almacenar nada en tu dispositivo. Tu navegador expone habitualmente su versión, tu sistema operativo, las fuentes instaladas, la resolución de pantalla, la zona horaria, la configuración de idioma y decenas de detalles menores. Individualmente, ninguno de ellos identifica por sí solo. Combinados, reducen el grupo a un puñado de personas, a veces a una sola.

Esto es exactamente lo que midió el experimento de la EFF de 2010, bajo el nombre original del proyecto, Panopticlick. El proyecto sigue funcionando hoy como Cover Your Tracks, y hace algo que ninguna de las cifras anteriores puede hacer: analiza tu navegador específico ahora mismo y te muestra qué tan identificable es, qué señales del navegador te delatan, y si los rastreadores conocidos ya pueden verte.

Como el fingerprinting lee información que tu navegador ya envía, en lugar de algo que almacena, borrar las cookies o limpiar la caché no le afecta en absoluto. Esa distinción es la razón por la que el fingerprinting se ha convertido en la mitad más duradera del rastreo en línea a medida que se endurecen las restricciones a las cookies.

¿Qué es el fingerprinting de dispositivo?

El fingerprinting de dispositivo es la versión más amplia de la misma idea: identificar un dispositivo físico usando cualquier señal que exponga, no solo las visibles para un navegador web. El fingerprinting del navegador es la forma más común de fingerprinting de dispositivo en la web abierta, ya que un navegador es la interfaz que la mayoría de los sitios realmente ven. La misma lógica subyacente aparece también en otros lugares, en apps móviles que leen sensores del dispositivo e identificadores de hardware, y en redes publicitarias que combinan señales del navegador con detalles a nivel de red como la dirección IP para construir un perfil que sobrevive al cambio de navegador en el mismo dispositivo.

Para la mayoría de las personas que leen esto por algo que vieron en su propio navegador, ambos términos describen el mismo problema práctico.

Fingerprinting de canvas: un ejemplo concreto

Vale la pena repasar el fingerprinting de canvas porque muestra exactamente cómo el fingerprinting convierte una peculiaridad invisible del navegador en un identificador.

Un script le indica a tu navegador que dibuje un breve texto oculto o una forma simple en un elemento canvas de HTML5, y luego lee la imagen resultante como datos de píxeles. Las mismas instrucciones, ejecutadas en máquinas distintas, no producen un resultado idéntico. Tu GPU, el controlador gráfico, el sistema operativo y las fuentes instaladas introducen todos pequeñas diferencias de renderizado invisibles a simple vista pero presentes en los píxeles en bruto, y aplicar un hash a esos datos de píxeles produce un valor que a menudo es único para tu combinación específica de hardware y software. No se almacena nada. La técnica funciona porque tu dispositivo renderiza gráficos de una forma sutil, pero consistentemente propia.

La técnica fue medida por primera vez a gran escala por investigadores de Princeton, quienes la encontraron funcionando en alrededor del 5,5% de los 100.000 sitios más populares de la web en 2014, el mismo estudio que documentó por primera vez los evercookies (que se cubren más adelante). Una medición de 2025 realizada por investigadores de UC San Diego encontró fingerprinting de canvas en el 12,7% de los 20.000 sitios más populares, más del doble de la tasa de 2014 entre sitios de popularidad comparable. Es una técnica con su propia entrada en Wikipedia a estas alturas, no una curiosidad pasajera.

¿Qué es un píxel de seguimiento?

Un píxel de seguimiento es una imagen diminuta, normalmente invisible, a menudo de apenas 1x1 píxel, incrustada en una página o correo electrónico específicamente para que al cargarse envíe una solicitud a un servidor. Esa solicitud por sí sola le dice al servidor tu dirección IP, tu ubicación aproximada, el tipo de dispositivo, y el momento exacto en que abriste la página o el correo, antes de que intervenga cualquier JavaScript o cookie.

Los píxeles y las cookies suelen desplegarse juntos, pero resuelven problemas distintos. Una cookie necesita escribirse en tu navegador y leerse de nuevo más tarde, que es exactamente lo que los navegadores han mejorado en bloquear. Un píxel solo necesita que su solicitud de imagen se complete una vez, algo mucho más difícil de impedir sin bloquear imágenes o los dominios de rastreo específicos detrás de ellas. Por eso también un correo de marketing abierto es rastreable aunque nadie haya hecho clic en nada dentro de él.

El patrón es lo bastante común como para que los navegadores estén construyendo ahora alternativas formales a su versión sin filtrar. La propia documentación de Mozilla sobre la Attribution Reporting API incluye un píxel de seguimiento de 1x1 como uno de los disparadores estándar que admite la API, dando a esa misma señal de «lo vieron o no» un camino a través de informes agregados que preservan la privacidad, en lugar de una solicitud en bruto directa a los registros del servidor de un anunciante.

Así funciona el mecanismo de principio a fin. Llega un correo de marketing con una imagen de un solo píxel que referencia una URL de seguimiento única, generada específicamente para tu dirección. Abres el correo sin hacer clic en nada. Tu cliente de correo solicita esa imagen para mostrarla, la solicitud llega al servidor del remitente con tu dirección IP y la marca de tiempo exacta, y el servidor registra la apertura asociada a tu dirección de correo antes de que hayas leído más allá del asunto. No se estableció ninguna cookie. No se hizo clic en ningún enlace. El remitente lo sabe de todos modos, porque cargar una imagen nunca fue algo que tuvieras que consentir por separado.

El rastreo entre sitios no consiste solo en cookies

El rastreo entre sitios se define mejor por lo que hace, no por qué mecanismo lo hace: un sitio que te reconoce basándose en otro lugar donde ya has estado, aunque nunca se lo hayas dicho.

Las cookies de terceros son la versión que más gente conoce, y son exactamente lo que se explica en el desglose de cookies propias y de terceros. Pero el comportamiento no requiere ninguna cookie en absoluto. Si el mismo script de fingerprinting se ejecuta en dos sitios sin relación entre sí, o el mismo píxel de seguimiento se carga en ambos, quien opere ese script o píxel puede vincular tus visitas sin que ninguno de los dos sitios comparta una cookie o un inicio de sesión. Esta es precisamente la razón por la que restringir las cookies de terceros no acabó con el rastreo entre sitios. Eliminó el método más sencillo, no el incentivo subyacente, y el fingerprinting y los píxeles absorbieron una parte considerable de lo que antes hacían las cookies. El rastreo web, en conjunto, es en el fondo esto: se usa cualquier señal que sobreviva.

Cookies que no desaparecen: supercookies, evercookies y cookies zombi

Borrar tus cookies y tu caché hace exactamente lo que dice: elimina lo almacenado en esos lugares específicos. Algunos mecanismos de rastreo existen precisamente para sobrevivir a eso, y el alcance real de una limpieza de caché normal no los toca.

Una supercookie almacena un identificador en algún lugar distinto del almacén habitual de cookies, una cabecera inyectada por el ISP, por ejemplo, o una ubicación de caché del navegador que un proceso normal de borrado de cookies no revisa. Una cookie zombi es una supercookie construida específicamente para regenerarse: si sobrevive una sola copia tras el borrado, en el almacenamiento de Flash, en una caché del navegador, o en otro rincón discreto, recrea el resto, incluida la cookie estándar que creías haber eliminado. Evercookie, el proyecto que dio nombre a esta categoría, fue creado por el investigador de seguridad Samy Kamkar como prueba de concepto, almacenando deliberadamente el mismo identificador en tantos lugares como fuera posible para que borrarlo de uno solo de ellos, incluso de la mayoría, no fuera suficiente. La misma investigación de Princeton que midió por primera vez el fingerprinting de canvas documentó evercookies en uso real por la misma razón: ambas técnicas se diseñaron en torno a la misma brecha, un rastreo que no depende de una cookie que un usuario pueda simplemente borrar.

Cómo reducir tu huella de rastreo

No existe un ajuste que haga a un navegador imposible de rastrear, y cualquier afirmación de que sí existe merece escepticismo. Las cookies y los píxeles ya los gestiona en buena medida el bloqueo de anuncios y rastreadores que la mayoría de los navegadores centrados en la privacidad ejecutan por defecto. El fingerprinting es la parte más difícil, ya que no hay ningún archivo que bloquear, solo señales que reducir:

• Comprueba primero tu exposición. Pasar tu navegador por Cover Your Tracks muestra qué señales específicas te hacen identificable, en lugar de adivinarlo.
• Reduce la entropía donde puedas. Menos fuentes instaladas, una resolución de pantalla común y una configuración de navegador convencional te hacen mezclarte en un grupo más amplio en lugar de destacar.
• Bloquea scripts de fingerprinting y píxeles de seguimiento conocidos, de la misma forma en que los bloqueadores de anuncios y rastreadores ya interrumpen dominios de cookies de terceros conocidos.
• Trata la elección de navegador como parte de la respuesta. Algunos navegadores aleatorizan o bloquean activamente por defecto señales relevantes para el fingerprinting; otros las exponen exactamente como se solicitan. Las comparaciones en Los 5 navegadores más privados en 2026 repasan esta disyuntiva navegador por navegador.

Nada de esto produce anonimato. Reduce lo fácil que resulta que te distingan, lo cual es un objetivo distinto y más realista.

Dónde encaja Sigma

Sigma incluye protección antifingerprinting y bloqueo integrado de rastreadores y anuncios como comportamiento estándar, no como un ajuste opcional, la misma afirmación que se hace en la comparación de Sigma frente al modo incógnito de Chrome.

Lo que esto significa en la práctica: se exponen desde el principio menos de las pequeñas señales cubiertas anteriormente, y los rastreadores conocidos basados en píxeles y scripts se bloquean antes de cargarse. Esto no significa invisibilidad. La defensa contra el fingerprinting es un equilibrio continuo entre pasar desapercibido y romper sitios que esperan señales normales, no un interruptor que apaga el rastreo por completo, y tratarlo como algo más que eso sería la misma promesa exagerada que este artículo ha estado cuestionando.