Esta web lo sabe todo sobre tu ordenador sin instalar ninguna cookie

Rechazar todas las cookies no vuelve invisible a quien navega. Antes incluso de pulsar un botón, una página puede recibir la dirección IP, el idioma del navegador, el sistema operativo aproximado, la zona horaria o ciertas características de la pantalla. Si ejecuta código en el dispositivo, la colección crece: fuentes instaladas, capacidad gráfica, formatos multimedia compatibles, configuración del navegador y pequeñas particularidades del equipo. Piezas aparentemente anodinas que, juntas, forman una huella digital reconocible.

Eso es precisamente lo que muestra I didn’t set a cookie, un experimento creado por el desarrollador Kuber Mehta. La página asegura que no instala cookies, no solicita permisos, no abre un cuadro de consentimiento y no conserva los resultados. Su objetivo es didáctico: enseñar cuánto puede aprender un sitio web durante una visita corriente, sin contraseña, sin registro y sin el clásico cartel que ocupa media pantalla mientras uno intenta leer una receta.

La demostración no conoce necesariamente el nombre del visitante ni puede leer sus mensajes, sus archivos o sus claves bancarias. Tampoco enciende la cámara por arte de magia. Lo que hace es combinar datos técnicos, observaciones e inferencias. Algunas son exactas; otras, aproximadas. Y alguna puede fallar con bastante estrépito. El verdadero hallazgo no está en cada dato aislado, sino en la suma: una silueta digital que puede resultar singular y reaparecer en posteriores visitas.

La web puede reconocerte antes de que pulses nada

Cuando el navegador solicita una página ya entrega cierta información para que el sitio pueda responder correctamente. Debe indicar, por ejemplo, qué formatos entiende, qué idioma prefiere y qué tipo de programa está realizando la petición. La dirección IP también queda expuesta al servidor, porque sin una dirección de retorno internet funcionaría más o menos como un cartero arrojando cartas al aire.

Con esa IP se puede estimar el país, el proveedor de acceso y, con diferente grado de acierto, una ciudad o una zona geográfica. No equivale a obtener la ubicación precisa del GPS. Es más parecido a reconocer el matasellos que a localizar una puerta concreta. Una VPN puede cambiar esa pista de red, pero no borra necesariamente las demás señales que presenta el navegador.

La demo reúne hasta 166 indicadores, según la descripción del proyecto. Entre ellos aparecen el navegador utilizado, el sistema operativo, la resolución, la frecuencia de actualización de la pantalla, el hardware gráfico, las fuentes disponibles y ciertos datos relacionados con cámaras, micrófonos o dispositivos conectados. También intenta detectar incoherencias: un navegador que dice una cosa en su identificación formal, pero se comporta como otro cuando ejecuta determinadas funciones.

Conviene bajar un punto la música de película de espías. Detectar que existe una interfaz de cámara o estimar cuántos dispositivos multimedia hay no significa acceder a sus imágenes o sonidos. Para eso siguen siendo necesarios permisos específicos del usuario. En algunos navegadores, además, la información disponible está recortada, alterada o condicionada por autorizaciones concedidas anteriormente.

No es una cookie, sino una suma de pequeñas pistas

Una cookie es un pequeño dato que una página guarda en el navegador y puede recuperar más adelante. Sirve para mantener una sesión abierta, recordar el contenido de una cesta de compra o conservar preferencias. También puede utilizarse para seguimiento publicitario, razón por la que su nombre ha acabado asociado a banners interminables, botones diseñados con picardía y ese peculiar deporte digital llamado «encuentre usted dónde rechazar».

La huella digital funciona de otra manera. No necesita dejar una etiqueta almacenada en el equipo: reconstruye una identidad probable cada vez que observa las mismas características. El fingerprinting identifica un navegador mediante la combinación de rasgos diferenciadores, como su versión, la zona horaria, el idioma, los códecs disponibles, las fuentes, la configuración o la resolución de pantalla.

El resultado suele transformarse en una cadena o código. Si dos visitas producen una combinación muy parecida, el sistema puede considerar que proceden del mismo navegador. No es una prueba infalible ni una identificación civil. Es una probabilidad. Pero en una red publicitaria con millones de observaciones, probabilidades pequeñas y repetidas terminan dibujando perfiles comerciales bastante útiles para quien vive de clasificar audiencias.

Las señales que terminan dibujando un perfil

Hay información que viaja de manera pasiva, incluida en las propias comunicaciones entre el navegador y el servidor. Otra se obtiene activamente mediante JavaScript, el lenguaje que permite que una web despliegue menús, reproduzca vídeos, compruebe formularios o calcule, también, características del dispositivo.

El fingerprinting pasivo se apoya en elementos observables en las solicitudes web; el activo ejecuta operaciones en el dispositivo para reunir más señales. Ambos pueden servir para reconocer usuarios, relacionar distintas sesiones o seguir actividad sin controles tan visibles como los de las cookies.

Canvas, WebGL y otros espejos del dispositivo

Una de las técnicas más conocidas utiliza canvas, una función del navegador para dibujar gráficos. La página ordena representar una figura o un texto invisible y analiza el resultado. Pequeñas diferencias en la tarjeta gráfica, los controladores, el sistema operativo o las fuentes pueden producir variaciones diminutas, algo así como pedir a cien impresoras que reproduzcan la misma mancha de tinta y observar el borde con lupa.

WebGL aplica una lógica semejante al procesamiento de gráficos tridimensionales. El sistema de audio puede generar otra señal mediante diferencias imperceptibles en determinados cálculos. Ninguna de estas pruebas necesita fotografiar la pantalla ni escuchar el micrófono. El equipo se delata, por decirlo de forma sencilla, a través de su manera particular de ejecutar una orden.

El proyecto resulta inquietante porque presenta los datos como una narración progresiva. Primero reconoce los rasgos más evidentes; después enlaza indicios y formula deducciones. Si el idioma del navegador no coincide con el país asociado a la IP, puede sugerir que el visitante utiliza una VPN, está viajando o habla varias lenguas. Tres posibilidades bajo el mismo paraguas. No lee la biografía: interpreta una discordancia.

Otras conclusiones dependen de reglas heurísticas, es decir, aproximaciones basadas en patrones. La identificación del modelo exacto de dispositivo, la tarjeta gráfica o determinados periféricos puede ser errónea. Los navegadores modernos limitan información, redondean valores o devuelven respuestas genéricas para evitar que cada usuario sobresalga como una chaqueta fluorescente en un funeral.

La precisión tampoco es el único objetivo del fingerprinting. Un sistema no necesita saber que alguien utiliza exactamente cierto modelo de portátil. Puede bastarle con determinar que dos sesiones comparten una combinación poco común de resolución, zona horaria, gráficos, fuentes e idioma. La huella es útil por su capacidad para diferenciar, no porque redacte una ficha técnica perfecta del ordenador.

A veces, protegerse de forma demasiado artesanal produce el efecto contrario. Una extensión rarísima, una configuración extravagante o una fuente instalada que casi nadie posee pueden hacer que el navegador sea más singular. El anonimato se parece aquí a mezclarse con una multitud: vestir exactamente igual que miles de personas ayuda más que acudir con bigote postizo, capa y sombrero de copa.

El modo incógnito tampoco te convierte en invisible

La navegación privada impide principalmente que el dispositivo conserve determinados rastros locales, como el historial o las cookies de la sesión una vez cerradas las ventanas. No oculta por sí sola la IP ni uniforma todas las características del navegador. El modo incógnito no evita eficazmente el seguimiento por huella digital y puede generar una falsa sensación de seguridad.

Tampoco una VPN resuelve el problema completo. Cambia la IP visible y dificulta que el sitio conozca la conexión original, pero las demás características pueden seguir ahí. Borrar cookies o utilizar una red privada virtual no impide necesariamente relacionar visitas mediante fingerprinting. La gabardina tapa una parte del cuerpo; los zapatos continúan asomando.

Los navegadores han comenzado a responder reduciendo la información expuesta, bloqueando scripts conocidos o devolviendo valores compartidos por muchos usuarios. Firefox, por ejemplo, ha reforzado sus defensas para limitar datos sobre fuentes, hardware gráfico, procesador, pantalla táctil y otras superficies de identificación. Hay, sin embargo, un equilibrio incómodo: cerrar demasiado el grifo puede romper calendarios, videollamadas, videojuegos o servicios que necesitan conocer la zona horaria y ciertas capacidades técnicas.

Elegir un navegador con protección contra rastreo, activar sus modos más estrictos y evitar extensiones innecesarias reduce parte de la exposición. Desactivar JavaScript corta muchas mediciones activas, aunque deja numerosas páginas convertidas en escaparates apagados. Tor intenta que muchos navegadores se parezcan entre sí, una estrategia más sólida que modificar parámetros al azar. No existe, en cualquier caso, un interruptor doméstico que garantice la invisibilidad absoluta.

La privacidad no termina al pulsar «rechazar»

La regulación europea no protege únicamente frente a archivos que lleven la etiqueta de cookie. La cuestión relevante es si una tecnología accede a información del dispositivo, permite singularizar al usuario o trata datos personales con una finalidad determinada. Cambiar la herramienta sin cambiar el seguimiento sería un truco semántico bastante pobre: quitar el cartel de «cámara» mientras se mantiene la cámara encendida.

La Agencia Española de Protección de Datos ha advertido de que la huella digital puede utilizarse para individualizar dispositivos y elaborar perfiles. También ha señalado que estas técnicas se emplean con frecuencia sin información suficiente y que las entidades deben abstenerse de recoger los datos cuando no exista el consentimiento exigible.

Eso no convierte cualquier medición técnica en ilegal. Hay usos relacionados con la seguridad, la prevención del fraude, la autenticación o el funcionamiento imprescindible de un servicio que requieren un análisis distinto. No es lo mismo reconocer anomalías para impedir el robo de una cuenta que seguir a una persona entre páginas para construir un perfil comercial. La finalidad, la necesidad, la transparencia y la base jurídica importan. Mucho.

El problema del fingerprinting es que suele carecer del gesto visible que acompaña a las cookies. No existe un fichero evidente que borrar y la huella puede volver a calcularse. Estos identificadores permiten distinguir usuarios o dispositivos incluso cuando las cookies permanecen desactivadas.

El navegador siempre deja una silueta

I didn’t set a cookie no descubre una puerta secreta recién abierta en internet. Convierte en espectáculo comprensible algo que investigadores, reguladores y fabricantes conocen desde hace años: navegar implica revelar información técnica, y esa información puede reunirse hasta formar una identidad estadística.

La demostración tampoco prueba que todas las páginas recopilen las 166 señales ni que cada resultado sea correcto. Enseña lo que un sitio puede intentar averiguar con las herramientas que el propio ecosistema web pone a su alcance. Ahí reside su fuerza. Uno entra esperando comprobar que no hay cookies y sale entendiendo que las cookies eran solo las migas más visibles.

Durante años, la conversación sobre privacidad quedó reducida a aceptar o rechazar un recuadro. El fingerprinting muestra una realidad menos cómoda: detrás del botón continúa funcionando una maquinaria de cabeceras, direcciones, gráficos, fuentes y cálculos diminutos. Nada especialmente cinematográfico. Solo el navegador, obediente, presentándose con más detalle del que imaginábamos.

Puedes probar la web en cuestión directamente aquí. Como dicen los más jóvenes: ¡Vas a flipar bro!