¿Qué es la huella digital del navegador y qué puede leer realmente un sitio web?
Cada vez que abres una página, el navegador entrega al sitio una larga lista de datos sobre sí mismo. Ninguno es secreto, ninguno pide permiso y la mayoría están ahí para que la página se muestre bien. La huella digital aparece cuando un sitio deja de usar esos datos para mostrar la página y empieza a usarlos para reconocerte.
Lo que una página puede leer sin preguntar
Un script que se ejecuta en una pestaña normal puede leer, entre otras cosas: la cadena del user agent, la lista de idiomas preferidos, la zona horaria, el tamaño de pantalla y la densidad de píxeles, el número de hilos de CPU, una cifra redondeada de la memoria del dispositivo, la profundidad de color, si hay compatibilidad táctil, el nombre del renderizador gráfico detrás de WebGL y el resultado de dibujar una imagen pequeña en un canvas o de renderizar un breve búfer de audio. También puede observar cuánto tardan ciertas operaciones, qué fuentes cambian el ancho de una línea de texto y qué dispositivos multimedia existen (cantidades, no nombres, salvo que concedas acceso).
Por separado, estos datos son aburridos. Una zona horaria te reduce a unos cientos de millones de personas. En conjunto te reducen mucho más, porque lo raro es la combinación. Un equipo con Windows, una cadena de renderizador NVIDIA concreta, 12 hilos, una pantalla de 2560×1440, francés e inglés en ese orden y un hash de canvas determinado no es una multitud.
Qué hace útil una señal para identificar
Importan tres propiedades. La señal tiene que ser estable: el mismo navegador debería dar el mismo valor mañana. Tiene que ser diversa: navegadores distintos deberían dar valores distintos. Y tiene que ser barata: legible en milisegundos sin aviso de permiso. El hash de canvas puntúa bien en las tres, y por eso aparece en todas las bibliotecas de fingerprinting. El tamaño de pantalla puntúa bien en las dos primeras y de forma perfecta en la tercera. El user agent solía puntuar bien en diversidad y los fabricantes de navegadores lo han aplanado deliberadamente justo por eso.
Lo que una página no puede leer
Esta parte se exagera. El script de una página no puede ver tu dirección real si estás detrás de un proxy: ve lo que presente el proxy. No puede leer otras pestañas, tu historial, tus marcadores ni tus contraseñas guardadas. No puede saber con certeza si estás en una ventana privada; las heurísticas que dicen hacerlo fallan con regularidad. No puede conocer tu nombre. Y no puede decidir por sí misma si una dirección es un proxy o un centro de datos: ese veredicto sale de una base de datos de reputación que el sitio paga, no de nada que haya dicho tu navegador.
Los sitios que muestran una «puntuación de bot» o «proxy: sí» combinan lo que informó tu navegador con datos de un tercero. Es algo legítimo, pero conviene saber qué mitad es medición y cuál es consulta.
Por qué existen las páginas de diagnóstico
Una página de diagnóstico como PowerScan lee las mismas señales que leería un rastreador y te las muestra en lugar de guardarlas. El objetivo no es puntuarte. Es que puedas comprobar dos cosas: si una señal que esperabas oculta es visible, y si las señales son coherentes entre sí. La incoherencia es lo que hace que marquen las cuentas: una dirección en un país, un reloj del navegador en otro, un candidato WebRTC que no coincide con la dirección desde la que llegaste.
Cuando leas un informe, trata cada línea como la respuesta a una pregunta: «¿qué le dijo este navegador a esta página hace un momento?». Nada más. Un hash no es un veredicto, y el número de señales leídas no mide lo auténtico que pareces.
