Qué es la huella digital del navegador

La huella digital del navegador es una tecnología que identifica usuarios individuales combinando la configuración y la información del entorno del navegador web. Al igual que una huella dactilar (fingerprint), aprovecha que la combinación de características del navegador es casi única.

A diferencia de las cookies, puede rastrear usuarios sin almacenar nada en el navegador, por lo que el rastreo continúa incluso después de eliminar las cookies.

Información recopilada

La información principal utilizada para generar la huella digital es la siguiente.

User-Agent: Tipo de navegador, versión, información del SO
Resolución de pantalla: Tamaño de la pantalla y profundidad de color
Fuentes instaladas: Lista de fuentes instaladas en el sistema
Resultado de renderizado Canvas: Valor hash del resultado dibujado en HTML5 Canvas (difiere según GPU y drivers)
Información WebGL: Información del fabricante y renderizador de la GPU
Zona horaria y configuración de idioma: Idioma y configuración regional del navegador
Lista de plugins: Extensiones instaladas

Cada pieza de información por separado es común, pero combinadas tienen suficiente unicidad para identificar a una persona entre millones. Según la investigación de la EFF, la unicidad de la huella digital del navegador alcanza aproximadamente el 83,6%.

Métodos de contramedida

La defensa completa es difícil, pero los siguientes métodos pueden reducir la unicidad de la huella digital.

Uso de Tor Browser: Diseñado para que todos los usuarios tengan la misma huella digital, es la contramedida más efectiva.
Protección mejorada contra rastreo de Firefox: El modo "estricto" bloquea scripts conocidos de recopilación de huellas digitales.
Aislamiento del navegador: Usar diferentes perfiles de navegador según el uso permite fragmentar el rastreo entre sitios.
Restricción de JavaScript: Extensiones como NoScript que restringen JavaScript desactivan muchas técnicas de huella digital. Sin embargo, tiene el efecto secundario de limitar las funciones de los sitios web.

Tipos de huellas digitales y mecanismos técnicos

Las técnicas de huella digital se clasifican en dos grandes tipos según el método de obtención de información.

Huella digital pasiva es la técnica que identifica solo con la información contenida en los encabezados de solicitud HTTP. Los valores de encabezado como User-Agent, Accept-Language y Accept-Encoding se envían automáticamente por el navegador, por lo que se recopilan incluso con JavaScript deshabilitado. Como se puede ejecutar solo con el análisis de logs del servidor, es extremadamente difícil que el usuario lo detecte.

Huella digital activa es la técnica que ejecuta JavaScript para obtener activamente información detallada del entorno del navegador. Las técnicas representativas se muestran a continuación.

Huella digital Canvas: Dibuja texto y figuras en HTML5 Canvas, lee el resultado a nivel de píxel y lo hashea. Las diferencias en GPU, drivers gráficos y motor de renderizado de fuentes producen salidas ligeramente diferentes incluso con los mismos comandos de dibujo
Huella digital AudioContext: Genera un nodo oscilador con Web Audio API y compara los resultados del procesamiento de señales de audio. Las diferencias de implementación del stack de audio generan unicidad por dispositivo. Combinada con Canvas, la precisión de identificación mejora aún más
Huella digital WebGL: Técnica que obtiene resultados de renderizado de gráficos 3D. Además del nombre del fabricante y renderizador de la GPU, la precisión de los shaders y los resultados del procesamiento de texturas difieren por dispositivo
Enumeración de fuentes: Genera elementos con varios nombres de fuente en JavaScript y estima las fuentes instaladas a partir de los cambios en el ancho de renderizado. La combinación de fuentes del SO y las añadidas por el usuario tiene alta unicidad

Las bibliotecas comerciales de huella digital que combinan estas técnicas (como FingerprintJS) afirman una precisión de identificación superior al 99%.

Uso legítimo en detección de fraude

La tecnología de huella digital suele discutirse en el contexto de violación de privacidad, pero también tiene usos legítimos de seguridad.

Detección de inicios de sesión fraudulentos: Detecta intentos de inicio de sesión desde un entorno diferente a la huella digital habitual del usuario y solicita autenticación adicional. Por ejemplo, si una cuenta que normalmente accede desde Windows + Chrome recibe un inicio de sesión repentino desde Linux + Firefox, se puede sospechar un ataque de credential stuffing y forzar la autenticación de dos factores.

Detección de bots: Identifica las características de huellas digitales generadas por herramientas de automatización (Selenium, Puppeteer, etc.). Los navegadores headless muestran patrones diferentes a los navegadores humanos, como la propiedad navigator.webdriver en true o resultados de renderizado Canvas uniformes. Se utiliza para eliminar bots de acaparamiento en sitios de comercio electrónico y bots de reventa de entradas.

Seguridad de cuentas: Detecta como registro fraudulento cuando se intentan crear múltiples cuentas desde la misma huella digital, o alerta de un posible secuestro de cuenta ante cambios bruscos en la huella digital. En la banca en línea de instituciones financieras, es común incorporar información de huella digital en la puntuación de riesgo de transacciones y retener temporalmente las transacciones calificadas como de alto riesgo.

Conceptos erróneos comunes

El modo incógnito (navegación privada) previene la huella digital: El modo incógnito solo no guarda el historial de navegación ni las cookies; la información del entorno del navegador es la misma que en modo normal. No sirve como defensa contra la huella digital.
Usar VPN también previene la huella digital: La VPN oculta la dirección IP pero no afecta la información del entorno del navegador. La contramedida contra huellas digitales requiere configuración adicional del lado del navegador.

Diferencia entre rastreo por cookies y huella digital

Rastreo por cookies

Rastrea almacenando datos en el navegador. El usuario puede eliminar y bloquear. Regulaciones (GDPR, etc.) requieren consentimiento.

Huella digital del navegador

Rastrea por información del entorno sin almacenar nada en el navegador. Difícil de detectar y eliminar por el usuario. Difícil de regular.

Huella digital del navegador