Browser fingerprinting explicado: por qué sigue importando para la privacidad
29 de octubre de 2026
•
10 min de lectura
Índice
Volver
Volver arriba
Browser fingerprinting explicado: por qué sigue importando para la privacidad
La mayoría de los propietarios de sitios web saben qué son las cookies. Menos saben que, a veces, un navegador puede reconocerse sin almacenar ninguna cookie.
Esa es la idea del browser fingerprinting, o huella digital del navegador. En lugar de depender de un único identificador guardado en el navegador, un sitio web o un script third-party puede recopilar características del navegador y del dispositivo del visitante, combinarlas y usar el resultado para distinguir ese navegador de otros.
El fingerprinting tiene usos legítimos, como la detección del fraude y la seguridad de las cuentas. Pero también puede usarse para el seguimiento y la elaboración de perfiles de formas que a los visitantes les cuesta detectar o controlar. Para los propietarios de sitios web, esto plantea una pregunta importante: si tienes un banner de cookies, ¿estás gestionando también el seguimiento que no usa cookies?
Esta guía explica cómo funciona el browser fingerprinting, por qué importa para la privacidad y qué deben revisar las empresas antes de añadir scripts de analítica, publicidad, seguridad u otros scripts third-party.
¿Qué es el browser fingerprinting?
El browser fingerprinting es una forma de distinguir un navegador combinando información sobre su configuración y su comportamiento.
Un único dato, como el idioma preferido de un visitante, difícilmente lo identificará. Pero el idioma combinado con el tamaño de la pantalla, la zona horaria, la versión del navegador, las capacidades gráficas, las fuentes y otras señales puede producir un patrón mucho más distintivo.
Imagina que dos personas llegan al mismo sitio web. Ambas usan el mismo navegador. Una de ellas tiene otro sistema operativo, otra resolución de pantalla, otro ajuste de idioma y otra colección de fuentes. Un script de fingerprinting puede usar esas diferencias para distinguir sus navegadores, aunque ninguna de las dos haya aceptado una cookie publicitaria.
Una huella no equivale necesariamente a la identidad real de una persona, y no siempre es única ni estable. Los navegadores se actualizan, los ajustes cambian, los dispositivos pueden parecerse y las protecciones de privacidad pueden interferir con el fingerprinting. Aun así, el fingerprinting puede ayudar en ocasiones a reconocer un navegador que vuelve o a vincular la actividad entre visitas.
La explicación del fingerprinting de Mozilla Developer Network describe esta práctica como la combinación de características distintivas del navegador y del sistema para identificar un navegador.
¿Cómo funciona el browser fingerprinting?
Algunas técnicas de fingerprinting usan información disponible en las solicitudes normales del navegador. Otras ejecutan JavaScript para recopilar más detalles. Las señales pueden incluir:
- Información sobre el navegador y el sistema operativo.
- Dimensiones de la pantalla, densidad de píxeles y ajustes de visualización.
- Idioma preferido y zona horaria.
- Fuentes disponibles y capacidades multimedia.
- Características del procesamiento gráfico o de audio.
- Ajustes del navegador y funciones compatibles.
- Información de red, que puede incluir direcciones IP.
Un script puede combinar varias señales en un identificador o en una puntuación que estima si dos visitas proceden del mismo navegador. El proceso puede ocurrir en segundo plano mientras el visitante lee una página.
Conviene conocer dos términos. El fingerprinting pasivo usa información expuesta en la comunicación normal, como las cabeceras de las solicitudes. El fingerprinting activo realiza comprobaciones adicionales, a menudo mediante APIs del navegador, para observar características concretas.
¿Qué son el fingerprinting de canvas y de WebGL?
El fingerprinting de canvas pide al navegador que dibuje algo, como un texto o una forma, y analiza las diferencias en el resultado renderizado. El hardware gráfico, las fuentes, el sistema operativo y el software pueden influir en ese resultado.
El fingerprinting de WebGL analiza características de las capacidades gráficas o del renderizado del navegador. Del mismo modo, las técnicas basadas en audio pueden buscar diferencias en cómo procesan el sonido los dispositivos.
Estos métodos no garantizan que un visitante quede identificado de forma única. El problema para la privacidad es que pequeñas diferencias técnicas pueden convertirse en señales de seguimiento útiles cuando se combinan con otras.
Browser fingerprinting frente a cookies: ¿cuál es la diferencia?
Las cookies y el browser fingerprinting pueden tener finalidades que se solapan, pero funcionan de forma distinta.
| | Cookies | Browser fingerprinting | |---|---|---| | Cómo funciona la identificación | Un sitio web almacena o lee información asociada al navegador | Un script o servicio combina características del navegador y del dispositivo | | ¿Requiere una cookie? | Sí, en el seguimiento basado en cookies | No | | ¿Pueden los visitantes eliminar un identificador? | Normalmente las cookies se pueden borrar | Puede que no haya un único identificador almacenado que eliminar | | ¿Puede cambiar con el tiempo? | Sí, si las cookies caducan o se borran | Sí, a medida que cambian los ajustes, el software o los dispositivos | | Usos habituales | Inicios de sesión, preferencias, analítica, publicidad | Seguridad, prevención del fraude, reconocimiento, elaboración de perfiles |
La mayor diferencia es el control del usuario. La gente está acostumbrada a borrar las cookies o a rechazar las cookies de marketing. El fingerprinting puede ser más difícil de ver porque quizá no cree ninguna entrada visible en el almacenamiento del navegador.
Eso no hace que las huellas sean permanentes ni infalibles. Significa que los controles tradicionales de cookies no reflejan necesariamente todo el panorama del seguimiento.
Por qué el browser fingerprinting es un problema de privacidad
El fingerprinting resulta especialmente delicado cuando se usa para seguir la actividad de alguien en lugar de para prestar un servicio claramente explicado.
Un servicio third-party podría reconocer un navegador en varios sitios web que usen su tecnología. Un sitio web podría combinar una huella con una cuenta, una compra, el envío de un formulario u otro identificador. Con el tiempo, esas conexiones pueden revelar intereses o patrones de navegación.
La preocupación no es solo lo que el sitio web sabe durante una visita. Es si las observaciones pueden vincularse entre sesiones, finalidades o servicios sin una transparencia ni una elección reales.
El fingerprinting también puede crear una falsa sensación de anonimato. Un visitante puede borrar las cookies o usar la navegación privada y suponer que no se le puede reconocer. Esas medidas pueden reducir algunas formas de seguimiento, pero no impiden necesariamente todas las técnicas de fingerprinting.
Para los profesionales del marketing, el principio clave es sencillo: una tecnología no se vuelve respetuosa con la privacidad solo porque evite las cookies.
¿Es ilegal el browser fingerprinting según el GDPR?
No automáticamente. La valoración legal depende de la técnica, de su finalidad, de la información a la que se accede y de cómo se usa esa información.
En la UE, las normas de ePrivacy pueden aplicarse cuando una tecnología almacena información en el dispositivo de una persona o accede a información almacenada en él. El Comité Europeo de Protección de Datos ha aclarado el alcance técnico de estas normas en sus directrices sobre el artículo 5, apartado 3, de la Directiva ePrivacy.
En el Reino Unido, la Information Commissioner's Office incluye explícitamente el device fingerprinting en su guía sobre tecnologías de almacenamiento y acceso. La ICO indica que las normas de PECR pertinentes se aplican cuando el fingerprinting implica almacenar información en un dispositivo o acceder a información almacenada en él.
Cuando la información resultante son datos personales, también pueden aplicarse las obligaciones del GDPR o del UK GDPR. Una huella no necesita contener el nombre de alguien para plantear cuestiones de datos personales si permite distinguir a una persona identificable o vincularse con ella.
En el fingerprinting no exento, puede ser necesario obtener el consentimiento antes de que se produzca el acceso correspondiente. Algunos usos estrictamente necesarios u otros usos que cumplan los requisitos pueden acogerse a una excepción, pero esto exige una valoración real basada en la finalidad. El fingerprinting publicitario y el fingerprinting relacionado con la seguridad no deben tratarse sin más como equivalentes.
¿Y la prevención del fraude y la seguridad del sitio web?
No todos los usos del fingerprinting pretenden seguir a los usuarios por internet.
Un banco, una tienda de ecommerce o una plataforma de cuentas puede analizar características del dispositivo para identificar inicios de sesión sospechosos, abusos automatizados o actividad de pago inusual. En ese contexto, el fingerprinting puede ayudar a proteger a los clientes y al servicio.
Pero usar el fingerprinting con fines de seguridad no elimina automáticamente todas las obligaciones de privacidad. La empresa sigue necesitando entender a qué información del dispositivo se accede, si se aplica alguna excepción, cómo se tratan los datos, quién los recibe y durante cuánto tiempo se conservan.
Una cuestión práctica importante es si el proveedor de seguridad reutiliza la información para finalidades no relacionadas. Una tecnología implantada para proteger cuentas no debería convertirse discretamente en una herramienta de elaboración de perfiles publicitarios.
El enfoque correcto es documentar cada caso de uso en lugar de suponer que cualquier script de fingerprinting está prohibido o es inofensivo.
¿Pueden los banners de cookies detener el fingerprinting?
Un sistema de gestión del consentimiento bien configurado puede ayudar a controlar los scripts third-party que usan fingerprinting. Pero un banner de cookies por sí solo no detecta ni bloquea automáticamente todas las técnicas de fingerprinting.
El banner es la parte del proceso que ve el usuario. Detrás de él, los propietarios de sitios web deben determinar qué scripts se ejecutan, a qué información del dispositivo acceden, qué hace cada herramienta y cuándo se le permite cargarse.
La plataforma de gestión del consentimiento de CookiePal ofrece banners de consentimiento, escaneo de cookies, categorización, bloqueo automático y registros de consentimiento. Son una base útil para gestionar los scripts de seguimiento no esenciales. Sin embargo, el fingerprinting exige una revisión técnica más amplia: un escaneo de cookies tradicional no puede demostrar que se haya descubierto o impedido todo el comportamiento de browser fingerprinting.
Si tu proveedor de marketing, analítica o seguridad usa fingerprinting, revisa su documentación y prueba la implementación en lugar de fiarte solo de la apariencia del banner.
¿Cómo pueden los propietarios de sitios web detectar el fingerprinting?
Empieza con un inventario de los scripts y servicios que se ejecutan en tu sitio web. Incluye tus páginas principales, las landing pages de campañas, el checkout, las áreas de cuenta y las herramientas integradas.
Un escaneo de cumplimiento del sitio web con CookiePal es un primer paso útil para identificar cookies y trackers. Después, amplía la revisión más allá de las cookies:
- Haz una lista de tus proveedores. Incluye herramientas de analítica, publicidad, prevención del fraude, chatbots, grabación de sesiones y personalización.
- Lee su documentación. Busca términos como browser fingerprinting, identificación del dispositivo, canvas, WebGL, device intelligence y otros similares.
- Comprueba el comportamiento de los scripts. Usa las herramientas para desarrolladores del navegador y, cuando sea necesario, pruebas especializadas para inspeccionar las solicitudes de red y el acceso a las APIs del navegador.
- Haz pruebas antes del consentimiento. Averigua qué scripts se cargan antes de que los visitantes decidan si aceptan el seguimiento opcional.
- Prueba el rechazo y la retirada. Asegúrate de que el seguimiento no exento responde correctamente cuando se deniega el consentimiento o se retira más tarde.
- Documenta cada finalidad. Registra si la tecnología sirve para seguridad, analítica, publicidad u otra función, junto con la decisión sobre el consentimiento o la excepción aplicable.
Las pruebas técnicas pueden ser complejas, y parte del fingerprinting es difícil de distinguir de la funcionalidad normal del navegador. Pide pruebas al desarrollador o al proveedor cuando el comportamiento no esté claro.
Haz que tu información de privacidad sea más precisa
Una política de cookies que solo enumera nombres de cookies puede pasar por alto otras tecnologías que usa el sitio web. Hay que informar a los visitantes de las prácticas de seguimiento pertinentes en un lenguaje que puedan entender.
Por ejemplo, en lugar de decir solo “usamos cookies para mejorar nuestros servicios”, una empresa que usa señales del dispositivo para prevenir el fraude podría explicar que comprueba determinadas características del navegador y del dispositivo para detectar actividad sospechosa.
Si un proveedor usa esas características para publicidad o para elaborar perfiles de usuarios, la explicación debe reflejar esa finalidad distinta. Evita expresiones vagas como “tecnología anónima” cuando la actividad del navegador todavía puede vincularse o reconocerse.
El generador de políticas de cookies y el generador de políticas de privacidad de CookiePal pueden ayudarte a estructurar la información de tu sitio web. Revisa la redacción final frente a las tecnologías que usas realmente, incluido el seguimiento sin cookies, y haz que la revisen cuando corresponda.
Por qué el fingerprinting sigue importando más allá de las cookies third-party
Las protecciones de privacidad de los navegadores siguen evolucionando. Algunos navegadores limitan el seguimiento entre sitios, reducen la cantidad de información identificativa expuesta o introducen medidas contra el fingerprinting. La guía del W3C sobre fingerprinting explica por qué funciones del navegador aparentemente inofensivas pueden crear riesgos para la privacidad cuando se combinan.
Estas protecciones son valiosas, pero no convierten el seguimiento en los sitios web en un problema resuelto. Las empresas todavía pueden usar scripts, señales del dispositivo, identificadores first-party y sistemas server-side de formas que requieren una revisión de privacidad.
Para los propietarios de sitios web, la lección no es abandonar la analítica ni las herramientas de seguridad útiles. Es examinar lo que hace realmente cada herramienta en lugar de juzgar la privacidad por si aparece o no en el navegador un nombre de cookie conocido.
Crea un proceso de consentimiento que vaya más allá de las cookies
La configuración de privacidad más sólida empieza por la visibilidad. Debes saber qué tecnologías se ejecutan en tu sitio web, por qué se ejecutan, qué proveedores reciben información y si los usuarios tienen una elección real.
Usa un escaneo de cumplimiento de CookiePal para empezar a revisar las cookies y los trackers y, después, investiga a los proveedores que usen reconocimiento de dispositivos o fingerprinting. Conecta los resultados con tu configuración de consentimiento, tu información de privacidad y tu proceso continuo de revisión de scripts.
El browser fingerprinting sigue importando porque la privacidad tiene que ver con lo que los sitios web pueden saber y vincular sobre las personas, no solo con lo que almacenan en una cookie. Un banner de cookies bien diseñado es útil. Entender el seguimiento que hay detrás es lo que hace creíble el proceso de privacidad.
Este artículo ofrece información general y no constituye asesoramiento legal. Los requisitos dependen de la tecnología, la finalidad, la ubicación de los usuarios y la legislación aplicable.
Explorar más
Link decoration y parámetros de seguimiento: el problema de privacidad que el marketing pasa por alto
Los click IDs y los parámetros UTM pueden llevar identificadores por URLs, formularios y servidores. Descubre cuándo el link decoration requiere consentimiento y cómo auditarlo.
29 de octubre de 2026
9 min
¿Las herramientas de pruebas A/B requieren consentimiento de cookies?
Las pruebas A/B pueden guardar IDs, compartir eventos y alimentar audiencias publicitarias. Descubre cuándo requieren consentimiento y cuándo puede aplicarse una exención limitada.
22 de octubre de 2026
9 min
Cookies, local storage y session storage: ¿cuál es la diferencia?
Las cookies, el local storage y el session storage funcionan de forma distinta, pero ninguno está exento de consentimiento. Descubre cómo funciona cada uno y cómo revisarlos.
22 de octubre de 2026
9 min