Los sistemas antifraude no comparan solo cookies. Agrupan señales del navegador en una huella y buscan relaciones entre cuentas. Explicamos qué pesa más y por qué cambiar solo Canvas no basta.
Un sitio no ve una simple etiqueta de navegador, sino un conjunto de mediciones. Cada indicio aislado es débil; juntos forman una huella que sobrevive al borrado de cookies y al cambio de IP. Los principales son:
| canal | ¿Qué se está midiendo? | Valor distintivo típico |
|---|---|---|
| Lista de fuentes | qué fuentes están instaladas en el sistema | entropía más alta: 9,45 bits, el 35% de las máquinas son únicas |
| WebGL | línea de tarjeta de video, parámetros de renderizado | alto, dependiente del hardware |
| Canvas | hash de la imagen renderizada | alto |
| Audio | hash de señal a través de Web Audio | alto en diferentes máquinas |
| Pantalla y DPR | resolución y densidad de píxeles | promedio |
| Zona horaria, idioma | configuración del sistema | Bajo individualmente, la consistencia es importante. |
Las fuentes aparecen primero porque aportaron la mayor entropía en nuestras mediciones. Solo la lista de fuentes instaladas hizo único al 35 % de los equipos de la muestra.
La primera medición reveló un problema serio. Dos perfiles en la misma máquina, sin configuraciones de dispositivo independientes, daban resultados idénticos en las métricas de fuentes, los parámetros WebGL, clientRects y el audio, fuera cual fuera la configuración. El sitio podía relacionar esas cuentas sin cookies ni dirección IP. Ese resultado definió la arquitectura del producto.
La solución no consistía en añadir ruido al azar, sino en asignar a cada perfil una configuración coherente procedente de un ordenador real. A partir de ahí, los mismos indicios comenzaron a diferenciarse. Lo comprobamos en navegadores reales:
| Superficie | Varía entre los dos perfiles. |
|---|---|
| WebGL proveedor y renderizador | Sí |
| Parámetros WebGL | Sí |
| Geometría de pantalla y DPR | Sí |
| Número de núcleos y memoria. | Sí |
| Lista de fuentes | Sí |
| Voces de síntesis de voz. | Sí |
| Tabla de constantes de audio web | Sí |
| Canvas | si, el ruido es de la semilla del perfil |
Cambiar Canvas y conservar la lista real de fuentes no evita la asociación: los demás indicios siguen coincidiendo. Algunos ni siquiera deben alterarse.
El motor conserva deliberadamente las métricas de texto de las fuentes comunes. Los detectores tienen un control. measuretext-grid, diseñada precisamente para detectar esa distorsión. Alterar el valor haría que el navegador resultara más fácil de identificar. Lo mismo ocurre con clientRects (consulta bcr-vs-range). Esos indicios no tienen por qué variar: en dos equipos reales con el mismo sistema operativo y DPR, Arial mide lo mismo porque la anchura la determinan el archivo de fuente y el sistema.
Compruébalo directamente. Crea dos perfiles con el plan gratuito, abre la página de prueba en cada uno y compara los valores brutos:
Canvas y WebGL son distintos, pero los indicios de cada configuración son coherentes entre sí. Puedes comprobarlo en los valores originales, no solo en nuestro texto. También puedes abrir la prueba de huella del navegador: medirá los indicios de tu navegador y colocará al lado una configuración NimbusX para que puedas compararlos.
Todavía hay un indicio que relaciona perfiles ejecutados en el mismo equipo: el hash de audio renderizado. La variación del motor depende del dominio, no del perfil. Dos ordenadores reales producen hashes distintos; los perfiles de una misma máquina comparten por ahora el resultado. El panel muestra este límite en la celda AUD de cada perfil. Hasta disponer de una compilación propia del motor, separa en máquinas distintas los perfiles de una misma plataforma.
Huella de audio: el límite actual · La coherencia importa más que la cantidad