La huella digital del navegador ha reemplazado silenciosamente a las cookies como método de rastreo predeterminado
Se suponía que las cookies de terceros morirían hace años. Safari de Apple las bloqueó por defecto desde 2019-2020 con Intelligent Tracking Prevention, la Enhanced Tracking Protection de Firefox siguió ese mismo año, y Google pasó de 2020 a 2024 prometiendo eliminarlas por completo de Chrome — antes de dar marcha atrás en julio de 2024 y anunciar que mantendría las cookies de terceros y en su lugar ofrecería a los usuarios un aviso de elección. Nada de esto detuvo el rastreo entre sitios. Solo trasladó el rastreo a una técnica que los marcos legales construidos alrededor de las cookies nunca fueron diseñados para detectar: la huella digital del navegador (browser fingerprinting).
Ese es el cambio silencioso que vale la pena entender: en aproximadamente la mitad del mercado de navegadores — Safari y Firefox combinados — el rastreo de cookies entre sitios lleva años muerto, y el rastreo no se detuvo, migró a leer señales que el navegador ya expone en lugar de escribir un identificador en él. Los marcos de consentimiento construidos sobre "las cookies requieren permiso" no se aplican claramente a una técnica que nunca almacena nada en el dispositivo.
Lo que realmente lee la huella digital
La huella digital de canvas renderiza un gráfico oculto usando la API Canvas del navegador y lee los píxeles resultantes; diferencias mínimas en la GPU, el controlador y las pilas de renderizado de fuentes producen un hash de salida casi único entre dispositivos. La huella digital de WebGL hace algo similar consultando la cadena del renderizador de la GPU y las extensiones soportadas. La huella digital de AudioContext reproduce un tono inaudible a través de la API Web Audio y mide diferencias mínimas de punto flotante en la forma de onda de salida causadas por diferencias de hardware y sistema operativo.
Ninguna de estas requiere almacenar nada. Combina las señales de canvas, WebGL y audio con la enumeración de fuentes, la resolución de pantalla, la zona horaria y las extensiones del navegador instaladas, y el proyecto Cover Your Tracks de la EFF (sucesor de Panopticlick) ha encontrado repetidamente que la gran mayoría de los navegadores probados producen una huella digital única o casi única entre todos los demás probados — suficiente para rastrear a un usuario entre sitios sin tocar nunca una cookie.
Irónicamente, la propia reducción del User-Agent de Chrome, motivada por la privacidad — reemplazando la antigua cadena de texto libre de User-Agent por Client Hints estructurados — hizo que algunas señales de huella digital fueran más limpias y consistentes de leer, en lugar de más confusas. Y las técnicas a nivel de red se suman a las de nivel de navegador: el CNAME cloaking disfraza una solicitud de rastreo de terceros como una solicitud de subdominio propio, eludiendo las herramientas de listas de bloqueo de rastreadores que solo verifican el dominio visible.
La zona gris legal, explicada
El Artículo 5(3) de la Directiva de ePrivacy de la UE exige consentimiento para "almacenar o acceder a información ya almacenada" en el dispositivo de un usuario. Ese lenguaje se redactó pensando en las cookies — una cookie escribe un identificador en el almacenamiento, y ese acto de escritura es lo que requiere consentimiento. La huella digital no escribe nada; lee señales que el navegador ya expone a cualquier página que las solicite. Durante años, esto creó un argumento genuino de que la huella digital quedaba fuera del alcance literal de la ley de consentimiento de cookies.
La CNIL francesa cerró parte de esa brecha en una guía de 2020, afirmando explícitamente que la huella digital cae bajo el Artículo 5(3) porque "acceder a información" cubre la lectura de señales existentes, no solo la escritura de señales nuevas — por lo que se requiere consentimiento de todos modos. La ICO del Reino Unido ha emitido una guía similar. Pero el alcance legal declarado y la aplicación real son cosas distintas: probar que una llamada específica a la API de canvas o audio se usó para rastreo, en lugar de detección legítima de bots o prevención de fraude, es un problema forense técnico para el que los reguladores no están bien equipados a gran escala, y las acciones de cumplimiento dirigidas específicamente a la huella digital siguen siendo raras comparadas con las infracciones de los banners de consentimiento de cookies.
También existe un vacío de enmarcado que posiblemente es mayor que la zona gris legal: empresas como Fingerprint (antes FingerprintJS), Seon, Arkose Labs y iovation de TransUnion comercializan exactamente la misma recopilación de señales como "prevención de fraude" en lugar de "rastreo". El enmarcado de prevención de fraude se acerca más a una base legal de interés legítimo que no requiere el mismo flujo de consentimiento que la publicidad — incluso cuando una huella digital calculada originalmente para puntuación de fraude se reutiliza después para atribución de anuncios.
Qué significa esto para los banners de consentimiento de cookies
La consecuencia práctica es que los banners de consentimiento de cookies — lo que la mayoría de los usuarios ahora asocian con "cumplimiento de privacidad" — no hacen nada contra el rastreo basado en huellas digitales. Un sitio puede tener un banner de cookies totalmente conforme, rechazar todas las cookies no esenciales por defecto, y seguir tomando la huella digital de cada visitante mediante señales de canvas y audio que el banner nunca menciona, porque todo el marco legal y técnico del banner es específico de las cookies.
El propio intento de reemplazo de Google — las APIs de Privacy Sandbox (Topics API para publicidad basada en intereses, Protected Audience para remarketing, Attribution Reporting para medición de conversiones) — es un intento genuino de una alternativa sin huellas digitales, construida alrededor de computación agregada y en el dispositivo en lugar de recopilación de señales en bruto. La adopción ha sido lenta y disputada por empresas de adtech que argumentan que favorece el propio negocio publicitario de Google, y en cualquier caso solo se aplica dentro de Chrome — no hace nada por los usuarios de Safari o Firefox, y no hace nada sobre usos de huella digital no publicitarios como la puntuación de fraude.
Qué hacer realmente al respecto
Si administras un sitio web: entiende qué recopilan realmente tus proveedores de análisis, prevención de fraude y adtech. "No usamos cookies de rastreo" no es la misma afirmación que "no tomamos huellas digitales", y los reguladores esperan cada vez más que puedas responder a ambas. Si la documentación de un proveedor no aborda explícitamente la huella digital de canvas, WebGL o audio, pregúntale directamente — la guía de la CNIL de 2020 significa que la respuesta tiene peso legal en la UE sin importar lo que diga tu banner de cookies.
Si eres un desarrollador que construye herramientas antifraude, divulga explícitamente a los usuarios las señales basadas en huellas digitales en lugar de confiar en un banner de cookies genérico para cubrirlo — la brecha entre el enmarcado de "prevención de fraude" y la reutilización real de la misma señal para rastreo publicitario es exactamente hacia donde se dirige la aplicación de la ley.
Si eres un usuario consciente de la privacidad, los ajustes de cookies por sí solos no te protegen. El "farbling" de Brave (aleatorizar las salidas de API relevantes para la huella digital en cada sitio) y el letterboxing y la aleatorización de canvas de Tor Browser son las únicas contramedidas consistentes disponibles actualmente, porque no existe un interruptor de consentimiento para una técnica que, para empezar, no requiere tu permiso.