Es identificarlo sin necesidad de cookies, mediante el fingerprinting o huella digital del dispositivo.
El email llega un martes por la mañana. La responsable de marketing de un ecommerce de Valencia te escribe con un problema que no sabe nombrar: desde que su asesor legal le obligó a endurecer el banner de cookies, Google Analytics registra un 40 % menos de conversiones atribuidas, su agencia de medios le habla de «pérdida de señal» y nadie le explica qué está pasando realmente con el tracking de su web. Al final del mensaje, la pregunta que va a repetirse en decenas de briefings durante los próximos meses: ¿cómo medimos a nuestros usuarios sin saltarnos la ley?
La respuesta que ha elegido gran parte del sector publicitario no es respetar más la privacidad del usuario. Es identificarlo sin necesidad de cookies, mediante el fingerprinting o huella digital del dispositivo. Y el detonante de esta semana tiene nombre propio: Google ha abierto la puerta a usar device fingerprinting en sus productos publicitarios, cerrando así un giro de guion que empezó en 2020 con la promesa pública de eliminar las cookies de terceros de Chrome. El ensayo «Fingerprints are the new cookies» que documenta toda la cadena lleva varios días en la portada de Hacker News con 475 puntos y cientos de comentarios, señal de que el tema ha cruzado del nicho de privacidad al debate tech general.
Para un freelance tech en España esto no es una curiosidad: es la materia prima de una especialidad con demanda creciente. En este artículo vas a ver qué ha hecho exactamente Google, cómo funciona la técnica por dentro, qué dice el RGPD (y la AEPD) al respecto y cómo convertir todo esto en servicios que tus clientes ya necesitan, aunque todavía no sepan pedirlos por su nombre.
Los tres actos de Google: de prometer matar las cookies a vender la alternativa
Resumen clave: Preguntas frecuentes sobre fingerprinting y el fin de las cookies ¿Qué es exactamente el fingerprinting de navegador? ¿Qué navegador me protege mejor del fingerprinting? ¿Sustituye el fingerprinting al banner de cookies?
Para entender por qué el fingerprinting se ha convertido en el tema de la semana conviene repasar la cronología, porque el cambio no ha sido repentino sino una retirada gradual envuelta en lenguaje de privacidad.
Acto I, Presión (2019-2020)
Safari y Firefox ya bloqueaban las cookies de terceros por defecto y la imagen pública de la publicidad online se degradaba. Google, que controla alrededor de dos tercios del mercado de navegadores con Chrome y es a la vez la mayor empresa de publicidad del mundo, prometió solemnemente destruir las cookies de terceros y construir un ecosistema «privacy-first».
Acto II, Distracción (2020-2024)
La alternativa propuesta, Privacy Sandbox (primero FLoC, luego Topics), nunca convenció ni a anunciantes ni a reguladores: adopción bajísima y preocupaciones antimonopolio evidentes. Cinco años después de la promesa original, Google decidió simplemente quedarse con las cookies. Como gesto, prometió enmascarar la dirección IP de los usuarios, con letra pequeña: solo en modo incógnito y autenticado. Y según el análisis publicado esta semana, al final ni siquiera eso llegó completo.
Acto III, Aceleración (2026)
El desenlace: Google anuncia que sus productos publicitarios pueden utilizar device fingerprinting, es decir, identificar dispositivos por sus características hardware y software en lugar de por cookies. La empresa que construyó su discurso de marketing sobre la defensa de la privacidad adopta la técnica que la comunidad de privacidad considera más agresiva, precisamente porque el usuario no puede eliminarla borrando sus datos. Cuando el dueño del navegador y el dueño del exchange publicitario son la misma compañía, la decisión no es un experimento marginal: redefine el estándar de facto del mercado.
Cómo funciona el fingerprinting por dentro (y por qué es tan eficaz)
La huella digital se construye combinando dos fuentes de información que tu navegador entrega en cada visita, sin ningún diálogo de permiso:
- La petición de red: la dirección IP, el header User-Agent (navegador, sistema operativo y versiones) y Accept-Language (idiomas configurados). Son datos genéricos por separado, y la IP además es frágil: cambia con la red móvil, la VPN o el rotador del proveedor.
- El entorno de ejecución: cuando el JavaScript de la página se ejecuta en tu máquina puede medir características del hardware que resultan sorprendentemente estables: comportamiento y proveedor de la GPU, número de hilos de CPU, memoria disponible, resolución y densidad de píxeles de la pantalla, frecuencia de refresco, stack de procesado de audio, fuentes instaladas, extensiones del navegador e información del sistema.
La clave está en la entropía acumulada. Millones de personas usan la última versión de Chrome en español. Muchas tienen un portátil con chip Apple M4. Pero si cruzas navegador exacto + idioma + GPU concreta + resolución y ratio de píxeles + un stack de audio determinado + un conjunto peculiar de fuentes, el grupo se reduce hasta que, estadísticamente, solo quedas tú. Cada atributo añade bits de identificación, y la combinación funciona como una cookie que no vive en tu disco sino en la configuración física de tu equipo.
De ahí la conclusión incómoda que explica el titular del ensayo: las cookies eran, en comparación, un mecanismo honesto. Borrarlas las eliminaba. La huella digital, en cambio, viaja contigo mientras no cambies de dispositivo.
Por qué no puedes borrar tu huella (y qué navegadores lo mitiguan)
Contra el fingerprinting no valen los consejos tradicionales de privacidad. Ni el modo incógnito (que no altera el hardware), ni la VPN (que solo cambia la señal más frágil, la IP), ni borrar datos de navegación. Solo existen dos estrategias técnicas con cierta eficacia demostrada:
- Añadir ruido (farbling): es el enfoque de Brave, que aleatoriza ligeramente algunas lecturas para que tu huella sea inconsistente entre visitas.
- Uniformidad total: hacer que todos los navegadores se vean exactamente iguales. Es el camino de Tor Browser y de Mullvad Browser, el navegador enfocado a privacidad que está ganando reputación en la comunidad.
En el escalón intermedio quedan Safari (especialmente en iOS y macOS 26+, donde Apple ha ido endureciendo sus mitigaciones) y Firefox, que amplían la definición de seguridad hacia la privacidad pero no te protegen por completo del fingerprinting. Y en el extremo opuesto, Chrome y Edge se quedan en el aislamiento clásico: el código de una web no puede tocar los datos de otra web, pero medir tu hardware no está en su lista de prohibiciones. Dicho de otro modo: el navegador que acaba de facilitar el fingerprinting publicitario es, precisamente, el que menos defensas ofrece contra él.
Esta asimetría es la que se traduce en trabajo para ti. Cada empresa con presencia digital en España necesita ahora saber qué scripts de terceros corren en su web, qué miden y con qué base legal, la misma lógica de revisión de accesos legítimos que ya convertimos en especialidad al analizar la filtración del CPR danés.
RGPD y AEPD: el marco legal que convierte el fingerprinting en facturas
Aquí el terreno se vuelve sólido para un freelance que sepa moverse en él, porque la normativa europea es bastante clara respecto a esta técnica:
- La huella digital es un dato personal. El RGPD incluye expresamente los identificadores en línea en la definición de dato personal (artículo 4.1). La doctrina del grupo que hoy es el EDPB ya trató el device fingerprinting en su opinión 06/2014, y las guías posteriores sobre identificadores en línea mantienen el criterio: si la combinación de atributos distingue a un usuario, es un dato personal protegido.
- El acceso a información del equipo requiere consentimiento. La directiva ePrivacy (y su transposición española, la LSSI) exige consentimiento para leer o escribir información en el dispositivo del usuario, con excepciones muy estrictas que no cubren la identificación publicitaria. Un script que mide tu GPU para perfilarte necesita la misma autorización que una cookie de marketing, con la diferencia de que casi ningún banner la pide porque casi ningún CMP la contempla.
- La AEPD lleva años activa en este perímetro. La agencia española ha multiplicado sus actuaciones de oficio contra banners de consentimiento engañosos y prácticas de tracking sin base legal, y la exposición reputacional de una marca señalada por saltarse el consentimiento es cada vez más cara.
La consecuencia práctica: cualquier empresa española que incorpore fingerprinting, o que simplemente arrastre scripts de terceros que lo hagan, algo frecuente en cadenas publicitarias que el propio cliente no audita, está asumiendo un riesgo legal measurable. Y para evaluarlo hace falta alguien que sepa mirar bajo la capa de marketing: inventariar scripts, detectar lecturas de canvas, audio y fuentes, revisar qué transmite cada tag y contrastarlo con lo que declara la política de cookies.
Cómo convertir esto en tu especialidad freelance: servicios y tarifas
La ventaja competitiva real no está en explicar el fingerprinting (esto lo leerán en cualquier medio), sino en empaquetar la respuesta en servicios con precio y alcance cerrados. Cuatro formatos que encajan con el momento actual del mercado:
1. Auditoría de tracking y privacidad web
Entregable: inventario completo de scripts y tags de la web del cliente, detección de técnicas de fingerprinting (lecturas de canvas/WebGL, AudioContext, enumeración de fuentes, fingerprintjs y similares), verificación de coincidencia entre lo que hace cada script y lo que declara el banner, y informe de riesgos con priorización. Es el punto de entrada natural y el que se vende casi solo después de una noticia como la de esta semana. Como referencia de mercado senior, una auditoría de este tipo se mueve con naturalidad en el rango de los 1.500 a los 4.000 euros según tamaño de la web y número de dominios, coherente con tarifas día de 500-700 euros para perfiles con esta especialización.
2. Implementación correcta de Consent Mode y tagging server-side
El problema del ecommerce de Valencia del principio tiene solución técnica: migrar el tageo a un contenedor server-side que respeta las elecciones de consentimiento sin regalar señal, configurar Consent Mode en su versión actual y documentar qué datos salen en cada estado. Es trabajo de ingeniería, no de consultoría, y los perfiles que dominan GTM server-side escasean en España.
3. Hardening anti-fingerprinting para producto propio
Si tu cliente desarrolla una app web que quiere proteger frente al abuso (fraude, scraping, bots), la misma técnica se vuelve defensiva: reducir la superficie fingerprinteable de su producto, revisar qué expone y diseñar las contramedidas adecuadas. Privacy by design en estado puro, la misma familia de decisiones de diseño que tratamos al hablar del cifrado de dos niveles exigido en el Reino Unido, y un terreno donde casi no hay oferta senior.
4. Retainer de cumplimiento continuo
Las webs cambian: cada marketing tag nuevo puede incorporar fingerprinting sin que nadie lo apruebe. Un seguimiento trimestral con informes de diff del inventario de scripts es un ingreso recurrente que se sostiene solo, y te convierte en el referente técnico cuando llega la inspección o la demanda del cliente.
Lo que dicen los datos del mercado español
¿Es esto un nicho real o un tema de portada sin recorrido? Los propios datos de SeniorStack permiten calibrarlo. En los últimos 30 días se han publicado en España 8.351 ofertas tech en el corpus que analizamos, y 505 de ellas (alrededor del 6 %) incluyen «security» o «seguridad» en el propio título: la demanda de seguridad existe y es estructural, no coyuntural.
La foto es aún más elocuente en nuestra página de mercado de Security en remoto en España: a 10 de octubre de 2026 contabiliza 20 ofertas activas para perfiles senior de seguridad en remoto, con Python como skill más demandada (presente en el 15 % de las ofertas), seguida de Amazon Web Services y Microsoft Entra ID (10 % cada una), y con un detalle relevante para quien negocie: el 75 % de esas ofertas ya incluye banda salarial explícita, señal de un segmento donde las empresas compiten abiertamente por captar.
Y aquí está la asimetría que te interesa: en esas mismas 8.351 ofertas de los últimos 30 días, solo 45 mencionan explícitamente RGPD, protección de datos o privacidad. Las empresas españolas están contratando seguridad, pero todavía no saben pedir privacidad web como competencia diferenciada. Ese hueco entre el riesgo legal real (que crece con cada adopción del fingerprinting) y la demanda explícita (todavía embrionaria) es exactamente donde un freelance puede posicionarse antes de que la especialidad se comoditice: no como un genérico «experto en ciberseguridad», sino como la persona que audita y blinda el tracking de sitios con tráfico español.
Preguntas frecuentes sobre fingerprinting y el fin de las cookies
¿Qué es exactamente el fingerprinting de navegador?
Es la identificación de un dispositivo combinando características de su hardware y software (GPU, CPU, memoria, pantalla, fuentes, audio, idiomas) que el navegador expone al ejecutar código de la página. La combinación de atributos es lo bastante única como para funcionar como identificador persistente, sin cookies ni almacenamiento local.
¿Es legal el fingerprinting en España y en la UE?
No hay una prohibición nominal de la técnica, pero su uso publicitario choca frontalmente con el marco vigente: la huella digital es un dato personal según el RGPD y el acceso a información del dispositivo para fines de marketing requiere consentimiento previo según ePrivacy y su transposición española. Usarla a través de scripts de terceros sin informar ni recabar consentimiento expone a la empresa responsable de la web a sanciones.
¿Cómo sé si una web está aplicando fingerprinting?
Las señales técnicas típicas son scripts que leen canvas y WebGL, que consultan AudioContext, que enumeran fuentes y extensiones, o librerías conocidas de fingerprinting comercial. Una auditoría con las herramientas adecuadas (análisis de red, revisión de tags, trampas de honeypot de atributos) permite documentarlo con evidencias.
¿Qué navegador me protege mejor del fingerprinting?
Tor Browser y Mullvad Browser, que adoptan la estrategia de uniformidad (todos los usuarios parecen idénticos), seguidos de Brave, que usa farbling (ruido aleatorio). Safari en iOS/macOS y Firefox aplican mitigaciones parciales. Chrome y Edge, los dos mayoritarios, no incluyen defensas específicas contra fingerprinting.
¿Sustituye el fingerprinting al banner de cookies?
No jurídicamente: el consentimiento sigue siendo necesario para leer información del dispositivo con fines de marketing. Lo que ocurre es que técnicamente permite identificar sin cookies, así que el incumplimiento se vuelve más difícil de detectar para el usuario y más necesario de auditar para la empresa. El banner no desaparece; lo que se auditaba con él queda corto.
¿Cuánto puede cobrar un freelance por estos servicios?
Siguiendo las referencias del mercado senior en España, una auditoría de tracking completa parte de unos 1.500-4.000 euros según alcance; las implementaciones de tagging server-side y Consent Mode se presupuestan por proyecto en función del número de dominios y tags; y los retainers trimestrales de cumplimiento se facturan habitualmente como cuota fija mensual reducida. Los datos de SeniorStack muestran además que en el segmento de seguridad el 75 % de las ofertas activas ya publica banda salarial, lo que facilita anclar precios por encima de la media.
La paradoja final (y tu movimiento)
Hay una ironía digna de nota en todo este asunto: la técnica que elimina la necesidad de pedir permiso al usuario es también la que más permiso necesitaría. Cada punto de entropía que un script extrae de tu GPU es un dato personal en sentido del RGPD, y cada empresa que lo incorpora a su stack publicitario está comprando un pasaje a un perímetro regulatorio que la AEPD vigila con lupa creciente.
Como freelance, tu ventana de oportunidad está en el desfase: la técnica ya se despliega en producción, los clientes ya sufren sus consecuencias (pérdida de señal, banners que no cuadran con lo que hacen los scripts, riesgos heredados de terceros), y la oferta de perfiles que saben auditar y corregir esto es mínima. Dentro de dos años, «auditoría de tracking» será una línea más en cualquier presupuesto de consultora grande. Hoy puedes ser tú quien defina la línea, y quien cobre por ella.
¿Te está sirviendo SeniorStack? Añádenos a tus fuentes preferidas en Google y nos verás destacados en tus resultados y respuestas de IA.