La página web que muestra toda la información que le dio tu navegador
(sinceyouarrived.world)- Esta página muestra ubicación, dispositivo, navegador, idioma, GPU, batería, fuentes y preferencias del usuario usando únicamente los datos que el navegador entrega durante los primeros milisegundos tras la visita, sin exploits ni hackeos, y solo con funciones estándar documentadas públicamente
- Envía la dirección IP de todos los encabezados de solicitud a ip-api.com · Free tier · CC-BY-SA para convertirla en una ciudad y el nombre del proveedor de internet; aclara que la consulta no se guarda y que en pantalla solo se muestran algunos octetos, aunque también podrían conocerse los demás
- La huella de fuentes detecta las fuentes instaladas por el ancho del texto renderizado, Electronic Frontier Foundation · Cover Your Tracks ofrece una herramienta para comprobar qué tan único es un navegador, y un estudio de Princeton de 2014 encontró huellas de canvas en el 5% de los 100,000 sitios web principales
- Aunque no se ejecutó en la página, existe la Clipboard API, que puede solicitar leer el último contenido copiado con un solo gesto del usuario; “The Leaking Battery” mostró la posibilidad de rastrear hasta 30 minutos con el nivel y tiempo de descarga de la batería, y también existe una técnica para detectar sitios con sesión iniciada mediante el favicon
- Aclara que solo se enviaron al servidor dos eventos anónimos, llegada y finalización, y que no se guarda nada en
cookies,localStorage,sessionStorage,IndexedDBni en la caché del service worker; al cerrar la pestaña, olvida al visitante
La información que entregó el navegador justo al llegar
- Todas las observaciones de taken. provienen de datos del navegador del visitante durante los primeros milisegundos tras la visita, sin exploits, vulnerabilidades ni hackeos, y usando solo funciones estándar documentadas públicamente
-
Ubicación
- La dirección IP incluida en todos los encabezados de solicitud se envía a ip-api.com · Free tier · CC-BY-SA para convertirla en una ciudad y el nombre del proveedor de internet
- La consulta es temporal y no se guarda en ninguno de los dos lados; en pantalla solo se muestran el primer y último octeto de la IP, pero se aclara que también pueden conocerse los demás
- En el GDPR, una dirección IP puede considerarse dato personal cuando se usa para rastreo, y taken. no rastrea, conserva ni registra
-
API del navegador
- Las observaciones del dispositivo como pantalla, navegador, idioma, GPU, número de núcleos, batería, fuentes y preferencias del usuario se obtienen mediante APIs estándar de JavaScript documentadas públicamente en MDN Web Docs · Mozilla · CC-BY-SA 2.5
- Es un comportamiento posible por diseño del navegador, lo que lleva a la conclusión de que “el problema es el diseño”
-
Huellas de fuentes y canvas
- La técnica de huella de fuentes, que detecta fuentes instaladas por el ancho del texto renderizado, está documentada desde 2010, y Electronic Frontier Foundation · Cover Your Tracks ofrece una herramienta para verificar qué tan único es un navegador
- La mayoría de los navegadores son lo bastante únicos como para ser rastreados en la web abierta incluso sin cookies, y la combinación de fuentes es una de las señales más fuertes
- Un estudio de 2014 de Princeton University · Web Transparency & Accountability Project documentó por primera vez la huella de canvas en la web real y la encontró en el 5% de los 100,000 sitios web principales
- La huella de canvas funciona haciendo que el navegador del visitante dibuje una imagen oculta y luego leyendo de vuelta los píxeles renderizados como identificador; taken. no ejecutó esa técnica, pero el navegador sí la soporta
-
Portapapeles y batería
- Según MDN · Clipboard API specification, con un solo gesto del usuario, como un clic o un toque, una página puede solicitar leer el último contenido copiado
- Ese último contenido copiado puede ser una contraseña, una dirección o un borrador de mensaje; taken. no lo solicitó, pero la función existe en los navegadores modernos
- El artículo de 2015 “The Leaking Battery”, de Olejnik, Englehardt y Narayanan, mostró que solo con la combinación del nivel de batería y el tiempo de descarga era posible rastrear a un visitante en varios sitios web durante hasta 30 minutos sin cookies ni cuentas
- Firefox eliminó esa API en 2016, pero Chrome y Edge todavía la exponen
Técnicas que no ejecutó y datos que no dejó
-
Detección de sitios con sesión iniciada
- Aunque taken. no la ejecutó, existe una técnica documentada, legal y ampliamente distribuida que hace que el navegador cargue la URL del favicon de un servicio específico y observa el éxito o fracaso para detectar en qué sitios hay una sesión iniciada
- Aprovecha la diferencia entre las imágenes devueltas en estado conectado y desconectado, y permite saber sin permiso si hay inicio de sesión en servicios como Facebook, Google, X, GitHub, Reddit y LinkedIn, entre otros
-
El código de barras calculado dentro del navegador
- Las 16 líneas que se muestran debajo del contador están compuestas por alturas derivadas de la GPU, fuentes, tamaño de pantalla, idioma, zona horaria, sistema operativo, navegador y profundidad de color
- Los mismos datos producen el mismo código de barras, distintos visitantes ven códigos distintos, y el cálculo ocurre solo dentro del navegador y no se transmite
- Si hubiera otra persona con exactamente la misma huella, vería las mismas barras, pero esa posibilidad es baja
-
Cómo se generan las frases
- Todas las frases fueron escritas directamente por Matt, y en tiempo de ejecución ningún modelo de lenguaje las escribe ni las corrige
- El código elige una de varias plantillas de frases ya escritas según los valores devueltos por el navegador, y si se encuentra con una condición que no puede tratarse con frases escritas por una persona, está hecho para no decir nada
-
Lo que se envió al servidor
- Los únicos eventos enviados al servidor fueron dos eventos anónimos, llegada y finalización; no hay cookies, identificadores ni IP almacenadas
- El servidor descarta el cuerpo de cada solicitud y no devuelve nada; el registro a nivel de transporte de que hubo una solicitud puede quedar en los logs durante el período de retención predeterminado del proveedor de hosting, normalmente unos pocos días
- La mayoría de los sitios envían cientos de beacons adicionales a anunciantes, recolectores de huellas, herramientas de session replay y gestores de etiquetas, pero taken. solo envía dos a su propio servidor y lo avisa
-
Lo que guardó en el dispositivo
- No guarda nada en
cookies,localStorage,sessionStorage,IndexedDBni en la caché del service worker - Los datos mostrados en pantalla se calcularon dentro del navegador y, salvo la consulta de geolocalización por IP y los dos eventos anónimos, no salen del dispositivo
- Al cerrar la pestaña, taken. olvida al visitante, y junto con la publicación del código fuente concluye que “la mayoría de las páginas no pueden decir eso”
- No guarda nada en
-
Contexto de la serie y creación
- El Vol. I trata de lo que ocurrió en el mundo mientras el visitante permanecía allí, el Vol. II de los cielos que se perdió, el Vol. III de lo que ya estaba bajo sus pies y el Vol. IV se va estrechando gradualmente hasta llegar al propio visitante
- La página fue creada por Matt en Rise Up Labs, y las ediciones posteriores se publicarán en X y Bluesky
2 comentarios
Opiniones en Lobste.rs
No sé si es que me he vuelto cínico con la edad, pero no hay nada significativamente nuevo en lo que se muestra aquí. Incluso el meme de “hot singles in your area” ya debe tener casi 20 años.
Uno puede preguntarse qué información debería exponer el navegador, pero parte de ella se usa para fingerprinting y al mismo tiempo también es necesaria para funciones básicas. Por ejemplo, está bien que un sitio web sepa que prefiero el modo oscuro, y también es útil que la fecha y la hora se muestren según mi zona horaria.
Este sitio se parece más a una presentación sensacionalista del fingerprinting que a una fuente de información realmente útil, y si te preocupa el fingerprinting, https://coveryourtracks.eff.org de la EFF es un recurso mucho mejor.
Considero importante la privacidad y tomo medidas para reducir algo el rastreo, pero no creo mucho que limitar el fingerprinting realmente ayude. Para eliminar la huella habría que volver la experiencia de navegación extremadamente incómoda, y cualquier punto intermedio probablemente termine creando una huella todavía más única.
Y muchas de las cosas que se rastrean aquí son demasiado comunes. Si todos usan las mismas fuentes, prefieren el tema claro y viven en la misma región, ¿cómo vas a construir un perfil que distinga a cada quien de forma tan única?
Es una demo hermosa y me gusta cómo el efecto de animación va revelando la información con el tiempo. Pero el análisis y el texto me parecen demasiado basados en lo emocional para mi gusto.
Por ejemplo, mucha de la información que esta página dice haber “entendido” sobre el navegador son valores que Firefox reporta de forma fija, sin relación con el estado real del dispositivo. Un rastreador de huellas no notará la diferencia, pero Firefox prefiere consistencia frente a datos específicos del dispositivo como la cantidad de CPU o la resolución de pantalla.
En Firefox, esta página dice que la información de mi GPU fue “ocultada” por el navegador y al mismo tiempo también dice que el navegador entregó información de la GPU. ¿Entonces qué, pura vibra?
Aparte, cuando uno ve en otras páginas qué tan rastreable es, normalmente intentan medir la entropía o ver qué tan único eres, pero ese enfoque también tiene fallas. Algunos navegadores añaden aleatoriedad a APIs que deberían ser más detalladas que simplemente “cuántos CPU tienes”.
Por ejemplo, Firefox siempre puede parecer único ante rastreadores de huellas por canvas, lo que se ve aterrador, pero en realidad termina teniendo una huella única distinta cada vez. Puedes comprobarlo abriendo la página de prueba de fingerprinting en modo normal y en modo privado, o en contenedores distintos.
Jaja, sí, correcto.
En los primeros días de internet había anuncios tipo banner que decían cosas como “¡¡¡Tu computadora está transmitiendo su dirección IP!!!”. Este sitio me recuerda mucho a esa época, y también a esa idea de que es peligrosísimo de una forma vaga y difícil de explicar que un sitio web conozca algo sobre el dispositivo o la conexión que uso.
Si salgo a la calle, la gente puede ver mi cara. Si entro a una tienda, otros clientes pueden ver qué estantes estoy mirando. Si compro una caja de huevos, la tienda dejará un registro de venta con marca de tiempo, y si alguien estuviera anotando quién entra y sale de la tienda, también podría enterarse de que compré huevos encontrando el recibo en la basura.
Puedes sentir terror por las horribles invasiones de privacidad que pasan todo el tiempo, cerrar las persianas y encerrarte en casa interactuando con el mundo solo mediante Monero comprado vía Tor, o puedes aceptar que esto ha sido parte de la vida desde que existe la humanidad, y que no pasa gran cosa porque un sitio sepa tu zona horaria local o el CPU de tu computadora.
Y decir “así es la vida, acéptalo o vete a vivir al bosque” no me parece una buena forma de resolver ningún problema de este mundo.
Pero imagina que, en vez de solo mirarte de reojo, todas se acercaran a hacer un boceto de tu cara, mirar su reloj y anotar la hora, apuntar la ropa que llevas y tu ubicación. Incluso podrían preguntarte adónde vas. En el mundo hacia el que vamos rápidamente, quizá hasta hagan copias de una identificación emitida por el gobierno.
Después de que pasas, esas cientos de personas llevan sus notas a un gran edificio lleno de millones de empleados de grandes corporaciones y gobiernos, donde clasifican meticulosamente bocetos y registros de todas las personas de la ciudad. Como detectives de una serie policial, los pegan en un tablero enorme y los conectan con hilo rojo.
Hacen esto todos los días, impulsados por el deseo de conocerme. ¿De verdad es algo tan vago y difícil de explicar?
“Lo primero que envió tu dispositivo fue su dirección IP, por eso lo sabemos. También sabemos lo demás. Elegimos no mostrarlo. La mayoría de las páginas no habría tomado esa decisión.”
Ese primer párrafo me molesta un poco y se siente como marketing del miedo dirigido a gente con poco conocimiento técnico. Es obvio que un servidor web conoce mi IP.
La frase “Elegimos no mostrarlo. La mayoría de las páginas no habría tomado esa decisión” también me parece rara. No entiendo por qué sería un problema mostrarme mi dirección IP, y tampoco creo que “la mayoría de las páginas” realmente elija hacerlo. Tal vez no entendí el punto que querían dar.
“Tu dirección IP — 88.xxx.xxx.231 — fue lo primero que envió tu dispositivo. También sabemos lo demás. Elegimos no mostrarlo. La mayoría de las páginas no habría tomado esa decisión.”
Empezar con una frase tan torpe y tipo InfoWars es una decisión atrevida. A mí me bajó de inmediato la confianza en el resto de la página; de hecho, quizás habría que decir que “marcó el tono”, porque el resto me pareció igual de malo.
Este artículo parece necesitar un título mucho más explicativo.
“La pantalla es de 375×812 píxeles y renderiza con densidad 3x. Eso casi con certeza significa que es una pantalla de gama alta reciente.”
Pues no sé, este iPhone 13 mini salió en 2021 y ya tiene casi 5 años, así que no lo vería tan reciente. Aun así, la página en sí está interesante.
“Prefieres una interfaz clara — tu sistema operativo nos lo dijo.”
Y aun así este sitio ignora mi preferencia. Muestra que los sitios web normalmente no usan estos datos para mejorar la experiencia de usuario.
Debe ser duro usar Chrome.
Ahora mismo estoy usando una conexión 5G en Múnich, pero el sitio cree que estoy en Londres.
Comentarios de Hacker News
Ni siquiera estoy en esa ciudad. Si lo ves de forma amplia, apenas uso algo parecido a Chrome sobre algo parecido a Linux, y nadie puede deducir cuándo trabajo y cuándo duermo. Ni yo lo sé.
Ese supuesto display premium moderno en realidad es la pantalla de una tablet barata que compré en un supermercado hace 5 años, y aun así la toma de huella del navegador molesta. Si pueden detectar el modo claro, ¿no podrían respetar también esa configuración?
Dice “English · Chinese” y que el idioma principal del navegador y los idiomas adicionales revelan dónde creciste, dónde vives e incluso con quién vives, pero tener inglés y chino como idiomas de entrada no revela eso. Es como decir que “el hecho de navegar por internet desde un teléfono revela que eres una persona capaz de acceder a internet desde un teléfono”. La tecnología interactúa entre sí, así es como funciona la tecnología. Es orwelliano, pero otra cosa es si es más orwelliano que los Estados de vigilancia como Rusia/China/Corea del Norte. Compartir ubicación puede servir para encontrar teléfonos, autos y dispositivos, la actividad en línea puede servir para encontrar criminales, y también para registrar delitos o incidentes donde haya que exigir responsabilidades a la policía. Ver la intrusión excesiva de la tecnología como un desastre es una elección cognitiva, pero está bien ser conscientes de lo que nuestra tecnología “sabe” sobre nosotros
Lo del modo claro me representa totalmente. Tengo treinta y tantos, pero algunos de estos sitios en modo oscuro me hacen sentir como si tuviera más de 80. En este sitio de verdad no se ve nada
Ojalá los defensores de la privacidad hablaran de manera normal хотя sea una vez. Tratar de presentar como algo malvado que el navegador tenga acceso a la zona horaria no va a convencer a nadie
El punto no es si la información es correcta o no. El punto es que puede servir para identificarme sin cookies. Buscando un sitio mejor, me pareció útil el de la EFF.
Me salió que mi huella del navegador es única entre los visitantes de los últimos 45 días: https://coveryourtracks.eff.org/
Si visitas sin JavaScript, dice: “Si JavaScript está desactivado, la página no puede decirte qué reveló tu navegador. Los datos siguen ahí. La divulgación sigue ocurriendo. Lo único que se detiene es que te lo diga.”
Este tono exagerado de LLM me resulta muy irritante, pero al menos agradezco que me dé una señal clara de que puedo ignorarlo por completo
No sé si será porque estoy viejo o porque llevo casi 30 años trabajando con software de internet, pero nada de esto me parece sorprendente ni alarmante.
Alguien levanta un servidor que acepta conexiones, y alguien envía una solicitud de conexión a ese servidor. No hubo ningún acuerdo, y no se fijaron expectativas ni reglas. El servidor no está obligado a aceptar todas las solicitudes de conexión, ni nadie está obligado a enviarle solicitudes. Lo que el servidor devuelve y cómo el cliente procesa eso depende de cada uno.
Siento que ese acuerdo, o esa ausencia de acuerdo, aplica a ambos lados. No creo que el usuario deba enojarse porque un sitio use la información de la solicitud como quiera, pero tampoco el sitio debería enojarse porque yo procese los datos recibidos como quiera. Es decir, el sitio puede recordar mi IP y los detalles de la solicitud tanto como quiera, y yo puedo hacer lo que quiera con la respuesta: bloquear anuncios, rechazar solicitudes posteriores indicadas por el sitio, o mostrar la respuesta como me dé la gana. Yo pedí los datos, y ellos enviaron los datos.
Si hay información sobre mí que no quiero revelar, no debería enviarla en la solicitud. Si quieren que yo entregue datos solo cuando me muestren anuncios, deberían hacerme aceptar eso antes de que se envíen los datos. Claro, en la práctica la mayoría no sabe qué hace su navegador, tampoco tiene muchas opciones reales sobre lo que envía, y el internet ya no es algo opcional en la vida. Además, por cosas como los DDoS, una estructura totalmente de “todo vale” tampoco es realista. Aun así, tengo la intuición de que no deberíamos esperar demasiado de ninguna de las dos partes cuando hacemos una solicitud en internet
En la realidad, el navegador es agente de alguien más. Trabaja para los desarrolladores web, dándoles toda clase de cosas que les facilitan la vida. Trabaja para los anunciantes, dándoles pistas de rastreo y huellas digitales. Trabaja para los desarrolladores del navegador, reuniendo métricas, telemetría y quién sabe qué otros datos. Pero ya no trabaja realmente para mí. Yo solo soy un pasajero dentro del auto.
Entiendo que la dirección IP no es algo que el navegador pueda controlar y que, para conectarse a un sitio, inevitablemente tiene que revelarse. Pero que en el estado predeterminado, sin VPN, una IP pueda mapearse de forma confiable a un país, estado/provincia y a veces hasta ciudad, es una falla de diseño espantosa. Es un gran problema de diseño en cómo se asignan las IP. En un mundo mejor, la dirección IP por sí sola no debería revelar la ubicación geográfica de alguien
Que el cliente envíe encabezados de idioma o una lista de fuentes soportadas no significaba que el servidor pudiera “hacer con estos datos lo que quiera”. Cuando hicimos los estándares, había razones reales para eso. Que los proveedores de sitios web, y más específicamente las redes publicitarias, decidieran usar estas cosas para otros fines es romper ese acuerdo implícito. Claro, quizá yo estoy esperando demasiado
Sí supo cuánta batería le quedaba a mi teléfono y acertó en sus inferencias sobre el dispositivo. Leyó correctamente el giroscopio y la interacción con la pantalla táctil, y mostró cómo esas cosas pueden usarse para identificación e inferencia. Incluso puede inferir si estás sentado, de pie o acostado. Al principio va lento, pero más adelante se pone interesante
El enfoque de que nadie le debe nada a nadie funcionaba bastante bien en el pasado, cuando más o menos se asumía que la mayoría actuaba de buena fe. Pero una vez que el dinero y el poder de internet se volvieron reales, la relación se volvió más adversarial. Los supuestos de confianza y la ausencia de responsabilidad facilitan que una parte explote la buena fe de la otra. Y por el desequilibrio técnico y de poder inherente a la estructura servidor-cliente de la web, ese abuso también tiende a fluir en una sola dirección
El sitio es bonito y el texto exagerado es divertido, pero hay demos de huella digital mucho mejores.
La cantidad de puntos de datos que muestra aquí es pequeña. Hay muchas más cosas que se pueden comprobar, y varias parecen estar mal. Solo detectó explícitamente una cosa como “withheld”, pero en realidad parece que hay varias ocultas y eso distorsiona la salida. Necesita control de calidad
Se siente como si hubieran hecho vibe coding de EFF Cover Your Tracks. Que esto haya llegado a la portada da más miedo que el contenido en sí
Aquí se puede ver mucho más. También hay bastante trabajo previo sobre supercookies y huella digital.
https://coveryourtracks.eff.org/
https://amiunique.org/
Vaya, parece que alguien que usa ChatGPT descubrió el concepto de encabezados del navegador y luego le puso frases raras como “decidimos no decírtelo”.
Si de verdad quieres saber qué envía tu navegador, mira aquí:
https://browserleaks.com/
https://coveryourtracks.eff.org/
“No pedimos tu ubicación. Tu dirección llegó antes que tú” es una tontería. Si buscaron mi ubicación en una API/servicio de geolocalización usando mi dirección IP como clave, entonces sí pidieron mi ubicación.
Y para que funcione la comunicación por internet, la IP es casi indispensable. Hay formas de usar servicios que la ocultan, pero entonces ese servicio pasa a tener mi información
Si tienes un diccionario, no necesitas preguntarle a tu interlocutor el significado de una palabra; puedes buscarla en el diccionario. Una palabra puede tener varios significados o ser coloquial, así que puedes inferir mal. Para corregir esa inexactitud podrías necesitar otros puntos de datos, como el contexto de la conversación, o pedirle confirmación directamente a la otra persona
Y claro que la dirección llega antes. Si no, no tendrían cómo devolverte los datos que pediste