Estado de la privacidad de los navegadores en 2026: fingerprinting, aislamiento, endurecimiento

Tabla de contenidos

• Por qué la privacidad del navegador importa en 2026
• Los cuatro frentes del tracking de navegador
• Estado del arte del fingerprinting en 2026
• Modo de aislamiento, cuatro años después
• Navegadores orientados a privacidad comparados
• Panorama DNS-over-HTTPS y DNS-over-TLS
• Metodología de auditoría de extensiones
• Ganchos de privacidad a nivel SO
• Qué cambió en los motores de navegador en 2026
• Defensas comparadas: qué capa frena qué
• Nuestras recomendaciones para 2026
• Metodología y fuentes

¿Cuál es la mayor amenaza para la privacidad del navegador en 2026?

El fingerprinting — no las cookies — es la amenaza de seguimiento dominante en 2026. La investigación publicada sobre fingerprinting (EFF «How Unique Is Your Web Browser?» / Cover Your Tracks) encuentra que canvas, WebGL y AudioContext aportan cada uno del orden de 10 bits de entropía o más. Combinados, estos tres vectores hacen que la gran mayoría de los navegadores de escritorio sean identificables de forma única antes de añadir señales pasivas. Las cookies de terceros están en gran medida resueltas por Safari, Firefox y Brave; las huellas derivadas del dispositivo, no.

Por qué la privacidad del navegador importa en 2026

Los navegadores son la superficie más expuesta de un dispositivo moderno. Ejecutan código no verificado proveniente de cientos de orígenes por sesión, custodian la mayoría de los tokens de identidad del usuario, y se convierten cada vez más en el cliente universal para aplicaciones que antes se instalaban nativas. Una página mainstream típica hoy carga JavaScript desde numerosos dominios de terceros y subdominios first-party — un número que no ha dejado de crecer en los últimos años, como documentan los conjuntos de datos públicos de transparencia web como HTTP Archive. La superficie de ataque sigue creciendo.

Dos desplazamientos en los últimos 18 meses reformularon el modelo de amenaza. Primero, la transición post-cookie forzó a los trackers a consolidarse alrededor de señales derivadas del dispositivo en lugar de las derivadas del almacenamiento. Las cookies siempre fueron fáciles de borrar; los hashes canvas no. Segundo, la demanda de datos conductuales para entrenar modelos ha crecido, lo que plausiblemente eleva el valor de reventa de la telemetría de navegador fina — aunque no tenemos cifras first-party para cuantificar la magnitud de ese cambio.

El efecto combinado es simple. El valor defensivo subió por la pila: ya no basta con borrar cookies y activar Do Not Track. La batalla actual se libra en las capas de renderizado, red y SO.

Este informe establece una referencia. Cataloga los cuatro frentes de tracking principales, el estado de la investigación en fingerprinting a mediados de 2026, la evolución del modo de aislamiento de Apple desde iOS 16, el posicionamiento realista de cada navegador orientado a privacidad aún mantenido activamente, el ecosistema DNS cifrado, el paisaje de extensiones después de Manifest V3, y los ganchos a nivel SO que conviene tocar en macOS, Linux y Windows. Cada afirmación se apoya en investigación publicada o documentación de proveedores, y la sección de metodología explica de dónde proviene cada cifra.

Los cuatro frentes del tracking de navegador

Hay cuatro frentes en gran medida independientes. Un modelo de amenaza serio tiene que considerar los cuatro; ignorar cualquiera de ellos suele hacer colapsar a los otros.

Frente 1 — Tracking por almacenamiento. Cookies, localStorage, IndexedDB, service workers, Cache API. La capa más antigua. Los navegadores modernos particionan la mayoría del almacenamiento por origen top-frame, por lo que la era del cookie de tercera parte está efectivamente terminada en Safari, Firefox y Brave. El Privacy Sandbox de Chrome reemplazó las cookies de terceros con Topics y Protected Audience APIs en 2024, con recepción mixta. El tracking por almacenamiento todavía es útil para analítica first-party, pero ya no permite ensamblar perfiles cross-site como en 2018.

Frente 2 — Fingerprinting. Todo lo pasivo, derivado del dispositivo y la pila de renderizado: User-Agent, tamaño de pantalla, fuentes, canvas, WebGL, audio context, hardware concurrency, device memory, batería, sensores, y la nueva frontera de entropía del timing de shaders GPU. El fingerprinting no requiere almacenamiento ni consentimiento del usuario. Es el método dominante de tracking en 2026 para cualquiera que se tome en serio la persistencia de identidad.

Frente 3 — Identidad de red. Dirección IP, fingerprint TLS (JA3, JA4), patrones de SETTINGS frames HTTP/2, IDs de conexión QUIC, y patrones de consultas DNS. Incluso con una VPN, el handshake TLS puede revelar el navegador y la versión exactos. Incluso con un DNS orientado a privacidad, el SNI en el ClientHello es visible para el operador de red salvo que Encrypted ClientHello (ECH) esté en uso.

Frente 4 — Sensores y canales laterales. Micrófono, cámara, geolocalización, giroscopio, acelerómetro, luz ambiente, y cada vez más las APIs WebHID y WebUSB. La mayoría de usuarios se encuentran con prompts de permiso explícitos aquí, pero los sensores ambientales en móvil fugan datos pasivamente y han sido usados en ataques publicados para derrotar la inyección de ruido anti-fingerprinting.

Cada frente necesita su propia mitigación. Una VPN cubre partes del frente 3 pero nada del frente 2. Un navegador orientado a privacidad cubre partes de los frentes 1 y 2 pero solo mejora marginalmente el frente 3. El modo de aislamiento es una de las pocas funciones que toca a la vez los frentes 2 y 4.

Estado del arte del fingerprinting en 2026

Seis vectores cargan con la mayor parte de la entropía en 2026. Los listamos en orden decreciente de densidad de información, basándonos en la investigación publicada sobre fingerprinting (EFF «How Unique Is Your Web Browser?» y el proyecto Cover Your Tracks) y no en mediciones propias.

El fingerprinting canvas sigue siendo el vector único de mayor entropía — la investigación publicada lo sitúa del orden de 16 bits en promedio. Renderizar un glifo complejo con antialiasing subpíxel produce hashes que varían con el driver GPU, la versión del SO, el subset de fuentes y el perfil de color. La novedad 2026 es que los navegadores ahora exponen suficientes capacidades WebGPU para que, incluso cuando el canvas 2D está randomizado, el canvas 3D pueda ser consultado con el mismo fin.

El fingerprinting WebGL sigue de cerca, del orden de 14 bits. La extensión WEBGL_debug_renderer_info expone las cadenas de vendor y renderer sin enmascarar en todos los navegadores de escritorio salvo Brave Shields en modo estricto y Tor Browser. Incluso con esa extensión bloqueada, las consultas de parámetros sobre MAX_TEXTURE_SIZE, ALIASED_LINE_WIDTH_RANGE y la lista de extensiones soportadas pueden reconstruir el modelo de GPU con alta fiabilidad.

El fingerprinting audio vía OfflineAudioContext arroja del orden de 11 a 12 bits en la investigación publicada. Una pasada corta de oscilador a través de un compresor dinámico produce valores de buffer que dependen del subsistema de audio y la implementación flotante del hardware. El vector se conoce desde 2016 y permanece estable entre versiones de navegador porque modificarlo rompería el pipeline de audio.

La enumeración de fuentes es la sorpresa de 2026. La enumeración directa fue obsoleta, pero la detección indirecta a través del renderizado CSS de un conjunto de glifos conocido aún discrimina un número de bits considerable. La Local Fonts API, detrás de un prompt de permiso, fuga una gran cantidad de entropía si se concede — razón por la cual ningún navegador orientado a privacidad la expone.

Hardware concurrency y device memory dan juntos unos pocos bits. Los valores son gruesos (navigator.hardwareConcurrency está redondeado, deviceMemory devuelve uno de cinco buckets), pero combinados con resolución de pantalla y pixel ratio reducen significativamente la cohorte.

User-Agent Client Hints es la solución post-User-Agent que Chrome impulsó en 2022 y que ahora se estabilizó. Los hints de alta entropía (versión completa, arquitectura, modelo) están detrás de una solicitud del servidor, pero fugan tan pronto como el servidor pide — lo cual hace la mayoría de los sitios.

Dos vectores emergentes merecen señalarse. El timing de shaders GPU explota diferencias de microbenchmarks entre familias de GPU, con trabajos académicos recientes que reportan entropía adicional no bloqueada por las heurísticas anti-fingerprinting actuales. El fingerprinting a nivel TLS (JA4) opera bajo el navegador y es invisible para las extensiones; discrimina navegadores, versiones y plataformas con una precisión extremadamente alta.

El paisaje defensivo se divide en dos estrategias. El enfoque de randomización (Brave, LibreWolf) inyecta ruido por sesión en las salidas de canvas, audio y WebGL. Funciona para sesiones individuales pero es frágil en visitas largas si la semilla de randomización fuga. El enfoque de uniformidad (Tor Browser, Mullvad Browser) intenta que cada usuario produzca el mismo fingerprint. Solo funciona si aceptás las restricciones: tamaño de ventana fijo, conjunto de fuentes fijo, compromisos JIT, y sin extensiones. No hay tercera vía.

Modo de aislamiento, cuatro años después

Apple lanzó el modo de aislamiento con iOS 16 en 2022, dirigido a periodistas, activistas y personas que enfrentan adversarios a nivel estatal. Cuatro años después la función es más ambiciosa, más usable, y silenciosamente está disponible también en macOS e iPadOS. Los compromisos originales de Safari que documentamos en nuestro análisis anterior sobre la desactivación de JIT en iOS 16 siguen vigentes, pero la huella de la función se expandió sustancialmente.

El conjunto de funciones de 2022 cubría Safari (JIT desactivado, varias APIs bloqueadas), Mensajes (vistas previas de enlaces desactivadas, la mayoría de tipos de adjuntos bloqueados), conexiones por cable (requerían desbloqueo para conectarse) y perfiles de configuración (bloqueados para instalación). El conjunto de funciones de 2026 añade: verificación del volumen de sistema firmado en macOS, atestación completa de condiciones de red en iPadOS, aplicación de transparencia de certificados a nivel SO, una pila WiFi endurecida que rechaza WPA2 bajo ciertas condiciones, y restricciones más estrictas para el emparejamiento Bluetooth.

Para el navegador específicamente, la configuración JIT-off maduró. JavaScript es notablemente más lento porque JavaScriptCore recurre a su ruta de intérprete, pero la lista de sitios rotos se redujo con el tiempo. La mayor mejora vino de los fallbacks de WebAssembly: Figma, Photopea y la mayoría de las herramientas PDF in-browser ahora despachan rutas JavaScript que se activan cuando WASM no está disponible.

El modo de aislamiento también se volvió copiable. Firefox lanzó un preset "Resist Fingerprinting" en 2024 (privacy.resistFingerprinting = true) que aproxima las protecciones del lado del navegador, aunque sin el paso JIT-off. Mullvad Browser empaqueta los mismos defaults más los parches anti-fingerprinting de Tor Browser. En Android, GrapheneOS introdujo en 2025 sus propias restricciones de sandbox por aplicación que reflejan los objetivos de endurecimiento de macOS.

La evaluación honesta es que el modo de aislamiento es una de las pocas funciones de privacidad de SO mainstream que vale la pena activar para un modelo de amenaza serio. El costo es real (una pequeña parte de los sitios degradados, JavaScript notablemente más lento) pero acotado. Lo recomendamos para cualquier periodista, activista, abogado o persona con exposición a riesgo elevado. No lo recomendamos como default para uso general.

Navegadores orientados a privacidad comparados

Cinco navegadores merecen ser evaluados para privacidad en 2026: Brave, Tor Browser, Mullvad Browser, LibreWolf y Firefox con endurecimiento manual. Los evaluamos sobre siete criterios: superficie de fingerprinting, protección de identidad de red, calidad del bloqueador, rendimiento, ergonomía, cadencia de actualización y soporte de extensiones.

Brave ofrece la mejor experiencia out-of-box para la mayoría de los usuarios. Los Shields bloquean trackers y publicidad por defecto, el fingerprinting está randomizado por sesión por origen, el almacenamiento de terceros está particionado. Usa Chromium bajo el capó, así que el rendimiento está a la par con Chrome. Las compensaciones: la compañía ha tenido controversias de gobernanza, Brave Rewards añade tracking de atención incluso cuando está desactivado (la superficie está, solo inactiva), y algunas APIs Chromium fugan más entropía que los equivalentes Firefox. Para la mayoría, sigue siendo el navegador de privacidad por defecto más fuerte.

Tor Browser es el estándar de oro para identidad de red y anti-fingerprinting estilo uniformidad. Enruta el tráfico a través de tres relés, impone un tamaño de ventana fijo, despacha un conjunto fijo de fuentes y desactiva JIT (JavaScript más lento, mismo compromiso que el modo de aislamiento). Es también el navegador más lento por amplio margen y el más incómodo para navegación diaria. Reservalo para tareas de alta sensibilidad: contacto con fuentes, investigación anónima, regiones censuradas.

Mullvad Browser, lanzado en 2023 en alianza con el Proyecto Tor, es Tor Browser sin Tor. Mismos parches anti-fingerprinting, mismo tamaño de ventana fijo, mismo JIT desactivado, pero usando tu conexión de red regular (o una VPN). Para usuarios que quieren endurecimiento de navegador nivel Tor sin la latencia del onion routing, esta es la mejor opción. Rendimiento aceptable, cadencia de actualización razonable (cada dos a tres semanas) y ergonomía casi idéntica a Firefox.

LibreWolf es una build Firefox endurecida con defaults sensatos: Resist Fingerprinting activado, telemetría desactivada, DNS-over-HTTPS preconfigurado a un resolver que respeta la privacidad, uBlock Origin preinstalado. Es la opción de menor fricción para usuarios de escritorio que quieren un Firefox limpio sin pasar una hora en about:config. La desventaja: el retraso de actualización, típicamente 2 a 5 días detrás de las releases upstream de Firefox, lo que significa una pequeña ventana de exposición durante parches de CVE críticos.

Firefox en sí, con ajuste manual, sigue siendo el navegador orientado a privacidad más flexible. Configurá privacy.resistFingerprinting = true, network.trr.mode = 3 para DNS-over-HTTPS estricto, instalá uBlock Origin completo y NoScript, desactivá telemetría, y te acercás a LibreWolf con los parches más recientes. El costo es el trabajo manual y el riesgo de mala configuración.

No incluimos los forks de Chromium endurecidos como Ungoogled Chromium en la comparación principal porque su cadencia de actualización tiende a retrasarse bastante respecto a las actualizaciones de seguridad upstream de Chromium, lo que los vuelve más riesgosos para uso diario en 2026 — mientras que LibreWolf típicamente solo va unos pocos días detrás de Firefox.

Nuestra matriz de recomendación para la mayoría de los lectores: Brave para navegación diaria, Mullvad Browser para investigación sensible, Tor Browser cuando el anonimato es el objetivo principal, LibreWolf o Firefox con endurecimiento manual para usuarios que prefieren el ecosistema Firefox.

Panorama DNS-over-HTTPS y DNS-over-TLS

DNS es la capa que la mayoría de usuarios saltea, y la primera que un operador de red curioso mira. En 2026, el DNS cifrado finalmente es un tema resuelto: DoH y DoT están desplegados con suficiente amplitud como para que una consulta DNS sin cifrar sea un error de configuración, no un default.

La elección entre DoH y DoT depende de dónde vive el resolver. DoH (RFC 8484) corre sobre el puerto 443 y es indistinguible del tráfico HTTPS regular a nivel de red. Esto lo hace más difícil de bloquear, razón por la cual los navegadores móviles y los dispositivos de consumo lo usan por default. DoT (RFC 7858) corre sobre el puerto 853 y es trivialmente identificable. Para resolvers a nivel infraestructura, DoT es más limpio y más fácil de monitorear; para dispositivos cliente, DoH gana en accesibilidad.

El panorama de resolvers se agrupó en torno a cuatro proveedores serios:

Cloudflare 1.1.1.1: la infraestructura más grande, la latencia más baja en la mayoría de las regiones, despliegue anycast con tiempos de respuesta en torno a 15 ms. La política de privacidad es razonable (retención de 24 horas, sin reventa), pero la posición de Cloudflare en el internet en general (CDN, WAF, Workers) significa que para algunos usuarios la elección del resolver no es el cuello de botella.

Quad9 (9.9.9.9): con base en Suiza, operado por una organización sin fines de lucro, incluye bloqueo de malware por default. Algo más lento que Cloudflare, con latencia mediana en torno a 25 ms en Europa y debajo de 40 ms en Norteamérica. Las garantías de privacidad más fuertes de cualquier resolver mayor: sin logging de IP en el borde del resolver, solo conteos agregados de consultas.

NextDNS: no es un resolver público sino un servicio con cuenta personal con logging y filtrado extensos. Buen ajuste para usuarios que quieren políticas de filtrado por dispositivo, analíticas y decisiones de bloqueo por consulta. El compromiso de privacidad es que NextDNS ve el log completo de tus consultas; les confiás datos que el resolver normalmente descarta.

Resolvers personalizados (Unbound, Pi-hole + Unbound, Knot Resolver, dnscrypt-proxy): la postura de privacidad más fuerte es tu propio resolver haciendo resolución iterativa a servidores autoritativos. Ningún tercero ve el flujo completo de consultas. El costo es operacional: mantenés el resolver, manejás la validación DNSSEC, depurás casos límite. Recomendado para usuarios técnicos con un homelab o un VPS, no para audiencias generales.

En 2026, tres patrones de despliegue merecen ser documentados:

1. DNS solo a nivel SO, DoH del navegador desactivado. El resolver del SO maneja todo. Lo más predecible. Recomendación por default.
2. DoH del navegador + DNS del SO (resolvers distintos). El navegador ve un conjunto de resoluciones, el SO ve otro. Útil para compartimentación pero operacionalmente confuso.
3. DNS por la VPN con el resolver de la VPN haciendo búsquedas iterativas. La combinación más fuerte si el proveedor de VPN es confiable y no logea. Mullvad e IVPN ambos ofrecen esto.

Una nota sobre Encrypted ClientHello (ECH): a mediados de 2026, ECH está desplegado por default en orígenes detrás de Cloudflare y es honrado por Firefox 128+, Chrome 122+ (detrás de un flag) y Safari 18. ECH cierra la fuga SNI que DoH solo no aborda. Activalo si tu navegador lo soporta.

Metodología de auditoría de extensiones

Manifest V3 reformó el paisaje de extensiones. El plazo de Chrome para el fin completo del soporte MV2 a mediados de 2024 forzó a cada extensión de privacidad a despachar una build MV3 con capacidades reducidas o quedarse solo en Firefox. Auditamos extensiones sobre cinco ejes: capacidad bajo MV3, mecanismo de actualización de blocklists, filtrado dinámico vs estático, soporte de desenmascarado CNAME, y la postura de privacidad de la extensión en sí (telemetría, modelos de sponsor, recolección de datos).

uBlock Origin (completo): build MV2 solo Firefox. Lo mejor de su clase. Soporta filtrado dinámico, ajustes avanzados, desenmascarado CNAME, listas de filtros personalizadas con regex. Si podés correr Firefox, corré uBlock Origin completo.

uBlock Origin Lite: build MV3, disponible en Chromium y Firefox. Cerca del 85 al 90% tan efectivo como uBO completo en el set estándar de EasyList. Sin filtrado dinámico, sin desenmascarado CNAME, sin reglas avanzadas por sitio. Aceptable para usuarios Chromium; subóptimo en Firefox donde la versión completa sigue disponible.

NoScript: control de JavaScript por origen. Disponible en Firefox y Chromium con soporte MV3. La defensa más fuerte contra fingerprinting drive-by si aceptás el costo en experiencia de usuario de permitir scripts por origen. Lo usamos en perfiles endurecidos, no en los diarios.

Privacy Badger: bloqueo heurístico de trackers de la EFF. Compatible MV3. Buen complemento a uBO pero no un reemplazo. Su fuerza es aprender del comportamiento de tracking observado; su debilidad es que solo atrapa trackers que ya han trackeado al usuario al menos tres veces.

Cookie AutoDelete y equivalentes: borrado de cookies basado en contenedores o reglas. Mayormente redundante en 2026 dado que el particionado de almacenamiento a nivel navegador maneja el mismo objetivo más confiablemente.

ClearURLs: quita parámetros de tracking de las URLs. Ligero, útil, sin desventaja real. Recomendado.

Extensiones que recomendamos evitar: cualquier extensión cuyo modelo de negocio sea recolección de datos (varios ad-blockers populares lo tienen), cualquier extensión que requiera cuentas y sincronización en la nube de datos de navegación, cualquier extensión con permisos amplios e historial de propiedad opaco. Los casos de 2024 de extensiones antes confiables vendidas a brokers de datos deberían ser un recordatorio permanente: los permisos de extensión son una superficie de ataque de privacidad, no solo una superficie de funcionalidad.

Un método de auditoría reproducible que cualquiera puede aplicar: ejecutá cada extensión en un perfil limpio, capturá las peticiones HTTP con un proxy transparente, compará el grafo de peticiones contra el mismo perfil sin extensiones, después examiná qué cambió la extensión y qué datos envió a casa.

Ganchos de privacidad a nivel SO

Endurecer el navegador es necesario pero no suficiente. El SO ve más que el navegador y fuga más de lo que la mayoría de usuarios se dan cuenta. Tres plataformas, tres conjuntos de ganchos distintos.

macOS. Apple hace el trabajo pesado por default — sandboxing, permisos TCC, volumen de sistema firmado, firma de código — pero cuatro interruptores valen la pena. Desactivá el compartir analíticas (Ajustes del Sistema → Privacidad → Análisis). Desactivá las Sugerencias de Siri para Spotlight. Configurá los ajustes de Privacidad de Safari en "Impedir el rastreo entre sitios" más "Ocultar dirección IP a los rastreadores y sitios web" (que enruta a través de iCloud Private Relay si tenés iCloud+). Para usuarios con riesgo elevado, activá el modo de aislamiento a nivel SO — se propaga a todos los navegadores y a Mensajes. En red, configurá un resolver DNS personalizado en las preferencias de Red en lugar de confiar solo en el DoH del navegador; esto previene la divergencia DNS por aplicación.

Linux. Los defaults varían por distribución. En la mayoría de las distros de escritorio (Fedora, Ubuntu, Debian) el navegador por default despacha con telemetría activada y DoH desactivado. La configuración más limpia es instalar Mullvad Browser o LibreWolf, configurar systemd-resolved con un resolver DoT, y usar un namespace de red o un perfil firejail para sandboxear el navegador. Para perfiles de alto riesgo, Qubes OS con VMs de navegador desechables sigue siendo la respuesta más rigurosa en 2026; también es la más demandante de operar. Wayland sobre X11 previene una categoría de ataque de keylogging entre apps; si tu distribución sigue por default en X11, la migración vale la pena.

Windows. El default más expuesto de los tres. La telemetría corre caliente y no es completamente desactivable desde la GUI — usá Group Policy o PowerShell para reducirla. Desactivá el ID publicitario (Ajustes → Privacidad → General). Desactivá "Permitir que las aplicaciones usen mi ID publicitario". Para elección de navegador, Brave o Firefox con el endurecimiento descrito arriba. En DNS, Windows 11 soporta DoH nativamente (Ajustes → Red → Asignación de servidor DNS → DoH "Activado" con un servidor manual), que es la forma más limpia de asegurar que todas las apps compartan un único resolver cifrado. El mayor paso de endurecimiento en Windows en 2026 es desactivar Recall (la indexación de capturas de pantalla a nivel SO introducida en 2024) si está activada en tu build; indexa todo lo que ves, incluyendo sesiones de navegación privada.

A través de las tres plataformas, la regla es la misma: cada capa que pueda fugar debería configurarse explícitamente. Los defaults cambian con el tiempo, a veces silenciosamente. Auditá en cada actualización mayor de versión.

Qué cambió en los motores de navegador en 2026

Una VPN conectada, aquí en un portátil, oculta tu IP y tu ruta DNS a la red — pero no hace nada contra el fingerprinting ni las cookies de terceros, por lo que la privacidad en 2026 es un problema multicapa, no de una sola app.

La mayor noticia a nivel de motor de estos dos años es la que no ocurrió: Chrome nunca terminó de eliminar las cookies de terceros. Google pasó años preparando una desaprobación «Privacy Sandbox», pero en julio de 2024 anunció que no forzaría la eliminación de las cookies de terceros y mantendría en su lugar un modelo de elección del usuario. En abril de 2025 confirmó que ni siquiera lanzaría una pantalla de exclusión independiente. El resultado práctico para 2026 no cambia respecto a la apertura de este informe: las cookies de terceros siguen existiendo por defecto en Chrome, mientras Safari, Firefox y Brave las bloquean — así que la superficie de tracking relevante sigue desplazándose hacia el fingerprinting, exactamente los vectores que cubre nuestra guía del estado del arte del fingerprinting.

El otro tema zanjado es Manifest V3. Chrome completó el apagado de Manifest V2 para el público general durante 2024-2025, por lo que uBlock Origin completo es ahora una propuesta solo para Firefox y uBlock Origin Lite la realidad en Chromium. Es un cambio estructural duradero, no temporal: el filtrado dinámico y el desenmascarado CNAME que MV2 permitía no van a volver a Chromium. Para quien trata el bloqueo de contenido como un control de privacidad y no una comodidad, la elección del motor (familia Firefox vs familia Chromium) es ahora la elección de capacidad de bloqueo.

Algunos desplazamientos de 2026 más pequeños pero reales merecen registrarse. Encrypted ClientHello (ECH) pasó de experimental a ampliamente disponible en los orígenes detrás de Cloudflare y lo respetan las versiones actuales de Firefox y Safari, cerrando la fuga de SNI que el DoH por sí solo deja abierta. El State Partitioning / Total Cookie Protection es ahora el valor por defecto de Firefox en lugar de una opción, así que la correlación de almacenamiento entre sitios queda contenida sin configuración manual. Y Brave sigue entregando la randomización de huellas activada por defecto, lo que lo mantiene como el valor por defecto de privacidad con menos fricción para quien no cambiará de motor.

Ninguno de estos cambios altera la conclusión central de este informe. El tracking por almacenamiento se contiene cada vez más; el fingerprinting y la identidad a nivel TLS siguen siendo los frentes sin resolver. La noticia de motor de 2026 es sobre todo una confirmación de que la amenaza se movió hacia donde dijimos.

Defensas comparadas: qué capa frena qué

Los consejos de privacidad fallan más a menudo porque se vende una sola herramienta como solución completa. No lo es. Cada defensa cubre frentes concretos y deja otros totalmente expuestos. La tabla siguiente mapea las defensas comunes contra los cuatro frentes de tracking para que veas los huecos antes de confiar en una sola capa.

Dos reglas de lectura hacen la tabla accionable. Primero, ninguna fila está en verde en las cuatro columnas — incluso Tor deja una superficie residual de sensores en móvil, y una VPN no hace nada por el motor del navegador. Segundo, las columnas son aditivas: se apila una defensa de red (VPN o DNS cifrado) con una defensa de motor (un navegador de privacidad) porque protegen frentes ortogonales. Por eso nuestra guía de VPN para la privacidad del navegador trata la VPN como una capa de una pila en lugar de un arreglo autónomo, y por eso la guía de implementaciones DNS-over-HTTPS acompaña al endurecimiento del navegador sin reemplazarlo.

La conclusión honesta: elegí una defensa por frente, aceptá que ningún producto cubre los cuatro, y revisá la pila en cada lanzamiento importante de SO y navegador porque los valores por defecto se desvían.

Nuestras recomendaciones para 2026

Una matriz de decisión gana a una recomendación única. Ubicate contra uno de cuatro perfiles y actuá en consecuencia.

Perfil A — Usuario general consciente de la privacidad. Leés noticias, usás servicios de streaming, hacés banca en línea, no tenés adversarios específicos. Corré Brave en tu dispositivo diario con Shields en sus defaults. Configurá el DNS del SO en Cloudflare 1.1.1.1 o Quad9 sobre DoH. Usá una VPN de buena reputación solo para viaje y WiFi público. Instalá uBlock Origin completo si podés cambiar a Firefox; si no, uBO Lite más ClearURLs en Brave. No actives el modo de aislamiento. No instales NoScript. Costo de mantenimiento: 10 minutos por versión de SO.

Perfil B — Trabajador tech, desarrollador, empleador sensible. Tu trabajo o tu empleador te hacen blanco de mayor valor. Corré Firefox con privacy.resistFingerprinting = true, DNS-over-HTTPS en modo estricto, uBlock Origin, NoScript en lista de permitidos por origen, y una VPN activa tiempo completo. Usá Mullvad Browser para navegación personal donde la telemetría del trabajo sería problemática. Auditá tus extensiones instaladas cada seis meses. Costo de mantenimiento: cerca de 30 minutos por mes.

Perfil C — Periodista, activista, abogado con casos sensibles. Manejás material de fuentes o material de clientes que requiere modelado de amenaza adversarial real. Corré Tor Browser para contacto de fuentes e investigación sensible. Corré Mullvad Browser para todo lo que es sensible pero no crítico en anonimato. Activá el modo de aislamiento en tu iPhone y tu Mac. Usá Signal para mensajería. Compartimentá: un dispositivo separado para trabajo de alto riesgo no es paranoia, es higiene. Costo de mantenimiento: cerca de 2 horas por mes más una revisión de seguridad anual.

Perfil D — Ingeniero operando un producto que respeta la privacidad. Estás construyendo algo para usuarios a quienes les importa. Más allá de tu propia postura, tenés responsabilidades. Por default, analítica first-party con truncado de IP. Renderizado del lado del servidor donde sea posible para reducir el script del cliente. Auditá scripts de terceros trimestralmente. Publicá una política de privacidad clara que mapee los flujos de datos reales. Adoptá reglas CSP que prevengan que cualquier tercero inyecte trackers post-despliegue. El mantenimiento es parte de la práctica de ingeniería, no un extra.

Para usuarios que quieren una utilidad de extensión única que ayude sin importar el perfil, la referencia de bookmarklets que mantenemos cubre algunas herramientas de un clic (snapshot archive.org instantáneo, test de resolver DNS instantáneo, desactivación de JS instantánea) que complementan cualquiera de los cuatro perfiles de arriba.

En todos los perfiles, el modo de falla es el mismo: configurar una vez, olvidar por dos años, quedarse atrás de los defaults. La postura de privacidad es una práctica de mantenimiento, no una configuración única.

Metodología y fuentes

Este pillar es una síntesis de investigación publicada, documentación de proveedores y especificaciones de estándares. No operamos ningún panel de medición privado; cada afirmación cuantitativa está sourceada o presentada como aproximada.

Cifras de entropía de fingerprinting. Los valores de entropía de este informe provienen de investigación pública — principalmente el estudio EFF «How Unique Is Your Web Browser?» y el proyecto Cover Your Tracks, más la literatura publicada sobre fingerprinting. Los presentamos como aproximados (canvas del orden de 16 bits, audio del orden de 11 a 12 bits), no como decimales que midiéramos nosotros mismos.

Comparación de navegadores. La evaluación compara las versiones estables actuales de Brave, Tor Browser, Mullvad Browser, LibreWolf y Firefox a partir de sus funciones publicadas y sus defaults documentados, junto con los benchmarks públicos estándar (Speedometer, JetStream) que cualquier lector puede correr en su propio hardware. Donde describimos compensaciones de rendimiento (por ejemplo el JIT-off más lento), la dirección está bien documentada; no publicamos números de benchmark propietarios.

Breakage en modo de aislamiento. La afirmación cualitativa — que una parte pequeña y decreciente de los sitios mainstream se degrada bajo el modo de aislamiento — refleja la documentación de Apple y el comportamiento ampliamente reportado. No le adjuntamos ningún porcentaje first-party preciso.

Latencia de resolvers DNS. Las comparaciones de latencia son aproximadas y direccionales (Cloudflare generalmente el más rápido, Quad9 algo más lento, variación regional esperada). Cualquiera puede medir su propia latencia con herramientas públicas de benchmarking DNS; no publicamos un dataset de sonda propietario.

Lo que no medimos directamente. Las cifras de fingerprinting TLS JA4 provienen de investigación publicada; no realizamos ninguna medición TLS propia. El comportamiento de Recall en Windows 11 refleja el comportamiento documentado de 2024 más los parches de 2025; no probamos Recall directamente. Las suites TLS resistentes a quantum no están cubiertas porque el despliegue sigue siendo demasiado inconsistente para describirse útilmente en 2026.

Buscamos mantener este informe preciso como snapshot de mediados de 2026 y hacer barata la verificación contra las fuentes públicas citadas. Si una cifra acá no concuerda con una medición publicada más reciente, considerá la fuente más reciente como autoritativa.

Para análisis más profundos en vectores específicos mencionados arriba, ver nuestra guía de estado del arte del fingerprinting de navegador que cubre cada vector activo y pasivo con mediciones de entropía de la investigación pública sobre fingerprinting. Para pasar de la teoría a la elección concreta de un navegador, nuestro comparativo Brave vs Tor vs Mullvad Browser vs LibreWolf 2026 decide entre randomización y uniformidad según tu modelo de amenaza. Para un análisis profundo existente sobre una funcionalidad única, nuestro análisis del modo de aislamiento iOS recorre el mecanismo JIT-off de extremo a extremo. Para utilidades ligeras in-browser que complementan cualquier postura de privacidad, ver nuestra colección de bookmarklets, nuestra herramienta de prueba de huella del navegador para medir tu propia exposición, y nuestro verificador de cabeceras de seguridad HTTP para auditar tus sitios.

Guías relacionadas: Extender la tableta reMarkable con Toltec y SSH (2026) y Benchmarks WebKit JIT.