Firefox 143 reduce la huella digital del 75% al 46%

Mozilla midió 25 millones de navegadores y bajó la identificación única del 75% al 46%

Mozilla publicó los resultados de un estudio sobre fingerprinting realizado con casi 25 millones de usuarios de la versión estable de Firefox. Las protecciones que diseñó a partir de esos datos, incluidas en Firefox 143, redujeron el porcentaje de usuarios identificables de forma única del 75% al 46%.

Para cualquier founder que opera un producto digital, la cifra no es un detalle técnico: es la evidencia de que la identificación silenciosa de usuarios —sin cookies, sin login, sin consentimiento— se puede medir a escala de población y, sobre todo, se puede reducir sin romper la web.

El estudio no es un paper aislado. Es el companion site de una investigación firmada por Tom Ritter, Fatih Kilic, Frederik Braun, Elisa Luo, Geoffrey M. Voelker, Stefan Savage y Christoph Kerschbaumer, con participación de Mozilla Corporation, la University of Toronto y UC San Diego. Los datos agregados, el código de análisis y un test interactivo están publicados abiertos.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué es el browser fingerprinting y por qué debería importarte?

El fingerprinting no guarda nada en tu dispositivo. Un script del sitio le hace al navegador una lista larga de preguntas aparentemente inofensivas —tamaño de pantalla, zona horaria, fuentes instaladas, cómo dibuja una imagen la tarjeta gráfica— y combina las respuestas en un identificador.

Por eso es tan persistente: borrar cookies no cambia esas respuestas. Como resume el análisis de TweakTown sobre el test de la EFF, el fingerprinting "no almacena nada en tu PC" y sobrevive al modo incógnito porque el identificador se reconstruye desde el propio hardware y la configuración del navegador.

Para un negocio digital esto tiene dos caras. Si usas herramientas de analítica o antifraude basadas en fingerprinting, tu capacidad de reconocer usuarios depende de métricas que ahora se están degradando deliberadamente. Y si tu producto depende de datos de terceros para segmentar audiencias, la base sobre la que construiste esa segmentación está cambiando.

La regla 80/20: 8 métricas bastan para identificar a un usuario

El hallazgo más útil del estudio es que la unicidad no viene de acumular mediciones. Viene de unas pocas.

De todos los usuarios que Fingerprint Pro —el fingerprinter más exigente de los tres que modelaron— ve como únicos, el 80% ya es único después de solo 8 métricas, aunque el servicio recolecta más de 50. Signifyd recolecta más de 80 métricas, pero identifica a menos usuarios como únicos: el 80% de los que marca como únicos lo hace tras 9 métricas.

La consecuencia práctica es contraintuitiva: no necesitas bloquear cincuenta señales para mejorar la privacidad. Necesitas bloquear las ocho correctas. Y esas ocho no son las mismas en todos los casos.

El estudio también derriba una herramienta clásica de esta literatura: la entropía de Shannon. Según los autores, una entropía alta no predice de forma confiable el impacto real en fingerprinting, aunque sea el estándar para medirlo.

Por qué una sola cifra de unicidad es engañosa

Los propios autores advierten que hay que desconfiar de cualquier estudio que cite un único porcentaje de "cuántos usuarios son únicos". El motivo: colapsa poblaciones que se comportan de forma muy distinta.

El sistema operativo siempre queda expuesto, porque mentir sobre él rompe atajos de teclado y descargas. Pero esa exposición permite segmentar la población. Y al hacerlo, cada plataforma se comporta diferente.

El ejemplo que dan es contundente: limitar la resolución de pantalla disponible quita 25,3 puntos porcentuales de unicidad acumulada en macOS, pero entre 0 y 3 puntos en las otras tres plataformas. Promediado entre todos los usuarios, esa caída de 25 puntos se reduce a 3,5. Una protección que es enorme para una plataforma parece marginal en el agregado.

Hay un segundo problema: medir solo cuántos usuarios son únicos ignora a todos los demás. No es lo mismo un millón de usuarios que comparten una huella que 500.000 huellas distintas compartidas por dos personas cada una. Para capturar esa diferencia, el estudio usa el Índice de Simpson (también conocido como índice Herfindahl-Hirschman) y compara cohortes.

El resultado: dos protecciones pueden reducir el porcentaje de usuarios únicos en unos 2,1 puntos porcentuales cada una, pero una mejora el score de cohortes un 56% y la otra solo un 13%. Juzgadas solo por unicidad, parecen igual de efectivas. No lo son.

Cómo se recogieron los datos (y por qué importa para tu compliance)

La metodología es tan relevante como los hallazgos, porque muestra cómo se puede medir a escala sin identificar a nadie.

Los datos vienen de un ping de telemetría específico de Firefox, el user-characteristics, que debe habilitarse explícitamente y envía un solo reporte antes de quedar inactivo. No lleva client ID: solo un UUID único del ping, usado para deduplicar usuarios, que no se puede vincular a otras telemetrías.

El envío se hace sobre Oblivious HTTP (OHTTP): un relay operado de forma independiente a Mozilla reenvía la submission cifrada, de modo que el relay ve la IP pero no el contenido, y Mozilla recibe el contenido pero no la IP. El acceso quedó restringido a cuatro empleados autorizados, los datos se retuvieron 90 días y ya fueron eliminados.

En los datos publicados, cualquier valor observado menos de 100 veces dentro de una población por sistema operativo se omite. Los autores lo dicen sin ambigüedad: los datos publicados describen cohortes, nunca individuos.

Si tu startup maneja datos de usuarios, este es un modelo de referencia para publicar investigación o métricas agregadas sin exponer a nadie.

Firefox 145: la siguiente fase de las protecciones

El trabajo no se detuvo en Firefox 143. Según BleepingComputer, Mozilla anunció una nueva capa de defensas en Firefox 145, disponible inicialmente solo en Navegación Privada y en el modo Estricto de la Protección contra el Rastreo Mejorada, con la intención de activarla por defecto tras las pruebas.

Ese medio reporta que las protecciones de la fase 1 habían reducido la rastreabilidad a aproximadamente el 35%, frente al 65% de base sin protecciones, y que con la fase 2 solo el 20% de los usuarios puede seguir siendo identificado de forma única y rastreado de manera persistente.

Entre las medidas de esa fase, BleepingComputer detalla que se añade ruido aleatorio a las imágenes de fondo solo cuando un sitio las lee, se usan únicamente fuentes estándar del sistema operativo (con excepciones para idiomas como japonés, tailandés, árabe, chino, coreano y hebreo), el soporte táctil se reporta como 0, 1 o 5, la resolución disponible se calcula como la altura menos 48 píxeles y los núcleos del procesador se reportan siempre como 2.

Vale la pena notar la diferencia de métricas: el estudio de Firefox 143 habla de unicidad (75% a 46%), mientras que la cobertura de la fase 2 habla de rastreabilidad. Son indicadores distintos y conviene no mezclarlos al citarlos.

¿Qué significa esto para tu startup?

Primero, una advertencia de negocio: si tu producto, tu analítica o tu motor antifraude dependen de fingerprinting para reconocer usuarios, esa señal se está debilitando de forma deliberada y coordinada. No es un bug que se arregla: es una dirección de la industria.

Segundo, una oportunidad: la privacidad dejó de ser un diferenciador de nicho para convertirse en una expectativa de producto. Un navegador mainstream reduciendo la identificación única casi 30 puntos porcentuales en una sola versión marca el estándar que tus usuarios van a esperar del resto de sus herramientas.

Acciones concretas que puedes implementar esta semana:

Audita tu stack de tracking. Lista cada script de terceros que corre en tu sitio y pregúntate cuáles dependen de señales de dispositivo (canvas, WebGL, fuentes, resolución). Si tu analítica o tu antifraude se apoyan en ellas, empieza a planificar alternativas basadas en identidad autenticada o en cohortes.
Mide como midió Mozilla, no como mide el marketing. Si publicas métricas de privacidad o de audiencia, deja de reportar un solo porcentaje. Segmenta por sistema operativo y reporta tamaño de cohorte, no solo unicidad. El propio estudio demuestra que el promedio oculta diferencias de más de 20 puntos entre plataformas.
Prueba tu propio navegador. El sitio del estudio incluye un test interactivo que corre localmente, sin enviar datos, y compara tus valores contra la población medida. Es una forma rápida de ver cuántas de las ~25 millones de huellas comparten la tuya.
Usa los datos abiertos para tu investigación. El equipo liberó tablas agregadas por métrica y por sistema operativo, un explorador de canvas y el código de análisis en GitHub. Si estás construyendo cualquier cosa relacionada con privacidad, es material verificado y citable, no una estimación de proveedor.

Conclusión

El estudio de Mozilla aporta algo poco común: una medición de fingerprinting hecha sobre una población grande y no sesgada, con metodología auditable y datos publicados. El titular es la caída del 75% al 46%, pero el aprendizaje más transferible es metodológico.

La unicidad la causan unas pocas métricas, no cincuenta. El promedio entre plataformas esconde diferencias enormes. Y medir solo a los usuarios únicos ignora cómo se agrupa el resto. Cualquier founder que tome decisiones de producto con datos de usuarios debería aplicar esas tres lecciones, incluso si nunca va a tocar un navegador.