← La máquina de atención

Demo de Tracking & Targeting

Una demostración en vivo, en tres fases: lo que tu navegador revela sobre ti, cómo se subastan esos datos y cómo se usa el perfil resultante para dirigir la manipulación hacia ti. Todo se ejecuta en tu navegador. No se envía nada a ningún lado, salvo que presiones la prueba de rastreadores, que envía tres solicitudes reales a Google y a X.

Cómo leer esta página. Las tres fases de abajo funcionan en vivo, pero la explicación sostiene por sí sola todo el argumento: se lee completa con JavaScript desactivado. Abre el recuadro “Más a fondo” para ver cómo funciona la prueba de rastreadores y cuáles son, con honestidad, sus límites.

La idea de esta demo viene de Cover Your Tracks, la herramienta que la Electronic Frontier Foundation (EFF) mantiene desde hace años y que muestra lo que tu navegador revela a los rastreadores y qué tan única es tu huella digital. Úsala junto con esta página para tener una segunda medición, independiente, de cuánto estás expuesto.

Este sitio usa solo analítica sin cookies: ningún dato personal, ningún perfil (los detalles están en la página de privacidad). Con una excepción deliberada: esta página puede cargar tres rastreadores reales de publicidad y analítica, una sola vez, para que la demostración de abajo pueda comprobar con honestidad si tu navegador los bloquea; pero solo cuando presionas el botón de la primera demo, y antes de eso no se carga nada. Son los únicos rastreadores de todo el sitio. Cada solicitud lleva lo que lleva cualquier solicitud de imagen: tu dirección IP, la dirección del sitio (no la de esta página: el sitio le pide a tu navegador que deje fuera el resto de la dirección) y cualquier cookie que tu navegador ya tenga de esa empresa, que es justamente el identificador que la convierte en un rastreador. Si tu navegador acepta cookies de otros sitios, dos de las empresas crean una como respuesta: X una cookie llamada muc_ads que dura dos años, y DoubleClick una cookie de prueba que dura quince minutos. No se envía nada más, y no guardamos nada.

Fase 1 — Lo que esta página ya sabe

Sin que hagas clic en nada y sin iniciar sesión, tu navegador revela bastante a cada sitio que visitas. La lista de abajo es lo que esta página puede leer sobre ti con JavaScript estándar: sin permisos especiales y sin ninguna solicitud a un servidor. Para nada de esto aparece un aviso de consentimiento. En la UE debería aparecer: las Directrices 2/2023 del Comité Europeo de Protección de Datos confirman que leer información ya almacenada en tu dispositivo —que es lo que hace el fingerprinting (huella digital del dispositivo)— entra en el artículo 5(3) de la Directiva ePrivacy y requiere consentimiento. Rara vez verás que te lo pidan. Es el estado normal de la web.

Una por una, las señales son triviales: el tamaño de la pantalla, el idioma, la zona horaria, la densidad de píxeles del dispositivo. Combinadas, forman una huella digital que a menudo basta para identificarte de un sitio a otro sin una cookie. Para medir con precisión qué tan único es tu navegador, la herramienta Cover Your Tracks de la EFF es la referencia.

Estas señales, combinadas con tu dirección IP, tu historial de navegación y los registros de data brokers (empresas que compran y venden datos personales) con los que nunca has tenido trato, forman un perfil persistente. Las cookies son solo un mecanismo entre muchos. El fingerprinting sobrevive al borrado de cookies. Tu navegador también puede pedir que no te rastreen. En California, la ley obliga a las empresas a respetar Global Privacy Control como una solicitud de dejar de vender o compartir tus datos, y Colorado lo reconoce en virtud de su propia ley de privacidad; la señal más antigua, Do Not Track, fue archivada por el W3C en 2019, porque muy pocos sitios y navegadores la adoptaron.

La prueba en vivo de arriba explora tres capas, cada una más invasiva de lo que parece. La analítica es la que todos aceptan como inofensiva: “solo estadísticas de visitas”. Sin embargo, Google Analytics está en casi la mitad de todos los sitios web, más de cuatro de cada cinco de los que usan algún tipo de analítica (W3Techs). Su cookie se crea por separado en cada sitio, pero en todos ellos tu navegador le envía a Google la dirección de la página y tu dirección IP, que Google puede usar, según tu configuración, para personalizar los anuncios que ves en otros lugares. “Solo estadísticas” es la materia prima de un registro de adónde vas, de un sitio a otro. La capa de ad exchange es donde ese registro se convierte en producto: te clasifican en audiencias de remarketing y te venden. La capa social es la que la mayoría nunca aceptó: el botón “Me gusta” de Facebook y sus equivalentes informaban de tu visita a cada página en la que aparecían, hicieras clic o no, tuvieras cuenta o no. Tu presencia era el dato. El botón era el sensor.

Por qué la prueba de rastreadores solo dice “bloqueado” o “cargado”, y no “parcialmente bloqueado” +

La prueba en vivo de arriba da dos resultados por rastreador: fue bloqueado o se cargó. Cover Your Tracks de la EFF, la herramienta en la que se inspira esta demo, da un tercer resultado, intermedio: protección parcial. Algunas herramientas de privacidad no bloquean un rastreador por completo: dejan pasar la solicitud, pero le quitan la parte que identifica (la cookie), así que el rastreador se activa, aunque en realidad no puede reconocerte. Nuestra prueba de dos resultados no puede ver eso: diría que ese rastreador está “cargado” y daría a entender que no tienes ninguna protección, cuando en realidad tienes protección parcial. Un resultado de tres vías, “bloqueado / parcial / cargado”, sería más preciso y enseñaría una distinción real: un rastreador bloqueado frente a uno simplemente neutralizado.

Por qué decidimos no hacerlo aquí. Para detectar el estado intermedio, el rastreador tiene que informar de lo que recibió: ¿sobrevivió la cookie?, ¿sobrevivió el identificador? Los rastreadores reales (Google, X) no nos lo dicen. Así que tendríamos que operar un servidor de rastreo propio que registre lo que recibe. Pero ese servidor tendría que estar en una dirección web distinta, que los bloqueadores de anuncios de verdad reconozcan y bloqueen: un servidor en este mismo sitio nunca se bloquea, así que diría “sin protección” a casi todo el mundo y te daría una idea equivocada. Y cualquier servidor así recibe datos de tu navegador, lo que rompería la promesa del principio de esta página: aquí no se envía nada a ningún lado. Toda versión honesta de esa mejora necesita una infraestructura que no tenemos, o rompe esa garantía. Por eso mantenemos la prueba de dos resultados y la acompañamos con la lectura de la huella digital que aparece debajo, que deja claro lo más importante sin enviar nada: sigues siendo identificable incluso cuando todos los rastreadores de esta página están bloqueados.

Este sitio no hace nada de esto. Usa una instancia de Plausible alojada por nosotros mismos, sin cookies, sin recopilar datos personales y sin nada que te identifique. Lo que muestra el recuadro de arriba es lo que cualquier sitio web recibe de tu navegador, incluido este. Decidimos no usarlo en tu contra. Lo que el sitio sí cuenta está en la página de privacidad.

Fase 2 — Cómo se subastan esos datos

En un sitio web comercial típico, los milisegundos que pasan entre que cargas la página y que puedes usarla esconden un evento: una subasta de real-time bidding (puja en tiempo real, RTB). Con tu perfil de navegador se arma una solicitud de puja (bid request) que se transmite al mismo tiempo a decenas de empresas de publicidad. Ellas evalúan, pujan, y se muestra el anuncio de la ganadora. La subasta termina en aproximadamente 100 milisegundos, antes de que acabes de leer el titular.

El detalle clave es la palabra transmitir. Según una investigación del Irish Council for Civil Liberties, se estima que esto le ocurre al usuario promedio de internet en la UE 376 veces al día. En Estados Unidos, la estimación es de 747 veces al día. La solicitud no va solo al postor ganador: va a todos los postores. Cada empresa que la recibe puede quedarse con una copia de tu perfil, gane o no la subasta, y nada en el sistema lo impide.

La Autoridad de Protección de Datos de Bélgica concluyó en 2022 que el marco de consentimiento que usa la industria para el RTB infringe el Reglamento general de protección de datos (RGPD; GDPR), y en 2024 el Tribunal de Justicia de la Unión Europea, al responder a preguntas del tribunal de apelación belga, confirmó las dos premisas de esa decisión: la cadena de consentimiento (consent string) es un dato personal, e IAB Europe es corresponsable del tratamiento (joint controller) de esa cadena, algo que el Tribunal de Mercados de Bélgica confirmó en mayo de 2025, al mantener la multa y resolver a la vez que el papel de IAB Europe no se extiende al tratamiento que ocurre dentro de la propia subasta. La subasta en sí nunca ha sido declarada lícita; el marco que se supone que la legitima ha sido declarado ilícito. Dicho de forma más sencilla: se ha determinado que el mecanismo de consentimiento en el que se apoya el RTB no cumple la ley, y la subasta sigue funcionando de todos modos.

La simulación de abajo usa como datos de entrada las señales reales de tu navegador. Los postores son empresas reales; los montos de las pujas son ilustrativos. Este sitio no hace RTB de verdad: lo que ves es lo que pasa en los sitios que sí lo hacen.

Fase 3 — Cómo se usa ese perfil para manipularte

El perfil armado en la Fase 1 y vendido en la Fase 2 lo puede comprar cualquiera que tenga presupuesto para publicidad, incluidas campañas políticas, operaciones de influencia patrocinadas por Estados y creadores de contenido de mala fe. La segmentación de audiencias, que empezó como publicidad comercial, se convirtió, por el mismo mecanismo, en infraestructura para la influencia psicológica a gran escala.

La demostración de abajo muestra cómo. A partir de las señales que infiere sobre ti, el sistema elige una vulnerabilidad emocional. A partir de esa vulnerabilidad, elige una técnica de manipulación con un mecanismo psicológico documentado. A partir de esa técnica, construye el contenido: nombre de la fuente, titular, cuerpo, gancho de engagement; cada elemento es una decisión deliberada. Después, el encuadre se adapta al nivel de ingresos que el sistema te atribuye y a tu región —encuadre de pérdida para los perfiles que parecen tener bienes, encuadre de exclusión para los que parecen tener menos— y, como en un sistema real, la variante que recibes se elige con pruebas A/B según tu combinación de señales. La demo te dice exactamente qué inferencias hizo y por qué, incluidas las equivocadas: las predicciones burdas y erróneas también se ponen en práctica.

La publicación que verás es ficticia y está identificada como tal. Lo importante es aprender a reconocerla: investigadores de la Universidad de Cambridge han demostrado que saber cómo funciona una técnica de manipulación antes de encontrártela te hace significativamente más resistente. Este efecto se llama prebunking, o inoculación psicológica. El juego Bad News, de DROG, lo enseña de forma interactiva en unos quince minutos.

Lo que acabas de ver

Tres fases, un solo sistema. Tu navegador revela datos de forma pasiva. Esos datos se subastan entre anunciantes, y entre cualquier otro que tenga presupuesto. El perfil resultante se usa para elegir, y luego construir, contenido diseñado para esquivar tu juicio crítico.

Ninguna configuración, por sí sola, lo neutraliza del todo. Hay defensas parciales: uBlock Origin (el bloqueador de rastreadores que recomienda Herramientas y sitios), Firefox con la protección mejorada contra el rastreo, el navegador Brave, Privacy Badger de la EFF. Cada una reduce la superficie expuesta; ninguna la elimina. La respuesta a la altura del sistema es estructural; el RGPD y el Reglamento de Servicios Digitales (Digital Services Act, DSA) son los intentos más serios hasta ahora, y ninguno de los dos ha terminado la tarea.

La defensa más duradera es reconocer las técnicas cuando las ves. Ese es el argumento a favor del prebunking, y la razón por la que existe esta página.

← Publicidad y vigilancia
Demo de Combinación de datos →
Actores estatales →
Infórmate →