¿Puede una web ver tu historial de navegación? Pruébalo

Miraste unas botas de montaña una sola vez, en la web de una tienda. Ahora todas las páginas que abres quieren venderte botas de montaña. La conclusión obvia es que las webs pueden leer tu historial de navegación y se lo pasan unas a otras. No pueden. En los navegadores actuales ninguna web puede leer la lista de sitios que has visitado, y aun así te siguen.

El widget de esta página le pregunta a tu propio navegador qué le cuenta a una página sobre dónde has estado. Casi nada, y a propósito.

Ninguna API entrega tu historial

Mira lo que window.history le ofrece a un script: back(), forward(), go(), pushState(), replaceState(), state, scrollRestoration y un length. Nada de eso devuelve una dirección. history.length cuenta las entradas de la pestaña actual y tiene un tope de 50 en Chrome y Firefox (Safari guarda 100), así que dice poco sobre cuánto has navegado.

La Navigation API, más reciente, sí devuelve direcciones con navigation.entries(), pero solo de entradas de la pestaña actual que comparten el origen de la página, y solo la serie ininterrumpida de ellas. Una página lee su propio rastro y el de nadie más. En mi prueba con Chromium 156, tras seguir un enlace desde un origen hasta esta página en otro, history.length devolvió 2 y navigation.entries() mostró una sola entrada, la página actual. No probé Firefox ni Safari.

El truco de :visited y cómo murió

Durante años hubo una puerta trasera. Los navegadores pintan los enlaces visitados de otro color, y una página podía preguntar de qué color había quedado un enlace. Así que un script creaba un enlace invisible a la página de inicio de sesión de un banco, leía su color calculado y sabía si habías estado allí. Mozilla estimó la velocidad en cientos de miles de enlaces por minuto, sin ningún aviso y sin nada que tú pudieras notar.

En marzo de 2010 Mozilla anunció la solución: getComputedStyle respondería como si todos los enlaces estuvieran sin visitar, y los enlaces visitados solo podrían recibir estilo mediante unas pocas propiedades de color. Hoy todos los motores principales funcionan así. La primera fila del widget lo muestra. Pregunta por un enlace a la página que estás leyendo ahora mismo, que por definición has visitado, y tu navegador dice que no.

Una mentira sobre colores solo cierra la vía directa. Los investigadores siguieron encontrando canales laterales, como el ataque de Paul Stone de 2013, que mide cuánto tarda en repintarse un enlace visitado, y cada uno necesitó su propio parche. La respuesta de Chrome, disponible desde la versión 136 en escritorio y Android, cambia dónde se guardan las visitas. La lista de enlaces visitados dejó de ser una sola lista. Cada entrada se guarda bajo tres claves: la dirección del enlace, el sitio de nivel superior en el que estabas y el frame que mostraba el enlace. Una página en blog.example que pregunta por el banco consulta ahora una clave distinta de aquella bajo la que se guardó tu visita al banco, y no encuentra nada.

Las páginas del propio sitio siguen apareciendo como visitadas sin importar dónde las abriste por primera vez, y lo mismo los enlaces que pulsaste desde ese sitio. Eso no cuesta nada, porque el sitio ya conoce ambas cosas. Hasta donde pude comprobar, Firefox y Safari no tienen un equivalente de esta partición, ni tampoco Chrome en iOS, que funciona sobre WebKit. Y la regla de 2010 tampoco era del todo hermética: las notas de Safari 26.6 de Apple, de julio de 2026, corrigen un fallo de WebKit que permitía a las webs saber si habías visitado un enlace determinado.

¿Qué puede ver una web de tu navegación?

El referrer. Si llegas desde un resultado de búsqueda, la página puede enterarse de qué sitio te envió. Desde Chrome 85 y Firefox 87, el comportamiento por defecto en navegaciones entre orígenes distintos es enviar solo el origen, es decir, https://www.google.com/ y no tu búsqueda, salvo que el sitio que te envía fije su propia política. Safari también recorta los referrers entre sitios. En la misma prueba con Chromium 156, la página de la que venía tenía una ruta larga y document.referrer devolvió solo su origen. Si escribiste la dirección o usaste un marcador, viene vacío. Por eso mismo el sitio al que llegas con un clic no puede ver qué buscaste: tus búsquedas se quedan en el buscador y en tu cuenta, no con la página.

Sus propios registros. Este es el más importante, y también el más aburrido. Un sitio que puso una cookie cuando lo visitaste el martes pasado te reconoce este martes. Es un historial de un solo sitio, no de la web, y cada sitio que visitas guarda uno sobre ti. El dueño de un sitio ve a sus visitantes en su analítica web, con direcciones de página, direcciones IP y referrers, y esa vista no pasa de los límites del sitio.

Unas pocas fugas en los márgenes. Algunos trucos entre sitios pueden revelar si tienes la sesión iniciada en otro lugar, cargando algo que solo funciona para usuarios autenticados y midiendo lo que ocurre. La wiki de XS-Leaks cataloga esta familia. Le dice a una página un bit sobre un sitio cada vez, y mientras se cierran unos canales aparecen otros. Nada de eso se parece a una lista.

Cómo siguen los rastreadores armando tu historial de navegación

Los anuncios te persiguen sobre todo por quién más está en la página. El script de una red publicitaria está en la tienda de zapatos y en el sitio de noticias. Si puede reconocerte en ambos, tiene un historial de navegación armado sitio a sitio, sin ninguna ayuda del historial de tu navegador. La FTC tiene una explicación en lenguaje llano de cómo recogen esto los sitios y las apps.

Safari bloquea las cookies de terceros por completo y Firefox las particiona por sitio. En noviembre de 2026, Chrome todavía las permite por defecto. Las cookies son solo una forma de reconocerte. Un fingerprint de canvas puede mantenerse igual en todos los sitios en la mayoría de los navegadores sin guardar nada, y por eso borrar el historial no hace nada contra él.

El script de un rastreador también se ejecuta dentro de la página donde está, así que puede leer su dirección y su título, no solo anotar que apareciste. Nuestro artículo sobre lo que una página puede observar durante una visita explica el resto.

Quién más puede ver tu historial de navegación

Saca la página de la ecuación y mira a todos los demás que están en el camino entre tú y un sitio. La mayoría ve solo una parte. La cuenta sincronizada del navegador es la excepción.

Tu ISP, o quien lleve el wifi del hotel o de la oficina, no puede leer las direcciones de página de los sitios HTTPS. Normalmente sí sigue viendo los nombres de dominio, porque la consulta DNS y el inicio de la conexión TLS nombran el sitio. El DNS cifrado y Encrypted Client Hello pueden ocultarlo en algunos sitios, pero la dirección IP del servidor sigue a la vista. Una VPN no borra esa parte. Se lo entrega casi entero a la empresa de la VPN, y a tu ISP le queda saber que usas una. Cómo lo detectan los sitios lo explicamos en detección de VPN.

La fila que la gente olvida es su propia cuenta del navegador. Si la sincronización del historial está activada, una lista completa de las direcciones que abriste puede estar en el servidor del fabricante. En Chrome, Google puede leer el historial sincronizado salvo que pongas una frase de contraseña de sincronización, y con ella solo se sincronizan las direcciones que escribiste en la barra. Firefox Sync e iCloud cifran el historial, así que esos fabricantes no pueden leerlo.

¿Cambia algo el modo incógnito, borrar el historial o usar el móvil?

La navegación privada impide que tu propio navegador guarde la lista y arranca la sesión sin cookies. El sitio, tu ISP y el dueño del wifi siguen viendo la visita, y en la mayoría de los navegadores un fingerprint todavía te reconoce. Safari, Firefox en ventanas privadas, Brave y Tor añaden ruido o uniformidad que lo dificulta. Borrar el historial elimina la lista que guarda tu navegador, junto con la copia sincronizada, pero no lo que ya tienen los sitios, los rastreadores o tu ISP. Un registro de actividad de la cuenta, como Mi actividad de Google, conserva su propia copia hasta que la borras allí. El móvil sigue la misma lógica: la página recibe las mismas pocas lecturas, y el historial que importa está en tu cuenta o en la red, no en el navegador. Así que si lo que te preocupa es que te revise alguien de casa, como tu pareja o tus padres, mira dos sitios: una cuenta que ambos puedan abrir, con su sincronización y su registro de actividad, y la red por la que pasa el tráfico.

Qué hacer en la práctica

1. Mira la primera fila del widget. Debería decir “Cerrado”. Si dice “Fuga”, tu navegador es anterior a la corrección de 2010 o le falta un parche. Actualízalo, y en Safari comprueba que tienes la 26.6 o posterior.
2. Revisa qué sincronizas. Abre los ajustes de sincronización de tu navegador y decide si el historial tiene que estar en la cuenta. En Chrome, una frase de contraseña de sincronización impide que Google lo lea. Firefox Sync e iCloud cifran el historial por defecto.
3. Borrar el historial no frena el rastreo. Elimina la lista que guarda tu navegador, junto con la copia sincronizada. No toca las cookies ni los datos de los sitios, y no alcanza lo que ya tienen los sitios, los rastreadores o tu ISP. Borrar las cookies corta la mitad del rastreo basada en cookies, y en la mayoría de los navegadores la otra mitad, la del fingerprint, sobrevive a las dos cosas.
4. Mantén las identidades separadas a propósito. Los rastreadores se basan en vincular, así que todo lo que no deba vincularse necesita sus propias cookies, su propio almacenamiento y su propio fingerprint. Si manejas varias cuentas así, Incogniton le da a cada perfil un conjunto propio, de modo que un rastreador presente en dos sitios ve a dos desconocidos, siempre que abras cada sitio desde un perfil distinto y le des a cada perfil su propia dirección IP mediante un proxy.

El widget comprueba lo que una página puede leer. El escaneo completo del navegador comprueba lo que una página puede deducir de ti a partir de propiedades que por separado parecen inofensivas: los hashes del fingerprint, las fugas alrededor de tu dirección IP y si tu navegador cuenta una historia coherente.