¿Puede una web saber si cambias de pestaña, copias o capturas?

Sí, una web puede ver cuándo cambias de pestaña y cuándo copias o pegas. No, no puede ver una captura de pantalla, una grabación de pantalla ni lo que hay en tus otras pestañas. Las dos mitades de esa respuesta son ciertas, y por eso todo hilo de foro sobre el tema tiene una respuesta destacada muy segura de sí misma, seguida de otra igual de segura que dice lo contrario.

El widget de esta página es un detector de cambio de pestaña que funciona de verdad, y es la forma más rápida de zanjar la discusión con tu propio navegador. Cambia a otra pestaña, resalta y copia una frase, pulsa Ctrl+P y cancela, y luego lee lo que registró.

¿Puede una web saber cuándo cambias de pestaña?

Sí. Cuando una página se oculta o vuelve a mostrarse, el navegador dispara un evento visibilitychange y cambia document.visibilityState entre visible y hidden. Aparte, se dispara un evento blur en la ventana cuando esta pierde el foco. Ambos llevan una marca de tiempo, así que la página sabe que te fuiste y por cuánto tiempo. Los scripts de analítica se apoyan en esto: una pestaña oculta quizá no vuelva nunca, y ese es el momento en que envían lo que han recogido con navigator.sendBeacon. Las plataformas de cuestionarios usan las mismas señales. En los Classic Quizzes con la auditoría de registros activada, Canvas registra cuándo la página del cuestionario de un estudiante pierde y recupera el foco.

Lo que la página no recibe es un destino. Cambia de pestaña en el widget y vuelve, y el registro muestra cuánto tiempo estuviste fuera y nada más. Además, los dos eventos miden cosas distintas:

Haz clic en una ventana de chat mientras el navegador sigue a la vista y solo se dispara blur, porque la pestaña sigue visible. Cambia de pestaña y se disparan los dos. Así es como un sitio distingue una pestaña oculta de una ventana que simplemente perdió el foco. El movimiento del cursor es un evento aparte: mouseleave se dispara cuando el puntero sale de la ventana, y es lo que usan los popups de intención de salida para atraparte cuando te diriges a la barra de pestañas.

Los bots suelen mostrar el patrón contrario. Los navegadores automatizados a menudo nunca reciben eventos de foco, o reportan una página que siempre está enfocada, y el monitor de comportamiento en vivo de nuestra página principal sigue ese patrón. Es el tipo de señal que la puntuación conductual puede tener en cuenta, la misma puntuación que está detrás de los CAPTCHAs que no paras de recibir.

¿Puede una web ver tus otras pestañas?

Solo las suyas. Una página no puede listar tus pestañas, leer sus títulos o URLs ni mirar dentro de ellas. La política del mismo origen levanta un muro entre unos sitios y otros, y ninguna API web enumera pestañas. Lo que sí puede hacer una página es comunicarse con otras pestañas del mismo origen en el mismo perfil del navegador, mediante un BroadcastChannel o eventos de almacenamiento. Así es como una app nota que la abriste dos veces y te pregunta cuál conservar. Abre esta página en una segunda pestaña y la fila “Otras pestañas de este sitio” la cuenta.

Lo único que una página averigua de tu navegación anterior es de dónde vienes. Si seguiste un enlace, document.referrer nombra el sitio en el que estaba el enlace, y normalmente solo el nombre del sitio, no la dirección completa.

¿Puede una web ver lo que copias y pegas?

Sí, con límites. Los eventos copy y cut se disparan en el documento cuando pulsas Ctrl+C o usas el menú, y un manejador puede leer exactamente lo que tenías seleccionado. También puede sustituirlo por otro texto, y así es como algunos sitios añaden “Lee más en…” a todo lo que copias, una cortesía que nadie pidió. selectionchange se dispara mientras arrastras sobre el texto, así que la página sabe qué resaltaste antes de que copies nada.

Pegar funciona al revés. Un pegado en la página dispara paste y le entrega el texto del portapapeles, y beforeinput informa de si el texto se escribió o se pegó, de modo que un formulario puede saber que tu respuesta de 400 palabras llegó de una sola pieza. Lo que una página no puede hacer es hurgar en tu portapapeles. navigator.clipboard.readText() necesita tu permiso y una página que estés usando activamente, así que el texto que copiaste en otra app sigue siendo privado hasta que lo pegas en algún sitio.

Esta pregunta surge sobre todo con el texto pegado desde ChatGPT. La página ve que hubo un pegado y cuánto texto llegó. No le dicen desde qué app o sitio lo copiaste, aunque el formato de texto enriquecido a veces puede delatarlo.

¿Puede una web saber si haces una captura o grabas la pantalla?

No. Ninguna API del navegador reporta una captura de pantalla ni una grabación de tu pantalla. La hace el sistema operativo, fuera del navegador, y no se envía nada a la página, ya sea con OBS, la Herramienta de recortes o los botones laterales de tu teléfono. Lo que parece detección de capturas es una de estas otras tres cosas, y la última no es detección en absoluto:

• Un detector de eventos de teclado que vigila PrintScreen. El widget muestra la peculiaridad: en Windows la página normalmente solo recibe la liberación de la tecla. En un Mac, el sistema se traga el atajo Cmd+Shift+4, así que la página nunca lo ve entero.
• Un detector del evento beforeprint. Se dispara con Ctrl+P y con “guardar como PDF”, así que una página sí se entera de ese tipo de copia.
• Captura bloqueada. Los servicios de streaming suelen mostrar un rectángulo negro en las capturas porque el vídeo viaja por una ruta protegida. Eso impide la captura sin detectarla. Nuestro artículo sobre Widevine DRM explica cómo funcionan esos niveles de protección.

En los teléfonos los eventos del navegador son los mismos: una página se oculta cuando cambias de app o bloqueas la pantalla. La creencia de que los sitios saben de las capturas probablemente viene de las apps nativas. iOS le avisa a una app cuando haces una captura, y Android tiene una API oficial de aviso de capturas para apps desde la versión 14, lo que permite que una app de chat avise a la otra persona. A una página web en un navegador móvil no le avisan de nada.

¿Puede Canvas o un examen en línea saber que cambias de pestaña?

Ve la pérdida de foco, con marcas de tiempo, y le muestra al profesor que te fuiste. No ve adónde fuiste. Ese es todo el mecanismo en un cuestionario que funciona como página web, y por eso los informes suelen decir “salió de la página” y nada más concreto.

Los exámenes con supervisión son otra clase de software, y es ahí donde las afirmaciones se vuelven más fuertes:

Respondus LockDown Browser es un programa instalado, y Proctorio es una extensión del navegador con permiso para leer tus pestañas. Ninguno está limitado por lo que puede hacer una página web. Si un examen parece saber más de lo que sabría una página, fíjate en qué te pidió instalar.

¿Se puede evitar que una web lo vea?

No sin romper la página, y el truco habitual deja su propia huella. Las herramientas que falsifican estos eventos funcionan sustituyendo elementos integrados del navegador, como la propiedad document.hidden, y una función integrada sustituida se delata igual que lo hacen los parches de sigilo en la detección de bots. Así que el consejo realista es corto:

1. Da por hecho que la página ve los eventos de foco, visibilidad y portapapeles. No los suprimas. Los usuarios reales producen los mismos eventos, y falsificarlos es en sí mismo una señal delatora.
2. Vacía el portapapeles antes de pegar en un sitio. Un pegado le entrega a la página todo el texto del portapapeles, así que si hace un minuto copiaste una contraseña o una frase de recuperación, copia antes algo inofensivo encima.
3. Trata un cambio de pestaña como una evidencia débil. Dice que apartaste la vista, que es lo que la gente hace todo el día. Un sitio de cuestionarios o exámenes que lo penaliza está adivinando intenciones.

Si manejas varias cuentas, cambias de ventana todo el día, y la página de cada perfil registra cada cambio. No pasa nada. Lo que hace que marquen una cuenta es la contradicción en otra parte, como un perfil cuyo idioma, reloj y GPU no concuerdan. Incogniton le da a cada perfil su propio navegador coherente consigo mismo, de modo que tu ir y venir entre ventanas parece el ruido normal que es. Que una plataforma permita varias cuentas o no depende de sus normas, así que conócelas antes de actuar.

¿Quieres ver qué más puede leer una página sin preguntar? El escaneo completo del navegador cubre la parte de red, hardware y fingerprint.