¿Pueden las webs ver el nombre de tu equipo?

Le pusiste a tu portátil un nombre personal. Luego una web de consulta de IP mostró un campo llamado «hostname», o una alerta de inicio de sesión mencionó tu equipo, y te preguntaste si todas las webs reciben ese nombre cuando abres una pestaña.

Un sitio web público corriente no obtiene el nombre de tu dispositivo Windows ni el nombre de tu Mac mediante una API estándar del navegador. Pero las herramientas de comprobación de privacidad llaman «nombre» a varias cosas que se refieren a máquinas distintas. Confundirlas hace que una consulta de red bastante aburrida parezca una incursión en la configuración de tu equipo.

El hostname de JavaScript pertenece al sitio web

Abre la consola en esta página y evalúa location.hostname. En el sitio público devuelve bscan.info. En una vista previa local puede devolver localhost. Ninguno de los dos resultados es el nombre del equipo que está leyendo la página. Es la parte de la URL que identifica al servidor, tal como especifica la documentación de la API Location.

La palabra «host» en una petición HTTP provoca la misma confusión. Host: bscan.info le dice al servidor qué sitio web has solicitado. HTTP/2 y HTTP/3 pueden transmitir esa información en :authority. Estos campos identifican el destino, no tu portátil. Ese es el significado definido para los campos Host y authority de HTTP.

Prueba la demostración de abajo. Sus dos primeros valores son lecturas reales del navegador. La fila del nombre del equipo indica qué exponen las API estándar del navegador. No puede descartar que compartas esa información por otras vías.

El User-Agent es una descripción de tu software que proporciona el navegador. Puede indicar una familia de sistemas operativos y una versión del navegador. No tiene ningún campo estándar para el nombre que elegiste para tu dispositivo en Configuración. Una extensión o un navegador personalizado podrían añadir texto, así que lee la cadena real en lugar de dar por hecho que no contiene datos personales. Explicamos la fiabilidad de esas declaraciones sobre el software en por qué el User-Agent y el motor pueden discrepar.

El hostname de una IP pública es otro nombre distinto

Un servidor puede tomar la IP de origen de tu conexión e intentar una consulta de DNS inverso. El resultado podría parecerse a customer-203-0-113-8.isp.example, ser el nombre de un proveedor de alojamiento o no devolver nada. Ese es un ejemplo inventado de un registro DNS.

El DNS inverso pregunta a quien controla los registros de DNS inverso de esa dirección qué nombre publicó para ella. No le pregunta a Windows ni a macOS qué nombre le pusiste a la máquina. En una red doméstica que usa NAT con IPv4, varios dispositivos pueden compartir la dirección pública. Por tanto, no se puede tratar un hostname público como si fuera el nombre del portátil que abrió la página.

Tampoco lo conviertas en «un hostname nunca puede identificar una máquina». Una organización puede publicar deliberadamente un nombre significativo para un equipo con una dirección pública. El registro podría incluso coincidir con su nombre local. La cuestión es de dónde salió el resultado: de datos DNS publicados, no de una API estándar de una página web que lee tu configuración. Una VPN puede cambiar la dirección de conexión que ve un sitio; eso no determina qué otra información conoce ya ese sitio.

¿Puede una subida de archivos revelar tu usuario de Windows?

Una ruta como C:\Users\Alice\Documents\invoice.pdf contiene un nombre de usuario. Un selector HTML normal de un solo archivo no entrega esa ruta completa a la página. El value del campo usa una cadena que protege la privacidad, como C:\fakepath\invoice.pdf, y File.name contiene el nombre del archivo sin su ruta. MDN documenta esta ruta ficticia; no es una carpeta que tengas que borrar ni un error de Windows.

Usa el archivo de muestra inofensivo de la demostración y luego selecciónalo. Compara input.value con File.name. Ver una ruta ficticia con formato de Windows en un Mac no significa que la página haya detectado Windows. Esa cadena está ahí para ocultar la estructura real de carpetas.

El nombre del archivo sí es visible. Si eliges Alice-Payroll-October.pdf, la página recibe ese nombre. Elegir un archivo también da a la página acceso a su contenido; no tiene que esperar a que pulses un botón aparte de «Subir». Esta demostración solo muestra el nombre y el valor del campo. Nunca lee el contenido ni envía el archivo a ningún sitio.

Esa distinción importa al evaluar otros sitios. Una vista previa local puede leer un archivo sin subirlo. Otra página puede transmitirlo en cuanto terminas de seleccionarlo. Los selectores de carpetas son una función aparte y pueden exponer rutas relativas dentro de una carpeta elegida. Una ruta ficticia protege tu ruta local completa; no promete que los archivos seleccionados estén libres de información personal.

¿Quién puede conocer realmente el nombre de tu equipo?

Tu red local ve cosas distintas de las que ve un sitio web público cualquiera. Los nombres de los dispositivos pueden aparecer en protocolos de red y en el descubrimiento de servicios. El RFC 8117 describe el problema de privacidad, incluidos los nombres expuestos mediante DHCP y DNS multicast. Por eso la lista de dispositivos de un router puede saber algo que una página web pública normal desconoce. Abrir la página de administración de ese router no da a todas las demás webs acceso a lo que sabe el router.

En una intranet corporativa, Windows Authentication permite a las aplicaciones web configuradas para ello autenticar a los usuarios con sus cuentas de Windows. La guía de Windows Authentication de Microsoft describe su uso en intranets corporativas. Que el nombre de una cuenta autenticada llegue por esa vía es distinto de que un script cualquiera lea tu usuario del sistema operativo. Un portal de empresa también puede mostrar datos del dispositivo tomados de su propio inventario. Pregunta qué integración proporcionó ese nombre antes de concluir que lo expuso el navegador.

También puedes enviar el nombre tú mismo. Una captura de Configuración puede mostrar el nombre del dispositivo. Un registro de diagnóstico puede contener un hostname o la ruta de una carpeta de usuario. Un documento puede contener un nombre de autor. Son razones para revisar lo que compartes, aunque la página no tenga una función general para «leer el nombre del equipo».

Cambiar el nombre de tu PC no reinicia la identidad del navegador

Si un sitio reconoce tu cuenta después de que cambies el nombre del equipo, no tiene nada de extraño. Puede reconocer una sesión por sus cookies o por tu inicio de sesión. También puede combinar características del navegador para crear un fingerprint. Nada de eso necesita el nombre que aparece en la configuración de tu dispositivo. La misma distinción explica por qué una web puede reconocer tu dispositivo sin conocer tu dirección MAC.

Cambiar Alice-Laptop por Desktop tiene sentido si no te gusta difundir un nombre personal en las redes locales. No borra las cookies, no cambia una cuenta ni sustituye las características de renderizado que se usan en el fingerprinting de canvas. Una herramienta puede reconocer tu navegador sin averiguar el nombre de tu equipo.

Para trabajar con cuentas de clientes, los perfiles de navegador separados son más útiles que un nombre nuevo para el PC. Incogniton es una herramienta para gestionar esos perfiles. Tómalo como una decisión sobre cómo organizar tu trabajo, no como una garantía de que un documento que subas o un portal de empresa en el que te autentiques no pueda identificarte.

Empieza por la afirmación que viste. Si el valor es el dominio del sitio actual, salió de la URL. Si se parece al nombre de tu proveedor, comprueba si procede del DNS inverso. Si contiene tu nombre personal, revisa el nombre del archivo, la cuenta o los datos de diagnóstico que proporcionaste. Después ejecuta el análisis del navegador para examinar las señales que una página web puede leer sin conocer el apodo de tu PC.