Source: https://bscan.info/es/blog/can-websites-detect-remote-desktop Language: es Descubre qué equipo lee una web al usar escritorio remoto y compara las lecturas de tu navegador: un cambio de GPU o pantalla no demuestra que uses RDP. # ¿Detectan las webs el escritorio remoto? Prueba las señales Publicado 31 de octubre de 2026 ![](https://bscan.info/remoteDesktopCover.svg) Te conectas al ordenador del trabajo, abres una web dentro del escritorio remoto y te salta un aviso. ¿La web ha detectado RDP? ¿O ha visto un navegador ejecutándose en otro ordenador y algo de ese entorno no le ha gustado? Una web puede leer señales del navegador e inferir a partir de ellas que hay acceso remoto. Pero las API habituales de pantalla y gráficos que veremos aquí no devuelven un indicador de sesión de escritorio remoto. Describen el entorno del navegador. Los productos comerciales de detección afirman ir más allá, y el software de supervisión instalado es otro caso distinto. Un «sí» o un «no» sin matices borra justo la distinción que importa. **La versión corta:** una página que se ejecuta en el navegador del ordenador remoto lee el entorno de ese navegador, no directamente el hardware del portátil desde el que lo controlas. Las dimensiones de pantalla y las cadenas de la GPU pueden cambiar, pero ninguna demuestra que RDP esté activo. Compara las lecturas reales más abajo: el resultado compara entornos, nunca certifica la presencia ni la ausencia de acceso remoto. ## La web lee el navegador del ordenador remoto Imagina que usas un MacBook para controlar un ordenador de sobremesa con Windows. Si Chrome se ejecuta en ese ordenador con Windows, la página también se ejecuta allí. Tu MacBook muestra el escritorio y envía tus acciones. La visita a la web no pasa a proceder de un Mac porque tus dedos estén sobre un teclado de Mac. El punto de partida es el mismo con Chrome Remote Desktop, AnyDesk y TeamViewer: primero localiza el navegador que ejecuta la página. No confundas el visor remoto, aunque esté abierto en un navegador, con el navegador que hay dentro del escritorio que controlas. ¿Qué ordenador está leyendo la web? 1. **El dispositivo desde el que lo controlas**Muestra el escritorio remoto y envía tus acciones. 2. **Conexión de escritorio remoto**Transporta la imagen del escritorio y tus acciones entre los dispositivos. 3. **Navegador del equipo remoto**Ejecuta la página y responde a sus llamadas a las API del navegador. 4. **Sitio web**Recibe las señales de la página y la conexión web del navegador. **Página web normal** Puede leer los valores que expone el navegador. Estas API no proporcionan un indicador de sesión RDP ni una lista de procesos. **Software instalado o administrado** Un agente, una extensión con los permisos adecuados o el administrador del equipo remoto pueden tener acceso adicional. Revisa sus permisos y su política por separado. Importa dónde está el navegador, no el teclado. Este diagrama describe el control remoto habitual; los recursos redirigidos y las integraciones administradas requieren sus propias comprobaciones. Este es el modelo habitual de control remoto, no una garantía sobre todas las funciones de redirección. Una configuración administrada puede redirigir recursos o integrar software en ambos dispositivos. Un agente instalado o una extensión con los permisos adecuados también pueden aportar información a la que una página normal no tiene acceso. Si un servicio te ha pedido instalar algo, hay que analizar sus capacidades por separado. La conexión web también cuenta. En una configuración sencilla, las peticiones salen por la ruta de red del navegador remoto. La web ve la dirección de salida de esa conexión, no necesariamente la del portátil que muestra el escritorio. Una IP de una red de alojamiento puede levantar sospechas sin demostrar que exista control remoto. Nuestra [guía de detección de VPN](https://bscan.info/es/blog/vpn-detection) distingue la reputación de la red de las señales del navegador. ## Prueba un cambio de entorno sin usar escritorio remoto Empieza con una prueba de control que puedas reproducir ahora mismo. Captura una referencia inicial más abajo, estrecha la ventana del navegador y compara. En un móvil, quizá sea más fácil cambiar la orientación. Habrás cambiado lo que una web puede medir sin abrir ninguna sesión remota. Compara lecturas del navegador, no conjeturas sobre acceso remoto Captura una referencia inicial, cambia el tamaño de esta ventana o el zoom de la página y compara. Las lecturas solo se conservan en la memoria de este componente; al recargar se borran. Solo se muestran las lecturas actuales. Captura una referencia inicial para empezar. Capturas del entorno del navegador | API de origen | Referencia inicial | Actual | Comparación | | --- | --- | --- | --- | | `navigator.userAgent` | Sin capturar | Esperando al navegador | Sin comparar | | `screen.width / height` | Sin capturar | Esperando al navegador | Sin comparar | | `screen.availWidth / availHeight` | Sin capturar | Esperando al navegador | Sin comparar | | `screen.colorDepth / pixelDepth` | Sin capturar | Esperando al navegador | Sin comparar | | `window.innerWidth / innerHeight` | Sin capturar | Esperando al navegador | Sin comparar | | `window.devicePixelRatio` | Sin capturar | Esperando al navegador | Sin comparar | | `UNMASKED_VENDOR_WEBGL` | Sin capturar | Esperando al navegador | Sin comparar | | `UNMASKED_RENDERER_WEBGL` | Sin capturar | Esperando al navegador | Sin comparar | Acceso actual a los detalles de WebGL: Los detalles de WebGL no están disponibles o el navegador aún no se ha cargado. Esta comparación no puede certificar si el escritorio remoto está activo. Unas lecturas idénticas no demuestran que la sesión sea local; unas lecturas distintas o no disponibles no demuestran que sea remota. La tabla lee `navigator.userAgent`, las dimensiones de `screen`, el área de pantalla disponible, la profundidad de color y de píxel, las dimensiones del área de visualización, `devicePixelRatio` y las cadenas opcionales de depuración de WebGL. Los nombres de las API aparecen junto a los valores. Nada de esto enumera los programas instalados ni consulta el estado de las sesiones de Windows. El comparador no hace peticiones de red y conserva las capturas únicamente en la memoria del componente. Al recargar, se borra la referencia inicial. Esto describe esta figura; no significa que todas las demás funciones del sitio trabajen sin conexión. No sube una huella del navegador, no guarda un resultado en tu cuenta ni consulta a un proveedor antifraude. Una fila marcada como «Sin cambios» solo significa que los dos valores que se han podido leer coinciden. «Ha cambiado» significa que los valores difieren. Si una medición no está disponible, la figura no trata dos valores ausentes como una coincidencia. Es menos espectacular que un aviso rojo de «RDP detectado». También es lo único que permite afirmar la medición. ## Un tamaño de pantalla no es una firma de escritorio remoto `screen.width` y `screen.height` devuelven las dimensiones de pantalla expuestas a la web en píxeles CSS. `window.innerWidth` y `window.innerHeight` describen el área de visualización de la página. Son mediciones distintas, y ninguna garantiza una lectura del número de píxeles del monitor físico. El zoom de la página añade otra trampa. Como explica la [documentación de devicePixelRatio](https://developer.mozilla.org/en-US/docs/Web/API/Window/devicePixelRatio), el zoom normal de la página afecta a DPR; el zoom con el gesto de pellizcar, no. Mover una ventana entre pantallas con distintas densidades de píxeles también puede cambiarlo. Que cambie esa proporción demuestra un cambio en la lectura, no que haya alguien controlando el equipo a distancia. Una sesión remota puede presentar una configuración de pantalla distinta. Cambiar de monitor o ajustar la escala del escritorio también. Y, a la inversa, una configuración remota puede mantener los valores que el navegador ya devolvía. Las lecturas de pantalla por sí solas no permiten saber cuál es la explicación correcta. ## El viejo truco de la profundidad de color no es una prueba de RDP Algunas respuestas antiguas recomiendan comprobar si `screen.colorDepth` es menor de lo esperado. Eso supone que el navegador expone la diferencia de pantalla relevante y que el acceso remoto es su única explicación. Ninguna de esas suposiciones sirve como base para un detector general fiable. El [borrador del editor de CSSOM View](https://drafts.csswg.org/cssom-view) actual describe estos campos de pantalla y permite devolver información que proteja la privacidad. Para la profundidad de color, recomienda devolver 24 cuando el navegador no conoce la profundidad o decide no exponerla por privacidad. También recoge comportamientos de compatibilidad relacionados con 24 y 32. Es un borrador de trabajo, no una especificación de RDP. Así que «24 significa local» y «32 significa remoto» son conclusiones inventadas pegadas a números reales. Puedes anotar los números. Cambiarles la etiqueta no te da certeza sobre la sesión. ## Una GPU por software es una pista, no una prueba La extensión opcional `WEBGL_debug_renderer_info` expone las cadenas del proveedor y del renderizador. La [especificación de Khronos](https://registry.khronos.org/webgl/extensions/WEBGL_debug_renderer_info) las define como información del driver gráfico y explica los motivos de privacidad por los que los navegadores pueden no ofrecer ese detalle. No define ningún indicador de acceso remoto. Un renderizador por software te habla de la ruta de renderizado que declara el navegador. No te dice quién mueve el ratón. Tampoco caigas en el error contrario: que aparezca el nombre de una GPU física no descarta una sesión remota. Microsoft documenta expresamente el [renderizado acelerado por GPU en Azure Virtual Desktop](https://learn.microsoft.com/en-us/azure/virtual-desktop/graphics-enable-gpu-acceleration) a través de RDP. Nuestro [artículo sobre fingerprinting de WebGL](https://bscan.info/es/blog/webgl-fingerprinting) explica qué revelan esas cadenas y por qué los avisos de los verificadores pueden equivocarse. La figura indica si se han devuelto cadenas de depuración, si la extensión de depuración no está disponible o si ha fallado la lectura. En los demás casos indica que los detalles no están disponibles, sin afirmar que falte el propio contexto de WebGL. No puede identificar la causa oculta. ## Qué afirma realmente la detección comercial de acceso remoto No conviertas la ausencia de un indicador estándar en «ninguna web puede detectar jamás el acceso remoto». [PREBYTES comercializa detección de escritorio remoto](https://www.prebytes.com/en/solutions/remote-desktop-detection) con integración mediante JavaScript en la web, capas de detección activa y pasiva e informes de riesgo a través de una API. Son afirmaciones del proveedor. No hemos probado su producto ni verificado de forma independiente su precisión. El resultado de un producto comercial no equivale a una sola propiedad de `screen`, y este comparador no reproduce ese producto. Tampoco prueba modelos de comportamiento. Un cursor lento no demuestra nada: el retraso tiene otras causas. La interacción humana a distancia tampoco es lo mismo que Selenium controlando un navegador; nuestro [artículo sobre detección de automatización](https://bscan.info/es/blog/bot-detection) aborda esa otra cuestión. ## Compara tu configuración antes de cambiarla Si administras un escritorio remoto cuyo uso está autorizado, mantén esta página abierta en el equipo remoto. Captura una referencia inicial desde su consola física, conéctate a distancia y compara si se conserva la misma sesión de la página. Si se recarga, la referencia se pierde; anota tú las primeras lecturas antes de repetir la prueba. Registra qué cliente, navegador y ajustes de pantalla has usado. No hemos realizado este experimento con RDP, así que estos pasos son un procedimiento de prueba, no unos resultados observados. Abrir esta página en tu portátil y después en el equipo remoto es otro experimento: estás comparando dos entornos de navegador. Es normal que haya diferencias, y no permiten aislar el acceso remoto como causa. Deja clara esa distinción en tus notas. Para pruebas legítimas de QA con varios perfiles, un gestor de perfiles como [Incogniton](https://www.incogniton.com/?utm_source=bscanInfo&utm_medium=Website&utm_campaign=CanWebsitesDetectRemoteDesktopBlog) puede encajar en tu flujo de trabajo, pero no demuestra que el acceso remoto sea indetectable. Respeta la política de acceso remoto del servicio en vez de interpretar el resultado de un verificador de huellas como un permiso. Si una web bloquea tu sesión de trabajo, guarda el aviso exacto y las lecturas de antes y después para su equipo de soporte. Después ejecuta el análisis desde el navegador que está dentro de esa sesión, no solo desde el portátil que la muestra. [Ejecutar el análisis completo del navegador](https://bscan.info/es) ## Seguir leyendo [ ![¿Puede una web detectar Inspeccionar elemento y DevTools?](https://bscan.info/devtoolsCover.svg) ¿Puede una web detectar Inspeccionar elemento y DevTools? ](https://bscan.info/es/blog/detect-devtools)[ ![¿Pueden las webs ver el nombre de tu equipo?](https://bscan.info/computerNameCover.svg) ¿Pueden las webs ver el nombre de tu equipo? ](https://bscan.info/es/blog/computer-name)[ ![¿Pueden las webs leer tu portapapeles? Prueba las dos vías](https://bscan.info/clipboardAccessCover.svg) ¿Pueden las webs leer tu portapapeles? Prueba las dos vías ](https://bscan.info/es/blog/can-websites-read-clipboard) --- This is the page's server-rendered documentation. Interactive browser tests, file processing and permission prompts require the HTML page; Markdown does not contain live measurements or process files.