Cómo Math.tanh revela tu sistema operativo

Una función matemática que parece inocente puede decir más de tu navegador de lo que imaginas. Eso es justo lo que pasa con Math.tanh en ciertos entornos de Chromium: según el sistema operativo, el resultado observado puede cambiar lo suficiente como para ayudar a identificarlo. No estamos hablando de una fuga masiva por sí sola, sino de una pieza más dentro del rompecabezas del fingerprinting.

El punto incómodo es este: muchas técnicas de rastreo no necesitan cookies, ni permisos, ni pedirte que inicies sesión. Les basta con medir pequeñas diferencias en cómo el navegador ejecuta JavaScript, renderiza texto o calcula funciones. Si combinas varias señales, puedes terminar con una huella bastante precisa del equipo que hay detrás. Eso impacta privacidad, detección de bots y también la forma en que los equipos de seguridad evalúan tráfico sospechoso.

Qué pasó con Math.tanh y por qué importa

El hallazgo parte de una observación concreta en Chromium 148 y versiones relacionadas: Math.tanh, una función estándar de JavaScript, puede comportarse de forma distinta dependiendo del sistema operativo subyacente. La diferencia no es visible para una persona normal, pero sí para un script que compare resultados con mucha precisión. En otras palabras, una operación que debería parecer neutral termina filtrando una señal útil.

Si tú administras una web, esto te interesa por dos razones. La primera es privacidad: el navegador puede exponer más detalles del entorno de los que el usuario cree. La segunda es seguridad: si un bot intenta simular un navegador real, estas diferencias sirven para detectar inconsistencias. Cuando una granja de bots usa el mismo stack en Linux, Windows y macOS, pequeñas variaciones matemáticas pueden delatarla.

No hace falta exagerar el alcance. Math.tanh no identifica por sí sola a una persona, ni reemplaza otras técnicas de fingerprinting. Pero sí suma una señal más a una lista que ya incluye canvas, WebGL, fuentes, timezone, user agent y detalles de audio. En anti-bot, muchas veces no gana la señal más fuerte, sino la combinación de varias señales medianas.

Qué es fingerprinting, en simple

Fingerprinting es el proceso de juntar atributos técnicos del navegador y del dispositivo para construir una huella que lo distinga de otros. No requiere que el usuario haga clic en nada. Puede ocurrir en segundos, apenas carga una página o un script de analítica.

Algunas señales son bastante conocidas, como el user agent o el tamaño de pantalla. Otras son más sutiles, como el orden de renderizado de fuentes, el stack de audio o los resultados de funciones matemáticas. Si una sola señal cambia poco, su valor es limitado; si varias coinciden, la probabilidad de identificar el entorno sube bastante.

Cómo una función matemática termina delatando el OS

JavaScript corre sobre motores distintos, pero en Chromium hay capas internas y dependencias del sistema que pueden influir en resultados numéricos. La idea no es que Math.tanh “pregunte” qué sistema operativo usas. El problema es más fino: distintas implementaciones, bibliotecas o rutas de optimización pueden producir pequeñas diferencias de redondeo o precisión.

En pruebas de fingerprinting, una diferencia de pocos bits ya alcanza. Si un valor esperado en Windows cae en un rango y en Linux en otro, el script puede clasificar el entorno con bastante confianza. No necesita acertar siempre; le basta con aumentar la probabilidad de acierto cuando se combina con otras señales.

Esto no es nuevo en la web. Históricamente, los motores de JavaScript han filtrado información por detalles de coma flotante, timing y comportamiento gráfico. Lo nuevo aquí es que una función tan común como Math.tanh se suma a esa lista de señales útiles para inferir el sistema operativo.

Señales pequeñas, decisiones grandes

En la práctica, un sistema anti-bot no decide por una sola variable. Suele asignar un puntaje. Si el navegador dice una cosa, pero el rendimiento gráfico, la zona horaria y una función matemática apuntan a otra, el riesgo sube. Así se bloquean logins, se activan captchas o se pide verificación adicional.

Para privacidad, el problema es el opuesto: cada señal adicional hace más fácil correlacionar sesiones. Aunque cambies de IP, si tu navegador sigue entregando la misma huella, te pueden reconocer. Eso afecta a usuarios que usan VPN, proxies o navegación privada pensando que eso basta.

Un ejemplo realista: una tienda online en México o Ecuador puede ver tráfico desde cientos de IPs residenciales. Si el bot usa Chrome automatizado con una huella demasiado estable, una señal matemática más puede ser la diferencia entre dejar pasar scraping masivo o frenarlo antes de que afecte inventario y precios.

Impacto directo en privacidad, anti-bot y seguridad

La privacidad es el primer frente. Si el navegador expone rasgos del sistema operativo sin consentimiento explícito, el usuario pierde capacidad de control. No se trata solo de cookies o tracking tradicional; se trata de inferencias técnicas que operan por debajo del radar.

En anti-bot, el hallazgo es útil para defensores, pero también para atacantes. Los defensores pueden sumar Math.tanh a sus checks de coherencia. Los atacantes, por su parte, intentarán emular resultados o normalizarlos. Eso empuja una carrera técnica donde cada lado refina sus pruebas y sus evasiones.

En seguridad web, estas señales ayudan a detectar automatización maliciosa, credential stuffing y scraping agresivo. Pero también hay un riesgo: si confías demasiado en fingerprinting, puedes bloquear usuarios legítimos que usan configuraciones poco comunes, navegadores embebidos o equipos corporativos con políticas especiales.

Privacidad: qué se filtra realmente

Lo que se filtra no es el contenido de tus datos, sino metadatos de tu entorno. Aun así, esos metadatos pueden ser sensibles porque permiten correlación. Si un sitio registra que siempre usas el mismo patrón de huella, puede seguirte entre sesiones, aunque borres cookies.

Además, fingerprinting no necesita ser perfecto para ser útil. Un sitio puede usarlo para decidir si mostrar contenido, pedir un paso extra de verificación o limitar ciertas acciones. En la práctica, eso ya afecta tu experiencia y tu anonimato.

Anti-bot: por qué una señal más ayuda

Los sistemas anti-bot modernos trabajan con múltiples capas. Por ejemplo:

1. Validan comportamiento de mouse y teclado.
2. Revisan headers y coherencia del navegador.
3. Comparan señales de renderizado y JavaScript.
4. Cruzan IP, ASN, geolocalización y reputación.
5. Puntúan inconsistencias entre todo lo anterior.

Math.tanh entra en el punto 3 o 4 como una señal de consistencia. Si un bot corre en un entorno que no replica bien el sistema operativo, la función puede delatarlo. Eso no bloquea al bot automáticamente, pero sí aumenta la fricción para quien automatiza a escala.

Qué puede hacer tu equipo si opera una web

Si tú trabajas en producto, seguridad o growth, no conviene leer este tipo de hallazgos solo como curiosidad técnica. Hay decisiones concretas que puedes tomar. La primera es revisar qué señales usas hoy para detectar abuso y qué tan robustas son frente a cambios de navegador.

La segunda es evitar depender de una sola técnica. El fingerprinting por sí mismo puede fallar, cambiar con actualizaciones o afectar a usuarios reales. Lo sensato es combinarlo con señales de comportamiento, rate limiting, reputación de IP y controles de riesgo progresivos.

La tercera es documentar bien tus políticas. Si usas fingerprinting para prevención de fraude o anti-abuso, conviene explicarlo en tu política de privacidad y revisar si aplica consentimiento o base legal según tu jurisdicción. Para usuarios en Latinoamérica, esto puede variar bastante entre países y sectores.

Medidas prácticas para equipos web

• Revisa tus reglas de riesgo y anota qué señales técnicas usas hoy.
• No bloquees solo por una huella: usa scoring con varios factores.
• Monitorea falsos positivos en navegadores móviles y equipos corporativos.
• Mantén umbrales distintos para login, scraping, checkout y creación de cuentas.
• Registra versiones de navegador y sistema operativo cuando haya consentimiento o base legal.
• Prueba tu flujo con entornos reales: Windows, macOS, Linux, Android e iOS.

Si tienes un equipo de producto o seguridad pequeño, esto no significa construir un laboratorio de fingerprinting propio. Significa entender que una señal como Math.tanh puede ser útil, pero nunca debería ser la única razón para bloquear a alguien.

Qué deberían mirar quienes desarrollan anti-bot

Si tú construyes o integras anti-bot, este hallazgo te obliga a revisar tus supuestos. Muchos scripts de evasión se enfocan en user agent, WebGL o navigator.webdriver, pero descuidan detalles numéricos. Eso deja huecos que un detector puede explotar.

La clave está en la consistencia. Un navegador automatizado puede falsificar headers, pero si el resultado de una función matemática no coincide con el resto del perfil, la sesión se vuelve sospechosa. En detección, la incoherencia suele valer más que una señal aislada.

También conviene probar tus defensas con distintos motores y versiones. Chromium, Firefox y Safari no siempre se comportan igual. Lo mismo pasa entre Windows 11, macOS y distribuciones Linux. Si tu sistema anti-bot asume homogeneidad total, vas a tener huecos o bloqueos innecesarios.

Fuentes y documentación útil

Para profundizar sin depender solo de terceros, vale la pena revisar documentación oficial y material técnico de base:

• MDN sobre Math.tanh: https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/Math/tanh
• Especificación ECMAScript: https://tc39.es/ecma262/
• Documentación de Chromium: https://www.chromium.org/

Estas fuentes no hablan específicamente de fingerprinting en el mismo formato del hallazgo, pero sí ayudan a entender el comportamiento esperado de la función y el contexto del motor.

Cómo medir el riesgo sin sobre reaccionar

No todo hallazgo de fingerprinting obliga a rediseñar tu stack. A veces el impacto real es pequeño y se compensa con otras capas de seguridad. Lo que sí conviene es medir. Si no sabes cuántos usuarios legítimos usan configuraciones atípicas, es fácil sobredimensionar el problema.

Una buena práctica es revisar métricas de bloqueos, captchas resueltos, abandonos en login y diferencias por sistema operativo. Si notas que un grupo específico de usuarios cae más en desafíos, puede haber un falso positivo relacionado con la huella técnica. En mercados como Ecuador, Colombia o Perú, donde conviven equipos antiguos, navegadores actualizados y conexiones variables, esa revisión vale más que una suposición.

También ayuda separar casos de uso. No es lo mismo detectar bots en un formulario público que proteger pagos o cuentas. En el primer caso puedes tolerar más fricción. En el segundo, una señal extra como Math.tanh puede ser útil si la combinas con validaciones más fuertes.

Tabla resumen

El valor de este caso no está en que una función matemática “adivine” tu sistema operativo por magia. Está en recordarte que la web moderna está llena de superficies pequeñas donde se filtra información. Si tú diseñas productos o defensas, tienes que mirar esas superficies con más cuidado.

Y si eres usuario, el mensaje también es claro: navegar sin cookies no significa navegar sin huella. El fingerprinting sigue avanzando por caminos menos obvios, y una función como Math.tanh demuestra que incluso el código más banal puede tener efectos inesperados.