Enlaces desconocidos: ábrelos en una ventana privada (y conoce sus límites)

Casi todos navegamos en una sola ventana con la sesión iniciada en casi todo: el correo, el banco, las tiendas online, las redes sociales, las herramientas del trabajo. Es cómodo, pero también significa que cualquier página que abras llega a un navegador que ya tiene la sesión iniciada en todos esos servicios. Los navegadores ya mantienen separados los sitios, así que una página cualquiera no puede leer sin más tu correo ni tu cuenta del banco. Pero las peticiones que hace a esos sitios pueden llevar tus cookies de sesión, y en un servicio vulnerable eso puede bastar para actuar en tu nombre. Con los enlaces de confianza no pasa nada. Con un enlace de alguien que no conoces, un mensaje que no esperabas o un código QR en una pegatina, hay una forma sencilla de mantenerlo apartado de todo eso: ábrelo en una ventana privada.

Qué cambia una ventana privada

Todos los navegadores importantes tienen esta función: Firefox y Safari la llaman navegación privada; Chrome, modo incógnito; y Edge, InPrivate. Lo que importa aquí es que esa ventana no comparte tu sesión de siempre. Según la ayuda de Chrome de Google, cuando abres una ventana de incógnito, Chrome inicia una sesión de navegación independiente y no inicia sesión automáticamente en tu cuenta de Google ni en otros sitios web. La guía de Safari de Apple explica que, en la navegación privada, lo que inicias en una pestaña queda aislado de lo que inicias en otras.

Para un enlace del que no te fías, eso tiene dos efectos prácticos:

• La página no puede aprovechar tus sesiones iniciadas. Las peticiones que hace la página a tu correo, tu banco o tu tienda no llevan las cookies de sesión de tu ventana normal, lo que limita los ataques que dependen de ellas, como la falsificación de peticiones en sitios cruzados (CSRF) contra un servicio vulnerable. Los ordenadores de trabajo que gestiona una empresa pueden estar configurados para iniciar sesión automáticamente en los sitios web de la empresa, incluso en una ventana privada, como describe Microsoft para Edge.
• Lo que guarda la página no se queda. Según Google y Microsoft, Chrome y Edge eliminan las cookies y los datos de sitios de la sesión privada cuando cierras todas las ventanas privadas y, según Apple, en la navegación privada de Safari no se guardan los cambios en las cookies y otros datos de sitios web.

Además, te da una señal de alarma clara. Si una página a la que has llegado desde un enlace desconocido te pide iniciar sesión, no es que la ventana privada sea incómoda. Es el momento de cerrarla e ir tú mismo al servicio, escribiendo su dirección o abriendo su app.

Hay un detalle importante. En Chrome y Edge, la sesión privada no se reinicia con cada ventana: la sesión de incógnito de Chrome solo termina cuando cierras todas las ventanas de incógnito, y Microsoft indica que las cookies no se eliminan hasta que cierras todas las ventanas InPrivate. Así que usa la ventana privada solo para ese enlace desconocido, no inicies sesión en tus cuentas reales desde ahí y cierra todas las ventanas privadas cuando termines.

Qué no hace una ventana privada

La navegación privada se suele sobrevalorar, así que conviene ser preciso. Esto es lo que dicen los propios fabricantes de navegadores:

• No te hace anónimo. Según Google, el modo incógnito no te hace invisible: es posible que los sitios web que visitas y las organizaciones que gestionan tu red, como tu centro educativo, tu empresa o tu proveedor de internet, sigan pudiendo ver tu actividad. Según Microsoft, tu centro educativo, tu trabajo y tu proveedor de servicios de internet podrían seguir teniendo acceso a tus datos de navegación InPrivate y, según Mozilla, la navegación privada de Firefox no impide que tu proveedor de servicios de internet registre lo que haces.
• No te protege del malware. Mozilla dice que la navegación privada no te protege contra malware ni virus, y Microsoft, que InPrivate no te protege más frente a sitios web malintencionados. Además, los archivos que descargas siguen en tu dispositivo después de cerrar la ventana, como recuerdan tanto Google como Apple. Un enlace también puede iniciar una descarga en lugar de mostrar una página: cancela las descargas inesperadas y no abras el archivo. Algunos navegadores pueden abrir automáticamente ciertos archivos descargados, como Safari con la opción Abrir archivos “seguros” al descargarlos, así que revisa también ese ajuste. Así que no descargues ni abras nada desde un enlace del que no te fías, con ventana privada o sin ella.
• No impide que entregues tu contraseña. Una página de inicio de sesión falsa se ve exactamente igual en una ventana privada. Si escribes ahí tu contraseña o los datos de tu tarjeta, los has perdido, sea cual sea la ventana.
• No elimina lo que lleva el propio enlace. Un enlace personalizado puede identificarte ante quien lo envió, y algunos enlaces inician sesión sin contraseña. No abras enlaces inesperados de inicio de sesión, de restablecimiento de contraseña o de tu cuenta para ver qué hacen; ve tú mismo al servicio oficial.

Cómo abrir un enlace en una ventana privada

En la mayoría de los navegadores, el menú que aparece al hacer clic derecho en un enlace en el ordenador, o al mantenerlo pulsado en el móvil, ofrece abrirlo en una ventana privada. Dos ejemplos de las páginas de ayuda oficiales: en Edge, haz clic derecho en un enlace y selecciona Abrir vínculo en la ventana InPrivate; en Chrome para Android, mantén pulsado el enlace y toca Abrir enlace en ventana de Incógnito nueva (las instrucciones de Google para Android).

Los enlaces de una app de correo, una app de chat o un lector de códigos QR se abren donde esa app los envíe, que a menudo es tu ventana normal del navegador. Si prefieres una ventana privada, copia la dirección del enlace en lugar de tocarlo, por ejemplo con Copiar dirección del enlace en el menú del enlace, y no su texto visible. Después abre una ventana privada nueva y pega la dirección en la barra de direcciones. En Chrome en el ordenador, el menú Más tiene Nueva ventana de Incógnito (o pulsa Ctrl + Mayús + N; en un Mac, ⌘ + Mayús + N); en Safari en el Mac, selecciona Archivo > Nueva ventana privada.

Un hábito entre varios

Una ventana privada limita lo que puede alcanzar un enlace desconocido. No te dice si deberías abrirlo. Estos hábitos importan más y van primero:

1. Mira el destino real antes de hacer clic. Las palabras de un mensaje no son la dirección que visitas. En Phishing de enlaces en el correo: por qué tu aplicación debería mostrar siempre la URL defiendo que las apps de correo muestren esa dirección por defecto, y Otro dominio detrás de un enlace: ¿señal de alarma o algo inofensivo? explica cómo valorar una dirección que no coincide con el texto.
2. Si se trata de tu cuenta o de tu dinero, olvídate del enlace. Ve tú mismo a la web o la app oficial, con una dirección que conozcas o la app que ya tienes.
3. Deja que una herramienta te muestre a qué dirección apunta un enlace del correo. Reveal URLs es una extensión de navegador y un complemento de correo, gratuitos y de código abierto, que muestran la URL inmediata real de cada enlace antes de hacer clic. Muestra la URL inmediata y no sigue redirecciones.
4. Comprueba adónde lleva un código QR antes de abrirlo. Un código QR con una dirección web es un enlace que no puedes leer hasta que algo lo descodifica. Si tu lector te muestra primero la dirección, léela con el mismo cuidado que cualquier otro enlace, como explico en ¿Vas a escanear un código QR? Mira primero adónde te lleva.

Después, si aún quieres ver adónde lleva un enlace desconocido, ábrelo en una ventana privada, no inicies sesión, no descargues nada y cierra todas las ventanas privadas al terminar.