¿Más espacio, menos privacidad? Identificación de sitios web basada en direcciones IP en IPv6

A medida que Internet avanza hacia un cifrado más sólido, muchos usuarios dan por sentado que su actividad en línea resulta cada vez más difícil de supervisar.

Tecnologías como DNS sobre HTTPS (DoH), DNS sobre TLS (DoT) y «Encrypted Client Hello» (ECH) ocultan ahora los nombres de dominio a quienes observan la red, eliminando así una de las fuentes más evidentes de fuga de privacidad. Sin embargo, el cifrado no hace que Internet sea invisible. Hay un elemento que sigue totalmente expuesto: las direcciones IP del tráfico de red, que pueden asociarse a sus dominios de alojamiento, lo que, en la práctica, desvela los sitios web que visita un usuario.

En mi beca de investigación «Pulse Research Fellowship» de 2025, planteamos una pregunta sencilla pero importante: ¿La transición de IPv4 a IPv6 mejora o empeora el seguimiento en línea?

La transición a IPv6 es un arma de doble filo

A diferencia de IPv4, que obliga a muchos sitios web a compartir la misma dirección IP, IPv6 ofrece un espacio de direcciones enorme. En teoría, esto permite que cada sitio web tenga su propia dirección IP única, lo que facilita a los proveedores de servicios de Internet, a las redes empresariales o a los organismos de censura nacionales deducir qué sitios visita un usuario, incluso cuando los nombres de dominio están cifrados, mediante el análisis de las conexiones IP.

Para comprobar si esta preocupación se confirma en la práctica, hemos llevado a cabo el estudio más amplio realizado hasta la fecha sobre la identificación de sitios web basada en direcciones IP en entornos IPv6. Hemos analizado más de medio millón de sitios web compatibles con IPv6, combinando un rastreo web a gran escala, mediciones activas de DNS y un análisis longitudinal a lo largo de varios meses.

En el caso de los sitios web que aún utilizan una combinación de IPv4 e IPv6 (actualmente, la mayor parte de la Web, es decir, aquellos con «dual-stack» incompleto), el seguimiento basado en la dirección IP sigue siendo muy eficaz. En estos casos, los observadores pueden identificar correctamente los sitios web visitados aproximadamente en el 94 % de las ocasiones, independientemente de si el tráfico utiliza IPv4 o IPv6. En otras palabras, la Internet «de doble pila» actual sigue siendo muy fácil de identificar.

Los sitios web que funcionan únicamente a través de IPv6 (dual-stack completo) son considerablemente más difíciles de identificar mediante huellas digitales. La precisión de la identificación desciende hasta alrededor del 45 %, lo que significa que, en más de la mitad de los casos, un observador no puede determinar de forma fiable qué sitio web está visitando un usuario. La diferencia en la precisión de la identificación entre los sitios web con «dual-stack» incompleto y los que cuentan con «dual-stack» completo se ilustra en la Tabla 1.

Table 1 — Fingerprinting accuracy in IPv4 and IPv6 across dual-stack complete and incomplete websites.

Ranking	Dual-stack incomplete sites			Dual-stack complete sites
	#Sites	IPv4 %	IPv6 %	#Sites	IPv4 %	IPv6 %
Top 100	39	89.74	89.74	61	29.51	24.59
Top 1000	540	90.37	90.19	460	56.96	49.35
Top 10K	6038	94.10	94.17	3962	64.84	54.72
Top 50K	29742	94.81	94.96	20258	65.33	56.64
Top 100K	56491	94.68	94.86	43509	62.24	53.29
Top 250K	119997	93.06	93.31	130003	56.37	44.94
Top 500K	219501	93.79	94.16	280499	56.09	44.80
All websites	228108	93.78	94.20	295315	56.02	44.82

Este resultado contradice las preocupaciones expresadas por la comunidad dedicada a la protección de la privacidad. Las direcciones IPv6 son más abundantes y, a menudo, parecen alojar un único dominio en comparación con las direcciones IPv4. Sin embargo, la singularidad por sí sola no determina el riesgo para la privacidad.

Por qué la infraestructura de alojamiento es más importante que la versión del protocolo IP

El factor clave que determina el éxito de la identificación mediante huellas digitales es la forma en que los proveedores de alojamiento implementan el IPv6, y no el propio IPv6.

Las grandes plataformas y las redes de distribución de contenidos (CDN), como Cloudflare, Fastly y Google, suelen alojar miles de sitios web no relacionados entre sí en conjuntos compartidos de direcciones IPv6. Cuando muchos dominios comparten la misma infraestructura, las direcciones IP pierden su carácter informativo, lo que dificulta los intentos de rastreo.

Por el contrario, los proveedores que asignan una dirección IPv6 por sitio web o que utilizan prefijos IPv6 de gran tamaño con alias hacen que dichos sitios sean mucho más fáciles de identificar. En consecuencia, dos sitios web que utilicen IPv6 pueden enfrentarse a situaciones muy diferentes en función de dónde y cómo estén alojados.

Este despliegue desigual explica por qué IPv6 no ofrece un panorama único y uniforme en materia de privacidad. Por el contrario, las decisiones de los proveedores determinan si IPv6 aumenta o reduce los riesgos de rastreo. Esto queda más claro al comparar los principales proveedores de alojamiento y su correspondiente precisión en la identificación de huellas digitales, tal y como se muestra en la Tabla 3.

Table 2 – IPv6 fingerprint accuracy of the top 10 hosting providers for dual-stack complete and incomplete websites (Weighted-f1 accuracy).

Rank	Dual-stack incomplete sites			Dual-stack complete sites
	Provider	# Sites	WF %	Provider	# Sites	WF %
1	CLOUDFLARENET	146115	97.0	CLOUDFLARENET	212195	43.6
2	Hostinger Int'l Ltd	4255	97.6	Hostinger Int'l Ltd	4775	79.5
3	AMAZON	4006	84.2	Hetzner Online GmbH	3892	48.5
4	FASTLY	3344	71.4	Cloudflare London, LLC	3626	25.6
5	DIGITALOCEAN	3195	14.6	OVH SAS	2865	49.6
6	OVH SAS	1985	86.1	AMAZON	2508	62.8
7	Hetzner Online GmbH	1896	93.4	IONOS SE	2321	50.7
8	AkamaI Int'l B.V.	1848	78.9	FASTLY	1706	22.5
9	IONOS SE	1717	93.8	GOOGLE-GCP	1629	9.8
10	JSC Timeweb	1607	88.1	GOOGLE	1601	16.3

El IPv6 no resolverá los problemas de privacidad, pero puede contribuir a ello

Nuestros resultados tienen claras implicaciones:

• El cifrado por sí solo no es suficiente. Incluso con un DNS cifrado y los protocolos TLS, los metadatos a nivel de IP siguen permitiendo un seguimiento a gran escala.
• El IPv6 solo puede mejorar la privacidad si se implementa de forma meditada. El direccionamiento compartido y la agregación a nivel de infraestructura son más importantes que el espacio de direcciones en sí.
• Los proveedores de alojamiento web desempeñan un papel fundamental en la privacidad de los usuarios. Sus decisiones en materia de asignación de direcciones y coubicación de dominios influyen directamente en el grado de visibilidad del comportamiento de navegación de los usuarios para quienes observan la red.

A medida que la adopción de IPv6 sigue creciendo en todo el mundo, esto genera tanto riesgos como oportunidades. Si se aplican prácticas de implantación cuidadosas, IPv6 puede contribuir a recuperar parte del anonimato que antes ofrecía la escasez de direcciones (IPv4).

Este estudio se encuentra actualmente en proceso de revisión por pares, y en breve publicaremos los conjuntos de datos completos y las conclusiones. Mientras tanto, puede ver mi presentación en el Pulse Internet Measurement Forum celebrado en España, o ponerse en contacto con [email protected] para obtener más información sobre mi metodología y mis resultados.

Muhammad Sumeer Ahmad fue becario de investigación de Pulse 2025 y estudiante de doctorado en el Departamento de Informática de la Universidad de Stony Brook.