Bloqueo automático del rastreo: 4 ajustes que iOS y Android ocultan

Ese pop-up te interrumpe en el peor momento. Acabas de instalar una nueva app de fitness — Strava, MyFitnessPal, da igual — y antes de poder hacer nada útil, ahí está: "¿Permitir que [App] rastree tu actividad en apps y sitios web de otras empresas?" Tocas "Pedir a la app que no rastree", continúas y lo olvidas. Tres instalaciones después, vuelves a hacerlo. Es un peaje de diseño. Apple introdujo App Tracking Transparency en iOS 14.5 (abril de 2021) como un avance genuino en privacidad, y luego enterró la opción de exclusión automática en menús a los que la mayoría de usuarios nunca llega. Android nunca creó un equivalente único. Así se cierran ambas brechas, de forma permanente, en las dos plataformas.

Probado en iPhone 15 Pro (iOS 18.4), Pixel 8 (Android 15), Mac mini M4. Rutas de ajustes verificadas el 26 de mayo de 2026.

iOS: Un interruptor, todos los pop-ups eliminados

El ajuste de privacidad más importante que Apple ha lanzado es también uno de los menos publicitados. Abre Ajustes → Privacidad y seguridad → Rastreo y desactiva "Permitir que las apps soliciten rastrear".

Eso es todo. Con este interruptor apagado, iOS no muestra el aviso ATT a la app solicitante en ningún momento — devuelve una señal automática de "no autorizado" antes de que el pop-up pueda siquiera aparecer. Dejas de ver el diálogo por completo. La app sabe que no puede rastrear; tú nunca te ves interrumpido.

Un poco de contexto viene bien. El marco App Tracking Transparency de Apple se lanzó con iOS 14.5 en abril de 2021. En menos de nueve meses, Flurry Analytics informó de que solo el 13 % de los usuarios estadounidenses que vieron el aviso habían aceptado — un 11 % a nivel mundial. El interruptor de arriba se salta el aviso por completo y produce el mismo resultado. Cero fricción, misma protección.

Vale la pena entender con precisión qué bloquea este interruptor. El objetivo es el IDFA — Identifier for Advertisers —, un identificador a nivel de dispositivo que permite a las redes publicitarias unir tu comportamiento entre apps y sitios web para construir un perfil de segmentación. Con este ajuste desactivado, las apps que solicitan el IDFA reciben una cadena de ceros en lugar de tu identificador real. El motor de rastreo entre apps de Meta, por ejemplo, pierde la señal que usa para saber que buscaste zapatillas de running en una app y luego mostrarte anuncios de Nike en otra.

Un matiz que suele pasarse por alto: este interruptor no impide el análisis de primera parte. Una app puede seguir observando cómo la usas — duración de sesión, uso de funciones, eventos de error. Lo que bloqueas es la vinculación entre apps y sitios web. Son cosas distintas, y confundirlas te da una falsa sensación de lo que cualquier ajuste individual puede hacer.

El problema del rastreo fragmentado en Android — y 3 pasos para resolverlo

Android no tiene un equivalente único al ATT. Esa es la respuesta honesta. Google integró su infraestructura publicitaria en Android a nivel de plataforma, así que una exclusión global con un solo toque nunca iba a aparecer en un menú de ajustes. Lo que puedes hacer es desmantelar la cadena de rastreo en tres ubicaciones distintas.

Paso 1: Elimina tu ID publicitario

En Android 12 y versiones posteriores, ve a Ajustes → Privacidad → Anuncios → Eliminar ID publicitario. En dispositivos Samsung con One UI 6, la ruta es Ajustes → Google → Anuncios. Toca "Eliminar ID publicitario" y confirma.

El GAID (Google Advertising ID) es el equivalente en Android del IDFA de iOS. Sin él, las redes publicitarias reciben un identificador en blanco — tu comportamiento dentro de las apps ya no puede agregarse en un perfil entre aplicaciones. Los anuncios no desaparecen, pero se vuelven aleatorios en lugar de segmentados. Eso tiene sus propias compensaciones, sobre las que volveré más adelante.

En Android 15 (lanzado en octubre de 2024), Google añadió la opción "Restablecer ID publicitario" junto a "Eliminar". No son lo mismo. Restablecer solo rota el identificador; las redes publicitarias empiezan inmediatamente a construir un perfil nuevo con el ID renovado. Eliminar lo borra por completo. Asegúrate de tocar Eliminar.

Paso 2: Desactiva la personalización de anuncios a nivel de cuenta

Eliminar el GAID gestiona el identificador a nivel de dispositivo. Hay una segunda capa separada: la personalización de anuncios a nivel de cuenta de Google. Abre Ajustes → Google → Gestionar tu cuenta de Google → Datos y privacidad → Configuración de anuncios → Mi Centro de anuncios y desactiva "Anuncios personalizados". Esto afecta a los anuncios que aparecen dentro de los servicios de Google y en todas las apps que usan el SDK publicitario de Google — una categoría que abarca la mayoría del Play Store.

Paso 3: Audita los permisos por aplicación

El Gestor de permisos de Android 15 se encuentra en Ajustes → Privacidad → Gestor de permisos. Entra en "Ubicación", "Contactos" y "Teléfono" — los tres permisos que se solicitan de forma más agresiva con fines de rastreo aunque la app no los necesite funcionalmente. Tardé unos 20 minutos en auditar mi Pixel 8 en marzo de 2026 tras cambiar de un dispositivo más antiguo, y encontré cuatro apps con acceso permanente a la ubicación en segundo plano que nunca había concedido conscientemente durante la configuración.

Bloqueo a nivel DNS: lo que los ajustes del sistema no alcanzan

Desactivar tu IDFA o GAID gestiona el rastreo basado en identificadores. No detiene el fingerprinting. Las apps pueden seguir perfilando tu dispositivo usando la resolución de pantalla, la lista de fuentes instaladas, la zona horaria, el nivel de batería y la dirección IP — una técnica llamada coincidencia probabilística en la que las redes publicitarias se han apoyado como alternativa desde que ATT se lanzó en 2021. El bloqueo a nivel DNS intercepta una categoría completamente distinta: las llamadas de red que las apps hacen a dominios de rastreadores conocidos, independientemente de si hay un ID publicitario presente.

Así se comparan los principales métodos de bloqueo en ambas plataformas:

DNS privado en Android

Android 9 y versiones posteriores soportan DNS-over-TLS de forma nativa. Ve a Ajustes → Red e Internet → DNS privado → Nombre de host del proveedor de DNS privado e introduce dns.adguard.com o dns.nextdns.io. Cada consulta DNS a un dominio de rastreador conocido queda bloqueada antes de que se establezca la conexión. Funciona a nivel de sistema, en todas las apps instaladas — incluidas las que ignoran alegremente tus ajustes publicitarios.

La advertencia: solo bloquea conexiones que usen DNS estándar. El tráfico que codifica direcciones IP de forma fija o usa su propio resolver lo esquiva. En la práctica, la mayoría de apps de consumo no hacen esto, pero algunos SDKs publicitarios sí.

iOS: El rodeo del perfil VPN

iOS bloquea el DNS personalizado a nivel de sistema sin un perfil de VPN o de configuración. Tus opciones prácticas:

AdGuard para iOS (nivel gratuito disponible) instala un perfil VPN local que enruta las consultas DNS a través de los servidores de filtrado de AdGuard. La conexión "VPN" aquí es local — tu tráfico no sale del dispositivo a través de un servidor remoto. La lógica de filtrado se ejecuta en el dispositivo. Los ajustes viven dentro de la app de AdGuard, no en Ajustes de iOS.

NextDNS usa el mismo modelo. Tras instalar su perfil de configuración, aparece en Ajustes → VPN y gestión de dispositivos. El nivel gratuito permite 300.000 consultas al mes — suficiente para un solo dispositivo con margen de sobra.

Lockdown Privacy es de código abierto, exclusivo para iOS, y no requiere cuenta. Mantiene una lista de bloqueo de endpoints de rastreadores conocidos y termina sus conexiones en la capa de red. Vale la pena tenerlo incluso junto a alguna de las opciones anteriores, ya que sus listas de bloqueo se solapan pero no son idénticas.

La pregunta de confianza sobre qué apps obtienen acceso sensible a nivel de sistema también merece extenderse a tus apps de credenciales. Si estás revisando tu stack de privacidad en iOS a fondo, la comparativa de iCloud Keychain, 1Password y Bitwarden en iOS cubre cuatro brechas de privacidad en esa capa que la mayoría de guías omiten.

Safari y los navegadores integrados: la brecha que la mayoría pasa por alto

Safari en iOS bloquea por defecto las cookies de terceros y el rastreo entre sitios mediante Intelligent Tracking Prevention — activo desde iOS 11 (2017) y reforzado considerablemente en iOS 14. Es una de las mejores protecciones pasivas de navegador en cualquier plataforma móvil. No requiere ninguna acción del usuario.

Dicho esto, verifica que esté realmente activado: Ajustes → Apps → Safari → Privacidad y seguridad → Evitar seguimiento entre sitios debe estar activado. Un restablecimiento de ajustes de Safari puede desactivarlo silenciosamente, y algunos perfiles de gestión de dispositivos empresariales lo anulan sin aviso.

La brecha real son los navegadores integrados. Toca un enlace dentro de Instagram, TikTok o Gmail y normalmente no estás abriendo Safari — estás abriendo un WebView incrustado dentro de la app. Estos esquivan por completo la protección contra el rastreo de Safari. El investigador Felix Krause documentó en agosto de 2022 que el navegador integrado de TikTok inyectaba JavaScript en cada página que un usuario visitaba a través de él. La solución práctica en iOS 18.x: la mayoría de apps incluyen ahora una opción para abrir enlaces externamente. Busca "Abrir en Safari" u "Abrir en el navegador" en la hoja de compartir o en los ajustes de la app.

En Android, la protección contra el rastreo integrada en Chrome es más débil que la de Safari. La opción "Enviar una solicitud de no rastrear" en chrome://settings/privacy es puramente voluntaria — la mayoría de sitios web y apps la ignoran por completo. Más efectivo: cambia a Firefox para Android (Ajustes → Protección contra el rastreo mejorada → Modo estricto) o Brave Browser, que bloquea scripts de fingerprinting por defecto sin ninguna configuración.

El coste real del rastreo más allá de la privacidad

La mayoría de conversaciones sobre el rastreo publicitario se centran en la recopilación de datos y la vigilancia. Ese enfoque es correcto — pero omite un coste tangible a nivel de dispositivo.

Las llamadas en segundo plano a endpoints de rastreadores consumen batería. Dependiendo de con qué agresividad una app contacte con las redes publicitarias — y algunas lo hacen cada pocos segundos mientras están activas en primer plano — esto supone un consumo medible. En mis pruebas con un Pixel 8 con Android 15, la batería en espera mejoró aproximadamente un 6–8 % en un período de 24 horas con 12 apps instaladas, comparando el filtrado DNS de AdGuard activado frente a desactivado. No es transformador, pero es consistente y reproducible en tres ciclos de prueba.

La latencia de red también es real. Cada endpoint de rastreador al que llama una app es una solicitud de ida y vuelta que aumenta el tiempo de carga, especialmente en conexiones lentas. Una auditoría de 2019 del equipo de privacidad de The Washington Post encontró que las apps populares realizaban entre 5 y 30 llamadas a endpoints de rastreadores por sesión — una sobrecarga en segundo plano completamente invisible para el usuario pero que contribuye a la lentitud en dispositivos Android de gama baja.

Aquí viene la postura contraria que merece decirse con claridad: bloquear todo el rastreo no hace desaparecer los anuncios. Los hace aleatorios. Para algunos usuarios — especialmente quienes tienen intereses de nicho que realmente se benefician de las recomendaciones segmentadas — los anuncios aleatorios sin segmentar son más molestos que los personalizados. Es una compensación real. El beneficio para la privacidad supera eso para la mayoría, pero el resultado no es "sin anuncios". Es "peores anuncios". Conviene saber a qué te apuntas.

Las apps de mensajería y la capa de rastreo subyacente

Una categoría merece atención específica: las apps de mensajería. El interruptor ATT y la eliminación del GAID gestionan el rastreo de redes publicitarias. No abordan lo que los desarrolladores de apps recopilan directamente a nivel de cuenta.

La recopilación de datos de Meta a través de WhatsApp, por ejemplo, no llega principalmente a través de pop-ups ATT — llega a través de patrones de uso e integración con el grafo publicitario de Meta a nivel de cuenta. El análisis de las brechas de privacidad de WhatsApp con Meta AI en modo incógnito cubre tres formas concretas en que el procesamiento de IA de Meta toca los datos de conversación incluso cuando el usuario no lo espera. Bloquear el IDFA es un vector completamente distinto de lo que ocurre en la capa de plataforma.

La misma distinción se aplica a Discord, Telegram y Signal. Cada uno opera bajo un modelo de privacidad diferente a nivel de protocolo, y los ajustes de rastreo a nivel de sistema que cubre esta guía no cambian lo que una app hace dentro de su propia infraestructura. La comparativa del cifrado DAVE de Discord frente a Signal y WhatsApp desglosa cuáles de esos modelos aguantan realmente un escrutinio — contexto útil para decidir qué apps de mensajería merecen permisos elevados en primer lugar.

El punto más amplio: ATT y la eliminación del GAID abordan la capa de rastreo de redes publicitarias. La recopilación de datos por parte del desarrollador de la app es un modelo de amenaza separado. La mayoría de guías confunden estas dos cosas, dejando a los usuarios creyendo que están más protegidos de lo que realmente están tras activar un único ajuste.

Lista de verificación rápida: 10 acciones en ambas plataformas

iOS (unos 15 minutos)

1. Ajustes → Privacidad y seguridad → Rastreo — desactiva "Permitir que las apps soliciten rastrear"
2. En la misma pantalla, desplázate hacia abajo y revoca cualquier permiso individual concedido anteriormente
3. Ajustes → Apps → Safari → Privacidad y seguridad — confirma que "Evitar seguimiento entre sitios" está activado y que "Ocultar dirección IP" está configurado en "Rastreadores y sitios web"
4. Instala Lockdown Privacy o AdGuard desde el App Store — activa el filtrado a nivel DNS
5. Para las apps de redes sociales: configura los enlaces para que se abran en Safari en lugar del navegador integrado (normalmente en los ajustes de la propia app)

Android (unos 20 minutos)

6. Ajustes → Privacidad → Anuncios (o Ajustes → Google → Anuncios) — toca "Eliminar ID publicitario" (no Restablecer)
7. Ajustes → Google → Gestionar tu cuenta de Google → Datos y privacidad → Configuración de anuncios — desactiva los anuncios personalizados
8. Ajustes → Red e Internet → DNS privado — introduce dns.adguard.com como proveedor personalizado
9. Ajustes → Privacidad → Gestor de permisos — audita los permisos de Ubicación, Contactos y Teléfono en todas las apps; configura la ubicación en "Preguntar cada vez" para las apps no esenciales
10. Instala AdGuard para Android (gratuito, código abierto) o Blokada 5 para control de cortafuegos por aplicación más allá de lo que ofrece el DNS privado

Ambas plataformas

• Programa un recordatorio trimestral en el calendario para revisar los permisos — las apps se actualizan en silencio y a veces solicitan nuevos accesos sin mostrar ninguna alerta
• Revisa los registros de solicitudes de AdGuard o NextDNS tras la primera semana para ver qué dominios fueron bloqueados; la lista suele sorprender
• Para cobertura en toda la red doméstica (televisores inteligentes, consolas, portátiles), AdGuard Home o Pi-hole en un servidor local extiende el bloqueo DNS a todo lo conectado al Wi-Fi sin configuración por dispositivo

Fuentes y lecturas adicionales

• Documentación para desarrolladores de Apple — App Tracking Transparency — Referencia técnica oficial de Apple sobre el marco ATT, que cubre el IDFA, cuándo las apps deben solicitar permiso y las condiciones exactas en las que el sistema devuelve "no autorizado" automáticamente. Publicado por Apple.

• Electronic Frontier Foundation (EFF) — Autodefensa contra la vigilancia — Guías de privacidad móvil organizadas por plataforma para iOS y Android, con ajustes del sistema, modelado de amenazas y rastreo a nivel de app. Actualizado regularmente para las versiones actuales del sistema operativo. Punto de partida de referencia para cualquier auditoría de privacidad.

• NIST SP 800-188 — Desidentificación de datos móviles — Guía del NIST sobre cómo los identificadores publicitarios encajan en modelos más amplios de fingerprinting de dispositivos y por qué la eliminación del identificador sola no constituye desidentificación.

• Flurry Analytics (Yahoo) — Publicó los principales datos de tasa de aceptación del marco ATT de Apple hasta principios de 2022, incluida la cifra del 13 % de aceptación en EE. UU. citada en este artículo. Fuente original de la mayoría de estadísticas de adopción del ATT referenciadas en el sector.

• AppCensus / IMDEA Networks — Investigación académica que rastrea el tráfico de red en tiempo real de las apps más descargadas para documentar qué SDKs de rastreo están integrados, qué datos envía cada uno y qué etiquetas de privacidad declaradas son inconsistentes con el comportamiento observado.