Tus fuentes están llamando a casa

Aquí hay algo que casi nadie sabe sobre su propio sitio web: en el momento en que la página de un visitante empieza a cargar, su navegador puede comunicarse con Google y anunciarse — no para obtener tu contenido, sino para pedir una fuente. Esa solicitud lleva consigo la dirección IP del visitante. Ocurre en silencio, en cada visita, antes de que se lea o se haga clic en nada.

La fuente en sí es inofensiva. El problema es la forma de obtenerla. Y es una de las fugas de vigilancia más comunes en la web de las pequeñas empresas, precisamente porque nadie la instala a propósito. Llega incluida dentro de una plantilla, un constructor de páginas, un fragmento de «fuentes gratis» que alguien pegó hace años.

Qué ocurre en realidad cuando se carga una fuente

Cuando tu hoja de estilos apunta a los servidores de fuentes de Google, el navegador de cada visitante abre una conexión hacia fonts.googleapis.com y entrega los datos que lleva cualquier solicitud web: su dirección IP y señales sobre su navegador y dispositivo. Puedes verlo suceder en tu propia pestaña de red.

GET /css2?family=Inter&display=swap
Host: fonts.googleapis.com
↳ dirección IP del visitante: 203.0.113.47  → sale de tu sitio
↳ user-agent, referer, datos del dispositivo  → sale de tu sitio

El visitante llegó para leer sobre tus servicios. Sin que nadie se lo preguntara, se presentó ante un tercero del que nunca había oído hablar. Multiplica eso por cada página, cada visita, cada día.

Por qué un tribunal decidió que esto importa

Esto no es hipotético. Un tribunal alemán examinó exactamente este patrón y falló en contra del dueño del sitio. El razonamiento es la parte que vale la pena conservar: como la misma fuente puede servirse desde tu propio servidor sin contactar jamás a Google, no había ninguna necesidad de enviar la dirección IP del visitante al extranjero — y por lo tanto ninguna base legal para hacerlo.

Los daños en ese primer caso fueron pequeños. El precedente no lo fue. Estableció que una dirección IP es un dato personal, que entregarla a un tercero sin consentimiento es una infracción y — lo más contundente — que la existencia de una alternativa gratuita y local es en sí misma la razón por la que la versión cómoda no es defendible. En toda Europa han seguido fallos similares, y se han enviado cartas de advertencia a sitios por miles.

Las fuentes nunca fueron el problema. Es el rastro de datos que dejan cuando permites que otro las sirva.

No tienes que estar en Europa para que la lógica se sostenga. El principio es universal y es el mismo que recorre todo lo que hay aquí: si algo puede hacerse sin vigilar a las personas que te visitan, entonces hacerlo con vigilancia fue una elección — por lo general una que no sabías que estabas tomando.

Lo que cuesta, más allá del riesgo legal

Deja la ley a un lado por un momento. El hábito de las fuentes alojadas te cuesta en tres frentes, y el primero es el que más sorprende a la gente.

Ese primer punto es la ironía que vale la pena asimilar. La gente recurre a las fuentes alojadas creyendo que la gran CDN es más rápida. En el caso de las fuentes, autoalojarlas suele ser más veloz, porque el archivo viene del mismo lugar que el resto de tu página — sin desvíos, sin negociar un saludo con un desconocido.

La solución es más pequeña que el problema

Esta es la rara fuga que tiene un remedio limpio, permanente y de diez minutos. Hay dos caminos honestos, y ninguno te pide renunciar a nada.

• Autoaloja la fuente. Descarga los archivos de la fuente, colócalos en tu propio servidor y apunta tu hoja de estilos hacia ellos. Las fuentes son abiertas — tienes permiso para hacerlo. A partir de ahí, ninguna solicitud sale hacia una empresa de fuentes, y el aspecto es idéntico.
• O usa las fuentes que ya están en cada dispositivo. La pila de fuentes del sistema — las mismas familias que trae tu sistema operativo — no necesita ninguna descarga. Cero solicitudes, renderizado instantáneo, y se ve nativa en todas partes. Esta misma página la usa.

De cualquier forma, el tercero simplemente desaparece. No bloqueado, no consentido, no enterrado bajo un aviso. Desaparecido — porque, para empezar, nunca hubo nada esencial ahí.

Compruébalo tú mismo, ahora mismo

No necesitas permiso para mirar. En cualquier sitio que te pertenezca:

1. Abre las herramientas para desarrolladores de tu navegador (clic derecho → Inspeccionar, o F12).
2. Haz clic en la pestaña Red y recarga la página.
3. Filtra por Fuente, o simplemente busca en la lista de solicitudes el término googleapis.
4. Si ves una solicitud saliendo hacia un servidor de fuentes, esas son las direcciones IP de tus visitantes saliendo con ella.

Si está ahí, no es un desastre — es solo información. Y es el primer hilo, el más pequeño, del que tirar para recuperar tu sitio.