Iniciar sesión por Tor le dice al sitio quién eres, no dónde

La dirección de salida cambia, el nombre de la cuenta no, y el sitio lleva años construyendo un perfil de esa cuenta. Iniciar sesión por Tor elimina una señal, tu ubicación habitual en la red, y deja intacto el resto del cuadro. Eso sigue valiendo algo, y no es anonimato frente al servicio con el que acabas de autenticarte. La distinción es fácil de enunciar y fácil de olvidar bajo presión.

Qué revela el propio inicio de sesión

Un inicio de sesión correcto es una declaración deliberada de que esta sesión pertenece a esa cuenta. Desde el lado del servicio, todo lo posterior es atribuible a la cuenta, incluidas las páginas visitadas, los mensajes enviados y las horas del día en que aparece la cuenta.

Tor cambia lo que el destino puede observar sobre tu ruta de red: en lugar de tu dirección, ve un repetidor de salida. No cambia lo que le dijiste al sitio al autenticarte, ni hace que dos inicios de sesión de la misma cuenta no tengan relación.

Los enlaces dentro de la cuenta funcionan igual. Una dirección de recuperación, un número de teléfono, un método de pago guardado o un apodo reutilizado en otro sitio se vinculan a la identidad con la que iniciaste sesión, sin importar la ruta que siguieron los paquetes.

Un circuito nuevo no es una cuenta nueva

El navegador Tor ofrece dos acciones distintas que la gente trata como una sola. Un circuito nuevo para el sitio cambia la ruta de repetidores usada para ese destino y deja intacto el estado privado del navegador. La identidad nueva es más amplia: borra el estado del navegador, cierra la actividad y empieza de cero, lo que es una operación distinta con consecuencias distintas.

Ninguna de las dos acciones pide al otro lado que olvide nada. Las cookies ya emitidas, un token de sesión que guarda el sitio o una huella de dispositivo recogida al iniciar sesión siguen describiendo al mismo visitante después de que cambie la ruta.

Así que una dirección de salida nueva no se lee como una persona nueva para un servicio que conoce la cuenta. Se lee como la misma cuenta que llega desde otro lugar, y ese es exactamente el patrón que los sistemas antifraude están hechos para detectar. Ese patrón no es un fallo del sitio. Es el sitio haciendo el trabajo que le pediste al iniciar sesión, y las únicas sorpresas vienen de esperar lo contrario.

Qué sigue viendo la salida

El repetidor de salida transporta tu tráfico en claro salvo que el destino use HTTPS, por eso las comprobaciones de certificado del navegador importan más, no menos, en esta ruta. Una salida maliciosa es un adversario realista para el tráfico no cifrado, y una página de inicio de sesión es el peor lugar para encontrarla.

HTTPS protege el contenido de la salida y no hace nada por la cuenta con la que elegiste autenticarte. Las dos protecciones cubren observadores distintos y ninguna sustituye a la otra.

Espera las comprobaciones de la cuenta

Los servicios responden habitualmente a una salida de Tor con verificación adicional: un captcha, una confirmación por correo electrónico o una retención temporal. Es una reacción normal a un rango de origen compartido y abusado antes, no una prueba de que la sesión se haya visto comprometida.

La respuesta útil es completar la comprobación admitida una vez. Cambiar de circuito repetidamente hasta que desaparezca un aviso no te enseña nada sobre la cuenta y puede verse peor que el aviso original. También desperdicia lo único que estabas protegiendo.

Si una comprobación no se puede completar, eso es información sobre la política del servicio, y la decisión que hay que tomar es si merece la pena llegar a la cuenta sin el túnel. Ambas opciones son legítimas; fingir que el obstáculo es un fallo, no.

Decide qué objetivo tienes en realidad

Hay dos objetivos que la gente confunde: proteger la ruta hacia una identidad conocida y evitar que actividades separadas queden unidas. Tor sirve bien al primero. El segundo exige no iniciar sesión en absoluto, o iniciarla solo con una identidad creada para ese fin y nunca mezclada con la primera.

Nombra el objetivo antes de elegir la herramienta. Si la cuenta debe usarse, la descripción honesta de la configuración es una ruta privada hacia una cuenta conocida, y la afirmación de privacidad debería limitarse a lo que eso protege de verdad.