¿Qué es un user agent (agente de usuario)?

La expresión viene de las especificaciones de HTTP. RFC 1945, de mayo de 1996, define el user agent como «el cliente que inicia una petición» y cita navegadores, editores, arañas (robots que recorren la web) y otras herramientas. RFC 9110 añade que el navegador es solo una pequeña parte: también son user agents las apps móviles, los electrodomésticos o los scripts que actualizan firmware.

Casi todos los navegadores empiezan su cadena por «Mozilla/5.0». MDN lo atribuye a «razones históricas». El estándar HTML conserva la misma herencia en JavaScript: navigator.appCodeName devuelve siempre «Mozilla» y navigator.appName devuelve «Netscape», para no romper webs antiguas. Con los nombres de motores pasó algo parecido. Según MDN, muchos navegadores añadieron los nombres de otros motores para que las webs no los dejaran fuera por el nombre. Por eso Chrome escribe «KHTML, like Gecko» y «Safari» aunque no sea ninguno de los dos. RFC 9110 desaconseja esa práctica porque anula el sentido del campo.

• Mayo de 1996: RFC 1945 (HTTP/1.0) introduce la cabecera User-Agent. Los clientes deberían enviarla, pero no es obligatoria.
• Junio de 1999: RFC 2616 (HTTP/1.1) la mantiene en la sección 14.43, con el mismo ejemplo «CERN-LineMode/2.15 libwww/2.17b3».
• Junio de 2014: RFC 7231 añade una advertencia: las cadenas largas y detalladas aumentan el riesgo de identificar a una persona contra su voluntad, el llamado fingerprinting.
• Junio de 2022: RFC 9110 sustituye a RFC 7231 y es la norma vigente. El user agent debería enviar la cabecera en cada petición.
• 13 de junio de 2022: Chrome 101 llega al 100 % de los usuarios con las versiones menores congeladas en 0.0.0, según el calendario de Chromium.
• 7 de febrero de 2023: Chrome 107 completa la cadena reducida en escritorio.
• 11 de mayo de 2023: Chrome 110 completa la cadena reducida en Android.
• 26 de octubre de 2026: última versión del borrador de User-Agent Client Hints del grupo comunitario WICG, que no es un estándar del W3C.

El navegador envía la cabecera User-Agent con cada petición HTTP. Según RFC 9110, el valor está formado por uno o varios productos, cada uno con nombre y versión opcional (producto/versión), seguidos de comentarios entre paréntesis. Los productos van de más a menos importante para identificar el programa. La norma prohíbe meter publicidad en el nombre del producto.

La cadena de Chrome en Windows, leída el 15.11.2026 en nuestro propio navegador, se descompone así:

Fuente: navigator.userAgent en Chrome 157 (15.11.2026); MDN, «User-Agent header»; Chromium, «User-Agent Reduction».

RFC 9110 nombra tres usos de la cadena: acotar fallos de compatibilidad, adaptar la respuesta a un cliente y hacer estadísticas de navegadores y sistemas. Si la respuesta cambia según el user agent, el servidor debería indicarlo con la cabecera Vary. RFC 9110 obliga a las cachés a no reutilizar una respuesta para otra petición si las cabeceras listadas en Vary no coinciden. Sin «Vary: User-Agent», una caché o un CDN pueden entregar la versión móvil a un ordenador o al revés. Google describe ese montaje, la misma URL con HTML distinto por dispositivo, como «dynamic serving», y lo basa en leer el user agent y en «Vary: user-agent».

Hoy el user agent llega en dos formas: la cadena clásica, que Chrome ha recortado, y los User-Agent Client Hints, cabeceras aparte que dan los mismos datos por piezas.

El motivo es la privacidad. El borrador del WICG presenta los Client Hints como una forma de adaptar el contenido sin la superficie de fingerprinting pasivo de la cabecera User-Agent. Chrome congeló las partes más detalladas de la cadena en tres fases: primero las versiones menores (Chrome 101), después la cadena de escritorio (Chrome 107) y por último la de Android (Chrome 110). Según Chromium, la plataforma pasa a ser un valor literal: en Android, «Linux; Android 10; K», aunque el sistema o el móvil sean otros.

Fuente: WICG, «User-Agent Client Hints», 26.10.2026; Chrome for Developers, «User-Agent Client Hints».

Las tres primeras son de baja entropía y se envían por defecto. Para el resto, el servidor responde con Accept-CH y el navegador las añade en las peticiones siguientes. Chrome solo envía Client Hints por HTTPS. Desde JavaScript se leen con navigator.userAgentData y getHighEntropyValues(). En la lista de marcas de nuestro Chrome 157 aparece una ficticia, «Not-A.Brand»: el borrador del WICG propone esas entradas falsas (GREASE) para que las webs no busquen un nombre exacto.

Chrome activa los Client Hints por defecto desde la versión 89. Según los datos de compatibilidad de MDN (15.11.2026), Firefox y Safari no admiten navigator.userAgentData, y MDN marca la API como experimental.

Safari en iPhone, según MDN: «Mozilla/5.0 (iPhone; CPU iPhone OS 18_6 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/26.0 Mobile/15E148 Safari/604.1». Según MDN, Safari indica su versión con «Version/», aquí 26.0, y en iPhone añade «Mobile». MDN añade que Firefox, Chrome y Edge en iPhone también usan WebKit, así que sus cadenas se parecen a la de Safari.

Firefox en macOS, según MDN: «Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:138.0) Gecko/20100101 Firefox/138.0». «rv:138.0» es la versión del motor Gecko y «20100101» es un valor fijo en escritorio.

curl, la herramienta de línea de comandos: según su manual envía por defecto «curl/VERSION», por ejemplo «curl/8.23.1». Es un user agent sin navegador detrás.

Googlebot para smartphone, según la documentación de Google actualizada el 30.10.2026: «Mozilla/5.0 (Linux; Android 6.0.1; Nexus 5X Build/MMB29P) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/W.X.Y.Z Mobile Safari/537.36 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)». W.X.Y.Z es un hueco que Google rellena con la versión de Chrome que usa en cada momento.

En los registros del servidor, el user agent queda en cada línea. El formato «combined» de Apache lo guarda con %{User-agent}i y el de nginx con $http_user_agent, así que una línea normal ya dice qué programa pidió cada URL. El análisis de logs parte de ahí para separar visitas de personas y de rastreadores. Para Googlebot, Google aconseja filtrar con comodines en la versión de Chrome, porque esa cifra cambia con el tiempo.

Ventajas: llega en cada petición sin JavaScript y cualquier servidor lo registra. Sirve para estadísticas por navegador o sistema y para acotar errores de una versión.

Desventajas: lo escribe el propio cliente, así que no prueba nada. En Chrome ya no da la versión exacta ni el modelo del móvil. Su formato no es uniforme, advierte MDN, y algunos navegadores dan datos contradictorios: Chrome se declara Chrome y Safari a la vez.

Los rastreadores también se presentan con un user agent, pero el robots.txt no trabaja con esa cadena. Según RFC 9309, cada rastreador tiene un token corto, que debería aparecer dentro de su cadena, y las reglas del robots.txt se escriben con ese token: «Googlebot», no la cadena entera de arriba. Como la cadena se puede copiar, el nombre no prueba quién llama: cómo comprobar una visita de verdad se explica en Googlebot, y las cadenas de GPTBot, ClaudeBot o PerplexityBot, en rastreadores de IA.

Fuente: RFC 9110; RFC 9309; WICG, «User-Agent Client Hints»; Google, «Verify requests from Google crawlers and fetchers».

Para descomponer cadenas existen bibliotecas abiertas. Por orden alfabético:

• Device Detector (Matomo): según su repositorio, detecta navegador, sistema, tipo de dispositivo, marca y modelo; licencia LGPL-3.0.
• UAParser.js: biblioteca de JavaScript para navegador y Node que, según su repositorio, detecta navegadores, sistemas, dispositivos y bots; licencia AGPL-3.0.
• uap-core: el archivo de expresiones regulares del parser de Browserscope, base de versiones en varios lenguajes.

RFC 7231 ya advertía en 2014 de que una cadena larga ayuda a reconocer a una persona sin que lo quiera (fingerprinting). El borrador de Client Hints da ese mismo motivo.

Decidir por la cadena qué funciones usar también falla. En el ejemplo de MDN, un script que da por hecho que todo «Chrome» admite una función rompe con versiones antiguas y con navegadores que la añaden después. MDN añade que el problema es el mismo con Client Hints y recomienda comprobar la función directamente (feature detection).

Por último, la cadena es falsificable. Google avisa de que otros rastreadores copian a menudo el user agent de Googlebot.

• Ver el propio user agent: abre las herramientas de desarrollo del navegador, pestaña Red, y mira la cabecera User-Agent de cualquier petición, o escribe navigator.userAgent en la consola.
• Ver los Client Hints: en la misma petición aparecen Sec-CH-UA y las demás; en la consola, navigator.userAgentData.
• Cambiarlo en Chrome: herramientas de desarrollo, panel Network conditions, desmarca «Use browser default» en el apartado User agent y elige o escribe otro. Según Google, eso cambia lo que la web te envía, no cómo funciona Chrome.
• Cambiarlo en curl: curl -A "texto". Con -A "" curl no envía la cabecera.
• Sacar la conclusión: si cambiarlo cuesta un clic, la cadena no sirve como prueba de identidad.

• Comprueba funciones con feature detection, no con el nombre del navegador.
• Si la respuesta depende del dispositivo o del navegador, envía «Vary: User-Agent».
• Pide con Accept-CH solo los Client Hints que vas a usar.
• Identifica a los bots por IP y DNS inversa, no por el nombre que declaran.
• En los logs, filtra por cadena y por IP a la vez.

• Bloquear o dejar pasar a un rastreador solo por su user agent.
• Servir HTML distinto según el dispositivo sin la cabecera Vary.
• Buscar en Chrome la versión completa en la cadena: desde Chrome 101 termina en 0.0.0.
• Filtrar los logs por una versión exacta de Googlebot en lugar de usar comodines.
• Detectar Gecko buscando «Gecko» y contar como Firefox a Chrome y Safari, que llevan «like Gecko».

Redactamos esta entrada en noviembre de 2026 con ayuda de IA. Los datos proceden de las normas RFC de la IETF, del estándar HTML, del borrador de User-Agent Client Hints, de MDN, de la documentación de Chrome, Chromium y Google, de los manuales de curl, Apache y nginx y de los repositorios citados. La revisamos antes de publicarla y no contiene datos de clientes.