Al cerrar la ventana de Incógnito, la contraseña sigue en Descargas, los marcadores y el portapapeles

Un operador abre Incógnito en el PC de un cibercafé o en el portátil de un compañero, genera la contraseña de una base de datos, exporta un TXT y cierra la ventana —da por hecho que el rastro se ha ido—. Quien se siente después todavía puede abrir ese texto plano en Descargas. Un artículo anterior cubría quién más puede leer el portapapeles después de copiar una contraseña. Otro cubría quién puede ver aún una contraseña — y la clave detrás del # — en una captura o al compartir pantalla. Este trata un malentendido más habitual: cerrar la ventana de Incógnito no significa que el secreto haya salido de este ordenador.

Esto no es el manual del generador de contraseñas, ni una guía de «cómo se abre Incógnito». La pregunta cabe en una frase: cuando ya no queda ninguna ventana privada, dónde puede seguir una contraseña, una clave o un archivo cifrado en esta máquina. Las herramientas de MyPassGen se abren sin cuenta. Generar, exportar, cifrar y descifrar terminan en la pestaña actual. El servidor no guarda una copia en texto plano. Lo que Incógnito puede bloquear es el historial del propio navegador. No puede bloquear la carpeta Descargas del sistema operativo.

Qué capa limpia de verdad Incógnito

La ayuda de Chrome lo escribe con precisión. Una sesión de Incógnito termina cuando cierras todas las ventanas de Incógnito. Después, Chrome no conserva datos de sitios ni un registro de las páginas visitadas. Durante la sesión, las cookies y los datos del sitio se quedan en memoria para que las páginas funcionen; solo se tiran al cerrar la última ventana. El atajo es Ctrl+Mayús+N en Windows y Linux, ⌘+Mayús+N en Mac. Un número junto al icono de Incógnito en la barra de direcciones significa que queda otra ventana abierta. Cerrar una pestaña no termina la sesión.

La misma página lista lo que Incógnito no hace. No te inicia sesión en una cuenta de Google por su cuenta. Si luego entras en Gmail o en cualquier otro sitio dentro de Incógnito, ese sitio puede recordar la visita. Los sitios que abres, la red de la escuela o de la empresa y tu proveedor de internet siguen viendo la sesión. Incógnito limita el «historial en este dispositivo». No te oculta del resto del camino.

Safari usa un corte casi paralelo. La guía de Safari de Apple dice que la Navegación privada no guarda las páginas visitadas ni la información de Autorrelleno, y que no almacena esas pestañas abiertas en iCloud, así que no aparecen en la lista de pestañas de otros dispositivos Apple. Handoff tampoco pasa una ventana privada a otro aparato. Los cambios en cookies y datos de sitios no se conservan. Las búsquedas de esa ventana no entran en los resultados recientes del campo de búsqueda inteligente. Todo eso es la capa de registro del propio navegador.

La ayuda de Navegación privada de Firefox enumera lo que no guarda: las páginas visitadas no entran en el menú Historial ni en el desplegable de la barra de direcciones, no se almacenan entradas de formularios ni de la barra de búsqueda, la lista de descargas se vacía al terminar la sesión privada, y las cookies y la caché caen al cerrar la última ventana privada. Una página aparte de ideas erróneas habituales lo dice sin rodeos: la navegación privada no te oculta del ISP, no enmascara la IP y no impide que un sitio te reconozca. Tres fabricantes describen el mismo corte: cerrar la ventana limpia el perfil del navegador, no el disco, y no el otro extremo de la red.

InPrivate de Microsoft Edge sigue la misma división: esta visita no se escribe en el historial; un archivo que hayas guardado en la máquina se queda. El resto del artículo no repite el folleto de cada marca. Solo contrasta tres sitios que puedes abrir a mano: la carpeta Descargas, la barra de marcadores y el portapapeles del sistema.

El archivo descargado se queda en el disco

La ayuda de Chrome lo resume en una línea: al salir de Incógnito, Chrome conserva los marcadores que guardas y los archivos que descargas. Los archivos se quedan en el dispositivo hasta que los borres tú. Lo que añadas a la lista de lectura también se ve en una ventana normal. La bandeja de descargas del navegador puede dejar de listar «qué bajó esta sesión». El archivo en sí está en Descargas, indistinguible de uno guardado en una ventana ordinaria.

Safari es más directo: los ítems descargados no se incluyen en la lista de descargas, pero permanecen en el ordenador. El primer consejo de limpieza que da Apple al dejar de navegar en privado es borrar lo que hayas descargado en esa ventana. Firefox traza la misma raya: las entradas desaparecen de la biblioteca de descargas al terminar la sesión privada; los archivos escritos en el disco se conservan. Las versiones recientes de Firefox también avisan, en el momento de bajar, que el archivo se queda en el dispositivo y que cualquiera que use este equipo puede verlo después de cerrar todas las ventanas privadas.

En MyPassGen hay tres caminos que escriben un archivo. La página de contraseñas puede exportar un TXT llamado mypassgen-passwords- más una marca de tiempo; el archivo aterriza en tu dispositivo y no se reenvía. La caja de cifrado ejecuta AES-256-GCM en el navegador como un flujo, un archivo de hasta 5 GB, y escribe .lock o .enc. Al descifrar, vuelve a bajar el texto plano con el nombre original. Limpiar URL también puede exportar los enlaces limpios como TXT. Las tres se abren sin cuenta. Incógnito puede ocultar la fila en chrome://downloads. No puede ocultar el archivo en el Finder o en el Explorador de archivos.

Descifrar es el olvido fácil. Abres un .lock en Incógnito, lo desbloqueas y el navegador escribe el texto plano en la carpeta de descargas por defecto. Al cerrar la ventana, el cifrado y el plano pueden quedar uno al lado del otro. Red puede demostrar que el cuerpo de la petición de cifrado o descifrado no envió el archivo entero como dato de negocio. No puede demostrar que el disco está limpio. Cómo comprobar «¿se subió?» está en Cómo comprobar que el cifrado en el navegador no sube el texto plano. Cómo comprobar «¿sigue el archivo aquí?» es: abre Descargas.

Un marcador guarda la URL completa

Las tres documentaciones oficiales coinciden: un marcador que creas en Incógnito o en una ventana privada se guarda. Chrome también cuenta la lista de lectura. El marcador se escribe en el perfil normal. Al cerrar la ventana sigue en la barra de marcadores y en el administrador. No es un fallo. Los marcadores se tratan como algo que pediste conservar.

Un enlace de un solo uso tiene esta forma: …/s.html?id={id}#{key}. La clave va detrás de #. Por especificación no viaja en la línea de petición HTTP, así que los registros de acceso no ven ese trozo. Un artículo anterior cubría por qué la clave de descifrado va detrás del # en la URL. Un marcador guarda el URI entero, fragmento incluido. Guardar ese enlace en Incógnito escribe la credencial en el almacén a largo plazo de este navegador. Quien abra después la barra de marcadores no necesita el historial. Puede abrir la página de lectura. Esa página no pide inicio de sesión.

El autocompletado de la barra de direcciones es un atajo cercano. La sesión de Incógnito suele no escribir esta visita en el historial, así que, al cerrar todas las ventanas, el desplegable no debería mostrar el enlace de un solo uso que acabas de abrir. En cuanto añades un marcador, al teclear el nombre del host puede salir la dirección completa, clave detrás de # incluida. Eso no contradice «el historial se borró». La coincidencia ahora viene del almacén de marcadores.

Cuando MyPassGen crea un enlace de un solo uso, el panel de resultado imprime la URL completa y Copiar usa navigator.clipboard.writeText. Crear y leer se abren sin cuenta. El texto plano tiene un tope de 32 KB. El servidor solo guarda texto cifrado. Lo que debes comprobar no es «si el servidor puede ver la clave». Es si la barra de marcadores de este ordenador tiene un s.html?id=…#… completo. Si puedes dictar la URL en voz alta, o si la otra persona abre ella misma la página de lectura, no guardes el enlace entero en los marcadores de otro.

El portapapeles no se cierra con la ventana

Cerrar Incógnito tira los datos de sitios del proceso del navegador. No tira el portapapeles del sistema operativo. Copiar en una ventana privada escribe la cadena en el búfer compartido. Cuando la ventana ya no está, el Bloc de notas sigue pegándola con Ctrl+V / ⌘+V hasta que otra copia la sobrescriba. Ese camino no mira si Incógnito estaba encendido. Los pasos de limpieza están en Después de copiar una contraseña, quién más puede leer el portapapeles.

El historial del Portapapeles de Windows merece su propia línea. Win+V guarda hasta 25 elementos. Los no anclados se vacían al reiniciar; los anclados se quedan. Las versiones recientes de Chrome en Windows 10 y 11 evitan escribir una copia hecha en Incógnito en el historial del portapapeles y en el Portapapeles en la nube. Eso solo bloquea «una fila más en la lista». No limpia la celda actual del portapapeles. Pega justo después de cerrar la ventana y la contraseña de prueba suele seguir ahí. Android y otras plataformas no comparten ese formato de exclusión. No asumas que una copia en ventana privada se quedó fuera de la sincronización.

El Portapapeles universal de Apple viaja por Handoff: misma cuenta de Apple, dispositivos cerca, Bluetooth y Wi-Fi encendidos, y una copia en un aparato se puede pegar en otro. Cerrar la ventana de Incógnito no recupera una cadena que ya llegó al otro dispositivo. Los gestores de contraseñas tratan esto como una ventana corta de exposición; algunos borran lo copiado a los 90 segundos. Una página generadora en el navegador no suele arrancar ese temporizador por ti. MyPassGen no vacía el portapapeles después de Copiar. Sobrescribir significa copiar un carácter inútil, o limpiar el panel del sistema tú mismo.

Las extensiones no cargan, salvo las que activaste

Chrome no ejecuta extensiones en Incógnito por defecto. La ayuda de Chrome Web Store pone el interruptor en la página Detalles de la extensión: Permitir en modo Incógnito. Tampoco puedes instalar una extensión nueva desde la tienda mientras estás en Incógnito o como invitado. Un administrador de empresa no puede encender ese interruptor por los usuarios. La forma de impedir que el personal eluda una extensión gestionada es desactivar Incógnito del todo.

El apagado por defecto está para que un complemento de seguimiento publicitario no vea esta visita. Una extensión que activaste tú queda fuera de esa protección. Si Detalles dice que puede «leer y cambiar todos tus datos en los sitios web que visites», y Permitir en modo Incógnito está encendido, una contraseña visible en el generador y una URL de un solo uso completa en el panel de resultado se ven igual que en una ventana normal. Incógnito no es «las extensiones no pueden leer el campo». Es «las extensiones que nunca habilitaste para Incógnito no se cargan esta vez».

La comprobación es corta. En una ventana normal abre chrome://extensions, entra en Detalles de cada complemento y mira si Permitir en modo Incógnito está encendido. Si solo necesitabas una extensión para una demo, apaga el interruptor al terminar. No lo dejes puesto. Un gestor de contraseñas que deba rellenar en Incógnito tiene que usar ese interruptor: es un intercambio explícito —una copia menos a cambio de que la extensión vea la página actual—.

Tabla: qué queda al cerrar

Toma la misma contraseña de prueba que acabas de generar en Incógnito, o un enlace de un solo uso que solo lleva una frase de ensayo. Al cerrar todas las ventanas de Incógnito, los restos se parten por las líneas de abajo. La diferencia no es el nombre del algoritmo. Es qué capa prometió limpiar el navegador y qué capa sigue teniendo el sistema operativo.

Un generador que extrae con Web Crypto, y un panel Red sin la contraseña en el cuerpo de la petición, solo cierran la ruta de «subida». Las cuatro últimas filas de esa tabla siguen abiertas. En tu propio equipo no tienes por qué dejar un exportado ni una URL de un solo uso completa en el disco de otro. En un PC compartido, cerrar la ventana no es recoger. Borrar el archivo, borrar el marcador y sobrescribir el portapapeles sí lo es.

Compruébalo en el momento

Los pasos de abajo no dependen de un eslogan de marca. Usa una contraseña que nunca vaya a abrir una cuenta real, y un enlace de un solo uso que solo lleve una frase de ensayo. No practiques con la contraseña maestra en servicio ni con un secreto que aún no se ha quemado. Primero confirma que cerraste todas las ventanas de Incógnito: un número junto al icono de Chrome significa que queda alguna abierta.

1. Abre Incógnito con Ctrl+Mayús+N o ⌘+Mayús+N, abre el generador y crea una contraseña de prueba de 16 caracteres por defecto. No inicies sesión con ella. Abre Red en las herramientas de desarrollo, activa Conservar registro y confirma que, después de Generar, los cuerpos de petición no contienen esa cadena. Cómo comprobar una subida está en Cómo comprobar que el cifrado en el navegador no sube el texto plano.
2. Pulsa Exportar TXT. En la carpeta Descargas local, busca un archivo que empiece por mypassgen-passwords- y ábrelo. Confirma que la contraseña de prueba está dentro. No envíes este archivo a nadie.
3. Crea un enlace de un solo uso que solo lleve una frase de ensayo y añade la URL completa a marcadores. Cierra todas las ventanas de Incógnito. En una ventana normal, abre la barra o el administrador de marcadores y confirma que el s.html?id=…#… completo sigue ahí. Abre Historial y confirma que esta visita no aparece.
4. Vuelve a Descargas: el TXT debería seguir. Abre la página de descargas del propio navegador. La lista puede haber omitido ya esa fila —eso es exactamente «la lista se limpió, el archivo no».
5. Si pulsaste Copiar, abre el Bloc de notas y pega una vez. Mira si el portapapeles actual es la contraseña de prueba. Copia un solo carácter x, pega otra vez y confirma que el sobrescrito funcionó. En Windows con el historial del Portapapeles activo, pulsa Win+V. Un Chrome reciente puede no haber escrito la copia de Incógnito en el historial. La celda actual sigue necesitando un sobrescrito.
6. En una ventana normal abre chrome://extensions (o la página equivalente de otro navegador), entra en Detalles y anota qué complementos tienen Permitir en modo Incógnito encendido. Apaga los que no necesites.

El generador de contraseñas de MyPassGen está construido sobre ese límite. El modo aleatorio va de 6 a 128 caracteres, 16 por defecto, con un aviso de debilidad por debajo de 8. Los resultados se listan como texto visible. Copiar usa writeText. Exportar solo escribe en este dispositivo. Todas las herramientas se abren sin cuenta y sin almacén de contraseñas. Lo que debes comprobar es Descargas y la barra de marcadores —no el icono de Incógnito de la esquina.

Cómo recoger después de cerrar

Para la única sesión de Incógnito que hoy tenías que terminar, cierra en este orden: apaga todas las ventanas de Incógnito; abre Descargas y borra el TXT de prueba, cualquier .lock y cualquier texto plano descifrado; vacía la Papelera; abre el administrador de marcadores y borra el enlace de un solo uso de prueba que todavía lleva #; sobrescribe el portapapeles. Si un cliente de nube vigila Descargas, confirma que la copia también desapareció en el otro dispositivo con sesión iniciada.

Trata un PC compartido, una máquina de demostración y el portátil de una sala de reuniones como «la siguiente persona que se siente abrirá Descargas y la barra de marcadores». No exportes ahí una contraseña real. No descifres un archivo real. No guardes un enlace de un solo uso en marcadores. Cuando un colega remoto necesita un secreto corto, envíale la URL como texto. La página de lectura no pide inicio de sesión. No esperes que cerrar Incógnito recupere el archivo de esta máquina compartida, ni de la persona del otro lado.

Cuando hayas abierto Descargas después de cerrar la ventana, y hayas mirado la barra de marcadores, ya puedes responder a la pregunta del artículo. Quién puede ver aún la contraseña al cerrar Incógnito depende de dónde aterrizó el archivo, de si un marcador guardó la URL completa y de si se sobrescribió el portapapeles. Borrar el historial solo significa que quien abra Historial no verá esta dirección. No recupera lo que ya se escribió en el disco y en el almacén de marcadores.

Preguntas frecuentes

¿Incógnito ya garantiza que la contraseña no se queda?

No. Garantiza que esta visita no se escribe en el historial ni en las cookies. Un archivo descargado, un marcador nuevo, el portapapeles actual y un sitio en el que hayas iniciado sesión dentro de Incógnito quedan fuera de esa garantía. La ayuda oficial pone «conserva los marcadores y las descargas» en la misma página que «no conserva el historial».

Si solo cerré la pestaña actual, ¿ha terminado la sesión de Incógnito?

No. Chrome exige cerrar todas las ventanas de Incógnito. Un número junto al icono significa que queda otra abierta. Safari también te pide que cierres las demás ventanas privadas que sigan abiertas, para que otra persona no pueda seguir usando esas páginas. Una pestaña no es la sesión.

¿Hace falta una cuenta para generar una contraseña o exportar un TXT? ¿Incógnito sube el archivo?

No hace falta cuenta. Generar y exportar deberían quedarse en la pestaña actual. Exportar es el navegador escribiendo un Blob en la carpeta Descargas local. No es un POST a un servidor. Abre Red: después de Exportar, el cuerpo de la petición no debería contener esa contraseña. Que el archivo se quede en el disco es el comportamiento de descarga del sistema operativo, no el sitio reenviando el archivo.

¿El modo invitado es más limpio que Incógnito?

El perfil de invitado de Chrome está más aislado. No trae tus marcadores ni tus extensiones. Los archivos descargados siguen aterrizando en la carpeta Descargas de este ordenador. Otra identidad de navegador no es otro disco. Recoger sigue siendo borrar el archivo y sobrescribir el portapapeles.