Puntos clave
- El aislamiento de sitios es una función de seguridad que ejecuta cada sitio web en su propio proceso, lo que impide el robo de datos entre sitios incluso frente a ataques del tipo Spectre.
- El aislamiento de sitios se activa dispositivo a dispositivo desde chrome://flags, pero se aplica a flotas enteras mediante directivas de grupo o políticas basadas en el registro como SitePerProcess e IsolateOrigins.
- El aislamiento de sitios añade en torno a un 10-13 % de consumo extra de memoria y entre un 1 y un 2 % más de tiempo de carga, concesiones que la mayoría del hardware moderno asume sin problemas.
- El aislamiento de sitios se despliega de forma homogénea en todos los endpoints gestionados mediante plataformas de gestión de endpoints, lo que sustituye la configuración manual en cada dispositivo.
¿Qué es el aislamiento de sitios?
El aislamiento de sitios es una función de seguridad de Google Chrome que separa los procesos de los sitios web para impedir el robo de datos entre sitios. Esta medida de protección permite que cada sitio web se ejecute en su propio proceso dedicado, lo que crea límites sólidos entre orígenes web distintos. El aislamiento de sitios de Chrome refuerza notablemente la seguridad del navegador, porque evita que un sitio malicioso acceda a los datos de otros sitios, incluso cuando existen vulnerabilidades como Spectre.
La función supone un cambio arquitectónico de fondo en la forma en que los navegadores gestionan el contenido web: se pasa de un modelo en el que varios sitios podían compartir procesos a otro en el que se impone un aislamiento estricto.
Mira el vídeo para ver una guía visual sobre «Qué es el aislamiento estricto de sitios de Google Chrome y cómo configurarlo».
Arquitectura de separación de procesos
El aislamiento de sitios de Chrome funciona asignando a cada sitio web su propio proceso de renderizado. Cuando está activado, Chrome crea procesos separados para cada iframe de otro sitio, de modo que el contenido de orígenes distintos no puede acceder directamente a la memoria del resto.
Esta separación a nivel de proceso establece límites impuestos por el hardware entre sitios web e impide que un proceso de renderizado comprometido lea datos para los que no tiene permiso. La arquitectura aplica la política del mismo origen (Same-Origin Policy) a nivel de proceso, y no solo dentro del renderizador.
Desglose de las ventajas de seguridad
El aislamiento de sitios protege frente a varias categorías de ataques web que los modelos tradicionales de seguridad del navegador contienen con dificultad. Su principal defensa es contra los ataques de canal lateral como Spectre, que aprovechan la ejecución especulativa de la CPU para leer memoria privilegiada.
Al aislar los sitios en procesos separados, Chrome impide que estos ataques accedan a datos de otros orígenes incluso cuando hay vulnerabilidades en el renderizador. Esta arquitectura de seguridad también ayuda a contener los ataques de cross-site scripting universal (UXSS) y reduce el impacto de las fugas del sandbox.
Ajustes rápidos de configuración
El navegador ofrece varios métodos para activar, desactivar o personalizar el comportamiento del aislamiento de sitios según tus necesidades. El aislamiento de sitios de Chrome se configura fácilmente desde los ajustes integrados del navegador, lo que da a los usuarios control sobre esta función de seguridad.
Estas opciones van desde simples interruptores en la página de flags de Chrome hasta ajustes avanzados de políticas empresariales para despliegues corporativos. La mayoría de los usuarios puede gestionar el aislamiento de sitios desde la interfaz de flags experimentales de Chrome, que permite modificar estos ajustes sin conocimientos técnicos complejos.
Navegación por los flags de Chrome
Para acceder a las funciones experimentales de Chrome hay que ir a la página especial de flags, donde se pueden modificar los ajustes del navegador. Para acceder a esas opciones y comprobar cómo funciona el aislamiento de sitios en tu navegador, sigue estos pasos:
- Abre Chrome y escribe «chrome://flags» en la barra de direcciones.
- Pulsa Intro para acceder a la página de funciones experimentales.
- En el cuadro de búsqueda de la parte superior, escribe «isolation» para filtrar las opciones relevantes.
- Localiza el flag «Strict site isolation» y los relacionados en los resultados.
- Usa los menús desplegables junto a cada flag para seleccionar el ajuste que prefieras.
La página de flags incluye varias opciones relacionadas con el aislamiento más allá del interruptor principal.
Cómo desactivar el flag de Chrome
En algunos casos puede que necesites desactivar temporalmente el flag de Chrome del aislamiento de sitios para resolver problemas de compatibilidad. Así puedes volver al comportamiento predeterminado de Chrome cuando lo necesites. Estos pasos te guían para desactivar con seguridad estas funciones de seguridad:
- Ve a «chrome://flags» en tu navegador Chrome.
- Busca «isolation» en el campo de búsqueda.
- Localiza el flag «Strict site isolation» en los resultados.
- Abre el menú desplegable y selecciona «Disabled» entre las opciones.
- Fíjate en el botón «Restart» que aparece en la parte inferior de la pantalla.
- Haz clic en «Restart» para aplicar los cambios y reiniciar Chrome.
Desactivar el aislamiento de sitios puede resolver determinados problemas de compatibilidad, pero elimina una capa de protección importante frente a los ataques de canal lateral.
Ajustes de políticas empresariales
En entornos corporativos, el aislamiento de sitios de Chrome se puede gestionar mediante políticas empresariales, lo que permite configurarlo de forma centralizada en varios dispositivos. Estos ajustes dan a los administradores de TI herramientas para imponer estándares de seguridad sin dejar de atender necesidades concretas del negocio.
Los administradores pueden desplegar estas políticas mediante directivas de grupo, ajustes del registro o consolas de gestión, según su entorno. La política SitePerProcess impone el aislamiento de sitios en todos los sitios, mientras que IsolateOrigins permite una aplicación más selectiva.
Despliegue de políticas a gran escala
Gestionar el aislamiento de sitios desde chrome://flags funciona en un solo dispositivo, pero no es viable en una flota entera. En equipos de TI que gestionan cientos o miles de endpoints, las políticas empresariales de Chrome como SitePerProcess e IsolateOrigins suelen desplegarse mediante directivas de grupo, ajustes del registro o herramientas centralizadas de gestión de endpoints.
La plataforma de gestión de navegadores de NinjaOne permite a los equipos de TI imponer políticas de navegador de forma centralizada en Chrome, Edge y Firefox desde la misma consola, lo que ayuda a mantener ajustes de seguridad homogéneos en todos los endpoints gestionados sin depender de configuraciones manuales, GPO ni soluciones puntuales por separado.
Evaluación del impacto en el rendimiento
Activar el aislamiento de sitios de Chrome conlleva ciertas consideraciones de rendimiento por los cambios que introduce en la gestión de procesos del navegador. La función aumenta la seguridad creando procesos separados para sitios distintos, lo que, lógicamente, requiere más recursos del sistema.
La mayoría de los sistemas modernos absorbe esa carga adicional sin un impacto perceptible, pero conocer estas implicaciones te ayudará a tomar decisiones informadas. El impacto en el rendimiento varía según tus hábitos de navegación, las especificaciones del sistema y la configuración concreta del aislamiento de sitios.
Consideraciones sobre el uso de memoria
El aislamiento de sitios de Chrome incrementa el consumo de memoria porque crea procesos de renderizado separados para sitios distintos en lugar de compartirlos entre orígenes. Esa separación de procesos es la base de sus ventajas de seguridad, pero exige asignar más memoria. De media, activar el aislamiento de sitios aumenta el consumo de memoria de Chrome en torno a un 10-13 % frente a una configuración estándar. El impacto en la memoria crece con el número de iframes de otros sitios y orígenes cargados a la vez.
Efectos en la velocidad de navegación
El aislamiento de sitios puede afectar a métricas de rendimiento como el tiempo de carga de las páginas y la capacidad de respuesta, aunque el impacto suele ser mínimo en hardware moderno. Las primeras mediciones indican que activar el aislamiento completo de sitios añade entre un 1 y un 2 % al tiempo de carga en escenarios de navegación habituales. Ese impacto se nota sobre todo al cargar páginas complejas con varios iframes de otros sitios o al cambiar rápidamente entre pestañas de orígenes distintos.
Despliegue de políticas de aislamiento personalizadas
Más allá de la configuración estándar, las políticas de aislamiento personalizadas pueden centrarse en dominios concretos de alto riesgo y mantener el procesamiento estándar para aplicaciones internas de confianza. Chrome admite políticas personalizadas que permiten un control más granular sobre qué sitios reciben la protección del aislamiento. Esa flexibilidad permite a las organizaciones y a los usuarios avanzados aplicar estrategias de seguridad a medida que equilibran protección, compatibilidad y rendimiento.
Creación de reglas por sitio
Crear reglas personalizadas de aislamiento de sitios te permite aplicar distintos niveles de protección a dominios concretos según su perfil de riesgo y su importancia. Este enfoque selectivo puede optimizar el rendimiento del navegador sin renunciar a una seguridad sólida en los sitios sensibles.
Para crear reglas de aislamiento por sitio, tendrás que usar las políticas empresariales o los flags de Chrome:
- En entornos corporativos, crea un archivo de política que especifique la lista IsolateOrigins.
- Incluye patrones de origen completos como «https://example.com» para los dominios que requieran aislamiento.
- Usa los comodines con cuidado, porque los patrones demasiado amplios pueden perjudicar el rendimiento sin necesidad.
- Despliega la política con tu sistema de gestión o modificando el registro.
- Prueba la configuración con escenarios de navegación representativos para verificar el comportamiento.
Al definir reglas por sitio, da prioridad al aislamiento de los sitios que manejan datos sensibles, como los servicios financieros o los portales sanitarios.
Gestión de excepciones por origen
Gestionar las excepciones de tu política de aislamiento de sitios ayuda a resolver problemas de compatibilidad con determinados sitios web sin dejar de proteger el resto. Algunas aplicaciones web antiguas pueden no funcionar correctamente con el aislamiento estricto, por lo que conviene excluirlas de forma selectiva. Chrome ofrece mecanismos para crear y gestionar esas excepciones mediante los ajustes de políticas.
Buenas prácticas de aislamiento de sitios
Las implementaciones más eficaces del aislamiento de sitios combinan una protección global con excepciones selectivas y una supervisión periódica. Aplicar las buenas prácticas de aislamiento de sitios te permite aprovechar al máximo sus ventajas de seguridad y minimizar los posibles problemas de rendimiento o compatibilidad.
Estas son 5 buenas prácticas de aislamiento de sitios para mejorar tu postura de seguridad:
- Activa el aislamiento de sitios en toda la organización mediante directivas de grupo o la consola de gestión.
- Comprueba que todas las instancias del navegador se ejecutan con el aislamiento de sitios activado para mantener una protección homogénea.
- Supervisa las métricas de rendimiento del navegador después de activarlo para detectar posibles efectos.
- Forma a tus equipos de soporte de TI para que sepan resolver las incidencias relacionadas con el aislamiento de sitios que puedan encontrar los usuarios.
- Prueba el aislamiento de sitios con tus aplicaciones críticas de negocio para detectar posibles problemas de compatibilidad.
Implementar el aislamiento de sitios de Chrome es un paso importante para reforzar la ciberseguridad de tu organización. Separar los procesos de los sitios web y establecer límites claros entre dominios protege tus datos sensibles frente a ataques entre sitios sofisticados y mantiene el nivel de rendimiento que tu negocio necesita.
