#### macOS

1. [Descarga](https://www.wireshark.org/download.html) e instala Wireshark (incluye `tshark`).
2. Añade `tshark` a tu `PATH`:   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. El flujo de trabajo correspondiente de GitHub Actions se ejecutará y publicará los recursos de la versión automáticamente. Para Zeek, la versión aparecerá en [packages.zeek.org](https://packages.zeek.org/).

## Detalles de JA4+

JA4+ es un conjunto de huellas digitales de red simples pero potentes para múltiples protocolos que son tanto legibles por humanos como por máquinas, lo que facilita una mejor caza de amenazas y análisis de seguridad. Si no está familiarizado con las huellas digitales de red, le animo a leer mis blogs sobre el lanzamiento de JA3 [aquí](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [aquí](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), y este excelente blog de Fastly sobre el [Estado de las huellas digitales TLS](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) que describe la historia de los mencionados junto con sus problemas. JA4+ brinda soporte dedicado, manteniendo los métodos actualizados a medida que la industria cambia.

Todas las huellas digitales JA4+ tienen un formato a_b_c, que delimita las diferentes secciones que componen la huella digital. Esto permite la caza y detección utilizando solo ab o ac o solo c. Si uno quisiera hacer solo análisis de las cookies entrantes en su aplicación, miraría solo JA4H_c. Este nuevo formato que preserva la localidad facilita un análisis más profundo y rico mientras permanece simple, fácil de usar y permite la extensibilidad.

Por ejemplo, GreyNoise es un oyente de internet que identifica escáneres de internet y está implementando JA4+ en su producto. Tienen un actor que escanea internet con un único cifrado TLS que cambia constantemente. Esto genera una gran cantidad de huellas digitales JA3 completamente diferentes, pero con JA4, solo la parte b de la huella digital JA4 cambia, las partes a y c permanecen iguales. Como tal, GreyNoise puede rastrear al actor mirando la huella digital JA4_ac (uniendo a+c, omitiendo b).

Para una lista de métodos JA4+ y sus descripciones, consulte [Métodos actuales y detalles de implementación](#current-methods-and-implementation-details).

Para entender cómo leer las huellas digitales JA4+, consulte [Detalles técnicos](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Licencia

*JA4: Huella digital de cliente TLS* es [código abierto, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), igual que JA3. FoxIO no tiene reclamaciones de patentes y no planea buscar cobertura de patentes para JA4 TLS Client Fingerprinting. Esto permite que cualquier empresa o herramienta que actualmente utilice JA3 actualice inmediatamente a JA4 sin demora.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N y todas las adiciones futuras (colectivamente referidas como JA4+)** tienen patente pendiente y están licenciadas bajo la [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE). Esta licencia es permisiva para la mayoría de los casos de uso, incluidos los fines académicos y comerciales internos, pero no es permisiva para la monetización. Si, por ejemplo, una empresa quisiera usar JA4+ internamente para ayudar a asegurar su propia empresa, eso está permitido. Si, por ejemplo, un proveedor quisiera vender huellas digitales JA4+ como parte de su oferta de productos, necesitaría solicitar una licencia OEM de nosotros.

JA4+ es una marca comercial de FoxIO

JA4+ puede y está siendo implementado en herramientas de código abierto, consulte las [Preguntas frecuentes sobre la licencia](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) para más detalles.

Esta licencia nos permite proporcionar JA4+ al mundo de una manera abierta e inmediatamente utilizable, pero también nos proporciona una forma de financiar el soporte continuo, la investigación de nuevos métodos y el desarrollo de la Base de Datos JA4+. Queremos que todos tengan la capacidad de utilizar JA4+ y estamos felices de trabajar con proveedores y proyectos de código abierto para ayudar a que eso suceda.

## Preguntas y respuestas

P: ¿Por qué está ordenando los cifrados? ¿No importa el orden?  
R: Sí importa, pero en nuestra investigación hemos encontrado que las aplicaciones y bibliotecas eligen una lista de cifrados única más que un orden único. Esto también reduce la efectividad del "cipher stunting", una táctica de aleatorizar el orden de los cifrados para prevenir la detección de JA3.

P: ¿Por qué está ordenando las extensiones?  
R: A principios de 2023, Google [actualizó los navegadores Chromium](https://chromestatus.com/feature/5124606246518784) para aleatorizar su orden de extensiones. Al igual que el cipher stunting, esta era una táctica para prevenir la detección de JA3 y "hacer el ecosistema TLS más robusto a los cambios". Google estaba preocupado de que los implementadores de servidores asumieran que la huella digital de Chrome nunca cambiaría y terminaran construyendo lógica alrededor de ella, lo que causaría problemas cada vez que Google actualizara Chrome.

Así que quiero dejar esto claro: las huellas digitales JA4 cambiarán a medida que se actualicen las bibliotecas TLS de las aplicaciones, aproximadamente una vez al año. No asuma que las huellas digitales permanecerán constantes en un entorno donde las aplicaciones se actualizan. En cualquier caso, ordenar las extensiones evita esto y agregar Algoritmos de Firma preserva la unicidad.

P: ¿No hace TLS 1.3 más difícil la huella digital de clientes TLS?  
R: No, ¡lo hace más fácil! Desde TLS 1.3, los clientes han tenido un conjunto mucho más grande de extensiones y aunque TLS 1.3 solo soporta unos pocos cifrados, los navegadores y aplicaciones aún soportan muchos más.

## JA4+ fue creado por

[John Althouse](https://www.linkedin.com/in/johnalthouse/), con comentarios de:

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

E ingenieros que trabajan en GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet y otros.

Contacte a John Althouse en [email protected] para licencias y preguntas.

<sub>JA4 y JA4+ son marcas comerciales de FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>