¿Esta app roba mi contraseña? Por qué nunca pedimos tu contraseña de Instagram

Respuesta rápida

Nunca pedimos tu contraseña de Instagram porque una búsqueda de contenido público no la necesita: nuestros servidores obtienen datos públicos a partir de un nombre de usuario, así que no hay nada que una contraseña pueda desbloquear. Por eso tampoco hay ningún inicio de sesión de Instagram en este sitio. Lo que sí vemos es tu dirección IP y el nombre de usuario que escribes, porque un servidor no puede responderte sin ellos. Lo que sí guardamos son conteos: páginas vistas por día, consultas por día y con qué frecuencia se buscó cada nombre de usuario público, sin nada al lado de esos números que diga quién. Las dos mitades importan, y el resto de esta página es cómo comprobarlas sin creernos. Durante siete días también guardamos un registro anónimo de visitas: cuándo, país, dispositivo, páginas, búsquedas y qué cuentas públicas se consultaron en cada visita, sin dirección IP, cookie ni identificador de cuenta, y solo lo puede leer el operador.

¿Por qué este sitio no me pide iniciar sesión?

Por el lugar desde donde se hace la solicitud. Tú nos envías un nombre de usuario público; nuestros servidores les piden a proveedores comerciales de datos, y para algunos datos públicos a los puntos de acceso públicos de Instagram, el perfil, las historias, las destacadas y las publicaciones públicas de esa cuenta, y después te devuelven el resultado. Tu navegador habla solo con nosotros, así que Instagram ve una solicitud desde nuestra infraestructura y no desde tu dispositivo, que es también la razón por la que ningún visor aparece en la lista de visualizaciones de la historia. Está explicado en nuestra página de metodología.

Lee eso desde el ángulo de las credenciales: la única llave que necesita la consulta es un nombre de usuario público. Una contraseña identifica a ti, y nada en esa cadena te involucra como usuario de Instagram, así que un campo de contraseña no tendría ninguna función. Es la misma razón por la que ninguna credencial haría visible una cuenta privada: privada significa que Instagram la sirve solo a los seguidores aprobados.

¿La app va a robar mi contraseña? Qué le da en realidad un formulario de inicio de sesión a un sitio

No podemos auditar los servidores de nadie más y no vamos a llamar ladrón a un sitio con nombre y apellido, pero vale la pena entender el patrón. Un sitio que logra que escribas tu nombre de usuario y tu contraseña de Instagram en su propia página consigue, en un solo paso:

• La capacidad de actuar como tú. Esa sesión puede publicar, borrar, seguir, leer y enviar mensajes directos, y cambiar el correo y el teléfono que sirven para recuperar la cuenta. Si la página también pide el código de seis dígitos de tu app de autenticación o de un SMS, la autenticación en dos pasos deja de ser una barrera.
• Una credencial para probar en otros lados. La gente reutiliza contraseñas, así que el par que abre Instagram vale la pena probarlo en el correo, el almacenamiento y la banca: el rendimiento habitual del phishing de credenciales, tal como lo describe la Comisión Federal de Comercio de Estados Unidos, un formulario y muchos intentos posteriores.
• Una cuenta prestada con la que hacer consultas. A los servicios de contenido público les limitan las solicitudes del otro lado, y un conjunto de cuentas reales con la sesión iniciada es útil en la operación. La cuenta que carga con el riesgo de una restricción es la tuya: las Condiciones de uso (Se abre en una ventana nueva) de Instagram ponen lo que pase con tu inicio de sesión en tu cuenta.

¿Y entonces qué recopilan?

Esta es la parte que omiten las páginas de "respetamos tu privacidad". Instagram no te ve aquí. Nosotros sí.

Cada fila de abajo viene de nuestra política de privacidad y de nuestra página de metodología, y la misma lista está publicada en /llms.txt, así que las tres se pueden comparar. Donde este artículo y la política puedan contradecirse, la política es la autoridad.

Dato	Dónde vive	Cuánto tiempo	Quién puede verlo
Tu contraseña de Instagram	En ningún lado. No hay inicio de sesión de Instagram en el sitio ni ningún campo que aceptaría uno	No aplica	Nadie, nosotros incluidos
Tu dirección IP	Nuestro servidor la ve en cada solicitud, como cualquier servidor web, y la usa en memoria para los límites de uso, la protección contra abusos y un hash que cambia cada día, cuenta visitantes únicos y nunca sale de la memoria. Consultar una cuenta no la escribe en ninguna tabla, registro ni archivo. Hay tres excepciones acotadas: una solicitud de retirada guarda un hash de un solo sentido de tu dirección, para impedir que la misma persona presente cientos; pasar las páginas de comentarios de una publicación suma a un contador diario de uso justo guardado bajo un hash de un solo sentido de tu dirección; y un intento de iniciar sesión en la página privada de administración queda anotado en el registro de auditoría con su dirección IP. Nuestros proveedores de alojamiento y de red también ven cada dirección IP, para entregar el sitio, y conservan sus propios registros según sus propias políticas	No se guarda en las consultas; se guardan los hashes y las entradas de auditoría indicados	Nadie una vez que termina la consulta; en las excepciones, solo el operador
El nombre de usuario que buscaste	Nuestro servidor lo ve, porque es lo que consultamos. Queda en un conteo diario (ese día, ese nombre de usuario público, tantas consultas, sin columna de visitante, sesión ni IP al lado) y, durante siete días, en el registro anónimo de visitas, que enumera las cuentas públicas consultadas en cada visita sin dirección IP, cookie ni identificador de cuenta	El conteo se conserva; el registro de visitas se borra a los siete días; el hecho de que tú hicieras una consulta no se guarda, porque nada de lo anterior te nombra	El operador ve los conteos y el registro de visitas; ninguno dice quién era el visitante
Las páginas que abres, los clics, el tiempo en la página, la profundidad de desplazamiento	Nuestro servidor, como totales diarios por página: ninguna cookie de analítica, ninguna fila de visitante, ninguna sesión. No hay un consentimiento de analítica que dar ni analítica que desactivar	Los conteos se conservan; no hay nada por persona que borrar	El operador
Tu lista de seguimiento	Solo tu navegador (IndexedDB peekghost-watchlist, con localStorage como alternativa)	Hasta que borres los datos del sitio	Solo tú; no se sube a ningún lado
Tus búsquedas recientes	Solo tu navegador (localStorage: el nombre de usuario y una miniatura pequeña)	Hasta que borres los datos del sitio	Solo tú
Contenido público en caché	Nuestro servidor: imágenes públicas redimensionadas en una caché en disco con tamaño limitado y desalojo de lo menos usado (128 MB en este sitio a la fecha de arriba); metadatos de texto de minutos a horas; los videos y los archivos en tamaño original se transmiten, no se guardan	Los metadatos se borran una semana después de su ventana de caché; las imágenes varían según el tráfico	Cualquiera que busque esa misma cuenta pública

Dos notas al pie en lugar de letra chica. El conteo por nombre de usuario no es opcional, y preferimos decir por qué antes que enterrarlo: esas consultas son lo que pagamos, así que el conteo es cómo entendemos nuestros propios costos. Es un número sobre una cuenta pública, no sobre ti, y quien tiene la cuenta puede oponerse en la página de retirada. Todavía puede aparecer un banner de consentimiento donde la ley lo exija, pero solo para etiquetas de publicidad y analítica de terceros si el operador activó alguna, nunca para nuestro propio conteo, que no pone ninguna cookie. Y si algún día se ofrecen planes de pago y activas la sincronización de la lista de seguimiento, guardaríamos una copia cifrada de tu lista que no podemos leer: el único caso en que algo de la columna de "solo el navegador" sale de tu dispositivo.

No vendemos estos datos y no les decimos a las cuentas quién las buscó. Sí los revelamos cuando la ley lo exige, y eso es un límite nuestro, no una promesa.

¿Cómo puedo comprobarlo yo mismo?

Para todo lo que pasa en tu navegador, no hace falta que nos creas.

Lo que no podemos prometer

• Sí te vemos. Tu dirección IP y el nombre de usuario que escribes llegan a nuestro servidor en cada consulta, y ninguna redacción cambia eso. Lo que sí podemos prometer es el paso siguiente: tu dirección IP no se anota, y el nombre de usuario solo queda en conteos diarios y en un registro anónimo de visitas de siete días sin dirección IP, cookie ni identificador de cuenta, así que ningún registro nuestro te nombra para filtrarlo, entregarlo por orden judicial o venderlo. Las excepciones acotadas (un hash de un solo sentido con una solicitud de retirada o al pasar comentarios, y los intentos de iniciar sesión en la página de administración) están en la fila de la IP de la tabla de arriba. Anónimo aquí significa frente a Instagram y frente a la cuenta, y frente a nuestro propio almacenamiento, no frente a nuestro servidor en el momento en que te responde.
• No podemos ocultarte de tu propia red. Tu proveedor, tu empleador o tu escuela todavía pueden ver que entraste, y el historial de tu navegador registra lo que abriste.
• No podemos prometer que nunca salga nada. Cuando la ley obliga a revelarlo, cumplimos, aunque lo que tenemos para entregar son conteos y, en una solicitud de retirada, el hash de una dirección.
• No podemos mostrar cuentas privadas ni decirte quién vio algo. Las dos cosas están fuera de los datos públicos.
• No puedes ver nuestros servidores. Más allá del lado del navegador, tienes una política publicada, tres descripciones que tienen que mantenerse coherentes, una vía de retirada de 72 horas y un operador con el que se puede contactar. Eso es una base para confiar, no una prueba, y preferimos decirlo.

Preguntas frecuentes

¿Esta app roba mi contraseña?

Nunca recibe ninguna. No hay ningún inicio de sesión de Instagram en todo el sitio, y una búsqueda pública funciona a partir de un nombre de usuario. Confírmalo buscando type="password" en el código fuente de la página.

¿Tengo que iniciar sesión para ver una historia pública?

No. Una historia, una destacada, un reel, una publicación o una foto de perfil públicos se pueden obtener solo con un nombre de usuario. Si un sitio exige iniciar sesión en Instagram antes de mostrar contenido público, esa exigencia no es técnica.

¿Es seguro darles a estas apps acceso a mi cuenta de Instagram?

Dar acceso, por contraseña o autorizando una app, entrega la capacidad de actuar como tú: publicar, enviar mensajes, leer mensajes directos, cambiar los datos de recuperación. Ver contenido público no necesita nada de eso, y nosotros no ofrecemos ningún botón de autorizar con Instagram. Nuestra lista de seguridad de 12 puntos muestra cómo juzgar cualquier sitio en este punto.

¿Estas apps recopilan datos para hackear?

Solo podemos responder por esta. Lo que tenemos es la tabla de arriba: conteos de páginas vistas y de consultas, y de con qué frecuencia se buscó cada nombre de usuario público, más, durante siete días, un registro anónimo de visitas con las cuentas públicas consultadas en cada una, sin dirección IP, cookie ni identificador de cuenta, no se venden, no se comparten con anunciantes. Un nombre de usuario más una dirección IP no son una credencial y no pueden iniciar sesión en nada; una contraseña sí, y es lo que nunca pedimos. Y no, no podemos ver quién vio tu historia ni abrir una cuenta privada.

¿Es una estafa?

Júzgalo por cosas comprobables y no por nuestras palabras: un solo campo de entrada, ningún inicio de sesión de Instagram, ninguna encuesta o descarga obligatoria antes del contenido, una política que es específica sobre lo que el servidor ve y lo que conserva, y que dice cuánto tiempo lo conserva, una vía de retirada. Vale la pena irse de un sitio que falla en eso, este incluido.

¿Cómo saco mi propia cuenta de esta herramienta?

Usa la página de retirada: buscamos bloquear las búsquedas de ese nombre de usuario, eliminar los conteos que tenemos para él y descartar las copias en caché en un plazo de 72 horas, y el bloqueo queda hasta que lo levantes. No cambia nada en Instagram mismo; para eso, pon la cuenta en privada.

En resumen

Una contraseña no nos daría nada que necesitemos, y por eso ningún campo la pide, y eso lo puedes comprobar en segundos en lugar de confiar. Lo que sí tomamos es más aburrido que una credencial, y preferimos imprimirlo con claridad antes que declarar una privacidad que no ofrecemos: nuestro servidor ve tu dirección IP y el nombre de usuario que escribes, no anota ninguna de las dos y guarda conteos en su lugar, páginas vistas, consultas y con qué frecuencia se buscó cada nombre de usuario público. Decimos la primera mitad porque es lo que hace que la segunda valga algo. Durante siete días también guardamos un registro anónimo de visitas: cuándo, país, dispositivo, páginas, búsquedas y qué cuentas públicas se consultaron en cada visita, sin dirección IP, cookie ni identificador de cuenta, y solo lo puede leer el operador. No tenemos vínculo con Instagram ni con Meta.

Fuentes

1. Política de privacidad de Peekghost: qué recopilamos (Se abre en una ventana nueva) (consultado el 27 sept 2026)
2. Política de privacidad de Peekghost: cuánto tiempo lo conservamos (Se abre en una ventana nueva) (consultado el 27 sept 2026)
3. Metodología de Peekghost: qué registran nuestros servidores (Se abre en una ventana nueva) (consultado el 27 sept 2026)
4. Peekghost: retirar mi perfil (vía de retirada para quien tiene la cuenta) (Se abre en una ventana nueva) (consultado el 27 sept 2026)
5. Protege tu cuenta de Meta con la autenticación en dos pasos (Centro de ayuda de Instagram) (Se abre en una ventana nueva) (consultado el 27 sept 2026)
6. Condiciones de uso de Instagram (Centro de ayuda de Instagram) (Se abre en una ventana nueva) (consultado el 27 sept 2026)
7. Comisión Federal de Comercio de Estados Unidos: cómo reconocer y evitar las estafas de phishing (Se abre en una ventana nueva) (consultado el 27 sept 2026)