El perímetro corporativo lleva tiempo mudándose de sitio, pero en 2026 ya casi nadie discute dónde se ha instalado: en el navegador. Ahí es donde se trabaja, se accede a aplicaciones SaaS, se gestionan identidades, se comparten documentos… y, cada vez más, se conversa con herramientas de Inteligencia Artificial. Y ahí también es donde los atacantes están encontrando un terreno fértil: extensiones maliciosas, scripts inyectados, suplantaciones dentro de la propia sesión y fugas de datos que no siempre pasan por los controles clásicos.

Con ese telón de fondo, Zscaler anunció la adquisición de SquareX, una operación cerrada el 5 de febrero de 2026 y cuyos términos económicos no se han hecho públicos. El objetivo declarado es ampliar las capacidades de Zero Trust “hasta el navegador”, con un enfoque pensado para un mundo donde el trabajo ya no ocurre solo en dispositivos corporativos y donde el uso de IA en el día a día multiplica la superficie de exposición.

El navegador como “zona caliente” de seguridad (y productividad)

Durante años, muchas organizaciones han intentado extender seguridad a dispositivos no gestionados —BYOD, terceros, contratistas, entornos híbridos— con dos recetas habituales: VPN de acceso remoto o VDI. El problema es que ambas arrastran costes, fricción y, en el caso de las VPN, una herencia de “confianza implícita” difícil de encajar con una estrategia moderna de mínimo privilegio.

Zscaler plantea que ese modelo ya no sirve para una empresa distribuida y que el navegador es el punto donde se necesita aplicar políticas finas: quién accede, desde qué dispositivo, con qué postura de seguridad, a qué recurso concreto y bajo qué condiciones. En esa visión, el movimiento de Zscaler no va solo de frenar malware: va de controlar el acceso y proteger datos allí donde realmente sucede el trabajo.

¿Qué aporta SquareX a la ecuación?

SquareX venía construyendo su propuesta alrededor de un concepto muy directo: si el navegador es el lugar donde se concentra la actividad, hay que meter “sensores” dentro del navegador. La compañía ha desarrollado capacidades de Browser Detection and Response (BDR) mediante extensiones, con el objetivo de detectar y responder a amenazas “nativas” del navegador, como extensiones maliciosas o scripts con comportamiento sospechoso, y aportar telemetría accionable a los equipos de seguridad.

En su comunicación tras la compra, SquareX también insiste en un punto que suele decidir compras en IT: no obligar a cambiar de navegador. Integrarse con navegadores estándar evita el “cambio cultural” y el coste operativo de desplegar un navegador corporativo alternativo en toda la organización. Y, a la vez, permite aproximarse al gran dolor de cabeza de muchas empresas: cómo controlar accesos y datos cuando el dispositivo no es plenamente administrado.

Un enfoque: “cualquier navegador”, pero con guardarraíles

El anuncio encaja con una tendencia clara del mercado: llevar el modelo Zero Trust hasta el último tramo, ese “último kilómetro” donde se mezclan identidad, sesión, contenido y acciones del usuario (descargar, copiar/pegar, subir archivos, interactuar con herramientas de IA, etc.).

Zscaler ha explicado que, con SquareX, pretende ofrecer seguridad en navegadores habituales —sin necesidad de desplegar un agente completo o de imponer navegadores de terceros— para proteger el acceso a aplicaciones SaaS y privadas, incluso desde equipos no gestionados. El subtexto es evidente: reducir dependencia de VDI y VPN, sin sacrificar control.

Por qué la IA acelera esta decisión

El auge de la IA no solo trae nuevos modelos y más automatización: también trae nuevos flujos de datos. En la práctica, muchas interacciones con IA ocurren en interfaces web: prompts con contexto sensible, resúmenes de documentos internos, pegado de fragmentos de código, búsquedas asistidas y generación de contenido que puede incorporar información corporativa.

Ahí, el navegador deja de ser un simple cliente y pasa a ser un “canal” de salida de datos. En ese escenario, no basta con bloquear dominios o filtrar tráfico: se vuelve crítico controlar qué se hace dentro de la sesión, con qué permisos y con qué señales de riesgo. De ahí que Zscaler enmarque la operación en “la era de la IA” y en la necesidad de reforzar el modelo de confianza cero en el punto donde ocurren las interacciones.

Lectura para IT y seguridad: menos herramientas, más coherencia

Para los equipos de sistemas y seguridad, el interés de este movimiento está en la promesa de consolidación: unificar controles de acceso, postura del dispositivo y políticas dentro del navegador, especialmente cuando el parque real de endpoints incluye desde portátiles corporativos hasta equipos personales y entornos “de paso”.

En otras palabras: si el trabajo se ha convertido en “browser-first”, el control también tiene que ser “browser-first”, pero sin romper la experiencia del usuario. Y si la empresa quiere gobernar el uso de IA, necesita aplicar políticas donde se producen los prompts, los adjuntos y las respuestas: el navegador.

Una carrera que se intensifica

El mensaje de mercado es claro: la “seguridad del navegador” deja de ser una categoría marginal y pasa a integrarse con Zero Trust, acceso a aplicaciones y protección de datos. Zscaler no solo compra tecnología; compra una posición para competir en un terreno donde los límites entre ZTNA, DLP, seguridad de sesión y controles específicos para IA se están desdibujando.

Si la operación cumple lo prometido, el resultado sería un modelo en el que el usuario conserva su navegador, pero la organización gana visibilidad y capacidad de respuesta ante amenazas y fugas que antes quedaban fuera de foco. Y en 2026, con la IA metida en todos los procesos, ese “fuera de foco” ya no es un detalle: es un riesgo operativo.

Preguntas frecuentes

¿Qué significa “seguridad Zero Trust en el navegador” en una empresa real?
Aplicar políticas de acceso y protección de datos basadas en identidad, contexto y riesgo directamente en el navegador, para que la sesión web (SaaS y apps internas) se controle con mínimo privilegio y señales de seguridad.

¿En qué se diferencia de imponer un “navegador corporativo” o usar VDI?
El enfoque que se describe busca mantener navegadores estándar y añadir controles mediante integración/extensiones, reduciendo fricción y evitando operar un navegador alternativo o el coste/latencia de VDI para cada acceso.

¿Por qué es relevante para BYOD y dispositivos no gestionados?
Porque el gran reto de BYOD no es solo el acceso, sino el “último kilómetro”: descargas, subida de archivos, copia/pega, y controles de datos dentro de la sesión. Ahí es donde un enfoque centrado en navegador puede marcar diferencia.

¿Qué debería evaluar IT antes de desplegar extensiones de seguridad en navegadores?
Compatibilidad con navegadores y aplicaciones críticas, impacto en rendimiento, modelo de gestión (políticas, actualizaciones, telemetría), experiencia de usuario y cómo se integran los eventos con el SOC (SIEM/SOAR) para respuesta y trazabilidad.

vía: zscaler