Una guía práctica de tipos de cookies de internet

Esta guía explica tipos de cookies de internet de forma práctica, con un enfoque en decisiones de analítica respetuosas con la privacidad.

Las reglas de cookies existen porque un pequeño archivo de navegador puede realizar trabajos muy diferentes. Una cookie puede mantener a un usuario conectado. Otra puede seguir a ese usuario a través de miles de sitios web para publicidad. Tratar ambas como "sólo cookies" pasa por alto la cuestión de la privacidad.

Una cookie de Internet es un pequeño fragmento de datos almacenado por el navegador de un sitio web. Cuando el navegador solicita posteriormente una página o recurso del mismo dominio, puede devolver la cookie. Eso permite a los sitios web recordar sesiones, preferencias, carritos, opciones de consentimiento e identificadores.

Principales tipos de cookies

Las cookies propias las establece el sitio que utiliza el visitante. Pueden admitir inicio de sesión, carritos de compras, preferencias, análisis o estado del producto.

Las cookies de terceros las establece otro dominio integrado en la página, como una red publicitaria, un complemento social o un proveedor de análisis. A menudo se utilizan para el seguimiento entre sitios.

Las cookies de sesión caducan cuando finaliza la sesión del navegador. Las cookies persistentes permanecen hasta una fecha de vencimiento establecida o hasta su eliminación.

Las cookies esenciales son necesarias para un servicio solicitado por el usuario, como autenticación, seguridad, equilibrio de carga o carrito de compras. Las cookies no esenciales respaldan el análisis, la publicidad, la personalización u otros fines opcionales.

Los atributos Secure, HttpOnly y SameSite son controles de seguridad. Afectan la forma en que se transmiten y se accede a las cookies, pero por sí mismas no hacen que el propósito de seguimiento sea amigable con la privacidad.

Por qué las cookies se volvieron controvertidas

Las cookies no son inherentemente malas. La controversia proviene de la identificación persistente y el seguimiento entre sitios.

Una cookie publicitaria de terceros puede reconocer el mismo navegador en muchos sitios. Con el tiempo, eso puede revelar intereses, hábitos, compras, preocupaciones de salud, lecturas políticas, patrones de ubicación y acontecimientos de la vida. Incluso las cookies de origen pueden ser riesgosas si los scripts de terceros las escriben o leen para crear perfiles.

Los navegadores han respondido. WebKit de Safari tiene funciones de prevención de seguimiento y bloquea las cookies de terceros de forma predeterminada en contextos modernos (WebKit). La protección total de cookies de Firefox aísla las cookies por sitio para reducir el seguimiento entre sitios (Mozilla).

Chrome es diferente de Safari y Firefox. Google ya no planea el mismo aviso de eliminación total de cookies de terceros que discutimos anteriormente; en abril de 2025 dijo que Chrome mantendría el enfoque actual de elección del usuario en la configuración de Privacidad y Seguridad (Actualización de la zona de pruebas de privacidad). Eso no hace que el seguimiento de terceros sea duradero. Significa que Chrome sigue siendo más dependiente de la configuración del usuario, el consentimiento, la política de la plataforma y los futuros cambios de privacidad, mientras que Safari y Firefox ya restringen el seguimiento entre sitios de forma más agresiva de forma predeterminada.

Reglas de consentimiento de cookies

En la UE y el Reino Unido, las normas sobre cookies provienen principalmente de las leyes de privacidad electrónica, y GDPR establece el estándar de consentimiento cuando se trata de datos personales. El principio clave es que almacenar o acceder a información en el dispositivo de un usuario requiere consentimiento a menos que sea estrictamente necesario para el servicio solicitado.

El Reino Unido ICO dice que las organizaciones necesitan un mecanismo de consentimiento que permita a los usuarios controlar las cookies no esenciales y tecnologías similares (ICO). El EDPB explica el consentimiento GDPR como otorgado libremente, específico, informado e inequívoco, con retirada gratuita posterior (EDPB).

Eso significa que un banner de cookies compatible no debería:

• Establezca cookies opcionales antes del consentimiento.
• Utilice casillas marcadas previamente.
• Haga que "aceptar" sea mucho más fácil que "rechazar".
• Combine análisis y publicidad en una única opción vaga.
• Ocultar retiro.
• Describa el seguimiento con un lenguaje poco claro.

Cookies analíticas

Las cookies analíticas a menudo no son esenciales porque el sitio web puede funcionar sin ellas. Algunos reguladores permiten exenciones limitadas para la medición de la audiencia cuando se cumplen condiciones estrictas, como medición limitada de origen, retención breve, no seguimiento entre sitios y no compartir con otros fines. CNIL describe dichas condiciones para las herramientas de medición de audiencia (CNIL).

La mayoría de las configuraciones de publicidad y análisis convencionales no califican automáticamente para esas exenciones. Si los datos analíticos se comparten con un ecosistema de terceros o se utilizan con fines publicitarios, aumentan las obligaciones de consentimiento y divulgación.

Qué deberían auditar los propietarios de sitios web

Cree una cookie y un inventario de seguimiento:

• Nombre de la galleta.
• Proveedor.
• Dominio.
• Propósito.
• Caducidad.
• Si es esencial.
• Si se trata de datos personales.
• Si los datos se comparten con terceros.
• Si se requiere consentimiento.
• Cómo los usuarios pueden retirarse.

Luego, consulte el sitio web en una nueva sesión del navegador antes de aceptar el banner. Las cookies opcionales no deberían aparecer antes de que el usuario haya realizado una elección válida.

Sin cookies no significa automáticamente privado

Algunos sistemas de seguimiento evitan las cookies, pero utilizan almacenamiento local, píxeles, huellas dactilares, identificadores del lado del servidor o correos electrónicos con hash. La ley de cookies puede cubrir tecnologías similares y la ley de privacidad aún puede aplicarse cuando los datos se relacionan con una persona identificable.

Un enfoque genuinamente centrado en la privacidad evita reemplazar las cookies con identificadores más engañosos. Utiliza medición agregada, minimización de datos, retención breve y sin perfiles entre sitios.

Las cookies son una herramienta. La verdadera pregunta es si su sitio web los utiliza para algo que los visitantes esperan razonablemente y pueden controlar.

Una auditoría rápida del navegador

Puedes aprender mucho sin herramientas especiales. Abra el sitio en una ventana privada, borre el almacenamiento y cargue la página de inicio antes de interactuar con el banner. En las herramientas de desarrollo, verifique Almacenamiento de aplicaciones para cookies, almacenamiento local y almacenamiento de sesión. Luego, consulte Red para ver llamadas a dominios de análisis, anuncios, mapas de calor, chat y administrador de etiquetas.

Repita la prueba después de rechazar las cookies opcionales y después de aceptarlas. La diferencia debe coincidir con las categorías del banner. Si las llamadas publicitarias ocurren antes del consentimiento, o si el rechazo aún deja identificadores analíticos persistentes, el banner no controla la implementación. Mantenga capturas de pantalla y solicite registros con su inventario de cookies. Son mejores pruebas que una hoja de cálculo llena de páginas de marketing de proveedores.

Lista de verificación de auditoría de cookies

Para cada cookie o tecnología similar, registre:

• Nombre, dominio, proveedor, finalidad, caducidad y categoría.
• Ya sea propio o tercero en contexto.
• Ya sea que respalde un servicio solicitado o un propósito opcional.
• Si existe un almacenamiento similar en localStorage, sessionStorage, píxeles, SDKs o decoración de enlaces.
• Si Safari, Firefox, Chrome en modo normal y Chrome de incógnito se comportan de manera diferente.
• Si el rechazo del consentimiento realmente impide el almacenamiento y las solicitudes opcionales.

Si la herramienta reclama una exención de análisis, documente la configuración exacta: propósito limitado de medición de audiencia, sin seguimiento entre sitios, sin reutilización de publicidad, retención breve, información clara del usuario y sin reutilización del proveedor más allá de la necesidad de medición del editor.