Una guía práctica de tipos de cookies de internet

Un archivito de navegador puede hacer trabajos muy distintos, y por eso los tipos de cookies de internet no se regulan igual: uno mantiene la sesión, otro sigue a la persona por miles de sitios.

Las reglas de cookies existen porque un pequeño archivo de navegador puede realizar trabajos muy diferentes. Una cookie puede mantener a un usuario conectado. Otra puede seguir a ese usuario a través de miles de sitios web para publicidad. Tratar ambas como "sólo cookies" pasa por alto la cuestión de la privacidad.

Una cookie de Internet es un pequeño fragmento de datos almacenado por el navegador de un sitio web. Cuando el navegador solicita posteriormente una página o recurso del mismo dominio, puede devolver la cookie. Eso permite a los sitios web recordar sesiones, preferencias, carritos, opciones de consentimiento e identificadores.

Principales tipos de cookies

Las cookies propias las establece el sitio que utiliza el visitante. Pueden admitir inicio de sesión, carritos de compras, preferencias, análisis o estado del producto.

Las cookies de terceros las establece otro dominio integrado en la página, como una red publicitaria, un complemento social o un proveedor de análisis. A menudo se utilizan para el seguimiento entre sitios.

Las cookies de sesión caducan cuando finaliza la sesión del navegador. Las cookies persistentes permanecen hasta una fecha de vencimiento establecida o hasta su eliminación.

Las cookies esenciales son necesarias para un servicio solicitado por el usuario, como autenticación, seguridad, equilibrio de carga o carrito de compras. Las cookies no esenciales respaldan el análisis, la publicidad, la personalización u otros fines opcionales.

Los atributos Secure, HttpOnly y SameSite son controles de seguridad. Afectan la forma en que se transmiten y se accede a las cookies, pero por sí mismas no hacen que el propósito de seguimiento sea amigable con la privacidad.

Por qué las cookies se volvieron controvertidas

Las cookies no son inherentemente malas. La controversia proviene de la identificación persistente y el seguimiento entre sitios.

Una cookie publicitaria de terceros puede reconocer el mismo navegador en muchos sitios. Con el tiempo, eso puede revelar intereses, hábitos, compras, preocupaciones de salud, lecturas políticas, patrones de ubicación y acontecimientos de la vida. Incluso las cookies de origen pueden ser riesgosas si los scripts de terceros las escriben o leen para crear perfiles.

Los navegadores han respondido. WebKit de Safari tiene funciones de prevención de seguimiento y bloquea las cookies de terceros de forma predeterminada en contextos modernos (WebKit). La protección total de cookies de Firefox aísla las cookies por sitio para reducir el seguimiento entre sitios (Mozilla).

Chrome es diferente de Safari y Firefox. Google ya no planea el mismo aviso de eliminación total de cookies de terceros que discutimos anteriormente; en abril de 2025 dijo que Chrome mantendría el enfoque actual de elección del usuario en la configuración de Privacidad y Seguridad (Actualización de la zona de pruebas de privacidad). Eso no hace que el seguimiento de terceros sea duradero. Significa que Chrome sigue siendo más dependiente de la configuración del usuario, el consentimiento, la política de la plataforma y los futuros cambios de privacidad, mientras que Safari y Firefox ya restringen el seguimiento entre sitios de forma más agresiva de forma predeterminada.

Reglas de consentimiento de cookies

En la UE y el Reino Unido, las normas sobre cookies provienen principalmente de las leyes de privacidad electrónica, y GDPR establece el estándar de consentimiento cuando se trata de datos personales. El principio clave es que almacenar o acceder a información en el dispositivo de un usuario requiere consentimiento a menos que sea estrictamente necesario para el servicio solicitado.

El Reino Unido ICO dice que las organizaciones necesitan un mecanismo de consentimiento que permita a los usuarios controlar las cookies no esenciales y tecnologías similares (ICO). El EDPB explica el consentimiento GDPR como otorgado libremente, específico, informado e inequívoco, con retirada gratuita posterior (EDPB).

Eso significa que un banner de cookies compatible no debería:

• Establezca cookies opcionales antes del consentimiento.
• Utilice casillas marcadas previamente.
• Haga que "aceptar" sea mucho más fácil que "rechazar".
• Combine análisis y publicidad en una única opción vaga.
• Ocultar retiro.
• Describa el seguimiento con un lenguaje poco claro.

Cookies analíticas

Bajo la mayoría de las normas de consentimiento, las cookies analíticas no son esenciales, porque el sitio web puede funcionar sin ellas. Algunos reguladores permiten exenciones limitadas para la medición de la audiencia cuando se cumplen condiciones estrictas, como medición limitada de origen, retención breve, no seguimiento entre sitios y no compartir con otros fines. CNIL describe dichas condiciones para las herramientas de medición de audiencia (CNIL).

La mayoría de las configuraciones de publicidad y análisis convencionales no califican automáticamente para esas exenciones. Si los datos analíticos se comparten con un ecosistema de terceros o se utilizan con fines publicitarios, aumentan las obligaciones de consentimiento y divulgación.

Qué deberían auditar los propietarios de sitios web

Cree una cookie y un inventario de seguimiento:

• Nombre de la galleta.
• Proveedor.
• Dominio.
• Propósito.
• Caducidad.
• Si es esencial.
• Si se trata de datos personales.
• Si los datos se comparten con terceros.
• Si se requiere consentimiento.
• Cómo los usuarios pueden retirarse.

Luego, consulte el sitio web en una nueva sesión del navegador antes de aceptar el banner. Las cookies opcionales no deberían aparecer antes de que el usuario haya realizado una elección válida.

Sin cookies no significa automáticamente privado

Algunos sistemas de seguimiento evitan las cookies, pero utilizan almacenamiento local, píxeles, huellas dactilares, identificadores del lado del servidor o correos electrónicos con hash. La ley de cookies puede cubrir tecnologías similares y la ley de privacidad aún puede aplicarse cuando los datos se relacionan con una persona identificable.

Un enfoque genuinamente centrado en la privacidad evita reemplazar las cookies con identificadores más engañosos. Utiliza medición agregada, minimización de datos, retención breve y sin perfiles entre sitios.

Las cookies son una herramienta. La verdadera pregunta es si su sitio web los utiliza para algo que los visitantes esperan razonablemente y pueden controlar.

Una auditoría rápida del navegador

Puedes aprender mucho sin herramientas especiales. Abra el sitio en una ventana privada, borre el almacenamiento y cargue la página de inicio antes de interactuar con el banner. En las herramientas de desarrollo, verifique Almacenamiento de aplicaciones para cookies, almacenamiento local y almacenamiento de sesión. Luego, consulte Red para ver llamadas a dominios de análisis, anuncios, mapas de calor, chat y administrador de etiquetas.

Repita la prueba después de rechazar las cookies opcionales y después de aceptarlas. La diferencia debe coincidir con las categorías del banner. Si las llamadas publicitarias ocurren antes del consentimiento, o si el rechazo aún deja identificadores analíticos persistentes, el banner no controla la implementación. Mantenga capturas de pantalla y solicite registros con su inventario de cookies. Son mejores pruebas que una hoja de cálculo llena de páginas de marketing de proveedores.

Lista de verificación de auditoría de cookies

Para cada cookie o tecnología similar, registre:

• Nombre, dominio, proveedor, finalidad, caducidad y categoría.
• Ya sea propio o tercero en contexto.
• Ya sea que respalde un servicio solicitado o un propósito opcional.
• Si existe un almacenamiento similar en localStorage, sessionStorage, píxeles, SDKs o decoración de enlaces.
• Si Safari, Firefox, Chrome en modo normal y Chrome de incógnito se comportan de manera diferente.
• Si el rechazo del consentimiento realmente impide el almacenamiento y las solicitudes opcionales.

Si la herramienta reclama una exención de análisis, documente la configuración exacta: propósito limitado de medición de audiencia, sin seguimiento entre sitios, sin reutilización de publicidad, retención breve, información clara del usuario y sin reutilización del proveedor más allá de la necesidad de medición del editor.

Preguntas frecuentes

¿Cuál es la diferencia entre una cookie propia y una cookie de terceros?

Una cookie propia (first-party) la establece el sitio que el visitante está usando y sirve para cosas como el inicio de sesión, el carrito de compra y las preferencias. Una cookie de terceros la establece otro dominio incrustado en la página, como una red publicitaria o un plugin social, y suele usarse para el seguimiento entre sitios.

¿En qué se diferencian las cookies de sesión de las cookies persistentes?

Una cookie de sesión caduca cuando termina la sesión del navegador, así que desaparece al cerrar la pestaña o el navegador. Una cookie persistente permanece en el dispositivo hasta que llega una fecha de caducidad fijada o el usuario la borra.

¿Las cookies esenciales necesitan consentimiento?

Las cookies esenciales que son estrictamente necesarias para un servicio solicitado, como la autenticación, la seguridad, el balanceo de carga o un carrito de compra, no necesitan consentimiento. Las cookies no esenciales, incluidas las de analítica, publicidad y personalización, necesitan una decisión de aceptación válida antes de instalarse.

¿Qué hace que un banner de consentimiento de cookies no sea conforme?

Un banner incumple el estándar cuando instala cookies opcionales antes del consentimiento, usa casillas premarcadas o hace que aceptar sea mucho más fácil que rechazar. También incumple cuando agrupa analítica y publicidad en una elección vaga, oculta cómo retirar el consentimiento o describe el seguimiento con un lenguaje poco claro.

¿Pueden las cookies analíticas estar exentas de las reglas de consentimiento?

Algunos reguladores permiten excepciones limitadas para la medición de audiencia cuando se cumplen condiciones estrictas, como una medición propia y acotada, una retención breve, ningún seguimiento entre sitios y ninguna cesión para otros fines. La CNIL describe condiciones de este tipo para las herramientas de medición de audiencia. La mayoría de las configuraciones habituales de analítica y publicidad no califican para esa excepción de forma automática.

¿Los atributos Secure, HttpOnly o SameSite hacen que una cookie sea respetuosa con la privacidad?

Secure, HttpOnly y SameSite son controles de seguridad que afectan a cómo se transmite y se accede a una cookie. No cambian para qué se usa la cookie, así que una cookie de seguimiento con los tres atributos activados sigue siendo una cookie de seguimiento.

¿Qué decidió Chrome sobre las cookies de terceros en abril de 2025?

Google dijo que Chrome mantendría el enfoque actual de elección del usuario en la configuración de privacidad y seguridad en lugar de aplicar la retirada más completa de cookies de terceros que había planteado antes. Chrome sigue dependiendo más de la configuración del usuario, el consentimiento y las políticas de la plataforma que Safari o Firefox, que ya restringen el seguimiento entre sitios de forma más agresiva por defecto.

¿Pueden los sitios web rastrear a los visitantes sin usar cookies?

Sí, algunos sistemas de seguimiento usan almacenamiento local, píxeles, fingerprinting, identificadores del lado del servidor o correos electrónicos con hash en lugar de cookies. La normativa sobre cookies puede cubrir tecnologías similares, y la ley de privacidad puede aplicarse siempre que los datos se refieran a una persona identificable.

¿Qué debe incluir un inventario de cookies y seguimiento?

Un inventario útil recoge, para cada cookie, el nombre, el proveedor, el dominio, el propósito y la caducidad. También registra si la cookie es esencial, si implica datos personales, si se comparte con terceros, si necesita consentimiento y cómo puede retirarlo el usuario.

¿Cómo se comprueba si un banner de cookies realmente bloquea los rastreadores antes del consentimiento?

Abre el sitio en una ventana privada, borra el almacenamiento y carga la página de inicio antes de tocar el banner. Revisa después el almacenamiento de Application y la pestaña Network en busca de llamadas a dominios de analítica, publicidad, mapas de calor, chat y gestores de etiquetas. Repite la prueba después de rechazar las cookies opcionales y otra vez después de aceptarlas. Si las llamadas publicitarias se disparan antes del consentimiento, o si rechazar sigue dejando identificadores analíticos persistentes, el banner no está controlando lo que el sitio realmente hace.