En resumen
Un sitio Webflow que no utiliza scripts de terceros (ni Google Analytics, ni Meta Pixel, ni Hotjar, ni chat en directo) y que solo recurre a cookies estrictamente necesarias para su funcionamiento no necesita un banner de consentimiento de cookies según la Directiva ePrivacy y el artículo 82 de la ley francesa Informatique et Libertés. Sin embargo, en cuanto se añade un solo script de terceros no esencial (en el código personalizado, mediante un contenido incrustado o a través de una integración), el consentimiento pasa a ser obligatorio. La mayoría de los sitios Webflow en producción utilizan al menos un rastreador de terceros, por lo que el banner es necesario en la gran mayoría de los casos.
¿Qué cookies están exentas de consentimiento según el RGPD y la ePrivacy?
El artículo 5.3 de la Directiva ePrivacy (transpuesto al derecho francés como artículo 82 de la ley Informatique et Libertés) prevé dos categorías de rastreadores exentos de consentimiento: los rastreadores estrictamente necesarios para prestar un servicio de comunicación en línea solicitado expresamente por el usuario y los rastreadores cuya única finalidad es permitir o facilitar la comunicación electrónica.
En la práctica, esto incluye las cookies de sesión (autenticación, carritos de compra), las cookies técnicas de preferencias (selección de idioma, ajustes de visualización), las cookies de balanceo de carga y las cookies de seguridad (tokens CSRF, limitación de solicitudes).
La CNIL también considera que algunas cookies de medición de audiencia pueden estar exentas, siempre que se limiten estrictamente a medir la audiencia en beneficio exclusivo del editor del sitio, no permitan el seguimiento entre sitios y solo generen datos anónimos. Google Analytics no cumple estas condiciones en su configuración estándar. Para repasar los tipos de cookies, consulta nuestro artículo sobre las cookies explicadas: tipos y funcionamiento.
Lo que Webflow instala por defecto
Un sitio Webflow básico sin scripts personalizados utiliza principalmente cookies técnicas relacionadas con el alojamiento (sesión, preferencias de visualización). Estas cookies son estrictamente necesarias para el funcionamiento del sitio y están exentas de consentimiento.
Atención, eso sí: si tu sitio Webflow utiliza Google Fonts mediante la integración nativa (sin alojarlas en tu servidor), transmite las direcciones IP de los visitantes a los servidores de Google. No es una cookie, pero sí una transferencia de datos personales que plantea un problema distinto en materia de RGPD.
¿Cuándo es obligatorio un banner de cookies en un sitio Webflow?
El banner pasa a ser obligatorio en cuanto hay un solo rastreador no exento en el sitio. Estos son los desencadenantes más habituales en los sitios Webflow.
Google Analytics (GA4)
GA4 instala cookies de seguimiento (_ga, _ga_*) que no son estrictamente necesarias para el funcionamiento del sitio. Se requiere consentimiento. Aunque Google ha certificado GA4 en el marco del EU-US Data Privacy Framework, las cookies en sí siguen sujetas a la Directiva ePrivacy. Para saber más, consulta nuestro artículo ¿Cumple Google Analytics con el RGPD?
Meta Pixel (Facebook)
El Meta Pixel instala cookies de terceros para el seguimiento publicitario entre sitios. Se requiere consentimiento sin excepción.
Hotjar, Microsoft Clarity, FullStory
Estas herramientas de mapas de calor y grabación de sesiones instalan cookies no esenciales. Se requiere consentimiento.
Herramientas de chat en directo (Intercom, Crisp, HubSpot)
La mayoría de los widgets de chat instalan cookies de seguimiento y de identificación. Algunos lo hacen en cuanto se carga el script, incluso antes de que el usuario interactúe. Por lo general se requiere consentimiento, salvo que el proveedor garantice que solo se usan cookies estrictamente necesarias.
Contenidos incrustados e iframes
Vídeos de YouTube incrustados, Google Maps, formularios de terceros: cada contenido incrustado puede hacer que el servicio de terceros instale cookies. Un vídeo de YouTube incrustado de forma estándar, sin el modo de «privacidad mejorada», instala cookies publicitarias de Google.
Google Fonts a través de la API (recordatorio)
Como explicamos en nuestro artículo sobre Google Fonts y el RGPD en Webflow, las fuentes cargadas desde un servidor externo no instalan cookies, pero transmiten la dirección IP. Esta transferencia no queda cubierta por el banner de cookies y requiere una solución técnica aparte (alojar las fuentes en tu servidor).
Banner de cookies necesario según el tipo de sitio Webflow
Que haga falta un banner depende de los scripts y servicios integrados en tu sitio, no del tipo de sitio en sí. Un sitio corporativo mínimo sin scripts de terceros y con fuentes alojadas en tu servidor no necesita banner. Un sitio corporativo con GA4, sí. Una tienda online, un blog o un sitio SaaS casi siempre utilizan al menos un rastreador no exento, por lo que el banner es obligatorio.
Para los vídeos de YouTube incrustados existe una alternativa: usar el dominio youtube-nocookie.com, que reduce considerablemente las cookies instaladas. Aun así, comprueba con una auditoría si queda algún rastreador después de este cambio.
Cómo saber exactamente qué rastreadores hay en tu sitio
Lo mejor es analizar tu sitio con una herramienta de auditoría de cookies. Un escaneo de cookies identifica automáticamente todas las cookies y rastreadores que instala tu sitio, incluidos los que inyectan servicios de terceros que quizá no hayas detectado.
Método manual
Si prefieres comprobarlo a mano: abre tu sitio en una ventana de navegación privada, abre las herramientas para desarrolladores (F12), ve a la pestaña «Application» (Chrome) o «Almacenamiento» (Firefox) y revisa la sección «Cookies». Verás la lista de todas las cookies instaladas, por dominio.
Revisa también la pestaña «Network» para identificar las solicitudes a dominios de terceros (google-analytics.com, facebook.net, hotjar.com, etc.).
Cuidado con los scripts añadidos por otras personas
En los sitios gestionados por varias personas (agencia, cliente, desarrollador), a veces se añaden scripts al código personalizado sin avisar al equipo responsable del cumplimiento. Es necesaria una auditoría periódica para detectar los cambios.
Errores frecuentes (y cómo evitarlos)
Creer que un sitio «sencillo» no tiene rastreadores. Un sitio corporativo en Webflow puede parecer mínimo, pero basta con un vídeo de YouTube incrustado, un formulario de Typeform o un píxel de marketing añadido en el código personalizado para que el banner sea obligatorio.
Confundir «sin Google Analytics» con «sin rastreadores». GA4 es solo un rastreador entre muchos. Meta Pixel, LinkedIn Insight Tag, TikTok Pixel, widgets de chat, herramientas de mapas de calor: cada uno instala sus propias cookies.
Pasar por alto las cookies de los contenidos incrustados. Un vídeo de YouTube incrustado mediante un <iframe> estándar instala cookies publicitarias de Google. La solución: usar el dominio youtube-nocookie.com para tus vídeos incrustados.
Dar por hecho que Webflow gestiona el cumplimiento automáticamente. Webflow ofrece una plataforma de alojamiento y un Designer, pero no incluye una gestión nativa del consentimiento de cookies. El cumplimiento es responsabilidad del editor del sitio.
No actualizar la auditoría tras cada cambio. Cada script, integración o contenido incrustado que se añade puede modificar la lista de rastreadores. La auditoría de cookies debe repetirse después de cada cambio importante.
Checklist: ¿tu sitio Webflow necesita un banner de cookies?
- Enumera todos los scripts presentes en el código personalizado del sitio (Site Settings y Page Settings).
- Identifica los contenidos incrustados e iframes de cada página (YouTube, Google Maps, formularios de terceros).
- Comprueba si Google Fonts se carga a través de la API de Google (un problema distinto, pero relacionado).
- Analiza el sitio con una herramienta de auditoría de cookies para detectar rastreadores invisibles.
- Compara la lista de rastreadores encontrados con las exenciones de la ePrivacy.
- Si hay al menos un rastreador no exento: implementa un banner de consentimiento conforme.
- Si no hay ningún rastreador no exento: documenta este análisis e informa a los visitantes en tu política de privacidad.
- Establece un proceso de escaneo periódico para detectar nuevos rastreadores tras cada actualización del sitio.
Conclusión
La pregunta «¿mi sitio Webflow necesita un banner de cookies?» depende por completo de los scripts y servicios integrados, no del tipo de sitio. Un sitio Webflow estrictamente estático, sin rastreadores de terceros y con fuentes alojadas en tu servidor, puede prescindir del banner. Pero en la práctica este escenario es poco frecuente. Para saber con exactitud en qué situación está tu sitio, lo más fiable es realizar un escaneo gratuito con FlowConsent, que identifica todos los rastreadores en segundos.