¿Ha abierto las herramientas de desarrollo del navegador y ha encontrado varias cookies que empiezan por _ga? Son de las cookies más habituales de internet y también de las peor entendidas. En esta guía verá qué hace cada una, cuánto dura de verdad, qué dicen la AEPD y otras autoridades europeas y qué cambia con Google Consent Mode v2.
Las cookies de Google Analytics de un vistazo
Google documenta sus cookies de medición en dos sitios oficiales: el artículo de ayuda de GA4 sobre el uso de cookies en sitios web y la lista de cookies publicitarias y de medición de Google. Juntando ambas fuentes, el resumen es este:
Para la configuración de la etiqueta, nuestra ficha de Google Analytics 4 trata el Consent Mode y los ajustes relevantes para el RGPD.
_ga: duración por defecto de 2 años. Sirve para distinguir usuarios. Contiene un identificador de cliente generado al azar, no su nombre ni su correo electrónico._ga_<container-id>: duración por defecto de 2 años. Sirve para mantener el estado de la sesión (por ejemplo_ga_ABC123XYZ, donde el sufijo es su ID de medición sin el prefijoG-)._gid: duración de 24 horas. Google la clasifica como cookie analítica y distingue usuarios durante un día. Pertenece a Universal Analytics._gat(o_gat_<nombre personalizado>): duración de 1 minuto. Universal Analytics la usaba para limitar el número de peticiones en sitios con mucho tráfico.
Las cuatro son cookies propias (first-party): el JavaScript de Google las escribe en su dominio, no en google.com. Como verá enseguida, eso no cambia el análisis legal.
Las cookies _fbp y _fbc de Meta funcionan igual, como explica nuestro artículo sobre las cookies _fbp y _fbc.
_ga y _ga_<container-id>: las dos cookies que de verdad usa GA4
La tabla oficial de cookies de GA4 menciona exactamente dos: _ga y _ga_<container-id>. La primera reconoce un navegador entre visitas, lo que permite a GA4 contar usuarios y no solo páginas vistas. La segunda guarda datos de sesión, como el identificador y el número de sesión, para saber si dos páginas vistas forman parte de la misma visita.
Ojo: los «2 años» son un valor por defecto y además se renuevan. Según la referencia de configuración de Google, cada vez que se envía un hit la caducidad pasa a ser el momento actual más el valor de cookie_expires (63.072.000 segundos por defecto). Un visitante que vuelve una vez al mes conserva la misma cookie _ga de forma indefinida. Puede acortar la duración con cookie_expires y desactivar la renovación automática con cookie_update: false.
Si su propiedad de GA4 está vinculada a Google Ads, la etiqueta también puede instalar cookies publicitarias como _gcl_au (90 días según la lista de Google). Para profundizar en la configuración de GA4, consulte nuestra guía sobre cookies de GA4 y cumplimiento del RGPD.
¿GA4 sigue instalando _gid y _gat?
Según la documentación de Google, no: el artículo sobre cookies de GA4 solo cita _ga y _ga_<container-id>. _gid y _gat las instalaba analytics.js, la librería de Universal Analytics. Universal Analytics dejó de procesar datos en 2023 y se cerró definitivamente el 1 de julio de 2024.
Si un análisis de su web sigue detectando _gid o _gat, tómelo como una señal que merece revisión, no como el comportamiento normal de GA4. Las causas más frecuentes son:
Nuestra guía completa de auditoría de cookies muestra cómo inventariar cada cookie y llegar al script que la instala.
- un fragmento antiguo de
analytics.jsincrustado en una plantilla, el pie de página o una landing; - un plugin, una extensión o un widget de terceros que incluye su propio código de seguimiento antiguo;
- una etiqueta de Universal Analytics todavía publicada en Google Tag Manager;
- un escáner con una base de datos desactualizada que identifica las cookies por su nombre y no por lo que la página instala realmente.
Eliminar ese código muerto conviene en cualquier caso: una etiqueta que envía datos a una propiedad que ya no existe sigue cargando scripts, sigue escribiendo cookies y sigue teniendo que estar cubierta por su banner.
Por qué la cookie _ga necesita consentimiento en España
La norma clave es el artículo 22.2 de la LSSI (Ley 34/2002), que traslada el artículo 5.3 de la Directiva ePrivacy: instalar o leer información en el dispositivo del usuario exige su consentimiento previo, salvo que sea estrictamente necesario para prestar el servicio que ha solicitado. La analítica le resulta útil a usted, pero no es imprescindible para que el visitante lea su página. El TJUE lo dejó claro en la sentencia Planet49 (C-673/17, 2019): la regla se aplica tanto si la información almacenada es un dato personal como si no, y una casilla premarcada no es un consentimiento válido.
Las condiciones de la AEPD para eximir las cookies analíticas
La AEPD admite que algunas cookies de medición de audiencia queden exentas de consentimiento. Su guía sobre el uso de cookies para herramientas de medición de audiencia (versión de enero de 2024) exige, entre otras cosas:
- una finalidad limitada a medir la audiencia del propio sitio, en nombre exclusivo del editor;
- datos estadísticos anónimos únicamente, sin cotejarlos con otros tratamientos ni transmitirlos a terceros;
- que no permitan seguir la navegación del usuario por otros sitios o aplicaciones;
- una vida útil de las cookies de unos 13 meses que no se prorrogue automáticamente en nuevas visitas, y una conservación de los datos de 25 meses como máximo;
- informar a los usuarios y, si usa un proveedor, un contrato del artículo 28 del RGPD que le prohíba reutilizar los datos.
La propia AEPD advierte que varias ofertas de medición de audiencia del mercado no entran en la exención, en particular cuando declaran reutilizar los datos para otras finalidades. Una cookie _ga que se renueva durante 2 años, con un proveedor que puede usar los datos para sus propios fines, no cumple esas condiciones. Por eso Google Analytics necesita consentimiento. Si quiere el panorama completo, incluidas las transferencias internacionales, lea ¿Es Google Analytics conforme al RGPD?.
Matomo es un ejemplo habitual de herramienta que se puede configurar para cumplir estas condiciones, como explica nuestro artículo sobre Matomo y la exención de consentimiento.
Qué cambia Google Consent Mode v2
Consent Mode permite que su banner comunique a las etiquetas de Google lo que ha elegido el visitante mediante cuatro señales: analytics_storage, ad_storage, ad_user_data y ad_personalization (las dos últimas llegaron con la v2). Para la familia _ga, la que importa es analytics_storage.
Según la documentación oficial de Google sobre Consent Mode, cuando analytics_storage está denegado, las etiquetas de Google no leen ni escriben cookies analíticas propias. Ni _ga ni _ga_<container-id>. Lo que pasa después depende de la implementación:
- Modo básico: las etiquetas de Google no se cargan hasta que el visitante decide. No se envía nada a Google antes del consentimiento, ni siquiera el estado por defecto.
- Modo avanzado: las etiquetas se cargan con el estado
deniedpor defecto y envían pings sin cookies (estado del consentimiento, marca de tiempo, user agent, eventos). Google los usa para modelar datos.
En cuanto el visitante pulsa «Aceptar», el estado pasa a granted y GA4 instala _ga y _ga_<container-id> con normalidad. Si rechaza, no se crea ninguna cookie analítica. Tenga en cuenta que los pings del modo avanzado también envían datos del navegador a Google, así que conviene analizar bien esta opción. Nuestra comparativa Consent Mode básico vs avanzado explica las ventajas e inconvenientes.
Si los rechazos dejan demasiados huecos en sus datos, nuestra guía completa de analítica sin cookies repasa las opciones para medir sin consentimiento.
Lista de comprobación para su web
- Analice su web y anote cada cookie
_ga,_gid,_gaty_gcl_que se instala realmente, con la página donde aparece. - Elimine el código de Universal Analytics si siguen apareciendo
_gido_gat. - Bloquee GA4 hasta el consentimiento, o use Consent Mode con
analytics_storageendeniedpor defecto. - Compruebe el rechazo: pulse «Rechazar todo», recargue y verifique en las herramientas de desarrollo que no se crea ninguna cookie
_ga. - Documente las cookies en su política de cookies con su finalidad y duración reales, y guarde la prueba de cada consentimiento.
- Acorte la duración con
cookie_expires. Le explicamos la referencia de los 13 meses en nuestro artículo sobre la duración de las cookies.
Una plataforma de gestión del consentimiento como FlowConsent se encarga de gran parte de esta lista: bloquea los scripts antes del consentimiento, escanea las cookies de su web automáticamente, conserva las pruebas de consentimiento durante 13 meses e integra las señales de Google Consent Mode v2 sin necesidad de Google Tag Manager. La guía de configuración de Consent Mode se lo muestra paso a paso.
Conclusión
_ga y _ga_<container-id> son las únicas cookies que Google documenta para GA4, y ambas duran 2 años por defecto, renovándose en cada visita. _gid y _gat son cosa del pasado: si aparecen hoy, casi siempre hay código antiguo funcionando. En España ninguna de estas cookies puede instalarse antes de que el visitante acepte, y Consent Mode v2 es el mecanismo que hace que GA4 respete esa decisión. ¿Quiere saber qué cookies de Google instala su web ahora mismo? Haga un escaneo gratuito con FlowConsent y obtenga el resultado en menos de un minuto.