> Cookies de sesión: qué son, cómo funcionan, diferencia con las cookies persistentes, ejemplos y cuándo están exentas de consentimiento. > > Canonical: https://www.flowconsent.com/es/blog/cookies-de-sesion-definicion-ejemplos [Buenas prácticas](https://www.flowconsent.com/es/blog?category=practices) # Cookies de sesión: definición, ejemplos y consentimiento Por Roland Vekemans · Publicado el 11 de octubre de 2026 · 8 min de lectura En resumen una cookie de sesión es una cookie que se instala sin fecha de caducidad (sin atributo `Expires` ni `Max-Age`), de modo que el navegador la elimina cuando termina la sesión de navegación, normalmente al cerrarlo. Los sitios web las usan para mantenerle conectado, conservar su carrito o recordar un formulario de una página a otra. Una cookie de sesión que solo cumple esa función está exenta de consentimiento, pero una vida corta no basta por sí sola: una cookie de sesión usada para analítica o publicidad sigue necesitando el consentimiento del visitante. Las cookies de sesión son las cookies más comunes de la web y las menos visibles. Casi nadie las nota, desaparecen solas y, sin embargo, son las que hacen funcionar los inicios de sesión y los carritos. Este artículo explica qué es una cookie de sesión, cómo funciona, en qué se diferencia de una cookie persistente, cuándo requiere consentimiento y cómo encontrar las cookies de sesión que instala su sitio. Para la visión general (cookies propias y de terceros, finalidades, marco legal), empiece por nuestra guía [qué son las cookies: definición, tipos y funcionamiento](https://www.flowconsent.com/es/blog/cookies-definicion-tipos-funcionamiento). ## ¿Qué es una cookie de sesión? Una cookie de sesión (también llamada cookie temporal o cookie en memoria) es una cookie HTTP que solo existe durante una sesión de navegación. Técnicamente, lo que la convierte en cookie de sesión es lo que le falta: el servidor la envía sin fecha `Expires` y sin valor `Max-Age`. El navegador la guarda entonces en memoria y la descarta al final de la sesión. Esto es lo que envía el servidor en un caso típico: \`\`\` Set-Cookie: PHPSESSID=8f2c1a9e7b; Path=/; Secure; HttpOnly; SameSite=Lax \`\`\` La misma cookie con `Max-Age=2592000` se convertiría en una cookie persistente, conservada 30 días tanto si cierra el navegador como si no. Una cookie de sesión no suele contener datos personales en claro. Lleva un identificador aleatorio (el identificador de sesión); la información en sí (quién es usted, qué hay en su carrito) se queda en el servidor, vinculada a ese identificador. ## ¿Cómo funcionan las cookies de sesión? 1. Usted abre una página. El servidor crea una sesión, genera un identificador aleatorio y lo envía en una cabecera `Set-Cookie` sin caducidad. 2. El navegador guarda la cookie en memoria para ese sitio. 3. En cada petición siguiente al mismo sitio, el navegador devuelve la cookie en la cabecera `Cookie`. 4. El servidor lee el identificador, encuentra la sesión correspondiente y sabe que usted es la persona que inició sesión o añadió un producto al carrito hace un minuto. 5. Cuando termina la sesión, el navegador olvida la cookie. La sesión del lado del servidor también caduca tras un periodo de inactividad fijado por el sitio. HTTP es un protocolo sin estado: sin este mecanismo, cada carga de página sería un desconocido para el servidor. Las cookies de sesión dan al sitio una memoria corta, limitada a la visita. ### ¿Cuándo termina una sesión de navegación? Aquí la definición teórica se encuentra con la realidad. MDN, la documentación de referencia para desarrolladores web, señala que es el navegador quien decide cuándo termina la sesión y que muchos navegadores permiten restaurarla. Si usa la opción «Continuar donde lo dejaste» de Chrome o «Abrir ventanas y pestañas anteriores» de Firefox, sus cookies de sesión pueden sobrevivir a un reinicio y volver como si nunca hubiera cerrado el navegador. En el móvil, donde las aplicaciones rara vez se cierran, una sesión puede durar días. Una cookie de sesión es efímera en principio, no siempre en la práctica. ## Ejemplos de cookies de sesión La mayoría de las tecnologías de servidor instalan una cookie de sesión por defecto: - `PHPSESSID`: la cookie de sesión de PHP. El valor por defecto de `session.cookie_lifetime` es 0, es decir, «hasta que se cierre el navegador». - `JSESSIONID`: el identificador de sesión de los servidores Java como Tomcat. - `ASP.NET_SessionId`: la cookie de sesión de las aplicaciones ASP.NET. - `connect.sid`: el nombre por defecto de express-session en Node.js, que no fija ninguna caducidad salvo que el desarrollador la añada. Usos típicos: mantener a un usuario conectado durante la visita, conservar el carrito hasta el pago, transportar los pasos de un formulario de varias páginas, proteger los formularios contra la falsificación de peticiones entre sitios (CSRF) y dirigir a un visitante al mismo servidor detrás de un balanceador de carga. Cuidado con los nombres. Una cookie con «session» en su nombre no es necesariamente una cookie de sesión. Google Analytics 4 instala `_ga_` para conservar el estado de su sesión de analítica, pero dura 2 años por defecto, como explica nuestro artículo sobre [las cookies \_ga, \_gid y \_gat](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd). Solo cuentan los atributos de caducidad. ## Cookies de sesión y cookies persistentes: diferencias Una cookie persistente tiene una fecha `Expires` o un valor `Max-Age`. Permanece en el dispositivo hasta esa fecha, incluso después de cerrar el navegador, salvo que el usuario la borre. Las diferencias, punto por punto: - **Duración:** la cookie de sesión termina con la sesión de navegación; la persistente dura hasta su fecha de caducidad, de unos minutos a varios años. - **Almacenamiento:** las cookies de sesión se guardan en memoria; las persistentes se escriben en el disco. - **Usos típicos:** las cookies de sesión gestionan el inicio de sesión, el carrito y los formularios durante la visita; las persistentes recuerdan preferencias, la opción «mantener la sesión iniciada» y los identificadores de analítica o publicidad entre visitas. - **Capacidad de seguimiento:** una cookie de sesión puede seguirle durante una visita; una persistente puede reconocerle durante semanas o meses. Las cookies persistentes plantean la cuestión de la duración máxima. La autoridad francesa CNIL recomienda un máximo de 13 meses para las cookies sujetas a consentimiento, algo que detallamos en nuestro artículo sobre [la duración de las cookies](https://www.flowconsent.com/es/blog/duracion-cookies-rgpd-regla-13-meses). ## ¿Necesitan consentimiento las cookies de sesión? La regla procede del artículo 5, apartado 3, de la [Directiva ePrivacy](https://www.flowconsent.com/es/laws/directiva-eprivacy), incorporada en España en el artículo 22.2 de la LSSI: almacenar o leer información en el dispositivo del usuario requiere su consentimiento, salvo que sea estrictamente necesario para prestar el servicio que el usuario ha solicitado expresamente (o tenga como único fin efectuar una comunicación). La duración no es un criterio. La finalidad, sí. En su Dictamen 04/2012 sobre la exención del requisito de consentimiento de cookies, el Grupo de Trabajo del Artículo 29 (hoy el CEPD) dio ejemplos de cookies exentas. Varias son por naturaleza cookies de sesión: - las cookies de entrada del usuario, que guardan lo que escribe en un formulario o añade a un carrito, durante la sesión; - las cookies de autenticación, que le mantienen conectado durante una sesión; - las cookies de seguridad centradas en el usuario, por ejemplo para detectar intentos fallidos de inicio de sesión repetidos; - las cookies de sesión de equilibrio de carga; - las cookies de sesión de reproductores multimedia, que guardan los datos técnicos necesarios para reproducir vídeo o audio. El mismo dictamen precisa que una cookie de sesión usada para otra finalidad, como el seguimiento, no está exenta. La Guía sobre el uso de las cookies de la AEPD sigue el mismo criterio: lo que decide la exención es la finalidad, no la duración. En la práctica: - Un `PHPSESSID` que solo mantiene la sesión iniciada: estrictamente necesario, sin consentimiento, pero debe figurar en su política de cookies. - Una herramienta de analítica o publicidad que instala una cookie de sesión para agrupar páginas vistas: consentimiento obligatorio, antes de instalar la cookie. - Un widget de chat que instala una cookie de sesión antes de que el visitante abra el chat: conviene revisarlo, porque todavía no responde a ninguna petición del visitante. ¿No sabe qué instala su sitio en la primera carga? Compruebe en 30 segundos qué cookies instala su sitio con el [escáner de cookies gratuito](https://www.flowconsent.com/es/scan). ## Cómo ver y borrar las cookies de sesión **En su navegador.** Abra las herramientas para desarrolladores (F12), después la pestaña Application (Aplicación) en Chrome o Edge, o la pestaña Almacenamiento en Firefox, y seleccione Cookies. En la columna de caducidad, las cookies de sesión aparecen como «Session» en lugar de una fecha. **Para borrarlas.** Cerrar todas las ventanas del navegador elimina las cookies de sesión, salvo que la restauración de sesión esté activada. Para estar seguro, borre las cookies del sitio desde la configuración del navegador o use una ventana privada, cuyas cookies se eliminan al cerrarla. **En su propio sitio.** Abra una ventana privada, cargue la página de inicio sin tocar el banner y liste las cookies. Toda cookie presente en ese momento, de sesión o persistente, debe ser estrictamente necesaria. Las demás se instalan demasiado pronto. ## Seguridad: proteger las cookies de sesión Como la cookie de sesión suele demostrar quién es usted, robarla permite a un atacante apoderarse de la sesión. Protecciones habituales: - **HttpOnly:** JavaScript no puede leer la cookie, lo que limita el robo mediante scripts inyectados. - **Secure:** la cookie solo se envía por HTTPS. - **SameSite=Lax o Strict:** la cookie no acompaña a la mayoría de las peticiones entre sitios, lo que reduce el riesgo de CSRF. - **Un nuevo identificador tras el inicio de sesión:** la OWASP recomienda regenerar el identificador de sesión cuando cambian los privilegios, para impedir la fijación de sesión. - **Una caducidad en el servidor:** la sesión debe caducar tras un periodo de inactividad, haga lo que haga el navegador con la cookie. ## Las cookies de sesión en su política de cookies El principio de transparencia del RGPD y las normas ePrivacy se aplican a todas las cookies, exentas o no. Su política de cookies o su declaración de cookies debe enumerar cada cookie de sesión con su nombre, proveedor, finalidad, categoría y una duración indicada como «Sesión». Las cookies de sesión estrictamente necesarias van en la categoría que describe nuestra guía de [categorías de cookies según el RGPD](https://www.flowconsent.com/es/blog/categorias-cookies-rgpd-guia-completa), indicando al visitante que no pueden rechazarse porque el sitio no funcionaría sin ellas. ## Cómo gestiona FlowConsent las cookies de sesión FlowConsent es un ejemplo de banner de cookies que trata las cookies de sesión según su finalidad, no según su duración. Su escaneo automático detecta las cookies que su sitio instala realmente y conserva el dominio, la duración y el tipo observados, de modo que una cookie de sesión aparece como tal. Las cookies de servicios conocidos se clasifican con su categoría; sus propias cookies, como una sesión de carrito creada por su servidor, se añaden a mano con su nombre, finalidad y duración. Todos los scripts no esenciales quedan bloqueados hasta el consentimiento, y cada elección se guarda como prueba exportable, alojada en Europa. FlowConsent es gratuito hasta 25 000 sesiones al mes y se instala en unos diez minutos. La [documentación sobre la declaración de cookies](https://www.flowconsent.com/es/doc/cookie-declaration) muestra cómo se construye la lista. [Volver al blog](https://www.flowconsent.com/es/blog) Compartir el artículo · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fcookies-de-sesion-definicion-ejemplos) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fes%2Fblog%2Fcookies-de-sesion-definicion-ejemplos) Preguntas ## Preguntas frecuentes sobre este tema. ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué diferencia hay entre las cookies de sesión y las persistentes? Una cookie de sesión no tiene fecha de caducidad, así que el navegador la elimina cuando termina la sesión de navegación, normalmente al cerrarlo. Una cookie persistente tiene un atributo Expires o Max-Age y permanece en el dispositivo hasta esa fecha, incluso tras un reinicio. Las cookies de sesión gestionan el inicio de sesión y el carrito durante la visita; las persistentes recuerdan preferencias e identificadores de analítica o publicidad. ### ¿Las cookies de sesión necesitan consentimiento según el RGPD? No siempre. Según el artículo 5, apartado 3, de la Directiva ePrivacy, lo que cuenta es la finalidad, no la duración. Una cookie de sesión estrictamente necesaria para un servicio solicitado por el usuario, como el inicio de sesión, el carrito o el equilibrio de carga, está exenta. Una cookie de sesión usada para analítica, publicidad o seguimiento requiere consentimiento antes de instalarse, aunque desaparezca al cerrar el navegador. ### ¿Qué ejemplos de cookies de sesión existen? Ejemplos habituales son PHPSESSID (PHP), JSESSIONID (servidores Java como Tomcat), ASP.NET\_SessionId (ASP.NET) y connect.sid (express-session en Node.js). Contienen un identificador de sesión aleatorio que permite al servidor mantenerle conectado, recordar su carrito o un formulario de varios pasos. Un nombre con «session» no demuestra nada: la cookie \_ga\_ de GA4 guarda el estado de la sesión, pero dura 2 años. ### ¿Cómo se elimina una cookie de sesión? Cierre todas las ventanas del navegador: las cookies de sesión se eliminan cuando termina la sesión de navegación. Si su navegador restaura la sesión anterior al iniciarse, como la opción Continuar donde lo dejaste de Chrome, pueden volver; en ese caso, borre las cookies del sitio desde la configuración. Lo más sencillo es una ventana privada: todas sus cookies se eliminan al cerrarla. ### ¿Son seguras las cookies de sesión? Las cookies de sesión suelen contener solo un identificador aleatorio, no datos personales en claro, y desaparecen pronto. El principal riesgo es el secuestro de sesión: quien roba la cookie puede actuar en su nombre en el sitio. Los sitios reducen este riesgo con los atributos HttpOnly, Secure y SameSite, un nuevo identificador tras el inicio de sesión y una caducidad en el servidor. En dispositivos compartidos, cerrar la sesión también la termina. Siga leyendo ## Para saber más. [Todos los artículos](https://www.flowconsent.com/es/blog) [Herramientas de marketing · 1 de julio de 2026](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) ### [Cookies \_ga, \_gid y \_gat explicadas: finalidad, duración y consentimiento RGPD](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Qué hacen las cookies de Google Analytics \_ga, \_ga\_\, \_gid y \_gat, cuánto duran, por qué la AEPD exige consentimiento y qué cambia con Consent Mode v2.](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd) [Leer el artículo ](https://www.flowconsent.com/es/blog/cookie-ga-gid-gat-explicadas-rgpd)· [Buenas prácticas · 9 de octubre de 2026](https://www.flowconsent.com/es/blog/que-es-plataforma-gestion-consentimiento-cmp) ### [¿Qué es una consent management platform (CMP)? Definición y funcionamiento](https://www.flowconsent.com/es/blog/que-es-plataforma-gestion-consentimiento-cmp) [Una consent management platform (CMP) pide permiso a los visitantes antes de activar las cookies, aplica su decisión y guarda la prueba. Qué hace una CMP, por qué la exige la ley y cómo funciona.](https://www.flowconsent.com/es/blog/que-es-plataforma-gestion-consentimiento-cmp) [Leer el artículo ](https://www.flowconsent.com/es/blog/que-es-plataforma-gestion-consentimiento-cmp)· [Buenas prácticas · 15 de julio de 2026](https://www.flowconsent.com/es/blog/ejemplos-banner-cookies-rgpd-buenas-practicas) ### [Ejemplos de banner de cookies RGPD: buenas prácticas y plantillas](https://www.flowconsent.com/es/blog/ejemplos-banner-cookies-rgpd-buenas-practicas) [Banners de cookies conformes y no conformes analizados, con los formatos que funcionan, los dark patterns sancionados, plantillas de texto y una lista de verificación completa.](https://www.flowconsent.com/es/blog/ejemplos-banner-cookies-rgpd-buenas-practicas) [Leer el artículo](https://www.flowconsent.com/es/blog/ejemplos-banner-cookies-rgpd-buenas-practicas) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)