¿Qué son las cookies? Definición, tipos y funcionamiento

Esta página es el artículo de referencia de nuestra serie sobre los fundamentos de las cookies. Cada sección enlaza con un artículo específico cuando quiera profundizar, desde cookies concretas como _ga o _fbp hasta los plazos de conservación y las alternativas sin cookies.

¿Qué son las cookies? Una definición sencilla

Una cookie web (o cookie HTTP) es un pequeño fragmento de texto que envía un servidor web y que el navegador guarda en el dispositivo del usuario: ordenador, móvil o tableta. Cuando el usuario vuelve al mismo sitio, el navegador devuelve automáticamente la cookie al servidor. Así el sitio puede reconocer el navegador y recordar información: idioma preferido, contenido del carrito, sesión iniciada o un identificador de seguimiento.

Las cookies existen porque el protocolo HTTP no tiene estado: cada solicitud del navegador es independiente y, sin un mecanismo de memoria, un sitio le olvidaría entre dos clics. Las cookies son la forma estándar de conservar ese estado.

El término lo acuñó en 1994 Lou Montulli, desarrollador de Netscape, por analogía con la "magic cookie" de la programación Unix, un testigo que se intercambian los programas. Después el mecanismo fue normalizado por el IETF; la referencia actual es la RFC 6265.

En los textos jurídicos, la palabra abarca más que la cookie técnica. La Directiva ePrivacy habla de cualquier información almacenada en el equipo del usuario o leída desde él. En España, el artículo 22.2 de la LSSI recoge esta regla, y la AEPD la aplica también al almacenamiento local, los píxeles y el fingerprinting en su guía sobre el uso de las cookies.

¿Cómo funcionan las cookies?

Paso a paso

1. Usted visita ejemplo.es. La respuesta del servidor contiene una cabecera Set-Cookie, por ejemplo Set-Cookie: lang=es; Max-Age=31536000; Secure; SameSite=Lax.
2. Su navegador guarda la cookie, vinculada al dominio ejemplo.es.
3. En cada solicitud siguiente a ejemplo.es, el navegador añade una cabecera Cookie: lang=es. El servidor la lee y muestra la página en español.
4. El JavaScript de la página también puede leer y escribir cookies mediante document.cookie, salvo que la cookie esté marcada como HttpOnly. Así crean las suyas la mayoría de los scripts de analítica y publicidad.

Qué contiene una cookie

Una cookie se compone de un nombre y un valor, más unos atributos que indican al navegador cómo tratarla:

• Domain y Path: qué sitios y qué páginas reciben la cookie.
• Expires o Max-Age: cuándo se borra la cookie. Sin ellos, es una cookie de sesión.
• Secure: la cookie solo se envía por HTTPS.
• HttpOnly: la cookie es invisible para JavaScript, lo que protege las cookies de sesión contra el robo mediante scripts maliciosos.
• SameSite: si la cookie se envía con solicitudes procedentes de otros sitios (Strict, Lax o None). Chrome trata las cookies sin este atributo como Lax.

El valor suele ser un identificador aleatorio y no un dato legible. Una cookie de Google Analytics tiene este aspecto: _ga=GA1.1.1234567890.1700000000, es decir, un identificador de cliente y una marca de tiempo. Nuestro artículo sobre las cookies _ga, _gid y _gat detalla qué guarda cada una. Los navegadores deben aceptar cookies de al menos 4.096 bytes: una cookie nunca contiene un archivo grande ni código ejecutable.

¿Para qué sirven las cookies?

Las cookies cumplen tres grandes funciones:

• Gestión de la sesión: mantenerle conectado, recordar su carrito, proteger los formularios contra el fraude. Sin estas cookies, la mayoría de los sitios no funcionarían.
• Personalización: idioma, moneda, región, modo oscuro, productos consultados.
• Seguimiento: medir la audiencia, atribuir una venta a una campaña publicitaria, crear perfiles para mostrar publicidad dirigida, volver a impactarle en otros sitios.

La primera función sirve directamente al visitante. La última sirve sobre todo al titular del sitio y a sus socios, y es la que regula la normativa de protección de datos.

Ejemplos de cookies presentes en la mayoría de los sitios

• PHPSESSID o JSESSIONID: identificador de sesión que deposita el servidor (PHP o Java) para mantenerle conectado durante la visita. Técnica.
• Una cookie de carrito en una tienda online, como cart en Shopify: conserva los productos añadidos. Técnica.
• La cookie de consentimiento del propio banner: guarda su elección para que el banner no vuelva a aparecer. Técnica.
• __cf_bm: la deposita Cloudflare para distinguir personas de robots. Técnica, por seguridad.
• _ga y _ga_<id>: identificadores de Google Analytics, conservados hasta dos años por defecto. Analítica, requiere consentimiento.
• _fbp: identificador de navegador del píxel de Meta, conservado 90 días. Publicidad, requiere consentimiento.
• IDE en doubleclick.net: cookie publicitaria de Google instalada como tercero. Publicidad, requiere consentimiento.

Cada una tiene un nombre, un dominio, una duración y una finalidad: los cuatro datos que su política de cookies debe enumerar.

Tipos de cookies

Las cookies se clasifican según tres ejes independientes. Una misma cookie tiene un valor en cada uno: la cookie _ga, por ejemplo, es propia, persistente y analítica.

Cookies propias y cookies de terceros

Una cookie propia la deposita el dominio que aparece en la barra de direcciones. Si está en ejemplo.es, una cookie creada para ejemplo.es es propia, tanto si la ha puesto el servidor como un script que se ejecuta en la página. Estas cookies sirven a las funciones del sitio, pero también a la analítica propia.

Una cookie de terceros se deposita para un dominio distinto del que visita. Si ejemplo.es integra un script o un iframe de red-publicitaria.com que escribe una cookie para red-publicitaria.com, esa cookie es de terceros. Como la misma cookie de terceros se envía desde todos los sitios que integran esa red, permite el seguimiento entre sitios. Es el tipo que más vigilan navegadores y autoridades. Nuestra guía sobre cookies propias y de terceros va más allá: cómo las distingue el navegador, cómo reconocerlas y por qué ambas pueden requerir consentimiento.

Safari (con Intelligent Tracking Prevention) y Firefox (con Total Cookie Protection) ya bloquean o aíslan por defecto las cookies de terceros. Google Chrome planeó durante años eliminarlas, después abandonó ese plan y las mantiene activadas por defecto. Nuestro artículo sobre Google Privacy Sandbox y las cookies de terceros repasa esa historia y lo que supone para el consentimiento.

Cookies de sesión y cookies persistentes

Una cookie de sesión no tiene fecha de caducidad. Desaparece al terminar la sesión del navegador, normalmente al cerrarlo. Sirve para mantenerle conectado o conservar su carrito durante una visita.

Una cookie persistente tiene fecha de caducidad y sobrevive al cierre del navegador, durante minutos o años. Recuerda sus preferencias, le mantiene conectado durante semanas o le reconoce en la siguiente visita para medición o publicidad. Los navegadores limitan ahora las duraciones: Chrome limita las cookies nuevas a 400 días, y Safari limita a 7 días como máximo las cookies creadas con JavaScript.

Las autoridades también fijan duraciones máximas para los rastreadores sujetos a consentimiento. La CNIL francesa recomienda 13 meses, y la AEPD pide que la duración sea proporcional a la finalidad; lo explicamos en nuestro artículo sobre la duración de las cookies y la regla de los 13 meses.

Tipos de cookies según su finalidad

Es la clasificación que usa su banner de cookies, y la que decide si hace falta consentimiento:

• Cookies técnicas (estrictamente necesarias): autenticación, seguridad, balanceo de carga, carrito, conservación de la propia elección de consentimiento. Están exentas de consentimiento. Nuestra guía sobre las cookies estrictamente necesarias explica el criterio legal, nombres reales de cookies y las que a menudo se clasifican mal en esta categoría.
• Cookies de preferencias (personalización): idioma, región, opciones de visualización elegidas por el usuario. Solo están exentas si son estrictamente necesarias para un servicio solicitado expresamente; si no, requieren consentimiento.
• Cookies analíticas (de medición): visitas, páginas vistas, tiempo en el sitio. Requieren consentimiento, salvo excepciones limitadas que la AEPD admite para una medición estrictamente necesaria y de bajo riesgo.
• Cookies publicitarias (marketing): segmentación, retargeting, seguimiento de conversiones. Siempre requieren consentimiento.

Para el detalle de cada categoría, con ejemplos y las reglas aplicables, lea nuestra guía de las categorías de cookies del RGPD.

Otros términos que encontrará

• Cookies de seguimiento (tracking): nombre informal de las cookies que siguen a un usuario en el tiempo o entre sitios, normalmente analíticas o publicitarias. Nuestra guía sobre las cookies de seguimiento recoge las más habituales y explica cómo comprobarlas o bloquearlas.
• Cookies de píxeles publicitarios: el píxel de Meta deposita _fbp y _fbc para vincular visitas con clics en anuncios. Nuestro artículo sobre las cookies _fbp y _fbc las explica.
• Cookies Secure y HttpOnly: no son un tipo aparte, sino cookies que llevan esos atributos de seguridad.
• Cookies zombi: cookies que se recrean a partir de otro almacenamiento después de que el usuario las borre. Las autoridades lo consideran una forma de eludir la elección del usuario.

Cookies y otros rastreadores: almacenamiento local, píxeles y fingerprinting

Las cookies no son la única forma de guardar o leer información en un navegador. El almacenamiento local (localStorage) y el de sesión guardan datos en el navegador sin enviarlos en cada solicitud. Los píxeles de seguimiento son imágenes o scripts diminutos que envían una solicitud a un tercero al cargar una página o un correo. El fingerprinting combina características del navegador y del dispositivo para reconocer a un usuario sin guardar nada.

Para el derecho, la técnica no importa. El artículo 5.3 de la Directiva ePrivacy y el artículo 22.2 de la LSSI cubren cualquier almacenamiento de información en el equipo del usuario o el acceso a información ya almacenada, y el Comité Europeo de Protección de Datos confirmó en sus Directrices 2/2023 que se aplica a los píxeles, al almacenamiento local y a técnicas similares. Sustituir una cookie por almacenamiento local no elimina, por tanto, la obligación de consentimiento. Si quiere medir sin consentimiento, las opciones y sus límites están en nuestra guía de analítica sin cookies.

¿Son peligrosas las cookies?

Una cookie es un archivo de texto: no puede ejecutar código, propagar un virus ni leer archivos de su dispositivo. Los riesgos están en otra parte:

• Privacidad: las cookies de terceros y publicitarias permiten a las empresas construir un perfil de su navegación en muchos sitios. Por eso el derecho europeo exige su consentimiento.
• Robo de sesión: si un atacante roba una cookie de sesión (mediante un script malicioso o una red no segura), puede hacerse pasar por usted en el sitio. Los atributos Secure y HttpOnly existen para impedirlo.
• Dispositivos compartidos: en un ordenador compartido, las cookies de inicio de sesión persistentes dejan las cuentas abiertas para el siguiente usuario.

Borrar las cookies con regularidad limita el seguimiento, a cambio de cerrar sus sesiones y perder sus preferencias.

¿Qué ocurre cuando acepta o rechaza las cookies?

Cuando hace clic en "Aceptar todo", el sitio carga los scripts de analítica y publicidad que ha declarado, y estos instalan sus cookies. Su visita se mide, y las redes publicitarias pueden reconocer su navegador en otros sitios para mostrarle anuncios dirigidos. Nuestro artículo ¿debo aceptar las cookies? explica cada paso tras el clic y cuándo conviene rechazarlas.

Cuando hace clic en "Rechazar", solo deben instalarse las cookies técnicas. El sitio debe seguir funcionando: el rechazo no puede bloquear el acceso al contenido, salvo en los casos limitados que analiza nuestro artículo sobre el muro de cookies y sus alternativas. El sitio guarda su rechazo, normalmente en una cookie técnica, para que el banner no vuelva a aparecer en cada página.

Puede cambiar de opinión en cualquier momento: el sitio debe ofrecer un enlace o un botón para volver a abrir la configuración de cookies, y retirar el consentimiento debe ser tan sencillo como darlo. Muchos usuarios hacen clic sin leer porque ven banners en todas partes; nuestro artículo sobre la fatiga del consentimiento analiza por qué y qué pueden hacer los sitios.

Cómo ver y borrar las cookies en su navegador

• Chrome: Configuración > Privacidad y seguridad > Cookies de terceros para fijar la política, y "Eliminar datos de navegación" para borrar las cookies. Para un solo sitio, haga clic en el icono a la izquierda de la barra de direcciones y luego en "Cookies y datos de sitios".
• Safari (Mac): Ajustes > Privacidad > Gestionar datos de sitios web. En iPhone: Ajustes > Apps > Safari > Avanzado > Datos de sitios web.
• Firefox: Ajustes > Privacidad y seguridad > Cookies y datos del sitio > Administrar datos.
• Edge: Configuración > Cookies y permisos del sitio > Administrar y eliminar cookies y datos del sitio.

En el móvil, las cookies funcionan exactamente igual que en el ordenador: cada navegador, y cada navegador integrado en una aplicación, guarda las suyas. Las aplicaciones usan además identificadores publicitarios que la configuración de cookies no cubre.

Para ver las cookies del sitio en el que está, abra las herramientas para desarrolladores (F12) y después la pestaña Aplicación (Chrome, Edge) o Almacenamiento (Firefox, Safari).

Qué implican las cookies para los titulares de sitios web

El marco jurídico

En la Unión Europea se aplican dos textos a la vez. La Directiva ePrivacy (artículo 5.3), transpuesta en España por el artículo 22.2 de la LSSI, exige un consentimiento previo para instalar o leer cualquier rastreador no técnico. El RGPD define qué es un consentimiento válido: libre, específico, informado, inequívoco, prestado mediante una clara acción afirmativa y tan fácil de retirar como de dar. Nuestro artículo sobre las condiciones de validez del consentimiento RGPD las detalla una a una. La AEPD concreta estas reglas en su guía sobre el uso de las cookies, actualizada en 2023.

Las autoridades las hacen cumplir. La AEPD en España, la CNIL en Francia y las autoridades alemanas han sancionado a empresas por instalar cookies antes del consentimiento o por hacer el rechazo más difícil que la aceptación; consulte nuestro repaso de las sanciones de la CNIL por cookies. Fuera de Europa las leyes difieren: la CCPA de California funciona sobre todo con un modelo de exclusión voluntaria, como explica nuestra comparativa entre CCPA y RGPD.

Lo que necesita en la práctica

¿No sabe si su propio sitio necesita un banner? Nuestro artículo ¿necesito un banner de cookies en mi web? responde caso por caso. Si su sitio deposita cualquier cookie no técnica, necesita:

• un inventario de todas las cookies y rastreadores de su sitio, incluidos los del contenido integrado;
• una plataforma de gestión del consentimiento (CMP) y un banner de cookies conforme al RGPD que bloquee las cookies no técnicas hasta que el visitante acepte, con un rechazo tan visible como la aceptación;
• una política de cookies que enumere cada cookie, su finalidad y su duración;
• una prueba del consentimiento que pueda presentar si la AEPD la solicita.

El primer paso es siempre el inventario. Verifique en 30 segundos qué cookies deposita su sitio con el escáner de cookies gratuito: enumera cada cookie, su dominio y si aparece antes del consentimiento. Para una revisión más profunda, nuestra guía de auditoría de cookies de un sitio web ofrece el método completo.

Contenido integrado y herramientas habituales

Muchas cookies proceden de herramientas que usted no ha escrito:

• Los vídeos de YouTube instalan cookies en cuanto se carga el reproductor; nuestra guía de youtube-nocookie para vídeos sin cookies muestra cómo reducirlas.
• Google Analytics deposita cookies propias pero envía los datos a Google; consulte ¿Google Analytics es conforme al RGPD?. Si también usa Google Ads, la elección de consentimiento llega a las etiquetas de Google mediante Google Consent Mode v2.
• Matomo puede, en condiciones estrictas, configurarse para quedar exento de consentimiento según la CNIL; consulte Matomo y las cookies.
• Los mapas, widgets de chat y botones de redes sociales instalan cookies de terceros que su banner también debe cubrir.

Ideas falsas sobre las cookies

"Las cookies son virus." Una cookie no puede ejecutar código. Lo que importa es el uso de los datos que permite recoger.

"Las cookies propias nunca requieren consentimiento." La cookie _ga de Google Analytics es propia y, sin embargo, requiere consentimiento, porque su finalidad es la medición y los datos van a Google. Decide la finalidad, no el origen.

"Las cookies de sesión están exentas." Una cookie de sesión usada para publicidad requiere consentimiento, aunque desaparezca al cerrar el navegador. La duración tampoco decide.

"Sustituir las cookies por almacenamiento local evita el banner." No: la norma cubre cualquier almacenamiento en el equipo.

"Basta con un banner." Un banner que aparece pero deja cargar las cookies antes de la elección no es conforme. Bloquear antes del consentimiento es el requisito central.

"Solo se controla a los sitios grandes." La AEPD actúa a partir de reclamaciones y sanciona a sitios de todos los tamaños.

Lista de verificación: gestionar las cookies de su sitio

1. Escanear su sitio para enumerar cada cookie y rastreador, con su dominio y su duración.
2. Clasificar cada cookie por origen (propia o de terceros), duración (de sesión o persistente) y finalidad.
3. Identificar las cookies técnicas, las únicas exentas de consentimiento.
4. Configurar su CMP para bloquear cualquier cookie no técnica antes del consentimiento.
5. Cubrir el contenido integrado: vídeos, mapas, widgets, botones sociales.
6. Fijar plazos de conservación proporcionados, de 13 meses como máximo para los rastreadores sujetos a consentimiento.
7. Publicar una política de cookies y conservar la prueba de cada consentimiento.
8. Comprobar con las herramientas para desarrolladores que no se deposita nada no técnico antes de una elección, y volver a escanear cada vez que añada un script.

Cómo gestiona FlowConsent las cookies de su sitio

FlowConsent empieza donde termina este artículo: por el inventario. Su escaneo automático detecta las cookies y los rastreadores que su sitio deposita realmente, la lista de cookies que ven los visitantes se genera a partir de sus servicios activos y sus categorías, y una alerta señala cualquier cookie que el escaneo observa pero que su banner no declara. Después, el banner bloquea todo script no técnico antes del consentimiento, transmite la elección a las etiquetas de Google mediante Consent Mode v2 y guarda una prueba exportable de cada consentimiento, alojada en Europa. La puesta en marcha lleva unos diez minutos en Webflow, WordPress, Shopify, Wix, Framer o mediante GTM, y FlowConsent es gratuito hasta 25.000 sesiones al mes. La documentación de la declaración de cookies explica cómo se mantiene al día el inventario, y la guía de primeros pasos le acompaña en la configuración.