Cookies _fbp y _fbc: qué son, duración y consentimiento

¿Qué son las cookies _fbp y _fbc?

Si haces una auditoría de cookies en una web que invierte en publicidad de Meta, casi siempre aparecerán estos dos nombres. Proceden del Píxel de Meta (antes Píxel de Facebook), el script fbevents.js que los anunciantes instalan para medir conversiones y crear audiencias en Facebook e Instagram. Su función es conectar lo que ocurre en tu web con lo que ocurrió antes en las plataformas de Meta.

Descripción de la cookie _fbp

Según la documentación de Meta, cuando el Píxel está instalado y usa cookies propias, guarda automáticamente un identificador único en la cookie _fbp. Meta la describe como una cookie que identifica navegadores para prestar servicios de publicidad y analítica del sitio. En la práctica, permite reconocer el mismo navegador en visitas sucesivas, aunque el usuario nunca haya hecho clic en un anuncio.

Descripción de la cookie _fbc

_fbc solo aparece cuando alguien llega desde un anuncio de Meta. Al hacer clic en un anuncio de Facebook o Instagram, Meta añade a la URL de tu página de destino el parámetro fbclid (el ClickID). El Píxel lo lee y lo guarda en _fbc, para que una compra o un registro posterior se atribuya a ese clic concreto.

¿Qué contienen exactamente _fbp y _fbc?

La documentación de la API de Conversiones sobre fbp y fbc detalla el formato de ambos valores, que comparten la misma estructura en cuatro partes:

• _fbp: version.subdomainIndex.creationTime.randomnumber, por ejemplo fb.1.1596403881668.1116446470. El número aleatorio lo genera el código de Meta para que el valor sea único.
• _fbc: version.subdomainIndex.creationTime.fbclid, por ejemplo fb.1.1554763741205.IwAR2F4-.... La última parte es el identificador de clic copiado de la URL.
• version siempre es fb, subdomainIndex indica el nivel de dominio en el que se instala la cookie (es = 0, ejemplo.es = 1, www.ejemplo.es = 2) y creationTime es una marca de tiempo UNIX en milisegundos.

No contienen ni nombre ni correo electrónico. Aun así, no son anónimas: un identificador único y persistente asociado a un navegador es un identificador en línea y, por tanto, un dato personal según el RGPD en cuanto permite singularizar a una persona. Y esa es precisamente su finalidad.

¿Cuánto duran _fbp y _fbc?

Meta indica en su información sobre cookies en dispositivos Meta Quest que la cookie _fbp tiene una vida útil de 90 días. Para _fbc, la documentación para desarrolladores recomienda una caducidad de 90 días cuando creas tú mismo la cookie a partir del parámetro fbclid. Los navegadores pueden acortar estos plazos: Safari, por ejemplo, limita la duración de algunas cookies instaladas mediante JavaScript.

Si quieres profundizar en los plazos de conservación, consulta nuestro artículo sobre la duración de las cookies y la regla de los 13 meses.

Cookies propias, pero al servicio de Meta

Es habitual pensar que _fbp y _fbc no plantean problemas porque son cookies propias. Lo son solo en sentido técnico: el script del Píxel se ejecuta en tu página y escribe las cookies en tu dominio, de modo que el navegador las trata como tuyas y el bloqueo de cookies de terceros no las frena. Los datos, sin embargo, se envían a Meta con cada evento del Píxel y alimentan sus productos publicitarios.

Meta usa además sus propias cookies en sus dominios (como facebook.com), que desde el punto de vista de tu web son cookies de terceros. Que una cookie sea propia o de terceros cambia cómo la gestiona el navegador, no su análisis jurídico: lo que cuenta es la finalidad, y aquí es publicitaria.

Por qué _fbp y _fbc necesitan consentimiento previo

El artículo 22.2 de la LSSI, que traslada el artículo 5.3 de la Directiva ePrivacy, solo permite almacenar o leer información en el equipo del usuario con su consentimiento, salvo que sea estrictamente necesario para prestar el servicio que ha solicitado. Medir anuncios o hacer remarketing nunca lo es. La AEPD, que actualizó su Guía sobre el uso de las cookies en julio de 2023, exige además que aceptar y rechazar se presenten en el mismo nivel y con el mismo formato, de forma que rechazar no sea más complicado que aceptar. Los nuevos criterios son exigibles desde el 11 de enero de 2024.

El Tribunal de Justicia de la UE también se ha pronunciado sobre las herramientas de Facebook. En la sentencia Fashion ID (C-40/17), de 29 de julio de 2019, declaró que la web que integra un plugin de Facebook es corresponsable de la recogida y transmisión de los datos de sus visitantes, y que es el titular de la web, y no Facebook, quien debe obtener el consentimiento antes. El mismo razonamiento se aplica al Píxel: eres tú quien decide instalarlo, así que eres tú quien debe pedir permiso.

En la práctica, esto significa:

• ninguna cookie _fbp o _fbc, ni ninguna petición a Meta, antes de que el visitante pulse «Aceptar» o active la categoría de publicidad;
• un botón «Rechazar» tan visible como «Aceptar»; seguir navegando no equivale a consentir;
• retirar el consentimiento debe detener el Píxel en las páginas siguientes;
• debes poder demostrar el consentimiento en el que te basas.

Para ver el cumplimiento del Píxel en conjunto (Advanced Matching, transferencias internacionales, Limited Data Use), lee nuestra guía de cumplimiento del Meta Pixel y el RGPD.

_fbp, _fbc, fbclid y la API de Conversiones

La API de Conversiones (CAPI) permite que tu servidor envíe eventos directamente a Meta. Para vincular esos eventos con un navegador y un clic publicitario, Meta pide dos parámetros, fbp y fbc, con el mismo formato que las cookies. La mayoría de integraciones simplemente leen las cookies _fbp y _fbc de la petición entrante y las reenvían. Si no existe la cookie _fbc, Meta explica que se puede construir el valor fbc a partir del parámetro fbclid de la URL.

Aquí es donde fallan muchas configuraciones. Llevar el seguimiento al servidor no lo saca del ámbito de la ley:

• si tu servidor o tu gestor de etiquetas crea su propia cookie _fbc a partir del fbclid, sigue siendo un almacenamiento en el equipo del usuario que requiere consentimiento;
• enviar fbp, fbc, la dirección IP y el user agent a Meta con fines publicitarios es un tratamiento de datos personales que necesita una base jurídica, en la práctica el consentimiento;
• los eventos de servidor deben seguir la misma decisión que el Píxel del navegador; si no, estarás rastreando por la puerta de atrás a quien ha rechazado.

En nuestro artículo sobre server-side tagging y consentimiento te explicamos cómo trasladar esa señal al servidor.

Cómo bloquear _fbp y _fbc hasta el consentimiento

El único método fiable es impedir que el código base del Píxel se ejecute antes de que el visitante acepte. Estos son los pasos:

1. Localiza todos los puntos donde se carga el Píxel: código de la plantilla, módulo de Shopify, PrestaShop o WordPress, Google Tag Manager, integraciones de terceros. Una instalación duplicada es la causa más habitual de que _fbp aparezca antes del consentimiento.
2. Condiciona el código base a la categoría de publicidad de tu banner, para que fbevents.js solo se inyecte tras la aceptación. Con FlowConsent, de eso se encarga el bloqueo previo de scripts, sin necesidad de Google Tag Manager.
3. Si el snippet tiene que quedarse en la página, la guía RGPD de Meta propone llamar a fbq('consent', 'revoke') antes de init y a fbq('consent', 'grant') cuando el usuario acepte. Meta lo describe como una pausa en el envío de eventos del Píxel, no como un bloqueo de la escritura de cookies, así que no cargar nada antes del consentimiento sigue siendo la opción más segura.
4. Alinea la API de Conversiones con la misma decisión y no envíes fbp ni fbc de los visitantes que han rechazado.
5. Gestiona la retirada: cuando se retire el consentimiento, deja de cargar el Píxel y, preferiblemente, borra las cookies _fbp y _fbc existentes, algo que puedes hacer porque están en tu dominio.
6. Documéntalo en tu política de cookies y conserva los registros de consentimiento como prueba.

Cómo comprobar que funciona

1. Abre tu web en una ventana privada sin tocar el banner.
2. En las herramientas de desarrollo de Chrome, pestaña Application > Cookies, comprueba que no existen _fbp ni _fbc.
3. En la pestaña Network, filtra por facebook: no debe cargarse fbevents.js ni enviarse ninguna petición a facebook.com/tr.
4. Añade ?fbclid=test123 a la URL y recarga: sigue sin haber _fbc antes del consentimiento.
5. Pulsa Aceptar: debe aparecer _fbp, y _fbc si la URL lleva un fbclid.
6. Repite la prueba pulsando Rechazar: no debe instalarse nada, ni siquiera tras navegar por varias páginas.

Repite esta prueba después de cada actualización de la plantilla o de instalar un plugin nuevo. Una auditoría de cookies periódica te ayuda a detectar un Píxel que se haya vuelto a colar.

Conclusión

_fbp y _fbc pasan desapercibidas, pero son la base de la atribución de Meta: un identificador de navegador y otro de clic, conservados unos 90 días y enviados a Meta. Ser cookies propias no las libra del consentimiento, y tampoco lo hace pasarse a la API de Conversiones. Bloquea el Píxel hasta que el visitante acepte, replica esa decisión en el servidor y haz pruebas con regularidad. Para saber si tu web instala _fbp o _fbc antes del consentimiento, haz un escaneo gratuito: FlowConsent detecta las cookies automáticamente, bloquea los scripts hasta el consentimiento y conserva la prueba de los consentimientos durante 13 meses.