"Cookies propias" y "cookies de terceros" son de los primeros términos que encontrará al hablar de cookies, y a menudo se malinterpretan. Mucha gente cree que una cookie propia es inofensiva y que una cookie de terceros es ilegal. Ninguna de las dos ideas es cierta. Esta guía explica qué significa cada término a nivel técnico, cómo los tratan los navegadores en 2026, cómo distinguirlos en la práctica y qué cambian (y qué no) para el consentimiento. Para una visión general de los tipos de cookies, consulte nuestra guía ¿qué son las cookies? Definición, tipos y funcionamiento.
Cookies propias y de terceros: ¿cuál es la diferencia?
Cookies propias (first party)
Una cookie propia se crea para el dominio que aparece en la barra de direcciones. Si usted está en tienda.example, cualquier cookie escrita para tienda.example es propia, tanto si la envía el servidor en una respuesta HTTP como si la escribe un script que se ejecuta en la página.
Las cookies propias hacen funcionar lo básico: mantener la sesión iniciada, conservar un carrito, recordar un idioma. Pero también se usan para analítica y publicidad. La cookie _ga de Google Analytics y la cookie _fbp de Meta son cookies propias: se guardan en su dominio, pero el script que las escribe envía su valor a Google o a Meta.
Cookies de terceros (third party)
Una cookie de terceros se crea para un dominio distinto del que usted visita. Cuando tienda.example carga un script, una imagen o un iframe desde ads.network y ese recurso escribe una cookie para ads.network, esa cookie es de terceros.
Su rasgo clave es el alcance. El navegador envía la misma cookie de ads.network cada vez que cualquier sitio carga un recurso de ads.network. Si esa red está integrada en miles de sitios, puede reconocer un mismo navegador en todas partes y crear un perfil de navegación. Eso es lo que se suele llamar "seguimiento entre sitios", y nuestro artículo sobre cookies de seguimiento muestra cómo se construyen esos perfiles.
Ejemplos de cookies propias y de terceros
Cookies propias habituales:
- una cookie de sesión como
PHPSESSID, que mantiene su sesión iniciada (vea qué es una cookie de sesión); - una cookie de carrito o de idioma instalada por su CMS o su tienda;
_gay_ga_<ID>de Google Analytics 4;_fbpdel píxel de Meta y_gcl_audel seguimiento de conversiones de Google Ads;- la cookie en la que su banner guarda la elección del visitante.
Cookies de terceros habituales:
IDEen doubleclick.net, usada por los servicios publicitarios de Google;- las cookies de un reproductor de YouTube o Vimeo integrado en un iframe;
- las cookies de widgets sociales, como la cookie
fren facebook.com; - las cookies de widgets de chat, reseñas o comentarios cargados desde su propio dominio.
Un mismo proveedor puede aparecer en ambas listas. Google y Meta trasladaron gran parte de su medición a cookies propias precisamente porque los navegadores restringen las de terceros.
Cómo decide el navegador qué es propio y qué es de terceros
Los navegadores no comparan nombres de host completos, sino "sitios": el esquema más el dominio registrable. Así, blog.example.com y www.example.com son el mismo sitio, y una cookie compartida entre ambos es propia. Una cookie para example.net cargada en example.com es de terceros.
Después, tres mecanismos determinan lo que puede hacer una cookie de terceros:
- SameSite. Desde Chrome 80, en 2020, una cookie sin atributo SameSite se trata como
SameSite=Laxy no se envía en la mayoría de las peticiones entre sitios. Una cookie pensada para funcionar como cookie de terceros debe declararSameSite=Noney el atributoSecure. - Bloqueo. Safari bloquea las cookies de terceros por defecto desde marzo de 2020 mediante Intelligent Tracking Prevention. Chrome solo las bloquea por defecto en modo incógnito.
- Partición. La protección total de cookies de Firefox, activada por defecto para todos desde 2022, da a cada sitio su propio "tarro de cookies": una cookie de terceros instalada en el sitio A no es visible cuando el mismo servicio se carga en el sitio B. Chrome admite un modelo parecido y opcional llamado CHIPS, en el que un servicio marca su cookie como
Partitioned.
Safari también limita algunas cookies propias: las escritas con JavaScript mediante document.cookie caducan a los siete días. Por eso las herramientas de analítica suelen ver a los visitantes de Safari como nuevos.
Cómo saber si una cookie es propia o de terceros
Abra las herramientas para desarrolladores de su navegador (F12, o Cmd + Option + I en Mac), vaya a la pestaña Aplicación en Chrome o Edge, o a la pestaña Almacenamiento en Firefox y Safari, y mire la columna Dominio. Si el dominio coincide con el sitio de la barra de direcciones (con o sin punto inicial o subdominio), la cookie es propia. Todo lo demás es de terceros. Nuestra guía para ver las cookies de una web explica el proceso en cada navegador.
Dos matices. Primero, el dominio indica quién puede leer la cookie, no quién recibe los datos: _ga es propia, pero alimenta Google Analytics. Segundo, haga la comprobación en una ventana privada y sin tocar el banner, para ver lo que el sitio instala sin su consentimiento.
Hacerlo página por página resulta pesado en un sitio real. Compruebe en 30 segundos qué cookies propias y de terceros instala su web con el escáner de cookies gratuito.
Las herramientas de consentimiento suelen mostrar esta distinción. En FlowConsent, por ejemplo, cada entrada de la lista de cookies que ven los visitantes indica si es propia o de terceros, para que la declaración coincida con lo que el navegador guarda realmente.
¿Van a desaparecer las cookies de terceros?
No en todas partes. Safari y Firefox ya las restringen, como se ha visto. Google planeó durante años eliminarlas de Chrome y luego cambió de rumbo: en julio de 2024 renunció a eliminarlas, en abril de 2025 abandonó también la pantalla de elección prevista y en octubre de 2025 retiró la mayoría de las tecnologías de Privacy Sandbox. En Chrome estándar, las cookies de terceros siguen activas salvo que el usuario las desactive. Nuestro artículo sobre Google Privacy Sandbox y las cookies de terceros cuenta esta historia en detalle.
En la práctica, su audiencia está dividida: una cookie de terceros puede funcionar con sus visitantes de Chrome y no con los de Safari, así que las diferencias de atribución son normales. La respuesta no es un atajo técnico: el fingerprinting y otros sustitutos están sujetos a las mismas reglas de consentimiento.
Cookies propias y de terceros según el RGPD y la LSSI
El consentimiento depende de la finalidad, no del dominio
El artículo 5.3 de la Directiva ePrivacy, incorporado en España por el artículo 22.2 de la LSSI, exige consentimiento antes de almacenar o leer información en el dispositivo, salvo que sea estrictamente necesario para un servicio solicitado por el usuario. Esa norma no distingue entre cookies propias y de terceros. Una cookie propia de analítica o publicidad necesita consentimiento igual que una de terceros. A la inversa, una cookie de terceros puede estar exenta, por ejemplo una cookie de equilibrio de carga de un proveedor de pagos durante la compra.
Las autoridades aplican esta interpretación. En diciembre de 2020, la CNIL francesa sancionó a Google con 100 millones de euros en total, en parte porque se instalaban automáticamente cookies publicitarias a quienes visitaban google.fr, el propio sitio de Google. Las Directrices 2/2023 del CEPD sobre el ámbito técnico del artículo 5.3 dejan claro además que la norma cubre cualquier acceso al dispositivo, lo realice quien lo realice.
Cuando las cookies contienen datos personales o están vinculadas a ellos, se aplica además el RGPD: consentimiento válido, información y registros que pueda demostrar.
El matiz de la AEPD: quién utiliza los datos
La Agencia Española de Protección de Datos aporta un ángulo jurídico útil en su guía sobre cookies. Una cookie es propia cuando se envía desde un dominio gestionado por el editor. Si una cookie se sirve desde su dominio, pero la información la gestiona un tercero que la utiliza para sus propias finalidades, la AEPD no la considera propia. Según esta lectura, una cookie como _fbp, instalada en su dominio pero usada por Meta para sus propios fines, debe presentarse a los visitantes como cookie de un tercero.
¿Quién es responsable de las cookies de terceros?
Usted, al menos en parte. En la sentencia Fashion ID (C-40/17, julio de 2019), el Tribunal de Justicia de la Unión Europea declaró que un sitio que integra el botón "Me gusta" de Facebook es corresponsable con Facebook de la recogida y transmisión de los datos de los visitantes. Integrar un script de terceros es una decisión suya, así que bloquearlo hasta obtener el consentimiento le corresponde a usted, no al proveedor.
¿Debe aceptar o bloquear las cookies de terceros?
Como visitante, bloquear las cookies de terceros en la configuración del navegador rara vez rompe algo importante y corta la mayor parte del seguimiento entre sitios. Algunos servicios integrados (inicio de sesión a través de otro dominio, ciertos widgets de pago o de chat) pueden necesitarlas, y usted puede permitir excepciones por sitio. Las cookies propias son otra cosa: bloquearlas todas cerraría su sesión en todas partes. Rechazar las cookies no esenciales en el banner es la opción precisa. Nuestro artículo ¿debo aceptar las cookies? explica el efecto de cada elección.
Como responsable de un sitio, siga esta lista:
- Inventariar cada cookie con su dominio y marcarla como propia o de terceros.
- Clasificar cada una por finalidad: necesaria, preferencias, analítica, marketing.
- Bloquear todo script no esencial, propio o de terceros, hasta que el visitante acepte.
- Identificar en el banner y en la política de cookies a los terceros que reciben datos.
- Volver a escanear tras cada nueva etiqueta, plugin o contenido integrado.
Cómo gestiona FlowConsent las cookies propias y de terceros
FlowConsent bloquea los scripts no esenciales antes del consentimiento, sea cual sea el dominio en el que terminen sus cookies, y transmite la elección del visitante a Google mediante Consent Mode v2. La lista de cookies que muestra el banner se genera a partir de sus servicios activos, y cada entrada indica si la cookie es propia o de terceros. Sus propias cookies específicas las añade usted manualmente. El escaneo automático compara después lo que sus páginas instalan realmente con lo que usted declara y señala cualquier cookie no declarada con su dominio y su tipo. La documentación sobre la declaración de cookies explica su funcionamiento. FlowConsent es gratuito hasta 25 000 sesiones al mes, está alojado en Europa y se instala en unos diez minutos.