> Cómo usar Nginx conforme al RGPD: conservación de logs, anonimización de IP, base jurídica del artículo 6(1)(f) y diferencia con los servicios de rastreo. > > Canonical: https://www.flowconsent.com/es/services/alojamiento/nginx Alojamiento # Nginx Sin clasificar · [Sitio oficial](https://nginx.org/en) Nginx es un servidor web de código abierto de alto rendimiento, proxy inverso y balanceador de carga desarrollado originalmente por Igor Sysoev y ahora mantenido por F5 Networks. Es una de las piezas de infraestructura mas extendidas en Internet, presente en mas del 30 por ciento de los sitios web del mundo. Desde la perspectiva de privacidad, Nginx es software de servidor: no coloca cookies en el cliente, pero escribe logs de acceso con IPs, URLs, user agents y referer, que son datos personales bajo el RGPD. [Bloquear Nginx hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=hosting) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Alojamiento](https://www.flowconsent.com/es/services/alojamiento) - Consentimiento Sin clasificar - Consentimiento previo No obligatorio - Cookies documentadas 0 - Servidores Operator controlled. Nginx itself is open source software that runs wherever the operator hosts it (on premises, EU cloud, US cloud). The data location is therefore determined by the operator's hosting choice, not by Nginx. Presentación ## ¿Qué hace Nginx? ## **Que es Nginx** Nginx es un servidor web de código abierto de alto rendimiento, proxy inverso, balanceador de carga, proxy de correo y cache HTTP. Lo escribio en 2004 Igor Sysoev para resolver el problema C10K (manejar diez mil conexiones simultaneas en un solo servidor) y hoy lo mantiene Nginx Inc., filial de F5 Networks. Nginx alimenta mas del 30 por ciento de los sitios web públicos y se usa mucho en contenedores (el Nginx Ingress Controller es uno de los ingress mas populares de Kubernetes). Clave: Nginx es software de servidor, corre en la infraestructura del propio operador y no envía datos a Nginx Inc. ni a F5 por defecto. ## **Que datos genera Nginx** Nginx no coloca ninguna cookie en el lado del cliente. Las cookies que ve el visitante en su navegador vienen de los backends aplicativos (Express, Django, Rails, PHP) detrás de Nginx, o de las etiquetas de terceros cargadas en el HTML. Lo que Nginx genera son logs de acceso: por defecto el formato combined registra la IP, la marca temporal, el método HTTP y la URI, el código de estado, los bytes enviados, la cabecera referer y el user agent. Estos logs son datos personales bajo el RGPD porque la IP es atribuible a una persona en la mayoría de contextos. Los logs de error añaden líneas de solicitud que pueden contener parámetros de query o datos POST según la configuración, lo que puede incluir datos personales. ## **Implicaciones RGPD y ePrivacy** Como Nginx no almacena ni recupera información del terminal del visitante, el artículo 5(3) de la Directiva ePrivacy (consentimiento de cookies) no se aplica a Nginx en si. Los logs de servidor se rigen por el RGPD y se apoyan en el interés legítimo del artículo 6(1)(f): operar un sitio implica el derecho a registrar accesos por seguridad, prevención de fraude, solución de problemas y gestión del tráfico. La AEPD y la CNIL aceptan plazos de 6 a 12 meses para investigaciones de seguridad, con preferencia por plazos cortos y justificación documentada para plazos largos. Cuando una ley sectorial (telecomunicaciones, finanzas, prevención del blanqueo) exige plazos mayores, se añade la obligación legal del artículo 6(1)(c). ## **Configuración practica de cumplimiento** Configurar Nginx para anonimizar IPs donde el caso de uso lo permita. Patron habitual: definir un log\_format propio que enmascare el ultimo octeto IPv4 o los últimos 80 bits IPv6 y usarlo en access\_log en servidores expuestos al publico, manteniendo la IP completa solo en endpoints de administración. Configurar log\_format para omitir cadenas de consulta en rutas que llevan tokens o datos personales. Usar access\_log off; en assets estáticos que no requieren auditoría. Rotar logs con logrotate según la política documentada. Si los logs se envían a un SIEM externo, ese SIEM debe estar en el registro de tratamientos y el mecanismo de transferencia documentado. ## **Transferencias y elección de hosting** Nginx en si no transfiere datos. El régimen de transferencia aplicable depende de donde se ubica la infraestructura del operador. El hosting UE (OVH, Scaleway, Hetzner, Ionos, etc.) mantiene los logs en la UE. AWS, Google Cloud y Azure ofrecen regiones UE, pero el operador debe considerar la exposición al CLOUD Act cuando el proveedor cloud tiene sede en EE.UU. F5 Networks (Nginx Plus, soporte comercial) tiene su propia política con mecanismos de transferencia US (CCT, EU US Data Privacy Framework), relevantes solo si se contrata el Nginx comercial. ## **Que documentar en la política de privacidad** Mencionar que opera un servidor web (Nginx) que registra datos de acceso para seguridad y operación, las categorías (IP, URL de solicitud, user agent, referer), la base jurídica (interés legítimo, en su caso obligación legal), el plazo de conservación y los destinatarios (proveedor de hosting, SIEM, socios de seguridad). No suele ser necesario nombrar a Nginx en concreto, pero hay que documentar el tratamiento subyacente. Nginx no necesita aparecer en el banner de cookies porque no coloca cookies. Cumplimiento ## Nginx y el RGPD - Base jurídica Legitimate interest (GDPR Art. 6(1)(f)) for server access logs, justified by security, fraud prevention, traffic management and abuse detection. Legal obligation (Art. 6(1)(c)) for retention required by telecommunications or anti fraud law where applicable. - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive (only for cookies that the operator chooses to set through Nginx configuration, not Nginx itself), German TTDSG, French CNIL guidance on server logs, EDPB guidelines 8/2020 on targeting ### Evaluación de impacto (EIPD) Nginx en si mismo no requiere EIPD, ya que es software de infraestructura de servidor. Sus logs de acceso si merecen atención: (1) el formato combined por defecto contiene la IP completa, dato personal bajo el RGPD; (2) la retención debe limitarse a lo necesario para seguridad y operación (típicamente 30 a 90 días para investigación de seguridad, mas tiempo solo con justificación documentada); (3) la anonimización de IPs puede configurarse al nivel de Nginx (log\_format personalizado con enmascarado del último octeto) cuando lo permita la seguridad; (4) los logs pueden ser procesados por herramientas posteriores (Splunk, Elastic, Datadog) con sus propias implicaciones; (5) si Nginx hace proxy inverso ante backends que ponen cookies, esas cookies deben evaluarse por si mismas, no como cookies de Nginx. Una EIPD suele ser necesaria para la arquitectura global de logs y seguridad, no para Nginx en particular. ### Texto de ejemplo para su banner > Operamos Nginx como servidor web y proxy inverso en nuestra propia infraestructura. Nginx no coloca cookies en su dispositivo. Como cualquier servidor web, escribe logs de acceso con su dirección IP, la página solicitada, el tipo de navegador y la página de referencia. Estos logs se usan para operar el sitio, investigar incidentes de seguridad y cumplir obligaciones legales de conservación. Los logs se conservan \[XX] días y después se eliminan o anonimizan, y tiene derecho de acceso a sus datos registrados bajo solicitud. Cookies y rastreadores ## Lo que Nginx instala y contacta - Método de seguimiento Server side software: Nginx runs on the operator's own infrastructure as a reverse proxy, web server and load balancer. It does not set any client side cookie or pixel by default. It does, however, write access logs that contain the visitor's IP address, requested URL, user agent string, referer header and response status, which qualify as personal data under the GDPR. - Ubicación de los servidores Operator controlled. Nginx itself is open source software that runs wherever the operator hosts it (on premises, EU cloud, US cloud). The data location is therefore determined by the operator's hosting choice, not by Nginx. - Modo sin cookies disponible Sí Preguntas ## Preguntas frecuentes sobre Nginx ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Coloca Nginx cookies? No. Nginx en si no coloca ni lee cookies en el dispositivo del visitante. Las cookies visibles en el navegador provienen de los backends aplicativos que están detrás de Nginx o de las etiquetas de terceros cargadas en el HTML. Si el operador configura Nginx para añadir cookies (proxy\_set\_header, add\_header), esas cookies deben evaluarse por si mismas. ### ¿Hace falta consentimiento para Nginx? No. Como Nginx no almacena ni recupera información del terminal del visitante, el artículo 5(3) de la Directiva ePrivacy (consentimiento de cookies) no se aplica. Los logs de servidor se rigen por el RGPD y se apoyan en el interés legítimo para seguridad y operación. ### ¿Cuál es la base jurídica de los logs de acceso de Nginx? Interés legítimo del artículo 6(1)(f), justificado por seguridad, prevención del fraude, resolución de problemas y gestión del tráfico. Donde una ley sectorial exige conservación (telecomunicaciones, finanzas, prevención del blanqueo), se añade la obligación legal del artículo 6(1)(c). El plazo debe limitarse a lo necesario, típicamente 30 a 90 días para fines de seguridad. ### ¿Transfiere Nginx datos a Estados Unidos? Por si mismo no. Nginx es software de código abierto que corre donde lo hospede el operador. Si el operador usa un proveedor cloud estadounidense, aplica la transferencia subyacente del hosting (a evaluar para el proveedor, no para Nginx). F5 Networks comercializa Nginx Plus; si se contrata Nginx Plus o soporte comercial, aplican la política de F5 y sus CCT para esa relación. ### ¿Necesito una EIPD para Nginx? Una EIPD no suele ser necesaria para Nginx solo, dado que es infraestructura de servidor. Puede serlo para la arquitectura global de logs y seguridad si se procesan logs para detección de fraude, análisis de comportamiento o perfilado de alto riesgo, o si los logs salen a sistemas fuera de la UE. Documente Nginx en el registro de tratamientos con categorías de logs, plazos y destinatarios. ### ¿Cómo configurar Nginx con orientación a la privacidad? Usar un log\_format propio que anonimice IPs donde el caso de uso lo permita (enmascarar el último octeto IPv4 o los últimos 80 bits IPv6). Omitir cadenas de consulta en rutas que llevan tokens. access\_log off; para assets estáticos. Rotar logs agresivamente con logrotate. Evitar registrar cuerpos de petición por defecto. Ajustar el nivel de error\_log en producción. Enviar logs solo a SIEMs que figuren en el registro de tratamientos. ### ¿Qué alternativas hay a Nginx? Otros servidores web y proxies inversos de código abierto: Apache HTTP Server, Caddy (HTTPS automático, origen UE friendly), HAProxy (balanceador), Traefik (cloud native, origen UE), Envoy (proxy moderno). Todos generan logs de acceso similares con las mismas consideraciones RGPD. La arquitectura de hosting y logs importa más que el software de servidor en si. ### ¿Cómo actualizo la política de cookies o privacidad? Nginx no debe estar en el banner de cookies ya que no las coloca. En la política de privacidad mencione que el sitio se sirve mediante un servidor web (Nginx) que registra datos de acceso para seguridad y operación, las categorías, la base jurídica, el plazo de conservación y los destinatarios. Nombrar Nginx no es obligatorio salvo que se quiera transparencia sobre la pila técnica. Misma categoría ## Más servicios: Alojamiento [Ver toda la categoría](https://www.flowconsent.com/es/services/alojamiento) ### [Xserver](https://www.flowconsent.com/es/services/alojamiento/xserver) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/xserver) · ### [IBM HTTP Server](https://www.flowconsent.com/es/services/alojamiento/ibm-http-server) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/ibm-http-server) · ### [Remix](https://www.flowconsent.com/es/services/alojamiento/remix) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/remix) · ### [SUSE](https://www.flowconsent.com/es/services/alojamiento/suse) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/suse) · ### [SunOS](https://www.flowconsent.com/es/services/alojamiento/sunos) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/sunos) · ### [Acquia Cloud Platform](https://www.flowconsent.com/es/services/alojamiento/acquia-cloud-platform) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/acquia-cloud-platform) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)