> Operar Varnish Cache conforme al RGPD: conservación de logs, tratamiento de direcciones IP y diferencia entre un proxy propio y un servicio de rastreo. > > Canonical: https://www.flowconsent.com/es/services/cdn/varnish CDN # Varnish Sin clasificar · [Sitio oficial](https://www.varnish-cache.org) Varnish es un acelerador HTTP de código abierto y proxy inverso de cache desarrollado originalmente por Poul Henning Kamp para el periódico noruego VG y hoy mantenido por el proyecto open source Varnish Cache y por Varnish Software AS. Se sitúa entre el cliente y el servidor de origen, cachea respuestas HTTP según reglas VCL y sirve contenido cacheado sin tocar el backend. Desde la perspectiva de privacidad, Varnish es software de servidor: no coloca cookies en el cliente, pero escribe logs de acceso con IPs y metadatos de solicitud. [Bloquear Varnish hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=cdn) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [CDN](https://www.flowconsent.com/es/services/cdn) - Consentimiento Sin clasificar - Consentimiento previo No obligatorio - Cookies documentadas 0 - Servidores Operator controlled. Varnish is open source software (Varnish Cache) that runs wherever the operator hosts it. Varnish Software AS (Norway, Sweden, Germany) offers Varnish Enterprise and the Varnish Controlled Edge SaaS, with EU data residency available. Presentación ## ¿Qué hace Varnish? ## **Que es Varnish** Varnish es un acelerador HTTP de alto rendimiento y proxy inverso de cache. Lo escribio en 2006 Poul Henning Kamp para el periódico noruego VG con el fin de manejar picos de tráfico, y hoy lo mantienen el proyecto Varnish Cache y la empresa Varnish Software AS (Noruega, Suecia, Alemania). Varnish se coloca delante de uno o varios servidores de origen, cachea respuestas HTTP según el lenguaje VCL y sirve respuestas cacheadas directamente a los clientes, reduciendo drasticamente la carga del backend y la latencia. Se usa ampliamente en editores, e commerce, video streaming y APIs SaaS. ## **Que datos genera Varnish** Varnish no coloca ni lee cookies de cliente propias. Puede pasar cookies del cliente al origen (o eliminarlas a nivel VCL), pero esas cookies pertenecen a los backends, no a Varnish. Lo que Varnish produce son logs detallados vía varnishlog (tracing completo de solicitud/respuesta) y varnishncsa (Combined Log Format), con IP del cliente, marca temporal, método, URL, estado, tiempo de respuesta y cabeceras. Estos logs son datos personales bajo el RGPD. Varnish también almacena cuerpos de respuesta en memoria compartida mientras están en cache, lo que puede contener brevemente datos personales desde respuestas API o HTML. ## **Implicaciones RGPD y ePrivacy** Como Varnish no almacena ni recupera información del terminal del visitante, el artículo 5(3) de la Directiva ePrivacy (consentimiento de cookies) no se aplica a Varnish. La cache y los logs de acceso se rigen por el RGPD y se apoyan en el interés legítimo del artículo 6(1)(f): el cacheado es una actividad operativa esperada y los logs son necesarios para ajustar la cache, seguridad y estabilidad. La retención debe ser corta por defecto, ya que los logs de cache no se usan típicamente para investigación forense de largo plazo. ## **Patrones VCL positivos para la privacidad** Varnish trae un VCL por defecto que elimina cookies de las solicitudes GET cacheables para maximizar el hit ratio. Es un defecto positivo en privacidad porque las cookies de rastreo no llegan a los caminos cacheables. El operador puede configurar varnishncsa para anonimizar las IPs truncando el ultimo octeto, o usar un Combined Log Format con anonimización propia. La construcción de claves de cache puede ajustarse para no incluir identificadores de sesión, lo que preserva la eficiencia y reduce el riesgo de cachear datos de sesión sin querer. ## **Transferencias y hosting** Varnish Cache, como software de código abierto, no transfiere datos por si mismo. El régimen de transferencia depende de donde aloje el operador. Varnish Software AS, la entidad comercial, tiene sede en Noruega (reconocida adecuada bajo el RGPD) con oficinas en Suecia y Alemania; si el operador compra Varnish Enterprise o el SaaS Controlled Edge, la relación se rige por contrato noruego con residencia UE/EEE por defecto. ## **Pasos prácticos** Documentar Varnish en el registro de tratamientos como capa de cache operacional bajo interés legítimo. Ajustar la retención de varnishncsa a 7 a 30 días, rotación de logs con logrotate, almacenamiento en infraestructura UE. Configurar VCL para eliminar cookies de rastreo en caminos cacheables, anonimizar IPs donde sea posible, omitir cadenas de consulta en logs en rutas que llevan tokens. Si se contrata Varnish Enterprise o Controlled Edge, firmar el DPA de Varnish Software. Varnish no necesita estar en el banner de cookies porque no las coloca, pero el operador puede mencionar la capa de cache en la sección de tecnología de la política de privacidad por transparencia. Cumplimiento ## Varnish y el RGPD - Base jurídica Legitimate interest (GDPR Art. 6(1)(f)) for server access logs and cache operations, justified by performance, security and operational stability. ePrivacy Directive Art. 5(3) does not apply because Varnish does not read or write information on the client device. - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive (only for cookies that the operator chooses to set or pass through via VCL, not Varnish itself), German TTDSG, French CNIL guidance on server logs ### Evaluación de impacto (EIPD) Varnish no requiere EIPD por si mismo, es software de cache de servidor sin rastreo del cliente. Sus logs (varnishlog, varnishncsa) escriben entradas con IPs, URLs y codigos de respuesta, que son datos personales bajo el RGPD. Consideraciones: (1) los logs de cache tienen menor horizonte de retención que los logs aplicativos completos al servir para ajuste de cache, 7 a 30 días son típicos; (2) las URLs pueden llevar tokens o datos personales en query strings, lo que afecta retención y controles de acceso; (3) Varnish puede configurarse para eliminar cookies en el camino de solicitud (para maximizar el hit ratio) y de respuesta, defecto positivo para privacidad; (4) Varnish Software AS, la entidad comercial, esta en la UE (sede Noruega), lo que limita la exposición Schrems II para clientes enterprise; (5) la propia cache guarda cuerpos de respuesta en memoria compartida, lo que puede contener brevemente datos personales, cubierto por interés legítimo operacional. ### Texto de ejemplo para su banner > Usamos Varnish Cache como acelerador HTTP y proxy inverso en nuestra infraestructura. Varnish no coloca cookies en su dispositivo. Como cualquier intermediario HTTP, escribe logs de acceso con su dirección IP, la página solicitada, cabeceras y código de respuesta. Estos logs se usan para ajuste de rendimiento, investigación de seguridad y estabilidad operacional bajo nuestro interés legítimo. Los logs se conservan \[XX] días y después se anonimizan o eliminan. Cookies y rastreadores ## Lo que Varnish instala y contacta - Método de seguimiento Server side HTTP accelerator and reverse proxy cache. Varnish sits between the client and the origin server, caches HTTP responses according to its VCL (Varnish Configuration Language) rules and serves cached content directly without hitting the backend. It does not set any client side cookie or pixel of its own. Like any HTTP intermediary it generates request logs (varnishlog, varnishncsa) containing IP addresses, request URLs and headers. - Ubicación de los servidores Operator controlled. Varnish is open source software (Varnish Cache) that runs wherever the operator hosts it. Varnish Software AS (Norway, Sweden, Germany) offers Varnish Enterprise and the Varnish Controlled Edge SaaS, with EU data residency available. - Modo sin cookies disponible Sí Preguntas ## Preguntas frecuentes sobre Varnish ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Coloca Varnish cookies? No. Varnish no coloca ni lee cookies en el dispositivo del visitante. Puede pasar o eliminar cookies en la solicitud y la respuesta a nivel VCL, pero esas cookies pertenecen a los backends aplicativos detrás de Varnish. ### ¿Hace falta consentimiento para Varnish? No. Como Varnish no almacena ni recupera información del terminal del visitante, el artículo 5(3) de la Directiva ePrivacy no se aplica. La cache y los logs de acceso se rigen por el RGPD y se apoyan en el interés legítimo. ### ¿Cuál es la base jurídica del tratamiento de Varnish? Interés legítimo del artículo 6(1)(f), justificado por el cacheado para rendimiento, seguridad y estabilidad, y por la retención de logs para ajuste y operación. ### ¿Transfiere Varnish datos a Estados Unidos? Varnish Cache de código abierto no transfiere datos. El hosting determina el régimen de transferencia. Varnish Software AS, la entidad comercial, tiene sede en Noruega (reconocida adecuada bajo RGPD) con oficinas en Suecia y Alemania. ### ¿Necesito una EIPD para Varnish? Una EIPD no se requiere para Varnish en si. Puede serlo para la arquitectura mas amplia de cache y logs si los logs se procesan para analítica de seguridad avanzada o se exportan fuera de la UE. ### ¿Cómo configurar Varnish con orientación a la privacidad? Conservar el comportamiento VCL por defecto que elimina cookies en GET cacheables. Configurar varnishncsa con un log\_format propio que anonimice las IPs y omita cadenas de consulta en rutas con tokens. Rotar logs con logrotate y retención corta (7 a 30 días). Evitar IDs de sesión en la clave de cache. ### ¿Qué alternativas hay a Varnish? Otras capas de cache HTTP y proxies inversos: Nginx (proxy\_cache), Apache (mod\_cache), Squid, Traefik, HAProxy, Caddy. CDNs cloud (Cloudflare, Fastly, Akamai, Bunny.net, EdgeOne) con sus propias consideraciones de privacidad y residencia. ### ¿Cómo actualizo la política de cookies o de privacidad? Varnish no debe estar en el banner de cookies porque no las coloca. En la política de privacidad puede mencionar que el sitio usa una cache HTTP y proxy inverso para rendimiento y estabilidad, la base jurídica, las categorías de datos, el plazo de conservación y los destinatarios. Misma categoría ## Más servicios: CDN [Ver toda la categoría](https://www.flowconsent.com/es/services/cdn) ### [SpeedSize](https://www.flowconsent.com/es/services/cdn/speedsize) [CDN](https://www.flowconsent.com/es/services/cdn/speedsize) · ### [Vercel Analytics](https://www.flowconsent.com/es/services/cdn/vercel-analytics) [CDN](https://www.flowconsent.com/es/services/cdn/vercel-analytics) · ### [QUIC.cloud](https://www.flowconsent.com/es/services/cdn/quic-cloud) [CDN](https://www.flowconsent.com/es/services/cdn/quic-cloud) · ### [Gcore](https://www.flowconsent.com/es/services/cdn/gcore) [CDN](https://www.flowconsent.com/es/services/cdn/gcore) · ### [FastPixel](https://www.flowconsent.com/es/services/cdn/fastpixel) [CDN](https://www.flowconsent.com/es/services/cdn/fastpixel) · ### [Oracle Web Cache](https://www.flowconsent.com/es/services/cdn/oracle-web-cache) [CDN](https://www.flowconsent.com/es/services/cdn/oracle-web-cache) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)