> Strapi y el RGPD: CMS open source francés, autoalojado en la UE, API pública sin cookies, cookies de sesión del panel, regiones de Strapi Cloud y EIPD. > > Canonical: https://www.flowconsent.com/es/services/cms/strapi CMS # Strapi Sin clasificar Strapi es el principal CMS headless de código abierto, publicado por Strapi SAS en París. La API pública REST y GraphQL sirve JSON sin establecer cookies, por lo que la capa de entrega pública es conforme al RGPD por defecto. El alojamiento lo elige el cliente, lo que ofrece control total de la región para proyectos europeos. [Bloquear Strapi hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=cms) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [CMS](https://www.flowconsent.com/es/services/cms) - Consentimiento Sin clasificar - Consentimiento previo No obligatorio - Cookies documentadas 3 - Dominios de terceros 5 - Servidores Self hosted infrastructure chosen by the customer (typically Amazon AWS, Google Cloud, Microsoft Azure, OVH, Scaleway, Clever Cloud or on premise). Strapi Cloud is operated from Render and AWS regions including Frankfurt, Ireland and Virginia. The publisher Strapi SAS is incorporated in Paris, France. Presentación ## ¿Qué hace Strapi? ## **Qué es Strapi y cómo entrega contenido** Strapi es el CMS headless open source más popular del mundo. Publicado por Strapi SAS en París desde 2015 bajo licencia MIT, permite a los desarrolladores modelar colecciones en un panel de administración y exponer los datos vía REST o GraphQL. Los clientes ejecutan Strapi en su propia infraestructura (Docker, Kubernetes, VPS, PaaS) o en Strapi Cloud. La API pública de entrega es sin estado y no requiere identificadores del lado del cliente. ## **Cookies e identificadores establecidos en los visitantes** Por defecto Strapi no establece ninguna cookie en el sitio público. La única cookie producida por Strapi es jwtToken, una cookie de sesión httpOnly usada por el panel de administración bajo /admin para autenticar a los redactores. Esa cookie nunca se expone al sitio público. Los clientes de Strapi Cloud que usan el portal de cuenta strapi.io disponen también de una cookie de sesión del portal y pueden ser rastreados por la analítica de marketing de strapi.io, limitada al dominio strapi.io. ## **Implicaciones RGPD y ePrivacy** Como la entrega pública de Strapi no escribe identificadores en el navegador del visitante, el Artículo 5(3) de la Directiva ePrivacy (transpuesta en LSSI en España, LCEN en Francia, TTDSG en Alemania) no requiere consentimiento previo. El Artículo 6(1)(f) del RGPD (interés legítimo) cubre los registros de solicitud limitados necesarios para la entrega y la prevención de abusos. El cliente es responsable del tratamiento de los datos almacenados en Strapi, siendo la instancia Strapi sólo la herramienta. Para Strapi Cloud, Strapi SAS es encargado del tratamiento según el Artículo 28 RGPD con un DPA disponible en el panel. ## **Transferencias de datos y Schrems II** Para Strapi autoalojado el cliente controla totalmente la región. Elija un proveedor con sede en la UE (OVH Roubaix, Scaleway París, Clever Cloud, Hetzner Falkenstein, AWS Fráncfort o Irlanda) para evitar transferencias a terceros países. Strapi Cloud permite seleccionar una región al crear el proyecto: Fráncfort (eu central 1) mantiene los datos en la UE, mientras que las opciones US (Virginia us east 1) activan las consideraciones Schrems II y exigen Cláusulas Contractuales Tipo y una evaluación de impacto de transferencias. ## **Pasos prácticos de cumplimiento** Documente Strapi en el registro de actividades (RAT) con región de alojamiento, finalidad, retención y controles de acceso. Proteja la ruta /admin con listas de IP permitidas o VPN cuando sea posible, habilite SSO y exija 2FA en las cuentas de redactores. Aplique limitación de tasa estricta en la API pública para prevenir enumeración. Si se ingesta contenido enviado por usuarios (comentarios, formularios) a través de Strapi, documente por separado la base legal de ese tratamiento. Audite los plugins instalados ya que pueden extender el flujo de datos. Cumplimiento ## Strapi y el RGPD - Base jurídica Article 6(1)(f) GDPR (legitimate interest) for the limited request logging required to deliver content and prevent abuse. The admin panel uses a strictly necessary session cookie (Article 5(3) ePrivacy carveout). No consent required for the public delivery. - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive, DSGVO, RGPD, LSSI, LCEN, TTDSG, Schrems II only if Strapi Cloud US region is selected ### Evaluación de impacto (EIPD) Una EIPD no es necesaria para la capa pública de entrega de Strapi en la mayoría de los casos porque no se procesan datos personales de visitantes más allá de los registros estándar. Una EIPD es recomendable si la instancia Strapi almacena categorías especiales (salud, biometría, opiniones políticas) o si un flujo de contenido generado por usuarios gestiona muchas personas físicas. Documente la región de alojamiento, los controles de acceso de /admin y el método de autenticación de los redactores. ### Texto de ejemplo para su banner > Este sitio utiliza Strapi para gestionar y entregar su contenido editorial. La API pública de Strapi no establece cookies y no le rastrea. No se requiere consentimiento. Si inicia sesión en el área de administración, se crea una cookie de sesión estrictamente necesaria para autenticarle. Cookies y rastreadores ## Lo que Strapi instala y contacta - Método de seguimiento Open source headless CMS, primarily self hosted by the customer. Public REST and GraphQL APIs serve JSON without cookies. The admin panel at /admin uses a JWT token in a httpOnly cookie (jwtToken) for editor sessions. Strapi Cloud adds an account session and product analytics. By default Strapi does not set cookies on website visitors. - Ubicación de los servidores Self hosted infrastructure chosen by the customer (typically Amazon AWS, Google Cloud, Microsoft Azure, OVH, Scaleway, Clever Cloud or on premise). Strapi Cloud is operated from Render and AWS regions including Frankfurt, Ireland and Virginia. The publisher Strapi SAS is incorporated in Paris, France. - Modo sin cookies disponible Sí ### Cookies instaladas (3) | Nombre | Tipo | Duración | Finalidad | | ------------------ | ---------------------------------------- | ------------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | jwtToken | first-party (admin panel only) | Session (or 30 days if "remember me" is enabled) | httpOnly cookie that carries the JSON Web Token authenticating a logged in editor on the Strapi admin panel under /admin. Strictly necessary, only set after a successful sign in, never reaches anonymous visitors. | | strapi\_session | first-party (Strapi Cloud portal) | Session | Authenticates a user on the Strapi Cloud account portal (cloud.strapi.io). Strictly necessary for the customer side. Not set on the public website. | | ajs\_anonymous\_id | third-party (Segment, on strapi.io only) | 1 year | Anonymous identifier set by Segment on the strapi.io marketing site for product analytics. Does not appear on customer instances. Disclosed here for completeness. | ### Dominios de terceros contactados (5) - `strapi.io` - `cloud.strapi.io` - `market.strapi.io` - `api.strapi.io` - `analytics.strapi.io` Preguntas ## Preguntas frecuentes sobre Strapi ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Strapi establece cookies en los visitantes del sitio? No. Las APIs públicas REST y GraphQL de Strapi no establecen cookies. La única cookie producida por Strapi es jwtToken, una cookie de sesión httpOnly limitada a la ruta /admin y usada para autenticar a los redactores autenticados. Los visitantes anónimos nunca la reciben. ### ¿Se necesita consentimiento para Strapi según RGPD y ePrivacy? No se requiere consentimiento para la entrega pública de Strapi porque no se almacena ningún identificador en el terminal del visitante. El Artículo 5(3) de la Directiva ePrivacy no se aplica. El consentimiento solo es relevante si su frontend incorpora rastreadores de terceros alimentados por el contenido de Strapi. ### ¿Cuál es la base legal del tratamiento con Strapi? El Artículo 6(1)(f) del RGPD (interés legítimo) cubre los registros limitados de solicitud necesarios para la entrega y la seguridad. El cliente es el responsable del tratamiento de los datos editoriales gestionados en Strapi. Strapi SAS solo actúa como encargado del tratamiento para Strapi Cloud, con un DPA del Artículo 28. ### ¿Strapi transfiere datos a Estados Unidos? Strapi autoalojado no transfiere nada por sí mismo, el cliente elige la ubicación del alojamiento. Strapi Cloud transfiere a Estados Unidos solo cuando se selecciona la región US. La región Fráncfort mantiene los datos en la UE. El sitio de marketing strapi.io utiliza algunas herramientas en EE.UU., pero solo aplican a ese sitio, no a su instancia desplegada. ### ¿Se requiere una EIPD para Strapi? Una EIPD no es necesaria para un despliegue CMS editorial típico porque no se realiza profiling ni se procesan categorías especiales por defecto. Una EIPD es recomendable si Strapi almacena contenido sensible (salud, biometría), si se gestionan grandes volúmenes de aportaciones de usuarios, o cuando se integra con personalización o funciones de IA. ### ¿Cómo implemento Strapi de forma conforme? Aloje dentro de la UE, restrinja /admin con lista de IP permitidas o VPN, habilite SSO y 2FA, firme el DPA de Strapi Cloud si aplica, documente el tratamiento en su RAT, establezca limitación de tasa fuerte en la API pública y audite los plugins instalados para detectar flujos de datos adicionales. ### ¿Cuáles son las alternativas a Strapi? Otros CMS headless utilizados en Europa incluyen Storyblok (Austria), Contentful (Alemania), Hygraph (Alemania), Sanity (Noruega), Directus (Alemania, open source), Payload CMS (open source, autoalojado) y Wagtail (Python, open source). ### ¿Cómo actualizo la política de cookies para Strapi? No es necesaria una mención específica de Strapi en la declaración de cookies del sitio público si no se establecen cookies. Liste Strapi como encargado del tratamiento de gestión de contenido en su política de privacidad con la región de alojamiento, finalidad y controles de acceso. La cookie jwtToken, restringida al admin, no necesita aparecer en el banner porque es estrictamente necesaria y solo se establece tras una autenticación exitosa. Misma categoría ## Más servicios: CMS [Ver toda la categoría](https://www.flowconsent.com/es/services/cms) ### [GoDaddy Escapade](https://www.flowconsent.com/es/services/cms/godaddy-escapade) [CMS](https://www.flowconsent.com/es/services/cms/godaddy-escapade) · ### [Wuilt](https://www.flowconsent.com/es/services/cms/wuilt) [CMS](https://www.flowconsent.com/es/services/cms/wuilt) · ### [Replo](https://www.flowconsent.com/es/services/cms/replo) [Analítica](https://www.flowconsent.com/es/services/cms/replo) · ### [Docusaurus](https://www.flowconsent.com/es/services/cms/docusaurus) [CMS](https://www.flowconsent.com/es/services/cms/docusaurus) · ### [Bold Page Builder](https://www.flowconsent.com/es/services/cms/bold-page-builder) [CMS](https://www.flowconsent.com/es/services/cms/bold-page-builder) · ### [govCMS](https://www.flowconsent.com/es/services/cms/govcms) [CMS](https://www.flowconsent.com/es/services/cms/govcms) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)