> CFML (Adobe ColdFusion y Lucee) y RGPD: cookies CFID y JSESSIONID, exención de las estrictamente necesarias, alojamiento y lista de despliegue. > > Canonical: https://www.flowconsent.com/es/services/framework/cfml Frameworks # CFML Sin clasificar · [Sitio oficial](https://adobe.com/products/coldfusion-family.html) CFML (ColdFusion Markup Language) es un lenguaje de scripting en servidor y una plataforma de aplicaciones que se utiliza para construir aplicaciones web, intranets y APIs. Las dos implementaciones principales son Adobe ColdFusion y el motor de código abierto Lucee. CFML no es un rastreador: se ejecuta íntegramente en la infraestructura del operador y solo instala cookies de sesión técnicas (CFID, CFTOKEN, JSESSIONID) que la Directiva ePrivacy clasifica como estrictamente necesarias, por lo que esas cookies concretas no requieren consentimiento previo. Las obligaciones de privacidad recaen sobre los datos que la aplicación construida sobre CFML decida recoger. [Bloquear CFML hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=framework) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Frameworks](https://www.flowconsent.com/es/services/framework) - Consentimiento Sin clasificar - Consentimiento previo No obligatorio - Cookies documentadas 3 - Dominios de terceros 4 - Servidores Self hosted by the operator on premises or any cloud region; the CFML engine itself does not call external endpoints Presentación ## ¿Qué hace CFML? ## **Qué es CFML y dónde se ejecuta** CFML (ColdFusion Markup Language) es un lenguaje basado en etiquetas y script que se ejecuta sobre una máquina virtual Java. Las dos implementaciones principales son Adobe ColdFusion (comercial) y Lucee (código abierto). El motor recibe la petición HTTP, ejecuta la página o el componente CFML, consulta bases de datos mediante ORM o cfquery y devuelve HTML, JSON o XML al navegador. Como toda la ejecución es del lado del operador, por defecto no se contacta a ningún endpoint de terceros y no salen datos de comportamiento de la red del operador. ## **Cookies y almacenamiento que instala una aplicación CFML** Por defecto, una aplicación CFML instala dos cookies de origen, CFID y CFTOKEN, que identifican la sesión en servidor, además de la cookie estándar JSESSIONID del contenedor de servlets cuando están activas las sesiones J2EE. Estas cookies guardan identificadores opacos, son HttpOnly y resultan necesarias para mantener la sesión autenticada y proteger formularios frente a CSRF. Encajan en la exención de estrictamente necesarias del artículo 5.3 de ePrivacy. Cualquier cookie adicional que el código de la aplicación instale (ID analítico, segmento A/B, indicador de marketing) es responsabilidad del operador y debe clasificarse aparte. ## **Tratamiento de las cookies de sesión bajo el RGPD y ePrivacy** La AEPD, la CNIL, la ICO y el CEPD consideran que las cookies de autenticación y de gestión de sesión son estrictamente necesarias y pueden instalarse sin consentimiento previo siempre que su duración se limite a la sesión y no se reutilicen con fines conductuales. La base legal del tratamiento subyacente es la ejecución del contrato (artículo 6.1.b del RGPD) cuando el usuario está autenticado, y el interés legítimo (artículo 6.1.f) para la robustez técnica en páginas públicas. La aplicación debe ser transparente sobre estas cookies en su política de privacidad y en el inventario de cookies. ## **Región de hospedaje y transferencias internacionales** CFML se ejecuta donde el operador despliegue el motor: un centro de datos propio, una región cloud en la UE o una región cloud en EE. UU. Las obligaciones sobre transferencias internacionales dependen, por tanto, de la topología elegida. Los operadores que necesiten mantener los datos personales europeos dentro del EEE deben elegir una región UE para servidor de aplicaciones y base de datos, y desactivar la telemetría Adobe Server Auto Lockdown o las estadísticas de uso de Lucee si están activadas por defecto en su perfil de instalación. ## **Refuerzo de seguridad y privacidad** Para respetar los principios del RGPD de integridad, confidencialidad y minimización, las aplicaciones CFML deben establecer HttpOnly, Secure y SameSite=Lax (o Strict) en todas las cookies de sesión, rotar CFID y CFTOKEN al iniciar y cerrar sesión, limitar el alcance de las cookies al dominio de la aplicación, desactivar el listado de directorios, restringir CFADMIN a redes internas, aplicar los últimos boletines de seguridad de Adobe o parches de Lucee y habilitar registros de aplicación con los datos personales depurados. ## **Checklist práctica de cumplimiento** Documente CFID, CFTOKEN y JSESSIONID en su política de cookies como cookies técnicas estrictamente necesarias. Verifique que la página CFML no carga ninguna etiqueta de terceros antes del consentimiento. Inventaríe cada integración cfhttp, cfldap, cfmail o REST para mapear los flujos de datos salientes y añadirlos al registro de actividades de tratamiento. Mantenga el servidor CFML y la JVM parcheados, separe la base de datos de producción usando credenciales de mínimo privilegio y seudonimice los datos personales que se conserven en el ámbito de aplicación o de sesión. Cumplimiento ## CFML y el RGPD - Base jurídica Article 6(1)(b) GDPR (performance of a contract) or Article 6(1)(f) (legitimate interest) for the strictly necessary session cookies CFID, CFTOKEN and JSESSIONID. Consent under Article 6(1)(a) is required only for any non essential cookies or analytics tags that the application chooses to set. - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive 2002/58/EC (strictly necessary cookie exemption), French CNIL guidelines on technical cookies, German TDDDG, Spanish AEPD cookie guide, ISO 27001 and OWASP ASVS for application security ### Evaluación de impacto (EIPD) No se requiere una EIPD específica sobre CFML porque el motor no realiza decisiones automatizadas ni elaboración de perfiles a gran escala. Sí puede ser necesaria una EIPD para la aplicación construida sobre CFML cuando esta trate categorías especiales de datos, puntúe a personas, supervise a empleados o visitantes o se combine con rastreadores externos. La evaluación debe centrarse en la lógica de la aplicación, los almacenes de datos accesibles desde CFML (cfquery, ORM, subidas), la región de hospedaje del servidor CFML y los controles de acceso que protegen CFADMIN y el contenedor de servlets. ### Texto de ejemplo para su banner > Nuestro sitio está desarrollado en CFML y utiliza cookies técnicas estrictamente necesarias (CFID, CFTOKEN, JSESSIONID) para mantener su sesión, identificarle y proteger los formularios contra la falsificación de peticiones entre sitios. Estas cookies no requieren consentimiento conforme a las normas europeas sobre cookies. Cualquier cookie opcional de analítica, marketing o personalización se enumera por separado en el banner de cookies y solo se carga tras su elección explícita. Cookies y rastreadores ## Lo que CFML instala y contacta - Método de seguimiento Server side session cookies (CFID, CFTOKEN, JSESSIONID) issued by the CFML application server, application scope variables and form/URL token validation - Ubicación de los servidores Self hosted by the operator on premises or any cloud region; the CFML engine itself does not call external endpoints - Modo sin cookies disponible Sí ### Cookies instaladas (3) | Nombre | Tipo | Duración | Finalidad | | ---------- | ------------ | ------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CFID | first\_party | Session (or up to 30 days when persistence is enabled) | Identifies the server side ColdFusion or Lucee session that holds variables, login state and shopping cart. Strictly necessary for the application to function. | | CFTOKEN | first\_party | Session (or up to 30 days when persistence is enabled) | Companion of CFID, validates the session integrity to prevent session hijacking. Strictly necessary technical cookie. | | JSESSIONID | first\_party | Session | Java servlet container session identifier issued when J2EE sessions are enabled in CFML. Strictly necessary for keeping authenticated users logged in. | ### Dominios de terceros contactados (4) - `www.adobe.com` - `helpx.adobe.com` - `lucee.org` - `cfunited.com` Preguntas ## Preguntas frecuentes sobre CFML ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies instala una aplicación CFML? Por defecto, una aplicación CFML instala dos cookies de origen, CFID y CFTOKEN, y la cookie estándar de Java JSESSIONID cuando se activan las sesiones J2EE. Almacenan identificadores opacos que se utilizan para asociar una solicitud HTTP con una sesión en servidor. Las instalaciones de Lucee con LuceeSession siguen el mismo modelo bajo los nombres cfid y cftoken. El código de la aplicación puede añadir otras cookies que deben clasificarse aparte. ### ¿Es necesario el consentimiento para CFID, CFTOKEN y JSESSIONID? No. Son cookies de sesión y autenticación consideradas estrictamente necesarias en virtud del artículo 5.3 de la Directiva ePrivacy y de las Directrices 2/2023 del CEPD sobre cookies técnicas. Pueden instalarse sin consentimiento previo siempre que su duración se limite a la sesión o a la persistencia legítima de la autenticación y no se reutilicen con fines analíticos o publicitarios. ### ¿Cuál es la base legal del tratamiento mediante una aplicación CFML? La base legal depende del caso de uso: artículo 6.1.b del RGPD (ejecución del contrato) cuando el usuario está autenticado, artículo 6.1.f (interés legítimo) para seguridad e integridad, artículo 6.1.c (obligación legal) para registros contables o de auditoría. Las categorías especiales de datos requieren una condición del artículo 9, como el consentimiento explícito o el interés público esencial. ### ¿CFML transfiere datos personales a Estados Unidos? No por sí mismo. CFML se ejecuta sobre la infraestructura del operador, por lo que solo hay transferencias si el operador elige una región cloud en EE. UU. o integra servicios externos. Adobe ColdFusion puede contactar con servidores de Adobe para licencia y actualizaciones; esa telemetría debe revisarse y formalizarse con CCT cuando proceda. Lucee es completamente autónomo y solo envía datos si se activan explícitamente las estadísticas de uso. ### ¿Hace falta una EIPD antes de desplegar una aplicación CFML? No es obligatoria una EIPD sobre el lenguaje. Sí puede ser necesaria sobre la aplicación construida con CFML cuando esta realice supervisión sistemática a gran escala, trate categorías especiales de datos, puntúe automáticamente a personas o combine seguimiento de varias fuentes, conforme al artículo 35 del RGPD y a la lista local de supuestos de EIPD obligatoria. ### ¿Cómo implemento CFML cumpliendo el derecho europeo? Establezca HttpOnly, Secure y SameSite en las cookies de sesión, rote los identificadores de sesión al iniciar sesión, hospede el servidor CFML en una región UE cuando trate datos personales europeos, aplique con rapidez los parches de Adobe ColdFusion o Lucee, restrinja CFADMIN a redes internas, documente CFID y CFTOKEN como estrictamente necesarias y canalice cualquier etiqueta opcional de analítica o marketing a través de una CMP. ### ¿Existen alternativas a CFML? Algunas pilas equivalentes de servidor son Java con Spring Boot, .NET (C#) con ASP.NET Core, Python con Django o FastAPI, PHP con Laravel o Node.js con NestJS. Desde la óptica del cumplimiento, todos los lenguajes de servidor se comportan de forma similar: la postura de privacidad depende sobre todo del diseño de la aplicación, la región de hospedaje y la estrategia de cookies, no del lenguaje. ### ¿Cómo actualizo la política de cookies de un sitio en CFML? Liste CFID, CFTOKEN y JSESSIONID como cookies técnicas estrictamente necesarias en la política de cookies, con su finalidad (gestión de sesión, autenticación), duración (sesión o vida del navegador) y alcance de origen. Añada por separado cualquier cookie de la aplicación. Explique con transparencia que estas cookies estrictamente necesarias no requieren consentimiento y actualice la política cada vez que se actualice la aplicación. Misma categoría ## Más servicios: Frameworks [Ver toda la categoría](https://www.flowconsent.com/es/services/framework) ### [Dancer](https://www.flowconsent.com/es/services/framework/dancer) [Frameworks](https://www.flowconsent.com/es/services/framework/dancer) · ### [AlertifyJS](https://www.flowconsent.com/es/services/framework/alertifyjs) [Frameworks](https://www.flowconsent.com/es/services/framework/alertifyjs) · ### [Highstock](https://www.flowconsent.com/es/services/framework/highstock) [Frameworks](https://www.flowconsent.com/es/services/framework/highstock) · ### [SweetAlert](https://www.flowconsent.com/es/services/framework/sweetalert) [Frameworks](https://www.flowconsent.com/es/services/framework/sweetalert) · ### [Normalize.css](https://www.flowconsent.com/es/services/framework/normalize-css) [Frameworks](https://www.flowconsent.com/es/services/framework/normalize-css) · ### [PubSubJS](https://www.flowconsent.com/es/services/framework/pubsubjs) [Frameworks](https://www.flowconsent.com/es/services/framework/pubsubjs) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)