Cómo auditar las cookies de tu sitio web, por qué es importante para el cumplimiento del RGPD y qué hacer con los resultados.
El propietario de un sitio web instala Google Analytics, añade un widget de chat en vivo, inserta un vídeo de YouTube y conecta un píxel de Facebook. Cada una de estas herramientas funciona como se espera. Los datos de tráfico aparecen en los paneles. El chat saluda a los visitantes. Los vídeos se reproducen. Los anuncios de retargeting persiguen a los usuarios por internet.
Lo que el propietario a menudo no sabe es que solo estas cuatro herramientas pueden colocar entre 20 y 40 cookies en el navegador de un visitante, la mayoría sin que él lo sepa expresamente ni las haya configurado. Y según el RGPD y la Directiva europea de privacidad electrónica (ePrivacy), el propietario del sitio es legalmente responsable de cada una de ellas.
Este artículo explica de dónde vienen las cookies, por qué la mayoría de los propietarios de sitios web subestiman cuántas cookies tienen y cómo realizar una auditoría como es debido.
¿De dónde salen todas estas cookies?
Las cookies de un sitio web proceden de dos fuentes.
Las cookies propias las establece el propio sitio web (el dominio en el que está el visitante). Suelen incluir cookies de sesión (para mantener al usuario conectado), preferencias de idioma, el contenido del carrito de compra y datos funcionales similares. La mayoría de las cookies propias no generan controversia y a menudo entran en la excepción de «estrictamente necesarias» del RGPD, es decir, no requieren consentimiento.
Las cookies de terceros las establecen servicios externos integrados en el sitio web. Cada etiqueta script, iframe o píxel que carga contenido de otro dominio puede introducir sus propias cookies. Puede que el propietario haya añadido el script a propósito (para activar la analítica o la publicidad), pero las cookies concretas que crea ese script las controla el tercero, no el propietario del sitio.
Aquí empieza el problema. Un solo script de Google Analytics crea varias cookies (_ga, _ga_*, _gid, _gat). Un píxel de Facebook añade su propio conjunto (_fbp, fr). Un vídeo de YouTube insertado introduce cookies de youtube.com y doubleclick.net. Un script de mapas de calor de Hotjar añade varias más. Una petición a Google Fonts puede establecer cookies. Un widget de reCAPTCHA crea cookies. Un mapa de Google insertado crea cookies.
La mayoría de los propietarios de sitios web tienen una idea aproximada de las herramientas que usan. Muy pocos conocen la lista exacta de cookies que crean esas herramientas.
Por qué es un problema legal
La Directiva europea de privacidad electrónica (a menudo llamada «ley de cookies») exige que los operadores de sitios web obtengan el consentimiento informado de los visitantes antes de colocar cookies no esenciales en sus navegadores. El RGPD lo refuerza al exigir una base jurídica (normalmente el consentimiento) para tratar datos personales, que las cookies a menudo contienen o hacen posible.
El «consentimiento informado» tiene requisitos concretos. El operador del sitio debe informar de qué cookies se establecen, qué hace cada una, quién la establece (propia o de terceros), cuánto tiempo persiste y si los datos se transfieren a terceros países (en particular, a Estados Unidos). Un banner de cookies genérico que dice «Este sitio web usa cookies. Haz clic en Aceptar para continuar» no cumple estos requisitos.
La consecuencia práctica: si el banner de cookies no enumera con exactitud todas las cookies que el sitio establece realmente, el consentimiento recogido a través de ese banner no es válido. El sitio está tratando datos sin base jurídica. No es un riesgo teórico: la autoridad francesa de protección de datos (CNIL) ha impuesto multas precisamente por banners de cookies inexactos, y ha habido actuaciones similares en Alemania, Bélgica y Austria.
Por qué la comprobación manual no es fiable
Algunos propietarios intentan revisar las cookies a mano: abren las herramientas para desarrolladores del navegador, van a la pestaña Application y repasan las cookies que aparecen allí. Este método tiene varios problemas.
El primero es que las funciones de privacidad del navegador alteran los resultados. Safari bloquea por defecto la mayoría de las cookies de terceros. Firefox tiene la protección mejorada contra el rastreo, que bloquea rastreadores conocidos. El comportamiento de Chrome está cambiando con su iniciativa Privacy Sandbox. Las cookies visibles en un navegador pueden no coincidir con las de otro.
El segundo es el momento. Algunas cookies solo se establecen después de que el usuario interactúe con la página, por ejemplo al hacer scroll, pulsar un botón o reproducir un vídeo. Una revisión rápida de las cookies al cargar la página no las detecta.
El tercero es la escala. Un sitio web con 50 páginas puede establecer cookies distintas en páginas distintas, según los widgets, elementos insertados y scripts que haya en cada una. Revisar solo la página de inicio da un inventario incompleto.
El cuarto son las actualizaciones de terceros. Los scripts externos se cargan desde CDN controladas por sus proveedores. Cuando Google, Facebook o Hotjar actualizan sus scripts, el comportamiento de las cookies puede cambiar sin que el propietario del sitio haga nada ni se entere. Una comprobación manual del mes pasado puede no reflejar la situación actual.
Cómo funciona un escáner de cookies
Un escáner de cookies automático elimina estos problemas simulando una visita real al sitio web.
El escáner carga la página en un navegador headless: un motor de navegador completo (normalmente Chromium) que se ejecuta en un servidor sin ventana visible. Este navegador ejecuta todo el JavaScript, carga todos los scripts externos, renderiza todos los iframes y espera a que terminen de cargarse todos los recursos. El resultado es idéntico a lo que experimentaría un visitante real.
Una vez cargada la página por completo, el escáner recoge todas las cookies mediante las API internas del navegador. Esto incluye cookies propias, cookies de terceros, cookies de sesión, cookies persistentes y cualquier dato guardado en localStorage o sessionStorage.
Después, cada cookie se clasifica comparándola con una base de datos de cookies conocidas. Las cookies más habituales, como _ga (Google Analytics), _fbp (píxel de Facebook) o __cf_bm (gestión de bots de Cloudflare), se reconocen y categorizan automáticamente. Las cookies desconocidas se marcan para revisarlas a mano.
El resultado es un informe estructurado que enumera cada cookie con su nombre, dominio, categoría (necesaria, analítica, marketing, funcional), tipo (propia o de terceros), duración y atributos de seguridad (HTTPOnly, Secure, SameSite).
Qué hacer con los resultados
Un informe de escaneo de cookies es un documento de cumplimiento normativo. Sirve para varias cosas de inmediato.
Primero, revela si el banner de cookies actual es exacto. Si el banner enumera 12 cookies pero el escaneo encuentra 38, el mecanismo de consentimiento está incompleto. Hay que actualizar el banner o eliminar las cookies sobrantes.
Segundo, identifica las cookies innecesarias. Muchos sitios web arrastran cookies de herramientas que se instalaron y luego se olvidaron: un script de pruebas A/B que ya no se usa, un widget para compartir en redes sociales en el que nadie hace clic o una herramienta de analítica que se sustituyó pero nunca se eliminó del todo. Cada cookie innecesaria es una obligación de cumplimiento innecesaria.
Tercero, pone al descubierto las transferencias de datos a terceros. Cada cookie de terceros implica enviar datos a un servidor externo. Si ese servidor está en Estados Unidos, la transferencia activa obligaciones adicionales del RGPD, como la necesidad de cláusulas contractuales tipo o de una decisión de adecuación. Saber qué cookies de terceros hay es el primer paso para valorar si cada transferencia de datos tiene una base jurídica válida.
Cuarto, proporciona la base para una política de cookies. El RGPD exige una descripción clara y concreta de todas las cookies utilizadas. Un informe de escaneo contiene justo la información necesaria para redactar esa política con precisión.
El problema de las cookies de analítica
En la mayoría de los sitios web, las cookies de analítica son la mayor categoría de cookies no esenciales. Solo Google Analytics crea varias cookies por visitante, cada una con una duración de hasta dos años. Si se añaden Hotjar, Mixpanel, Heap o herramientas similares, la cifra se multiplica.
Estas cookies existen porque las herramientas de analítica tradicionales las necesitan para identificar a los visitantes recurrentes, seguir las sesiones y atribuir conversiones. Sin cookies, estas herramientas no pueden funcionar.
Esto crea una carga de cumplimiento en cascada. Las cookies de analítica requieren consentimiento. El consentimiento requiere un banner de cookies. Los banners de cookies hacen que entre el 30 y el 40 por ciento de los visitantes rechacen el seguimiento. La herramienta de analítica solo ve entonces entre el 60 y el 70 por ciento del tráfico real. Los datos están incompletos, y el equipo de marketing lo compensa añadiendo más herramientas de seguimiento, que añaden más cookies, que aumentan todavía más la carga del consentimiento.
Las plataformas de analítica sin cookies rompen este círculo. Al identificar a los visitantes con métodos que no usan cookies (como el fingerprinting respetuoso con la privacidad o la agregación sin sesiones), estas plataformas recogen datos de analítica sin crear cookies. Sin cookies de analítica hay menos cookies en total en el sitio, un banner de consentimiento más sencillo, tasas de consentimiento más altas y datos más completos.
EuroMetrics es una de estas plataformas. Recoge páginas vistas, fuentes de tráfico, datos de dispositivo y atribución de campañas sin colocar ninguna cookie en el navegador del visitante. Para los propietarios de sitios cuyos resultados de escaneo muestran muchas cookies de analítica, pasarse a una plataforma de analítica sin cookies suele ser el cambio individual con más impacto que pueden hacer, tanto para el cumplimiento normativo como para la calidad de los datos.
Con qué frecuencia escanear
Un escaneo puntual establece un punto de partida, pero los sitios web cambian continuamente. Cada actualización de un plugin, cada nuevo elemento insertado y cada cambio en un script de terceros puede alterar las cookies que establece el sitio.
Un calendario de escaneo razonable para la mayoría de las empresas: justo después de cualquier cambio importante en el sitio web (nuevas funciones, nuevas herramientas, rediseños), cada trimestre como comprobación rutinaria de cumplimiento y antes de cualquier auditoría regulatoria o evaluación de impacto relativa a la protección de datos.
Para las agencias que gestionan varios sitios web de clientes, ofrecer auditorías periódicas de cookies como parte de un servicio recurrente de cumplimiento es una extensión natural de sus servicios de desarrollo web y marketing.
Escanea tu sitio web ahora
El escáner de cookies de EuroMetrics es gratuito, no requiere registro y funciona en servidores ubicados en la UE. Introduce cualquier URL y obtén un inventario completo de cookies en segundos. La propia página del escáner no establece ninguna cookie.
Pruébalo en eurometrics.eu/cookie-scanner.
Herramientas relacionadas
Escáner de cookies: audita las cookies, los scripts de seguimiento y el almacenamiento local de cualquier sitio web. Gratis y sin registro.
https://eurometrics.eu/cookie-scanner
Test de velocidad web: mide el rendimiento de carga de las páginas desde servidores europeos. Identifica los scripts que ralentizan tu sitio.
https://eurometrics.eu/speed-test
Generador de URL de campaña: genera URL con etiquetas UTM para el seguimiento de campañas. Generador UTM gratuito.
https://eurometrics.eu/campaign-url-builder
Cut2.eu: acortador de URL gratuito alojado en la UE. Acorta los enlaces de tus campañas sin seguimiento de terceros.
https://cut2.eu
EuroMetrics es una plataforma de analítica web que prioriza la privacidad, pensada para empresas europeas. Sin cookies, conforme al RGPD y alojada íntegramente en la UE. Empieza gratis en eurometrics.eu.