Cookies del navegador explicadas: por qué todas las webs te preguntan y qué hacer

Lo has visto mil veces. Abres una web y, antes de poder leer una sola palabra, aparece un banner: "Este sitio usa cookies. ¿Aceptar todas?" Pulsas "Aceptar" (¿qué otra cosa vas a hacer?) y sigues con lo tuyo.

El problema es que casi nadie sabe qué acaba de aceptar. Y hay más en juego de lo que parece. Una sola visita a un gran periódico digital puede dejar más de 50 cookies de decenas de empresas distintas en tu navegador. Algunas te seguirán por la web durante meses y alimentarán con datos a anunciantes, brókeres de datos y empresas de las que nunca has oído hablar.

Las cookies no son malas. Muchas son imprescindibles: sin ellas, la web tal como la conocemos sencillamente no funcionaría. La clave está en distinguir las que te ayudan a ti de las que ayudan a otros. Esta guía te da ese criterio: qué son de verdad las cookies, por qué todas las webs te preguntan por ellas, cuáles importan para tu privacidad y qué hacer exactamente la próxima vez que salte un banner de consentimiento.

¿Qué son las cookies del navegador?

Una cookie es un pequeño fragmento de datos que una web le pide a tu navegador que guarde en tu dispositivo. Cuando visitas un sitio, el servidor incluye una instrucción Set-Cookie en su respuesta. Tu navegador guarda esos datos y, cada vez que haces otra petición al mismo sitio, se los devuelve. Ese viaje de ida y vuelta (el servidor crea la cookie, el navegador la guarda, el navegador la devuelve) es todo el mecanismo.

Pese al nombre, las cookies no son archivos con forma de galleta guardados en tu disco duro. En navegadores modernos como Chrome y Firefox se almacenan en bases de datos internas (Chrome usa LevelDB y Firefox, SQLite). Cada cookie es un simple par nombre-valor, del tipo session_id=abc123 o theme=dark, con una serie de atributos que determinan cuándo caduca, a qué páginas se aplica y si el código que se ejecuta en la página puede leerla.

Una comparación útil: imagina un restaurante en el que, al llegar, te ponen una pulsera. Esa pulsera le dice al camarero cuál es tu mesa, qué has pedido y si ya has pagado. Cada vez que alguien del personal la ve, sabe cómo atenderte sin volver a preguntar. Algunas pulseras son de usar y tirar: te las quitas al salir. Otras son pulseras de socio permanentes que te identifican cuando vuelves meses después. Y algunas ni siquiera son del restaurante: te las ha puesto en el vestíbulo una empresa de marketing que ahora sabe a qué restaurantes vas por toda la ciudad.

Con esa última categoría empieza la polémica.

¿Qué guardan realmente las cookies?

Lo que contiene una cookie depende de para qué sirve, pero los ejemplos habituales son: un identificador de sesión que enlaza tus peticiones para que el servidor sepa que has iniciado sesión, un ID de carrito que remite a los artículos que has elegido, tus preferencias de idioma o de visualización, un token de autenticación o un ID de rastreo único que una red publicitaria usa para reconocerte en webs distintas.

Las cookies son pequeñas por diseño. Los navegadores suelen imponer un límite de unos 4 KB por cookie y un tope de cookies por dominio (normalmente, unos pocos cientos). No pueden almacenar archivos grandes, ejecutar programas ni acceder directamente a nada más de tu dispositivo. Una cookie, por sí sola, no es más que un puñado de datos. Lo que afecta a tu privacidad es cómo se usan esos datos y quién los usa.

En qué se diferencian las cookies de otros almacenamientos del navegador

Las cookies no son la única forma que tienen las webs de guardar datos en tu navegador. Los navegadores modernos también ofrecen localStorage (que se conserva indefinidamente hasta que lo borras), sessionStorage (que se vacía al cerrar la pestaña) e IndexedDB (una base de datos más potente para datos estructurados).

Lo que distingue a las cookies es que viajan al servidor automáticamente con cada petición. localStorage y sessionStorage se quedan en tu dispositivo: el servidor no los ve a menos que JavaScript los envíe expresamente. Ese envío automático es lo que hace a las cookies tan útiles para la autenticación y la gestión de sesiones, pero también lo que las convierte en una herramienta de rastreo eficaz: cada petición que haces a un sitio (o a un recurso de terceros que ese sitio carga) lleva la cookie consigo.

Los distintos tipos de cookies

No todas las cookies son iguales. Entender las diferencias clave es lo que separa un consentimiento informado de pulsar "Aceptar" a ciegas.

Cookies de sesión y cookies persistentes

Las cookies de sesión son temporales. Están pensadas para durar solo mientras dura tu visita y, en teoría, se borran al cerrar el navegador. Son las que mantienen intacto tu carrito mientras pasas de una ficha de producto a otra, o las que recuerdan que has iniciado sesión mientras navegas de página en página.

Un matiz: muchos navegadores modernos ofrecen la opción de "restaurar la sesión anterior". Si la usas, las cookies de sesión pueden sobrevivir a un reinicio del navegador, porque técnicamente el navegador está continuando la misma sesión. Es un detalle menor, pero conviene saberlo: las cookies de sesión no siempre son tan efímeras como sugiere su nombre.

Las cookies persistentes siguen ahí después de cerrar el navegador. Tienen una fecha de caducidad fijada, que puede ir de unas horas a varios años. Una cookie persistente es lo que permite a una web recordar tu inicio de sesión para que no tengas que volver a escribir la contraseña cada vez que vuelves. También es lo que permite a una red publicitaria seguir tu actividad por la web durante meses. Algunas cookies de Google, por ejemplo, están configuradas para caducar dentro de 20 años. Que una cookie persistente sea útil o invasiva depende por completo de lo que haga.

¿Hasta qué punto son habituales las cookies persistentes? Mucho. Según el análisis de 2024 del HTTP Archive sobre el millón de webs más visitadas, solo alrededor del 16 % de las cookies propias y apenas el 4 % de las de terceros son cookies de sesión. La inmensa mayoría son persistentes.

Cookies propias y cookies de terceros

Esta es la distinción que más importa para tu privacidad.

Las cookies propias (o de primera parte) las crea la web que estás visitando. Si estás en shop.example.com, una cookie propia viene de shop.example.com. Se encargan de lo esencial: mantener tu sesión iniciada, guardar tus preferencias, recordar qué hay en tu carrito. Solo funcionan en el sitio que las creó y no pueden seguirte a ningún otro. La mayoría de las webs no funcionan bien sin ellas.

Las cookies de terceros las crea un dominio distinto del que aparece en tu barra de direcciones. En la práctica funciona así: visitas un periódico digital y ese sitio carga un anuncio servido desde adnetwork.com. Cuando tu navegador descarga ese anuncio, adnetwork.com deja una cookie en tu navegador. Más tarde visitas una web completamente distinta, un blog de cocina, que también carga contenido de adnetwork.com. La red publicitaria lee la cookie que dejó antes y ata cabos: quien leyó aquella noticia es la misma persona que ahora mira recetas. Con el tiempo, eso se convierte en un perfil detallado de tus intereses, tus hábitos y tu historial de navegación, sin que hayas visitado nunca adnetwork.com directamente.

Las cookies de terceros están en el centro del debate sobre privacidad. Son las que han motivado leyes, restricciones en los navegadores y esos banners de consentimiento que ves por todas partes.

Cookies según su finalidad

La mayoría de los banners de consentimiento agrupan las cookies por categorías. Conocerlas te ayuda a decidir más rápido y mejor cuando aparece uno:

Las cookies esenciales (o estrictamente necesarias) mantienen la web en marcha. Se ocupan de la autenticación, de funciones de seguridad como la protección CSRF, del balanceo de carga y de operaciones básicas como mantener tu sesión. No puedes rechazarlas y, según la mayoría de las leyes de privacidad, las webs no necesitan tu consentimiento para usarlas, porque sin ellas el sitio literalmente no funciona.

Las cookies funcionales (o de preferencias) recuerdan lo que eliges: tu idioma, tu región, si usas el modo oscuro o si ya has cerrado un aviso. Hacen las cosas más cómodas, pero técnicamente no son imprescindibles para que la web funcione.

Las cookies de analítica miden cómo usan los visitantes un sitio: qué páginas reciben tráfico, cuánto tiempo se queda la gente, dónde hace clic y qué provoca errores. Google Analytics es el ejemplo dominante. Estas cookies ayudan a los responsables de una web a entenderla y mejorarla. Normalmente no te identifican personalmente, pero sí registran tu comportamiento dentro del sitio.

Las cookies de marketing y publicidad existen para seguirte de una web a otra y mostrarte anuncios personalizados. Son, de forma abrumadora, cookies de terceros. Por ellas buscas zapatillas de running en una web y durante las dos semanas siguientes te persiguen anuncios de zapatillas en todas las demás. Son también, con diferencia, la categoría con mayores implicaciones para tu privacidad.

Cookies zombi y huella digital

Las cookies normales se pueden borrar. Pero algunas técnicas de rastreo están diseñadas para sobrevivir a eso.

Las cookies zombi (también llamadas evercookies) guardan copias redundantes de un identificador de rastreo en varios rincones del almacenamiento del navegador: localStorage, IndexedDB, la caché de HTML5 y otros lugares poco conocidos. Cuando borras la cookie principal, un script detecta que falta y la recrea a partir de una de las copias. El resultado es una cookie que vuelve una y otra vez de entre los muertos.

La huella digital del navegador sigue un enfoque completamente distinto: no usa cookies en absoluto. En su lugar, recopila decenas de datos aparentemente inofensivos sobre tu navegador y tu dispositivo (resolución de pantalla, fuentes instaladas, tarjeta gráfica, zona horaria, configuración de idioma y más) y los combina en un identificador único. Esa "huella" puede reconocerte entre visitas con una precisión sorprendente, y no hay ninguna cookie que borrar, porque el identificador se calcula a partir de las características de tu dispositivo en lugar de guardarse en él.

Estas técnicas son mucho menos habituales que las cookies corrientes, pero ilustran la carrera armamentística entre el rastreo y la privacidad. Saber que existen te ayuda a entender por qué borrar las cookies no siempre basta, y por qué los navegadores centrados en la privacidad incluyen también protección contra la huella digital.

Por qué todas las webs te preguntan por las cookies

La avalancha de banners de consentimiento desde 2018 se explica por una sola razón: la ley cambió, y las sanciones por ignorarla son serias.

El RGPD y la ley de cookies de la UE

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que entró en vigor en mayo de 2018, considera los identificadores de las cookies datos personales. Según el RGPD, las webs necesitan un consentimiento claro y afirmativo antes de instalar cualquier cookie no esencial. Eso significa nada de casillas premarcadas ni de "si sigues navegando, aceptas": hace falta una acción deliberada por parte del usuario. La opción "Rechazar" debe ser igual de accesible que "Aceptar".

La Directiva sobre la privacidad y las comunicaciones electrónicas de la UE (la Directiva ePrivacy, a menudo llamada "ley de cookies") es anterior: data de 2002 y se modificó en 2009. Exige expresamente que las webs informen a los usuarios sobre las cookies y obtengan su consentimiento antes de usar cualquier cookie que no sea estrictamente necesaria. El RGPD reforzó y endureció esos requisitos.

Y se aplica de verdad. Las multas del RGPD pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global, lo que sea mayor. Ese nivel de riesgo explica que hasta los pequeños negocios muestren banners de consentimiento en lugar de confiar en que nadie se dé cuenta.

Las leyes de privacidad de EE. UU.: un mosaico

Estados Unidos no tiene una ley federal de privacidad equivalente al RGPD. En su lugar, cada estado ha aprobado su propia legislación. La Ley de Privacidad del Consumidor de California (CCPA) y su sucesora, la Ley de Derechos de Privacidad de California (CPRA), son las más importantes. Dan a los consumidores el derecho a oponerse a la venta o la cesión de su información personal, incluidos los datos recogidos mediante cookies. Colorado, Connecticut, Virginia, Texas y Nueva Jersey han aprobado leyes similares con requisitos distintos.

Hay una diferencia fundamental: el RGPD exige consentimiento previo (opt-in: no se activa nada hasta que aceptas), mientras que las leyes de EE. UU. suelen seguir un modelo de exclusión voluntaria (opt-out: el rastreo puede empezar, pero tiene que ofrecerse la posibilidad de detenerlo). Por eso tu experiencia cambia según dónde estés. Los usuarios europeos ven banners de "Aceptar o rechazar". Los estadounidenses suelen ver un "Este sitio usa cookies" con un botón de "Entendido", que te informa pero no necesariamente te da una elección real.

El problema de los patrones oscuros

En teoría, los banners de consentimiento te dan el control. En la práctica, muchos están diseñados para empujarte hacia "Aceptar todas".

Las tácticas habituales: un botón de "Aceptar" grande y llamativo mientras "Rechazar" o "Gestionar preferencias" se esconde en letra pequeña y gris; varios clics para rechazar frente a uno solo para aceptar; casillas de cookies de marketing premarcadas en el panel de ajustes; y un lenguaje vago e intimidatorio del tipo "puede que algunas funciones no estén disponibles" para disuadirte de rechazar.

Los reguladores europeos han ido endureciendo su postura frente a estos patrones oscuros. El Comité Europeo de Protección de Datos ha afirmado expresamente que los muros de cookies (bloquear el acceso a un sitio salvo que aceptes todas las cookies) están, en general, prohibidos. Pero la aplicación es lenta, y muchas webs siguen apurando los límites de lo permitido.

Si te encuentras un banner en el que rechazar cuesta bastante más que aceptar, eso ya te dice mucho de cómo trata esa web tu privacidad.

Global Privacy Control: la alternativa de un solo clic

Uno de los avances más prometedores en materia de consentimiento es Global Privacy Control (GPC). En lugar de lidiar con banners en cada web, GPC envía una señal desde tu navegador a todos los sitios que visitas y comunica automáticamente que no quieres que tus datos se vendan ni se compartan.

GPC tiene respaldo legal. El fiscal general de California ha confirmado que las empresas deben respetar las señales GPC según la CCPA. Sephora recibió una multa de 1,2 millones de dólares en 2022 por no hacerlo, la primera gran sanción de este tipo. Colorado, Connecticut y otros estados exigen ya respetar también las señales GPC. Y en octubre de 2025 California promulgó la Opt Me Out Act, que obligará a todos los grandes navegadores a incluir GPC de serie para 2027.

GPC ya viene integrado en Brave y DuckDuckGo Browser (activado por defecto) y en Firefox (disponible en los ajustes). En Chrome y otros navegadores puedes añadirlo con extensiones como la extensión GPC de la NAI o Privacy Badger. No sustituye por completo a la gestión de cookies, pero es lo más parecido que tenemos a un botón universal de "déjame en paz".

Las cookies de terceros en 2025 y 2026: la situación real

Aquí es donde la mayoría de los artículos de internet se han quedado desfasados. Esta es la realidad actual.

Durante años, el sector tecnológico se preparó para la "muerte de las cookies de terceros". En 2020, Google anunció que Chrome las eliminaría progresivamente. Se fijaron plazos, se aplazaron, se volvieron a fijar y se volvieron a aplazar. Luego, en julio de 2024, Google dio marcha atrás. En abril de 2025, Chrome lo confirmó oficialmente: las cookies de terceros se quedan.

¿Y cómo queda entonces el panorama?

Safari bloquea por defecto las cookies de terceros desde 2020 mediante el Antirrastreo inteligente (ITP). ITP usa aprendizaje automático en el propio dispositivo para identificar y restringir los dominios de rastreo. También limita la vida útil de ciertas cookies propias creadas mediante JavaScript, una medida pensada para evitar que se esquive el bloqueo.

Firefox sigue un enfoque distinto pero igual de eficaz. Su Protección contra el rastreo mejorada (ETP) bloquea las cookies de rastreo conocidas, y la protección total contra cookies va más allá: da a cada web su propio "tarro de cookies" aislado. Una cookie de terceros creada en un sitio no se puede leer cuando visitas otro, aunque venga del mismo dominio de rastreo. Más que bloquearlas, las pone en cuarentena.

Chrome sigue permitiendo por defecto las cookies de terceros en la navegación normal (en el modo incógnito las bloquea). Privacy Sandbox de Google sigue desarrollando API alternativas (la Topics API para publicidad basada en intereses y la Attribution Reporting API para medir anuncios), pero las cookies de terceros tradicionales siguen funcionando con normalidad. Con una cuota de mercado global de aproximadamente el 65 %, eso significa que el rastreo mediante cookies de terceros sigue operativo para la mayoría de los usuarios de la web.

Brave bloquea por defecto todas las cookies de terceros, los rastreadores y la huella digital.

Edge bloquea los rastreadores de sitios que no has visitado y los rastreadores dañinos conocidos con su sistema de prevención de seguimiento, configurable en tres niveles: Básico, Equilibrado y Estricto.

En resumen: el "futuro sin cookies" no es algo lejano. Ya es una realidad para quienes usan Safari, Firefox y Brave, aproximadamente un tercio de todo el tráfico de internet. Pero la decisión de Chrome de mantener las cookies de terceros deja intacta la infraestructura de rastreo para la mayoría. Elegir navegador ya es, en sí mismo, una decisión de privacidad.

¿Deberías aceptar las cookies?

Esta es la pregunta que la mayoría quiere ver respondida. Aquí tienes un criterio práctico que puedes aplicar en segundos.

Cookies esenciales: acepta siempre

Si una web ofrece opciones detalladas, acepta siempre las cookies esenciales o estrictamente necesarias. Si las rechazas, la web dejará de funcionar bien: no podrás iniciar sesión, guardar artículos en el carrito ni usar funciones básicas. Son cookies propias, de un solo sitio, que no pueden seguirte a otras webs. Según la mayoría de las leyes de privacidad, las webs ni siquiera necesitan tu consentimiento para usarlas.

Cookies funcionales y de analítica: normalmente no hay problema

Las cookies funcionales (idioma, preferencias de visualización) y las de analítica (datos de uso anonimizados) suponen poco riesgo para la mayoría de los usuarios. Las de analítica ayudan a los responsables de una web a entender cómo la usan sus visitantes, datos que de verdad sirven para mejorarla. Por lo general no te siguen por la web. Si quieres apoyar a los sitios que visitas, aceptarlas es razonable.

Cookies de marketing y de terceros: recházalas

Aquí conviene decidir con cabeza. Las cookies de marketing y publicidad existen para registrar tu comportamiento de una web a otra, construir un perfil de tus intereses y mostrarte anuncios personalizados. Rechazarlas es, con diferencia, lo que más impacto tiene de todo lo que puedes hacer ante un banner de consentimiento.

La web seguirá funcionando con normalidad. Lo único que cambia es que los anuncios que veas serán genéricos en lugar de personalizados.

Cuándo rechazar todo lo no esencial

Hay situaciones que piden más cautela:

Webs sin cifrar. Si la dirección empieza por http:// en lugar de https://, la conexión con el sitio no está cifrada. Las cookies que viajan por una conexión sin cifrar se pueden interceptar, un riesgo real en redes compartidas o públicas.

Wi-Fi pública. Las redes abiertas facilitan el secuestro de sesión, en el que un atacante intercepta tus cookies de sesión y se hace pasar por ti. Usa el modo privado o de incógnito de tu navegador en las Wi-Fi públicas.

Operaciones delicadas. Banca, historiales médicos, declaraciones de impuestos: cualquier web que maneje datos personales sensibles justifica rechazar todas las cookies no esenciales para dejar el menor rastro posible.

Webs sin opción de rechazo. Una web que solo muestra "Aceptar", sin alternativa, es una señal de alarma. Según el RGPD, eso no es legal. Y en cualquier marco normativo indica que tu privacidad no es una prioridad.

¿Qué pasa realmente cuando pulsas "Rechazar"?

Cuando rechazas las cookies no esenciales en una web bien hecha, la plataforma de gestión del consentimiento impide que se carguen en tu navegador los scripts de rastreo de terceros. Se bloquean los píxeles de marketing, las etiquetas de las redes publicitarias y los scripts de analítica. La web carga solo con las cookies que necesita para funcionar.

En las webs mal implementadas, el panorama es más turbio. Diversas auditorías han detectado una y otra vez plataformas de consentimiento que siguen disparando etiquetas de rastreo incluso después de que el usuario rechace las cookies. En 2025, una revisión coordinada de los fiscales generales de California, Colorado y Connecticut puso el foco en empresas que no respetaban correctamente las solicitudes de exclusión, una señal de que la aplicación de la ley se está endureciendo.

La lección: rechazar las cookies siempre merece la pena, pero no es una garantía. Si combinas tus decisiones de consentimiento con las protecciones del propio navegador, te defiendes mucho mejor.

Cómo gestiona las cookies cada navegador

Tu navegador es tu primera línea de defensa. Así se comparan los principales navegadores tal como vienen de serie: sin extensiones ni cambios de configuración, solo con los ajustes por defecto.

Una aclaración sobre el modo privado o de incógnito: no bloquea las cookies durante la sesión. Mientras navegas, sigues recibiendo y enviando cookies. Lo que hace el modo privado es borrarlo todo (cookies, historial, caché) cuando cierras la ventana. Es útil para una navegación efímera, pero no te vuelve invisible mientras dura la sesión.

La conclusión: si te importa la privacidad frente a las cookies, Safari, Firefox y Brave ofrecen ajustes por defecto bastante más protectores que Chrome. Chrome te da el mayor control manual, pero su configuración de serie prima la apertura sobre la privacidad, un reflejo del modelo de negocio de Google, basado en la publicidad.

Si quieres comparativas detalladas cara a cara entre estos navegadores, con funciones de privacidad, rendimiento y más, consulta las páginas de comparación de browsers.to.

Cómo tomar el control de tus cookies

No tienes por qué conformarte con los ajustes por defecto. Así puedes montar una estrategia de cookies que te funcione.

Bloquea las cookies de terceros

Es el cambio de mayor impacto que puede hacer la mayoría de la gente. Si usas Chrome, ve a Configuración → Privacidad y seguridad → Cookies de terceros y bloquéalas. Si usas Safari o Firefox, ya lo tienes resuelto de serie. Bloquear las cookies de terceros elimina el principal mecanismo de rastreo entre sitios, y la inmensa mayoría de las webs seguirán funcionando con normalidad.

Borra las cookies de vez en cuando

Todos los navegadores te permiten ver y eliminar las cookies guardadas, normalmente desde sus ajustes de privacidad o desde la opción de borrar datos de navegación. En Firefox está en Ajustes → Privacidad & Seguridad → Cookies y datos del sitio. Puedes borrarlo todo de golpe o eliminar las cookies de sitios concretos. Es como poner a cero el rastro de datos que has ido acumulando.

Sí, borrar las cookies cerrará tu sesión en la mayoría de las webs. Y eso ya es revelador: te muestra cuánto trabajo hacían en segundo plano esos diminutos archivos de datos.

Activa Global Privacy Control

Si tu navegador es compatible con GPC, actívalo. En Firefox, búscalo en Ajustes → Privacidad & Seguridad. En Brave viene activado por defecto. En Chrome, instala una extensión de GPC. Así envías a cada web que visitas una señal con reconocimiento legal y automatizas la exclusión que, de otro modo, tendrías que gestionar banner a banner.

Usa extensiones del navegador

Consent-O-Matic es una extensión de código abierto que rellena automáticamente tus preferencias de privacidad en los banners de consentimiento. En lugar de ocultarlos, interactúa con ellos, así que tus preferencias llegan de verdad a la web.

uBlock Origin es ante todo un bloqueador de anuncios, pero también impide que se carguen muchos scripts de rastreo de terceros, de modo que corta las cookies antes de que lleguen a crearse.

Privacy Badger (de la Electronic Frontier Foundation) aprende qué dominios te están rastreando y los bloquea sobre la marcha, en lugar de depender de una lista fija.

Plantéate usar un navegador centrado en la privacidad

Si la privacidad frente a las cookies es una prioridad, cambiar de navegador puede ser más eficaz que llenar de extensiones uno menos privado. Firefox, Brave y DuckDuckGo Browser vienen con una protección contra el rastreo sólida de serie. Tor Browser va más allá: enruta el tráfico a través de varios repetidores y aísla todo el estado por sitio, aunque a costa de una pérdida de velocidad considerable.

Usa la navegación privada con estrategia

El modo privado o de incógnito es útil para sesiones puntuales: consultar precios sin que luego te persigan los anuncios, visitar una web que no conoces o navegar en un dispositivo compartido. Todas las cookies recogidas durante la sesión se borran al cerrar la ventana. No es una solución de privacidad por sí sola, pero es una herramienta práctica para situaciones concretas.

Las cookies por dentro: los atributos de seguridad que importan

Si alguna vez has inspeccionado las cookies en las herramientas para desarrolladores de tu navegador, habrás visto atributos más allá del nombre y el valor. Estos indicadores de seguridad son la forma en que las webs bien construidas protegen los datos de las cookies, y entenderlos te ayuda a valorar hasta qué punto un sitio se toma en serio la seguridad.

Secure: la cookie solo se envía por conexiones cifradas (HTTPS). En una conexión HTTP sin cifrar no se envía, lo que impide que se intercepte por el camino. Cualquier web seria que maneje datos sensibles debería aplicar este indicador a todas sus cookies.

HttpOnly: el JavaScript que se ejecuta en la página no puede leer ni modificar la cookie. Es una defensa clave frente a los ataques de cross-site scripting (XSS), en los que un script malicioso intenta robar tu cookie de sesión. Si una cookie de sesión lleva el indicador HttpOnly, un ataque de inyección de scripts no puede acceder a ella a través de document.cookie.

SameSite: este atributo controla si la cookie se envía con peticiones entre sitios. Admite tres valores: Strict (la cookie solo se envía en peticiones del mismo sitio; es la protección más fuerte), Lax (se envía en peticiones del mismo sitio y en navegaciones de nivel superior desde otros sitios, como al pulsar un enlace; es el valor por defecto en los navegadores modernos) y None (se envía con todas las peticiones, incluidas las de otros sitios; es imprescindible para que funcionen las cookies de terceros y debe ir acompañado de Secure).

Juntos, estos atributos son la columna vertebral de la seguridad de las cookies. Una cookie de sesión bien configurada tiene un aspecto parecido a este: Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Si a las cookies de una web les faltan estos indicadores (sobre todo Secure y HttpOnly en las cookies de sesión), eso es una debilidad de seguridad considerable.

No hace falta que te lo aprendas de memoria, pero saber que estos atributos existen te ayuda a entender por qué los navegadores y las herramientas de privacidad más exigentes evalúan las cookies como lo hacen.

Preguntas frecuentes

¿Pueden las cookies meterme un virus? No. Las cookies son simples datos: no pueden ejecutar código, instalar software ni acceder directamente a tus archivos. El riesgo de las cookies tiene que ver con la privacidad (el seguimiento de tu comportamiento) y, en algunos casos extremos, con la seguridad (si un atacante roba tu cookie de sesión para hacerse pasar por ti). Pero las cookies en sí no pueden infectar tu dispositivo.

¿Qué pasa si rechazo todas las cookies? Si rechazas solo las no esenciales, la mayoría de las webs funcionarán con normalidad; simplemente no te rastrearán con fines publicitarios. Si bloqueas todas las cookies, incluidas las esenciales, muchas webs dejarán de funcionar bien: no podrás mantener la sesión iniciada, los carritos de compra no funcionarán y algunas páginas puede que no carguen correctamente.

¿Tengo que aceptar las cookies para usar una web? Las cookies esenciales siempre son necesarias, y la mayoría de los navegadores las permiten por defecto. Con las no esenciales, por lo general puedes elegir. Según el RGPD, una web no puede impedirte el acceso solo porque hayas rechazado las cookies no esenciales. Algunas webs incumplen esta norma con los llamados "muros de cookies", pero los reguladores los declaran cada vez más contrarios a la ley.

¿Cada cuánto debería borrar las cookies? No hay una regla universal. Borrarlas cada semana o cada mes es una pauta razonable para la mayoría. Si te preocupa la privacidad, borrarlas con más frecuencia (o configurar el navegador para que las borre automáticamente al cerrarlo) reduce el margen de tiempo en el que se acumulan datos de rastreo.

¿Las cookies son las mismas en todos los navegadores? Las cookies se guardan por separado en cada navegador y en cada perfil. Una cookie creada en Chrome no existe en Firefox, y viceversa. Si usas varios navegadores, tus perfiles de rastreo quedan repartidos entre ellos, lo que, de paso, es una táctica sencilla de privacidad.

¿Basta con el "modo incógnito" para protegerme de las cookies? En parte. El modo incógnito borra todas las cookies al cerrar la ventana, lo que impide que se conserven de una sesión a otra. Pero durante la sesión las cookies funcionan con normalidad: las webs pueden seguir rastreando tu actividad dentro de esa ventana. Para una privacidad más sólida, combina el modo incógnito con un navegador que bloquee por defecto las cookies de terceros.

¿Qué diferencia hay entre borrar las cookies y borrar la caché? Las cookies guardan datos sobre tu identidad y tus preferencias (inicios de sesión, ID de sesión, identificadores de rastreo). La caché guarda copias de los recursos de las páginas web (imágenes, scripts, hojas de estilo) para que carguen más rápido. Borrar las cookies cierra tus sesiones y borra el rastro que permite seguirte. Borrar la caché solo obliga a las páginas a volver a cargar el contenido desde cero. Son acciones independientes en los ajustes de tu navegador.

Las cookies no van a desaparecer, pero tú tienes el control

Las cookies son una tecnología fundamental de la web. Hacen posibles los inicios de sesión, los carritos de compra y las experiencias personalizadas. El problema nunca fueron las cookies en sí, sino el uso descontrolado de las cookies de terceros para construir una infraestructura de vigilancia sin un consentimiento real de los usuarios.

Eso está cambiando. Las leyes de privacidad exigen ahora transparencia y un consentimiento real. Safari, Firefox y Brave han convertido la protección contra el rastreo en la opción por defecto. Global Privacy Control ofrece a los usuarios una exclusión con una sola señal que tiene peso legal. E incluso Chrome, que sigue permitiendo las cookies de terceros, ofrece los ajustes para bloquearlas si así lo decides.

Para la mayoría, el enfoque práctico es sencillo: acepta las cookies esenciales (las necesitas), plantéate aceptar las funcionales y las de analítica en las webs en las que confías, y rechaza las de marketing salvo que quieras de verdad anuncios personalizados. Bloquea las cookies de terceros en los ajustes de tu navegador. Activa GPC si tu navegador lo permite. Borra tus cookies de vez en cuando. Y si la privacidad frente a las cookies te importa de verdad, plantéate un navegador que la trate como algo de serie y no como una opción.

No hace falta que te vuelvas paranoico con las cookies. Solo tienes que dejar de pulsar "Aceptar todas" en piloto automático, porque ahora sabes lo que hay detrás de ese botón.