Qué son las cookies web y para qué sirven

IA

Quédate con lo más importante

Resume este artículo, encuentra los puntos clave o pregunta lo que quieras entender mejor.

Explorar con IA

Las cookies web son pequeños fragmentos de información que un sitio puede guardar en el navegador y recuperar posteriormente. Se utilizan para funciones tan diferentes como mantener una sesión iniciada, recordar preferencias, conservar determinados estados de una web o apoyar sistemas de medición y publicidad.

Por eso no todas las cookies hacen lo mismo ni tienen las mismas implicaciones para la privacidad.

Una cookie que recuerda el idioma seleccionado cumple una función muy diferente de otra utilizada para reconocer actividad entre distintos sitios. Entender esta diferencia ayuda tanto a usuarios como a propietarios de páginas web a interpretar correctamente qué información se está almacenando y para qué se utiliza.

Qué es una cookie web

Una cookie es una pequeña pieza de información asociada a un sitio web que el navegador puede almacenar.

En muchos casos, un servidor envía una instrucción al navegador mediante una cabecera HTTP como esta

Set-Cookie: session_id=abc123

El navegador guarda la cookie y puede enviarla posteriormente al servidor cuando realiza nuevas solicitudes que cumplen las condiciones configuradas para esa cookie.

Las cookies también pueden establecerse desde JavaScript cuando su configuración lo permite.

De esta manera, una web puede conservar cierta información entre diferentes solicitudes, algo especialmente útil porque HTTP no mantiene por sí mismo una memoria permanente de lo que hizo anteriormente cada visitante.

Cómo funcionan las cookies

Un ejemplo sencillo sería el inicio de sesión de una tienda online.

Usuario inicia sesión
↓
El servidor valida sus credenciales
↓
Se establece una cookie de sesión
↓
El navegador guarda la cookie
↓
El usuario visita otra página
↓
El navegador envía la cookie
↓
El servidor reconoce la sesión

Sin algún mecanismo para mantener el estado, el servidor tendría dificultades para relacionar sucesivas solicitudes con la misma sesión.

Esto no significa que la cookie tenga que guardar directamente el nombre, la contraseña o toda la información del usuario.

Muchas veces contiene simplemente un identificador que permite al servidor consultar la información correspondiente.

Para qué sirven las cookies

Las cookies pueden utilizarse para distintos propósitos.

Entre los más habituales están

• mantener sesiones iniciadas;
• recordar preferencias;
• conservar productos en determinados carritos;
• guardar configuraciones;
• distinguir sesiones;
• apoyar sistemas de analítica;
• medir campañas;
• personalizar determinadas experiencias;
• gestionar funcionalidades publicitarias.

La utilidad depende del sitio y de la finalidad concreta de cada cookie.

Qué información puede guardar una cookie

Una cookie trabaja normalmente con pares de nombre y valor.

Por ejemplo

idioma=es
tema=oscuro
session_id=a8f37x

También puede tener atributos que controlan aspectos como

• duración;
• dominio;
• ruta;
• envío mediante HTTPS;
• acceso desde JavaScript;
• comportamiento entre sitios.

No es recomendable almacenar directamente información sensible en una cookie simplemente porque técnicamente sea posible hacerlo.

La seguridad depende tanto del contenido almacenado como de la configuración empleada.

Cookies propias y cookies de terceros

Una de las clasificaciones más importantes depende del contexto en el que se utiliza la cookie.

Cookies propias

Las cookies propias o first-party cookies están asociadas al mismo sitio que la persona está visitando.

Por ejemplo, si estás navegando en

tiendaejemplo.com

una cookie correspondiente a ese mismo sitio puede utilizarse para mantener la sesión o recordar determinadas preferencias.

Cookies de terceros

Una cookie de terceros o third-party cookie aparece en un contexto donde el dominio asociado a la cookie es diferente del sitio que el usuario está visitando.

Esto puede ocurrir cuando una página incorpora recursos procedentes de otros dominios.

Históricamente este tipo de cookies se ha utilizado, entre otras cosas, para

• publicidad;
• medición;
• seguimiento entre sitios;
• determinados servicios integrados.

Por sus posibilidades de seguimiento entre diferentes sitios, las cookies de terceros han recibido especial atención desde la perspectiva de privacidad.

Cookies de sesión y cookies persistentes

Otra clasificación depende de cuánto tiempo permanecen almacenadas.

Cookies de sesión

Cuando una cookie no tiene determinadas instrucciones de expiración, normalmente funciona como cookie de sesión.

Puede utilizarse, por ejemplo, para mantener determinado estado mientras una persona navega.

Cookies persistentes

Una cookie persistente incluye una duración determinada mediante atributos como Expires o Max-Age.

Por ejemplo

Set-Cookie: idioma=es; Max-Age=2592000

En este caso existe una duración definida para la cookie.

Que una cookie sea persistente no indica automáticamente que sea publicitaria. Puede utilizarse simplemente para recordar una preferencia durante futuras visitas.

Qué significan Secure HttpOnly y SameSite

Las cookies pueden incorporar atributos que ayudan a controlar cómo deben utilizarse.

Secure

Indica que la cookie debe enviarse mediante una conexión HTTPS.

Set-Cookie: session=abc; Secure

HttpOnly

Impide que la cookie pueda ser consultada mediante interfaces JavaScript como document.cookie.

Esto resulta especialmente importante para cookies que contienen identificadores de sesión, ya que puede reducir determinados riesgos relacionados con ataques XSS.

Set-Cookie: session=abc; Secure; HttpOnly

SameSite

Permite controlar en qué situaciones una cookie puede enviarse en solicitudes entre distintos sitios.

Sus valores habituales incluyen

• Strict;
• Lax;
• None.

Cuando se utiliza SameSite=None, también debe utilizarse Secure.

Estos atributos no deberían añadirse de manera aleatoria. Su configuración depende del funcionamiento que necesite la aplicación.

Cookies y almacenamiento web no son exactamente lo mismo

Las cookies no son la única forma en que un navegador puede conservar información.

También existen tecnologías como

• localStorage;
• sessionStorage;
• IndexedDB;
• Cache Storage.

Una diferencia importante es que las cookies pueden enviarse automáticamente en determinadas solicitudes HTTP al servidor.

El contenido de localStorage, por ejemplo, no se incorpora automáticamente a cada solicitud.

Por tanto, llamar “cookie” a cualquier información almacenada por un navegador no es técnicamente correcto.

Cookies y Google Analytics

Google Analytics 4 puede utilizar cookies para distinguir usuarios y sesiones dentro de un sitio web.

En su configuración web estándar, las etiquetas JavaScript de GA4 utilizan cookies propias.

Entre ellas se encuentran

_ga
_ga_<container-id>

Estas cookies pueden ayudar a distinguir usuarios y mantener información relacionada con una sesión.

Esto corrige una confusión habitual. Utilizar Google Analytics no significa automáticamente que la cookie principal de Analytics sea una cookie de terceros.

Cuando se activan funciones publicitarias o integraciones adicionales, la configuración y los identificadores involucrados pueden cambiar y deben revisarse por separado.

Cookies y publicidad digital

Las cookies han tenido un papel importante en la publicidad digital.

Dependiendo de la tecnología, pueden utilizarse para funciones relacionadas con

• medición;
• atribución;
• control de frecuencia;
• remarketing;
• segmentación;
• personalización.

Sin embargo, la publicidad digital no depende exclusivamente de cookies.

Actualmente también existen estrategias basadas en

• datos propios;
• contexto;
• identificadores proporcionados bajo determinadas condiciones;
• modelado;
• medición agregada;
• otras tecnologías de privacidad.

Además, navegadores y plataformas aplican políticas diferentes sobre el uso de cookies entre sitios.

Cookies privacidad y consentimiento

No todas las cookies deberían tratarse jurídicamente como si fueran idénticas.

Lo relevante es comprender qué información recopilan, para qué se utiliza y si existe tratamiento de datos personales.

En Colombia, la Superintendencia de Industria y Comercio ha determinado en diferentes actuaciones que el uso de cookies puede estar sujeto a la Ley 1581 de 2012 cuando mediante ellas se recolectan o tratan datos personales.

Por eso una empresa debería conocer realmente qué tecnologías utiliza antes de publicar un aviso genérico.

Conviene revisar

• qué cookies existen;
• quién las establece;
• qué información procesan;
• su finalidad;
• su duración;
• si intervienen terceros;
• qué base jurídica o autorización corresponde;
• qué derechos tiene el titular.

Los requisitos concretos pueden cambiar según jurisdicción, finalidad, tecnología y tipo de dato, por lo que el cumplimiento legal debe evaluarse para cada implementación.

Qué debería tener un banner de cookies

Un banner no debería existir únicamente para cubrir la pantalla con un mensaje de “utilizamos cookies”.

Cuando el consentimiento resulte necesario, debería permitir al usuario entender qué está decidiendo.

Dependiendo de los requisitos aplicables, puede ser necesario proporcionar opciones para

• conocer las categorías;
• aceptar;
• rechazar las cookies no necesarias;
• configurar preferencias;
• consultar información adicional;
• cambiar posteriormente la elección.

También conviene separar las cookies estrictamente necesarias de aquellas utilizadas con otras finalidades.

La implementación técnica debe corresponder con lo que muestra la interfaz.

No tendría sentido ofrecer un botón de rechazo si las tecnologías no esenciales ya se ejecutaron antes de que el usuario pudiera elegir.

Cómo gestionar y eliminar cookies

Los navegadores permiten controlar las cookies desde sus ajustes de privacidad.

Dependiendo del navegador, un usuario puede

• consultar cookies almacenadas;
• eliminar las de un sitio específico;
• borrar todas;
• bloquear determinadas cookies;
• modificar permisos;
• cambiar configuraciones relacionadas con cookies de terceros.

Eliminar cookies puede cerrar sesiones o restablecer preferencias.

Por ejemplo, una web podría dejar de recordar

• el idioma elegido;
• una sesión iniciada;
• preferencias del usuario;
• determinados estados guardados.

Por eso borrar cookies no siempre implica únicamente eliminar datos publicitarios.

Qué está pasando con las cookies de terceros en Chrome

Durante varios años Google anunció planes para eliminar progresivamente las cookies de terceros en Chrome.

Ese plan cambió.

Google comunicó en abril de 2025 que mantendría su enfoque actual de ofrecer a los usuarios controles sobre las cookies de terceros en Chrome y que no implementaría el nuevo aviso independiente que había planteado anteriormente.

Por eso ya no es correcto afirmar simplemente

Chrome eliminará las cookies de terceros.

Los navegadores continúan evolucionando y no todos gestionan estas tecnologías de la misma manera.

Safari, Firefox, Chrome y otros navegadores pueden aplicar diferentes restricciones y controles.

Además, en octubre de 2025 Google anunció cambios adicionales en Privacy Sandbox y la retirada progresiva de varias de las tecnologías que formaban parte de esa iniciativa.

Una estrategia de analítica o publicidad no debería construirse suponiendo que el panorama técnico permanecerá estático.

Errores frecuentes al hablar de cookies

Decir que todas sirven para rastrear

Muchas cookies cumplen funciones básicas de sesión, seguridad o preferencias.

Decir que todas necesitan el mismo consentimiento

La finalidad y el tratamiento realizado importan y la obligación jurídica depende de la normativa aplicable.

Confundir cookies con cualquier almacenamiento del navegador

localStorage, IndexedDB y cookies son tecnologías diferentes.

Guardar información sensible sin protección adecuada

Las cookies deben configurarse aplicando principios de seguridad acordes con su función.

Instalar un banner sin controlar realmente las etiquetas

El banner y la ejecución técnica deben trabajar juntos.

Suponer que todas las cookies de terceros han desaparecido de Chrome

El enfoque de Google cambió y Chrome mantiene controles para que el usuario gestione estas opciones.

Afirmar que las cookies perjudican directamente el SEO

La existencia de una cookie no supone por sí misma una penalización SEO.

Lo que sí puede ocurrir es que una implementación deficiente introduzca problemas técnicos, de rendimiento, privacidad o experiencia de usuario que deban analizarse por separado.

Checklist para revisar las cookies de una web

• Sabemos qué cookies instala la página.
• Conocemos su finalidad.
• Sabemos quién las establece.
• Tenemos identificadas las cookies propias y de terceros.
• Conocemos su duración.
• Las cookies de sesión están configuradas de manera segura.
• Revisamos atributos como Secure, HttpOnly y SameSite.
• Sabemos qué herramientas se cargan antes del consentimiento.
• La política coincide con la implementación real.
• El usuario puede gestionar sus preferencias cuando corresponde.
• Revisamos periódicamente scripts y servicios de terceros.
• No almacenamos información innecesaria.
• La configuración se revisa cuando cambia una herramienta.

Una auditoría de cookies no consiste únicamente en contar cuántas existen.

Debe permitir pasar de

Cookie detectada
↓
Origen
↓
Finalidad
↓
Duración
↓
Datos utilizados
↓
Configuración
↓
Requisito de privacidad
↓
Acción necesaria

Ese análisis ofrece mucha más información que clasificar automáticamente todas las cookies como buenas o malas.

Convierte lo que aprendes en el siguiente paso de tu negocio

Explora nuestros servicios o cuéntanos qué necesitas mejorar.

• SEO en Colombia
• Google Ads
• Meta Ads
• Redes sociales
• Diseño web

Hablemos de tu proyecto →

Preguntas frecuentes sobre cookies web

Qué es una cookie web

Es una pequeña pieza de información que un sitio puede almacenar en el navegador y recuperar posteriormente para mantener sesiones, recordar configuraciones u ofrecer otras funcionalidades.

Para qué sirven las cookies

Pueden utilizarse para mantener sesiones, recordar preferencias, realizar medición, gestionar determinadas funciones publicitarias y proporcionar otras funcionalidades del sitio.

Qué diferencia hay entre cookies propias y de terceros

Las cookies propias están asociadas al sitio que el usuario visita. Las de terceros aparecen en un contexto donde la cookie pertenece a un sitio diferente al que está abierto en el navegador.

Las cookies pueden guardar contraseñas

No debería almacenarse una contraseña directamente en una cookie. Las sesiones suelen gestionarse mediante identificadores y deben utilizar configuraciones de seguridad apropiadas.

Qué significa HttpOnly en una cookie

Impide que la cookie pueda consultarse mediante JavaScript desde interfaces como document.cookie, lo que puede ayudar a proteger determinados identificadores frente a ataques XSS.

Qué significa Secure en una cookie

Indica que la cookie debe enviarse mediante conexiones HTTPS.

Qué significa SameSite

Es un atributo que controla determinadas situaciones en las que una cookie puede enviarse en solicitudes entre diferentes sitios.

Google Analytics utiliza cookies

Sí. Las etiquetas web estándar de Google Analytics 4 utilizan cookies propias como _ga para distinguir usuarios y sesiones. La configuración puede variar cuando se utilizan funciones e integraciones adicionales.

Las cookies afectan al SEO

No existe una penalización SEO simplemente por utilizar cookies. Sin embargo, una implementación deficiente puede generar otros problemas técnicos, de rendimiento o experiencia que conviene revisar.

Chrome eliminó las cookies de terceros

No de forma general. Google modificó sus planes y mantiene en Chrome controles que permiten a los usuarios decidir cómo gestionar las cookies de terceros.

Las cookies están reguladas en Colombia

Cuando mediante cookies se recopilan o tratan datos personales en Colombia, pueden resultar aplicables las obligaciones del régimen colombiano de protección de datos personales. La implementación debe revisarse según las finalidades y datos utilizados.