Revisión de cookies: flags, duración y propietarios
Qué cookies establecen tu sitio y los widgets de terceros, qué flags son obligatorios para las cookies de sesión, hallazgos comunes y por qué el banner de consentimiento debe revisarse no solo desde el punto de vista legal.
La revisión de cookies muestra qué archivos guarda el sitio, quién los establece y qué tan seguro es su Configuración. Esto es necesario para cumplir con las normativas de datos personales y, simplemente, para entender qué sucede en tu sitio. La herramienta es el análisis de cookies.
Qué buscar en los resultados
| Parámetro | Qué significa |
|---|---|
| HttpOnly | La cookie no es accesible para los scripts: obligatorio para las cookies de sesión |
| Secure | Se transmite solo por https |
| SameSite | Limita el envío desde sitios externos y protege contra la falsificación de solicitudes |
| Duración | De sesión o a largo plazo: un año para analítica es normal, para el inicio de sesión no |
| Propietario | Tu dominio o un servicio de terceros |
Hallazgos comunes
- Cookie de sesión sin HttpOnly: puede ser leída por un script de terceros, lo que es un camino directo al secuestro de sesión.
- Sin SameSite: los navegadores aplican valores por defecto por sí mismos, pero no es recomendable depender de ellos.
- Analítica activada antes del consentimiento: una queja típica en las revisiones de cumplimiento.
- Decenas de cookies de terceros de widgets olvidados hace tiempo: chat, mapa, píxel antiguo.
El banner de cookies puede costarte conversiones
Tuvimos un caso en el que el banner de consentimiento cubría el botón de registro en móvil: llegaba tráfico de anuncios, pero no había registros. Revisa no solo la parte legal, sino también que el banner no tape la acción principal en la pantalla.Cookies y analítica
Un tema aparte son las cookies de terceros: las establecen widgets, píxeles de sistemas publicitarios y chats externos. Los navegadores las van restringiendo poco a poco, así que con el tiempo parte de la analítica habitual dejará de funcionar por sí sola. Conviene revisar la lista cada seis meses: normalmente, la mitad de los scripts del sitio corresponden a experimentos que terminaron hace mucho.
Qué hacer con los hallazgos
- Establece HttpOnly y Secure en todas las cookies de servicio.
- Define SameSite de forma explícita según si se necesita el envío desde otros dominios.
- Elimina los scripts de terceros que ya no se usan, junto con sus cookies.
- Comprueba que la analítica y los píxeles se activen después del consentimiento si tus países lo exigen.
- Compara el resultado con el informe de Shield: los indicadores de las cookies forman parte de sus revisiones.
Preguntas frecuentes
¿Qué flags son obligatorios?
Para las cookies de servicio y de sesión: HttpOnly y Secure, y SameSite debe configurarse de forma explícita, sin depender del valor predeterminado del navegador.
¿Qué riesgo tiene una cookie sin HttpOnly?
Puede ser leída por un script de terceros en la página, lo que es un camino directo al secuestro de la sesión del usuario.
¿Qué revisar en el banner de consentimiento?
No solo el texto, sino también que no tape el botón principal en móvil: un banner así puede reducir a cero la conversión de los anuncios.
¿Te resultó útil este artículo?
¡Gracias! Lo tendremos en cuenta en futuras actualizaciones.
Pruébalo en tu proyecto
Todo lo descrito en el artículo está disponible en el panel: el bono de registro ya está en tu saldo.
Abrir panel
