# Cómo hacer una auditoría de cookies en tu sitio web

> Cómo auditar cookies y rastreadores paso a paso: delimita el alcance, captura lo que se carga, clasifica cada elemento, prueba el consentimiento y corrige fallos.

Source: https://www.cookiesh.eu/es/blog/how-to-run-a-cookie-audit  
Published: 2026-05-07

## Key takeaways

- Una auditoría de cookies es un inventario estructurado de todas las cookies y tecnologías similares que usa tu sitio, quién las instala, por qué y durante cuánto tiempo.
- Audita desde un navegador limpio y sin consentimiento almacenado, porque ese es el estado que ven primero los visitantes nuevos y las autoridades.
- No te quedes en las cookies: el almacenamiento local, el almacenamiento de sesión y los píxeles de seguimiento también están sujetos a las normas sobre almacenamiento en el dispositivo y acceso a él.
- Prueba cada plantilla de página clave en tres estados: antes de cualquier elección, después de rechazarlo todo y después de aceptarlo todo.
- Repite la auditoría periódicamente y después de cada versión que añada o modifique etiquetas de terceros.

Una auditoría de cookies es una revisión estructurada de todas las cookies y tecnologías de seguimiento similares que usa tu sitio web: qué son, quién las instala, por qué, durante cuánto tiempo y si esperan al consentimiento. Para hacerla, define el alcance, carga el sitio en un navegador limpio, captura todo lo que se almacena o a lo que se accede, clasifica cada elemento, prueba el comportamiento antes y después del consentimiento y, por último, corrige los fallos.

## ¿Por qué es importante una auditoría de cookies?

No puedes obtener un consentimiento válido, redactar una política de cookies exacta ni responder a las preguntas de una autoridad de control sin saber qué hace realmente tu sitio. Una auditoría sustituye las suposiciones por un inventario verificado.

Según el artículo 5, apartado 3, de la Directiva ePrivacy, almacenar información en el dispositivo de un usuario o acceder a ella requiere, por lo general, consentimiento, salvo que sea estrictamente necesario para un servicio que el usuario ha solicitado. Esa norma cubre las cookies, pero también el almacenamiento local, los píxeles y técnicas similares. La mayoría de los sitios acumulan etiquetas con el tiempo a través de herramientas de marketing, vídeos incrustados, widgets de chat y scripts de pruebas A/B, y pocos equipos saben exactamente qué instala cada una.

Una auditoría también saca a la luz lo que sobra. Las etiquetas abandonadas que se siguen cargando, las herramientas de analítica duplicadas y los proveedores que nadie recuerda haber añadido penalizan la velocidad de la página y generan riesgos sin aportar nada.

## ¿Qué debes preparar antes de empezar?

Acuerda el alcance y reúne el contexto antes de abrir las herramientas para desarrolladores del navegador. Una breve fase de preparación evita el error más habitual, que es auditar solo la página de inicio.

- **Enumera los dominios y subdominios**, incluidos los sitios de marketing, los subdominios de la aplicación, los centros de ayuda y los procesos de compra alojados en otro lugar.
- **Elige plantillas de página representativas**: inicio, artículo, producto, búsqueda, carrito, pago, registro y un panel de usuario con sesión iniciada.
- **Anota las variaciones regionales.** Si muestras banners distintos según la ubicación, prevé hacer pruebas desde cada región relevante.
- **Exporta el contenedor de tu gestor de etiquetas** y enumera tus contratos con proveedores, para poder asociar cada hallazgo a un responsable conocido.
- **Reúne tu política de cookies actual** para poder compararla al final con la realidad.

## ¿Cómo se hace una auditoría de cookies paso a paso?

Recorre el sitio desde un estado limpio, captúralo todo y regístralo después en un inventario. Los pasos siguientes describen una auditoría manual; un escáner automatizado sigue la misma lógica a gran escala.

1. **Empieza desde cero.** Abre un perfil de navegador nuevo o una ventana privada con las extensiones desactivadas y sin consentimiento almacenado. Si segmentas los banners geográficamente, conéctate desde la región que estés probando.
2. **Carga cada plantilla sin tocar el banner.** Este es el estado más importante: todo lo no esencial que se instale aquí se instala antes del consentimiento.
3. **Captura el almacenamiento.** En las herramientas para desarrolladores del navegador, revisa la lista de cookies de cada dominio, además del almacenamiento local, el almacenamiento de sesión e IndexedDB.
4. **Captura las solicitudes de red.** Filtra el panel de red por dominios de terceros y anota los píxeles de seguimiento, las balizas y los scripts, aunque no instalen ninguna cookie.
5. **Recorre los flujos clave.** Busca, añade al carrito, envía un formulario, inicia sesión y reproduce un vídeo incrustado, porque muchas etiquetas solo se activan con la interacción.
6. **Repite después de rechazarlo todo y, luego, después de aceptarlo todo.** Borra el almacenamiento entre una pasada y otra para que cada resultado refleje un único estado de consentimiento.
7. **Registra cada elemento** en tu inventario con los campos de la siguiente sección.

Un pequeño fragmento de código para la consola puede agilizar el paso 3. Ten en cuenta que `document.cookie` no puede ver las cookies `HttpOnly` ni las cookies que pertenecen a otros dominios, así que confirma siempre la lista completa en las herramientas para desarrolladores.

```js
// Ejecútalo en la consola del navegador en una visita nueva, antes de tocar el banner
console.log('Cookies:', document.cookie.split('; ').filter(Boolean).map((c) => c.split('=')[0]));
console.log('localStorage:', Object.keys(localStorage));
console.log('sessionStorage:', Object.keys(sessionStorage));
```

## ¿Qué debe incluir tu inventario de cookies?

Cada fila debe responder a quién, qué, por qué y durante cuánto tiempo. Estos campos se corresponden directamente con lo que tu banner y tu [política de cookies](/es/blog/how-to-write-a-cookie-policy) deben comunicar.

| Campo | Ejemplo | Por qué importa |
| --- | --- | --- |
| Nombre | `_ga` | Identifica el elemento en tu información |
| Dominio y proveedor | Google Analytics | Indica si es propia o de terceros y quién recibe los datos |
| Tipo | Cookie, almacenamiento local, píxel | Todos están sujetos a las normas sobre almacenamiento en el dispositivo |
| Finalidad | Distingue a los visitantes para la analítica | Determina la categoría |
| Categoría | Analítica | Determina si hace falta consentimiento |
| Duración | Fecha de caducidad o sesión | Debe comunicarse y ser proporcionada |
| ¿Se instala antes del consentimiento? | Sí o no | Señala fallos de cumplimiento |
| Responsable | Equipo de crecimiento | Alguien tiene que justificar que se mantenga |

## ¿Cómo se clasifica lo que encuentras?

Asigna cada elemento a una única categoría de finalidad, usando la descripción honesta más precisa de lo que hace. La mayoría de las herramientas de consentimiento usan cuatro categorías: necesarias, preferencias, analítica y marketing.

Las decisiones difíciles suelen girar en torno a lo “necesario”. Solo pertenecen a esa categoría los elementos imprescindibles para prestar un servicio que el usuario ha solicitado expresamente, como una cookie de sesión del carrito de la compra o una cookie de balanceo de carga. Las cookies de analítica, de pruebas A/B y de publicidad no suelen cumplir los requisitos, aunque la empresa las considere esenciales. Consulta [qué se considera una cookie estrictamente necesaria](/es/blog/strictly-necessary-cookies) para los casos límite.

Si no encuentras la finalidad o el responsable de un elemento, considéralo un hallazgo en sí mismo. Las etiquetas desconocidas son candidatas a eliminarse, no a entrar en la categoría de necesarias. Para repasar las cookies propias, de terceros, de sesión y persistentes, lee nuestro resumen sobre los [tipos de cookies](/es/blog/types-of-cookies).

## ¿Cómo se corrigen los fallos y se mantiene la auditoría al día?

Convierte los hallazgos en una breve lista de correcciones, publica los cambios y vuelve a probar las mismas páginas en los mismos tres estados. Las correcciones habituales se agrupan en cuatro tipos.

- **Elimina** las etiquetas sin responsable ni finalidad.
- **Bloquea hasta obtener el consentimiento** todo lo no esencial que se cargue en la primera visita. Nuestra guía sobre [cómo bloquear scripts de terceros hasta obtener el consentimiento](/es/blog/block-scripts-until-consent) explica las técnicas.
- **Acorta las duraciones** que se prolongan más de lo que exige la finalidad.
- **Actualiza la información** del banner y de la política de cookies para que coincida exactamente con el inventario.

Después, convierte la auditoría en una rutina. Repítela con una periodicidad fija, por ejemplo trimestral, y siempre que una nueva versión añada una etiqueta, un proveedor o un contenido incrustado. Conserva el resultado de cada auditoría con su fecha, para poder demostrar cómo ha evolucionado tu configuración y cuándo se corrigieron los problemas.

## En resumen

La auditoría de cookies es la base de todas las demás decisiones sobre el consentimiento, porque las categorías, el texto del banner, tu política de cookies y el bloqueo de scripts dependen de ella. Parte de un estado limpio, captura algo más que las cookies, prueba cada estado de consentimiento y repite el proceso con regularidad. Herramientas como Cookiesh pueden automatizar el escaneo, pero las decisiones sobre la finalidad y la necesidad siguen requiriendo un responsable humano.

*Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.*

## FAQ

### ¿Cuánto tiempo lleva una auditoría de cookies?

En un sitio pequeño con unas pocas plantillas, una auditoría manual puede llevar unas horas. Los sitios grandes con muchas etiquetas, regiones y áreas privadas suelen necesitar escaneos automatizados y comprobaciones manuales puntuales repartidas a lo largo de varios días.

### ¿Puedo fiarme solo de un escáner de cookies automatizado?

Los escáneres son excelentes para la cobertura y la repetibilidad, pero pueden pasar por alto elementos que se instalan tras un inicio de sesión, un formulario o acciones concretas del usuario. Combina los escaneos automatizados con pruebas manuales de los recorridos clave, como el proceso de compra, el registro y las páginas de la cuenta.

### ¿Quién debe encargarse de la auditoría de cookies?

Funciona mejor como tarea compartida. Ingeniería captura y corrige lo que se carga, marketing explica por qué existe cada etiqueta y un responsable de privacidad da el visto bueno a las categorías y a la política de cookies final.

### ¿Necesito una auditoría de cookies si la mayoría de mis visitantes están en EE. UU.?

Sí. Leyes como la CCPA de California te obligan a informar de lo que recoges y a permitir que las personas se excluyan de la venta o el intercambio de sus datos, algo que no puedes hacer con precisión sin saber qué rastreadores se ejecutan.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [MDN: Using HTTP cookies](https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies)