Preguntas frecuentes

Respuestas a las preguntas más comunes sobre Legal Cookies y el cumplimiento de cookies.

Hemos recopilado las preguntas que más frecuentemente nos hacen los usuarios. Si no encuentras respuesta a tu duda, puedes contactarnos a través de GitHub.

Sobre Legal Cookies

¿Es gratuito?

Sí, Legal Cookies es completamente gratuito. No hay planes de pago, versiones premium ni límites de uso. Creemos que el cumplimiento de la normativa de privacidad debe ser accesible para todos.

Los análisis se almacenan temporalmente para generar el informe y permitir su verificación posterior mediante hash. No compartimos las URLs analizadas con terceros ni las utilizamos para ningún otro fin que no sea el propio servicio.

¿Cómo de preciso es el análisis?

Legal Cookies detecta las cookies y tecnologías establecidas en el momento exacto del análisis. Aunque la precisión es alta para la mayoría de sitios web, existen algunas limitaciones técnicas que debes tener en cuenta:

Algunas cookies se establecen solo después de interacción del usuario
El comportamiento puede variar según la geolocalización del visitante
Scripts con carga retrasada pueden no capturarse si exceden el timeout

El análisis es una foto instantánea del comportamiento del sitio en un momento específico. El comportamiento real puede variar.

¿Puedo usar el informe como prueba legal?

El informe incluye un hash de verificación que garantiza su autenticidad e integridad. Sin embargo, es importante entender sus limitaciones:

No sustituye una auditoría legal profesional realizada por expertos
Es una herramienta de apoyo y orientación, no un dictamen vinculante
Las autoridades de protección de datos pueden realizar sus propios análisis

¿Con qué frecuencia debería analizar mi sitio?

La frecuencia óptima depende de lo dinámico que sea tu sitio web. Como orientación general, recomendamos analizar en las siguientes situaciones:

Después de cada cambio en scripts, plugins o integraciones de terceros
Mensualmente como parte de tu rutina de compliance
Tras actualizar el CMP o modificar la política de cookies
Antes de una auditoría o revisión por parte del DPO

Sobre los resultados

¿Qué significa "Podría no cumplir"?

Este veredicto indica que se han detectado cookies o tecnologías que normalmente requieren consentimiento previo según la normativa europea. En concreto, significa que hemos encontrado alguno de estos elementos:

Cookies de analytics o marketing antes del consentimiento
Requests a terceros que podrían implicar tracking
Almacenamiento en localStorage/sessionStorage con fines de seguimiento

"Podría no cumplir" no es una sentencia definitiva, sino una señal de alerta que requiere revisión. La evaluación final sobre el cumplimiento debe hacerla un profesional.

Esta es una de las confusiones más comunes. Tener un banner visible no garantiza el cumplimiento. Los problemas más frecuentes que encontramos son:

Scripts que se cargan antes del consentimiento: Aunque tengas banner, si las cookies se instalan antes de que el usuario acepte, no estás cumpliendo
CMP mal configurado: El banner está visible, pero no bloquea realmente los scripts
Plugins que ignoran el banner: Algunos scripts de terceros no respetan la configuración del CMP
Cookies de terceros: Recursos externos (CDNs, fuentes, widgets) pueden establecer cookies antes del consentimiento

¿Qué son las cookies "unknown"?

Son cookies que nuestro sistema no ha podido clasificar automáticamente en una de las categorías estándar. Esto puede ocurrir por varias razones:

Es una cookie personalizada desarrollada específicamente para tu sitio
El nombre está ofuscado o utiliza un patrón genérico
Es una cookie de un servicio poco común no incluido en nuestra base de datos

Deberías revisar manualmente estas cookies para determinar si requieren consentimiento.

¿Las cookies de sesión siempre están exentas?

No necesariamente. El término "cookie de sesión" se refiere a su duración (se borra al cerrar el navegador), no a su propósito. Una cookie está exenta solo si es estrictamente necesaria para prestar el servicio. Por ejemplo:

Una cookie de sesión de analytics no está exenta
Una cookie de sesión que rastrea comportamiento no está exenta
Solo las cookies técnicas imprescindibles para el funcionamiento están exentas

Sobre la normativa

¿Google Analytics requiere consentimiento?

Sí, sin excepciones. Google Analytics utiliza cookies (_ga, _gid, etc.) que identifican usuarios mediante IDs únicos persistentes. Esto lo convierte en una herramienta de tracking que requiere consentimiento previo según el Art. 5.3 de la Directiva ePrivacy.

Si necesitas analytics sin complicaciones de consentimiento, existen alternativas:

Configurar GA4 en modo sin cookies (funcionalidad limitada)
Usar herramientas de analytics sin cookies como Plausible o Fathom
Implementar analytics server-side basado en logs

¿Qué pasa con Google Fonts?

Google Fonts puede registrar la dirección IP del usuario cuando se cargan las fuentes desde sus servidores. La IP se considera dato personal según el RGPD, lo que plantea problemas de cumplimiento. Las opciones más seguras son:

Alojar las fuentes localmente (recomendado) - elimina completamente el problema
Obtener consentimiento antes de cargar las fuentes desde Google
Usar fuentes del sistema que no requieren descarga externa

¿Los widgets de redes sociales necesitan consentimiento?

Sí, siempre que carguen contenido de terceros. Los botones de "compartir" de Facebook, Twitter, LinkedIn, etc. establecen cookies de tracking cuando se cargan, incluso si el usuario no hace clic en ellos. Las soluciones más comunes son:

Usar botones de compartir estáticos que solo contengan enlaces
Cargar los widgets dinámicamente solo tras obtener consentimiento
Implementar soluciones tipo "Shariff" que no establecen cookies

¿Qué diferencia hay entre first-party y third-party cookies?

La diferencia radica en quién establece la cookie y desde qué dominio:

Tipo	Establecida por	Ejemplo
First-party	Tu propio dominio	`tudominio.com` establece cookie para `tudominio.com`
Third-party	Otro dominio	`google.com` establece cookie mientras el usuario visita `tudominio.com`

Las cookies third-party son más problemáticas porque implican transferencia de datos a terceros, y además están siendo bloqueadas progresivamente por los navegadores.

¿Las cookies de seguridad (CSRF) necesitan consentimiento?

No. Las cookies CSRF (Cross-Site Request Forgery) son estrictamente necesarias para proteger al usuario contra un tipo específico de ataque informático. Al ser imprescindibles para la seguridad del servicio, están exentas de consentimiento según el Art. 5.3 de la Directiva ePrivacy.

Solución de problemas

El análisis tarda mucho

El tiempo de análisis depende de varios factores relacionados con el sitio web que estás analizando. El análisis puede tardar más de lo normal si:

El sitio tiene muchos recursos externos que cargar
Hay múltiples redirects o tiempos de carga largos
El servidor del sitio responde lentamente

El timeout máximo está configurado en 60 segundos. Si el análisis excede este tiempo, recibirás un resultado parcial.

El informe no muestra cookies que sé que existen

Hay varias razones por las que una cookie conocida puede no aparecer en el informe:

Las cookies se establecen después de interacción específica del usuario
Se cargan solo para ciertas geolocalizaciones o segmentos de usuarios
Requieren login o un estado específico de la sesión
El script tiene carga retrasada que excede el tiempo de análisis

¿Por qué no se detecta mi CMP?

Legal Cookies detecta automáticamente los CMPs más comunes del mercado (Cookiebot, OneTrust, CookieYes, etc.). Si tu CMP no aparece en el informe, puede deberse a:

Es un CMP personalizado o desarrollado internamente
El script del CMP se carga de forma no estándar
El propio CMP bloquea su detección por razones de seguridad