¿Qué son las cookies y para qué sirven?

Pones un par de zapatos en el carrito de una tienda online, cierras la pestaña y vuelves al día siguiente. Los zapatos siguen en el carrito, sigues con la sesión iniciada y el sitio sigue mostrándose en tu idioma. La tienda no adivinó nada de eso: tu navegador guardó para ese sitio unos pequeños fragmentos de texto, llamados cookies, y se los devolvió cuando volviste.

Este artículo explica cómo un sitio guarda y lee una cookie, los tipos principales, en qué punto están hoy las cookies de terceros en Chrome, por qué los sitios piden tu consentimiento y cómo borrar las cookies en Chrome, Safari, Firefox y Edge.

¿Qué es una cookie en un sitio web?#

Una cookie es un pequeño dato que el servidor de un sitio web envía a tu navegador, que lo guarda y lo devuelve en las solicitudes posteriores al mismo sitio. Cada cookie tiene un nombre y un valor, como theme=dark o un código de inicio de sesión largo y aleatorio, además de unos ajustes que indican cuánto dura y adónde se puede enviar.

Las cookies existen porque HTTP, el protocolo que usa tu navegador para obtener las páginas, no tiene estado: cada solicitud llega al servidor sin memoria de la anterior. El estándar de las cookies, RFC 6265, las describe como la forma en que los servidores pueden «mantener una sesión con estado» sobre ese protocolo. Sin ellas, un sitio te olvidaría entre dos clics.

Las cookies son diminutas a propósito: el RFC 6265 pide a los navegadores que admitan al menos 4.096 bytes por cookie y 50 cookies por dominio, suficiente para un identificador o un ajuste, no para un documento. El estándar es de 2011; su revisión, RFC 6265bis, estaba en la cola del RFC Editor y aún sin publicar cuando lo comprobamos el 12 de noviembre de 2026.

¿Cómo funcionan las cookies?#

Las cookies viajan en las cabeceras HTTP, las líneas de metadatos que se envían antes de la propia página:

1. Abres una página. Tu navegador se la pide al servidor del sitio, todavía sin ninguna cookie de ese sitio.
2. El servidor responde con una cabecera Set-Cookie, por ejemplo Set-Cookie: theme=dark; Max-Age=2592000, que pide al navegador que guarde theme=dark durante 30 días (2.592.000 segundos).
3. El navegador guarda la cookie junto con el dominio, la ruta y la fecha de caducidad del sitio.
4. En la siguiente solicitud a ese sitio, el navegador añade una cabecera Cookie: Cookie: theme=dark.
5. El servidor la lee y responde en consecuencia, aquí con la versión oscura de la página. El inicio de sesión funciona igual: el servidor guarda una cookie con un ID de sesión aleatorio, y cada solicitud posterior demuestra quién eres porque la lleva.
6. La cookie caduca o se borra, y el navegador deja de enviarla.

Probamos este intercambio con curl, un cliente HTTP de línea de comandos, contra un pequeño servidor de pruebas en nuestro propio equipo. Recortada a las líneas de solicitud, estado y cookie, la primera respuesta guardó la cookie y la segunda solicitud la devolvió:

< HTTP/1.1 200 OK
< Set-Cookie: theme=dark; Max-Age=2592000; Path=/; SameSite=Lax

> GET / HTTP/1.1
> Cookie: theme=dark

Las líneas que empiezan por < vinieron del servidor; las que empiezan por >, del cliente. Si escribes scripts que inician sesión en tus propias cuentas, Sesiones y cookies en Python muestra cómo un script conserva estas cookies entre solicitudes.

¿Para qué sirven las cookies?#

Las cookies mantienen tu sesión iniciada, recuerdan tus elecciones, miden cómo se usa un sitio y ayudan a segmentar anuncios. La guía de MDN sobre cookies HTTP agrupa estas tareas en gestión de sesiones, personalización y seguimiento.

• Inicio de sesión: una cookie con un ID largo y aleatorio es la razón de que no te pidan la contraseña en cada página.
• Carritos de compra: una cookie vincula tu navegador con el carrito guardado en el servidor de la tienda.
• Preferencias: idioma, moneda, modo oscuro y tu respuesta al aviso de cookies.
• Analítica: un ID de visitante aleatorio permite a un sitio contar los visitantes que vuelven y ver qué páginas leen.
• Publicidad: las empresas de anuncios insertadas en muchos sitios usan sus propias cookies para reconocer el mismo navegador en todos ellos.

¿Qué tipos de cookies hay?#

Las cookies se clasifican según cuánto duran, quién las crea y para qué sirven, así que cada cookie pertenece a un grupo en cada una de estas clasificaciones.

Es el navegador el que decide cuándo termina una sesión: MDN señala que los navegadores que restauran tus pestañas al reiniciarse pueden mantener vivas las cookies de sesión indefinidamente.

¿Qué significan Secure, HttpOnly y SameSite?#

Son atributos, ajustes que acompañan a cada cookie y limitan cuánto dura y adónde puede enviarla el navegador:

• Expires y Max-Age fijan la duración, como fecha o como número de segundos. Una cookie sin ninguno de los dos es una cookie de sesión.
• Domain y Path fijan adónde va la cookie. Una cookie para shop.example.com nunca se envía a otro sitio.
• Secure solo deja viajar la cookie por conexiones HTTPS cifradas.
• HttpOnly oculta la cookie a los scripts de la página, así que un script inyectado en el sitio no puede leerla.
• SameSite decide si la cookie acompaña a las solicitudes que empiezan en otro sitio: Strict nunca, Lax solo cuando sigues un enlace normal hacia el sitio, None siempre, y solo junto con Secure.

Una cookie de inicio de sesión bien construida los usa todos: un valor largo y aleatorio, Secure, HttpOnly y SameSite=Lax o Strict.

¿Qué pueden hacer las cookies y qué no?#

Las cookies pueden identificar un navegador y llevar lo que un sitio haya guardado en ellas; no pueden ejecutar código ni curiosear en tu equipo. Una cookie no puede instalar nada ni llevar un virus, leer tus archivos ni las cookies de otros sitios, ni saber tu nombre a menos que lo hayas escrito en el sitio.

Lo que sí pueden hacer las cookies es enlazar visitas entre sí. Una cookie de inicio de sesión conecta todo lo que haces con la sesión iniciada, y una cookie de terceros permite a una empresa de anuncios conectar las visitas a todos los sitios en los que está insertada. El peligro real es el robo: quien copia una cookie de inicio de sesión puede usar tu sesión sin tu contraseña, y eso es justo lo que busca el malware infostealer. ¿Qué es el session hijacking? explica cómo se roban las cookies y cómo evitarlo.

¿Qué son las cookies de terceros y Chrome todavía las permite?#

Las cookies de terceros las crea un sitio distinto del que aparece en tu barra de direcciones, a través de contenido insertado en la página. Chrome todavía las admite y deja la decisión en tus manos, salvo en el modo Incógnito, donde están bloqueadas de forma predeterminada.

Un sitio de noticias inserta un anuncio. Para mostrarlo, tu navegador descarga el anuncio del servidor de la empresa publicitaria, que puede crear una cookie con su propio dominio. Cuando otro sitio inserta anuncios de la misma empresa, el navegador devuelve esa cookie y la empresa ve el mismo navegador en los dos sitios. El RFC 6265 ya calificaba en 2011 las cookies de terceros de «particularmente preocupantes».

• Chrome ofrece Permitir cookies de terceros y Bloquear cookies de terceros en Configuración > Privacidad y seguridad > Cookies de terceros. Google planeó durante años eliminarlas, pero en abril de 2025 anunció que mantendría esta elección del usuario y que no añadiría un aviso aparte; en octubre de 2025 retiró la mayoría de las tecnologías publicitarias de Privacy Sandbox pensadas para sustituirlas.
• Safari bloquea de forma predeterminada desde marzo de 2020 las cookies del contenido entre sitios.
• Firefox da por defecto a cada sitio web su propio almacén de cookies (Total Cookie Protection), así que una empresa insertada no puede seguirte de sitio en sitio con una sola cookie.

Bloquearlas puede romper un cuadro de comentarios o una ventana de chat insertados; Chrome te deja permitir sitios concretos en Sitios que pueden usar cookies de terceros.

¿Por qué los sitios web te piden aceptar las cookies?#

Los sitios lo piden porque en muchos lugares las leyes de privacidad exigen consentimiento para las cookies que no son esenciales. En la Unión Europea, la Directiva ePrivacy, aplicada junto con el RGPD, solo permite guardar o leer información en tu dispositivo con tu consentimiento informado, salvo que sea estrictamente necesario para un servicio que hayas pedido.

Aceptar todas deja que el sitio cree todas las categorías que enumeró. Rechazar todas o Solo necesarias conserva las cookies esenciales, así que el inicio de sesión y el carrito siguen funcionando. Personalizar te deja activar las categorías una a una. Tu respuesta también se guarda en una cookie, y por eso el aviso vuelve cuando borras las cookies o abres una ventana privada.

¿Cómo ver y borrar las cookies?#

Las cookies se borran en los ajustes de privacidad del navegador, todas a la vez o las de un solo sitio. En un equipo con Windows, Ctrl + Mayús + Supr abre directamente la ventana de borrado en Chrome, Edge y Firefox. Las rutas siguientes salen de la página de ayuda de cada fabricante y las comprobamos el 12 de noviembre de 2026:

• Chrome en el equipo: Más > Eliminar datos de navegación, elige un periodo como Desde siempre, marca Cookies y otros datos de sitios y selecciona Eliminar datos. Para un solo sitio: Configuración > Privacidad y seguridad > Cookies de terceros > Ver todos los datos y permisos de sitios. Las dos rutas están en la página de ayuda de Google sobre cookies.
• Chrome en Android: Más > Configuración > Privacidad y seguridad > Borrar datos navegación, marca Cookies y datos de sitios y toca Eliminar datos.
• Safari en el iPhone: Ajustes > Apps > Safari > Borrar Historial y Datos de Sitios Web. Para conservar el historial, usa en su lugar Avanzado > Datos de Sitios Web > Eliminar Todos los Datos, como muestra la página de ayuda de Apple.
• Safari en el Mac: Safari > Ajustes > Privacidad > Gestionar datos de sitios web y luego Eliminar o Eliminar todo.
• Firefox: para el sitio actual, haz clic en el icono del escudo a la izquierda de la barra de direcciones y elige Limpiar cookies y datos del sitio. Para todos los sitios: botón de menú > Historial > Limpiar el historial reciente…, pon Cuándo en Todo, marca Cookies y datos del sitio y haz clic en Limpiar.
• Microsoft Edge: Configuración y más > Configuración > Privacidad, búsqueda y servicios > Borrar datos de exploración > Elegir lo que se debe borrar, marca Cookies y otros datos del sitio y selecciona Borrar ahora.

Los desarrolladores pueden inspeccionar cada cookie, con su caducidad y sus atributos, en las herramientas para desarrolladores de Chrome, en Application (Aplicación) > Storage (Almacenamiento) > Cookies.

Borrar las cookies cierra tu sesión en la mayoría de los sitios y restablece tus preferencias; las contraseñas guardadas se quedan, salvo que también las marques. Bloquear todas las cookies, por ejemplo con Bloquear Todas las Cookies en el iPhone, es posible, pero Apple advierte de que algunas páginas web podrían no funcionar y de que quizá no puedas iniciar sesión.

Cookies, caché y almacenamiento local: ¿en qué se diferencian?#

Las cookies son valores pequeños que se envían al servidor con cada solicitud; la caché es una copia de archivos descargados que hace que las páginas se abran más rápido; el almacenamiento local (local storage) es un espacio más grande que usan los propios scripts del sitio y que nunca se envía automáticamente.

Por eso «cookies» y «caché» son casillas separadas: borrar solo la caché arregla archivos de página desactualizados sin cerrar tu sesión.

¿Por qué los sitios comprueban tu cookie y tu dirección IP a la vez?#

Porque una cookie de inicio de sesión demuestra que iniciaste sesión, y la red desde la que llega ayuda al sitio a juzgar si la cookie sigue en tus manos. Pocos sitios atan una sesión a una sola dirección IP, porque los teléfonos pasan todo el día del Wi-Fi a los datos móviles, pero una sesión que salta de repente a otro país o a otra red puede provocar un nuevo inicio de sesión o una comprobación de seguridad.

Esto importa cuando trabajas en tus propias cuentas a través de un proxy o una VPN: si la dirección de salida cambia a mitad de sesión, el sitio ve una misma cookie llegar desde dos lugares y puede cerrarte la sesión. Con los Proxies de sesión fija, una sesión conserva la misma IP de 1 a 60 minutos.

Para una cuenta que usas a diario, los Proxies ISP mantienen una sola dirección, registrada a nombre de un proveedor de internet, durante todo el tiempo que la alquiles. El objetivo es una sesión estable en una cuenta que tienes permiso para usar, no una forma de saltarse las comprobaciones de un sitio.

Errores frecuentes#

• Borrar todas las cookies para arreglar un solo sitio. Borra primero las cookies de ese sitio; a menudo eso resuelve un bucle de inicio de sesión sin cerrar tu sesión en todas partes.
• Dar por hecho que «Rechazar todas» rompe el sitio. Las cookies esenciales se mantienen, así que el inicio de sesión y el carrito siguen funcionando.
• Bloquear todas las cookies y luego preguntarte por qué falla el inicio de sesión. Un sitio necesita al menos su propia cookie para mantener tu sesión iniciada.
• Dejar la sesión iniciada en un equipo compartido. Cierra sesión, o la cookie de inicio de sesión dejará entrar en tu cuenta a la siguiente persona.

Guía de decisión#

Preguntas frecuentes#

¿Debo aceptar las cookies?#

Aceptar las cookies esenciales no supone ningún problema, y las normas de la UE ni siquiera exigen consentimiento para ellas; la elección real tiene que ver con la analítica y la publicidad. Si no quieres que tus visitas se midan o se usen para anuncios, elige Rechazar todas. El sitio funciona en ambos casos.

¿Son peligrosas las cookies?#

No, una cookie no puede dañar tu equipo: es texto, no un programa. Los riesgos son la privacidad, cuando las cookies de terceros crean un perfil entre sitios, y el robo, cuando un malware copia una cookie de inicio de sesión.

¿El modo incógnito borra las cookies?#

Sí. Una ventana privada inicia una sesión aparte, y sus cookies se borran al cerrar la última ventana privada; Chrome además bloquea ahí las cookies de terceros de forma predeterminada. No cambia tu dirección IP, como explica ¿El modo incógnito oculta tu dirección IP?

¿Qué pasa si rechazo o bloqueo las cookies?#

Rechazar las cookies opcionales cambia poco de lo que ves: los anuncios se vuelven menos personalizados. Bloquear todas las cookies es distinto: no puedes mantener la sesión iniciada, los carritos dejan de funcionar y muchos sitios se comportan de forma extraña.

¿Borrar las cookies cierra mi sesión?#

Sí, en la mayoría de los sitios, porque la prueba de que iniciaste sesión está en una cookie. Borrar las cookies de un solo sitio cierra la sesión solo en ese sitio.

¿Por qué los sitios web me preguntan por las cookies en cada visita?#

Porque tu respuesta se guarda en una cookie. Si borras las cookies, usas una ventana privada o la cookie de consentimiento caduca, el sitio ya no sabe que respondiste y vuelve a mostrar el aviso.

En resumen#

Una cookie es un pequeño fragmento de texto que un sitio web pide a tu navegador que guarde y le devuelva, para recordar tu sesión, tu carrito y tus ajustes. Las cookies de terceros vienen de empresas insertadas y pueden seguirte de un sitio a otro; por eso Safari y Firefox las restringen de forma predeterminada y Chrome te deja bloquearlas. Las cookies no pueden ejecutar código ni leer tus archivos, pero una cookie de inicio de sesión robada puede abrir tu cuenta. Acepta las esenciales, rechaza el resto si lo prefieres y borra las cookies de un solo sitio cuando dé problemas. Si trabajas en tus propias cuentas a través de un proxy, mantén cada sesión en una dirección estable con nuestros servicios de proxy.