Un escáner de cookies es una herramienta que visita tu web, registra qué cookies y qué etiquetas (tags) se cargan y las ordena por tipo y finalidad. Sirve para responder a una pregunta sencilla que casi nadie puede contestar de memoria: qué se está ejecutando de verdad en tu sitio.

Esa respuesta es la base de todo lo demás. Sin ella no puedes informar bien en tu política, ni configurar el aviso, ni comprobar que nada se dispara antes del consentimiento. Aquí verás cómo funciona un escáner de cookies por dentro, qué puede y qué no puede ver, cómo auditar tu propia web sin herramientas de pago y dónde encaja en una plataforma de consentimiento como la que explicamos en qué es una CMP.

Un escáner es, en esencia, un navegador automatizado con memoria. Abre una URL, deja que la página cargue como lo haría con una persona y anota todo lo que se instala o se pide durante la carga: cookies, peticiones a dominios de terceros, scripts, píxeles.

El resultado es un inventario. Para cada elemento detectado suele indicar el nombre, quién lo pone (tu dominio u otro), cuánto dura y, si la herramienta lo reconoce, para qué sirve.

Conviene separar los términos, porque el escáner trabaja con los tres y se confunden a menudo.

• Cookie: un pequeño archivo de texto que el navegador guarda en el dispositivo. Tiene nombre, valor, dominio y caducidad.
• Tag (etiqueta): un fragmento de código que se carga en la página, por ejemplo el de una herramienta de analítica o un píxel de publicidad. Una tag es el disparador: al ejecutarse puede escribir una o varias cookies.
• Otras tecnologías: almacenamiento local (local storage), píxeles de seguimiento, huellas digitales del navegador. No son cookies, pero la norma española se aplica igual.

Esto último es importante. El artículo 22.2 de la Ley 34/2002 (LSSI) habla de "dispositivos de almacenamiento y recuperación de datos en equipos terminales", no de cookies a secas. Por eso un buen inventario no se limita a la lista de cookies: mira qué tag las origina.

Un escáner responde a tres necesidades distintas que conviene no mezclar.

La primera es informativa: saber qué cookies existen para poder describirlas en la política de cookies y en el aviso. La segunda es de control: detectar tags que nadie recordaba haber puesto. La tercera es de verificación: comparar lo que la web hace con lo que dice el aviso.

Ninguna de las tres es, por sí sola, cumplimiento. El escáner es un instrumento de medida. Lo que haces con la medida es lo que cuenta. Si quieres ver qué mide, escanea tu web con AdOpt y compara con lo que esperabas encontrar.

Cada herramienta tiene su propia implementación, pero casi todas siguen la misma secuencia. Entenderla ayuda a interpretar bien los resultados y, sobre todo, a saber qué esperar de ellos.

El escáner abre la URL en un navegador sin interfaz visible. Espera a que se ejecuten los scripts, porque la mayoría de las tags no viven en el HTML: las inyecta un gestor de etiquetas o un script que a su vez carga otro.

Ese detalle explica por qué un simple análisis del código fuente no basta. Lo que ves en "ver código fuente" es lo que el servidor envía; lo que se ejecuta después es lo que importa.

Durante la carga, el escáner anota dos cosas: las cookies que quedan guardadas en el navegador y las peticiones de red que salen hacia otros dominios. Las segundas son valiosas porque muchas tags envían datos sin dejar ninguna cookie visible.

Al terminar, el resultado es una lista de cookies con sus atributos y una lista de dominios contactados. Cruzarlas permite atribuir cada cookie a la tag que la creó.

La última fase es dar sentido a la lista. El escáner compara cada elemento con una base de conocimiento: si reconoce la tag o la cookie, le asigna una finalidad; si no la reconoce, la marca como desconocida.

Aquí es donde hay más diferencias entre herramientas, y donde la revisión humana sigue siendo necesaria. Una clasificación automática es una propuesta razonable, no un veredicto.

Si quieres ver cómo se traduce esto en la práctica, prueba el escáner de tags de AdOpt en tu propio sitio. Está disponible desde el plan gratuito.

Este es el apartado que más se pasa por alto. Un resultado del escáner limpio no equivale a una web limpia, y conviene saber por qué antes de fiarse de un informe.

Cualquier escáner razonable detecta lo que se ejecuta al cargar las páginas que visita, con el navegador en su estado inicial. Eso incluye las cookies propias, las de terceros que se cargan al abrir la página, las tags de analítica y publicidad presentes en el código o en el gestor de etiquetas y los contenidos incrustados, como vídeos o mapas.

Con eso se cubre una parte muy grande de lo que suele haber en una web de contenidos o en una tienda sencilla.

Hay situaciones que un escáner, sea cual sea, difícilmente reproduce sin ayuda. Merece la pena tenerlas en mente:

• Páginas que no visita. Un escáner recorre las URLs que se le indican. Una tag que solo existe en la página de pago o en una campaña concreta no aparece si esa página no forma parte del recorrido.
• Contenido tras un inicio de sesión. Las áreas de cliente o de socios suelen quedar fuera salvo que la herramienta soporte acceso autenticado.
• Lo que solo ocurre tras una interacción. Un chat que carga al hacer clic, un formulario que activa un píxel al enviarse, un vídeo que instala cookies al darle a reproducir.
• Diferencias por país o por dispositivo. Algunas tags se cargan solo en ciertas regiones o en móvil.
• Cambios posteriores. Un escaneo es una fotografía de un día. Si alguien añade una tag mañana, el informe de hoy no lo sabe.

Cuánto de esto cubre cada producto varía. Si usas una herramienta concreta, confirma en su documentación qué páginas recorre, con qué frecuencia y si admite áreas con acceso restringido. No des por hecho nada que no esté escrito.

Un escáner que no encuentra nada dudoso puede estar diciendo la verdad o puede estar mirando el sitio en un momento o en una página que no muestra el problema. Por eso la auditoría manual que verás más abajo complementa al escáner, no lo sustituye.

La consecuencia práctica es sencilla: trata el informe como el punto de partida y no como una certificación. Y vuelve a escanear cuando algo cambie, algo que desarrollamos en por qué escanear y volver a escanear tu web.

Un inventario sin orden no ayuda. La clasificación por finalidad es lo que permite decidir qué necesita consentimiento y cómo se presenta al visitante.

La Guía sobre el uso de las cookies de la AEPD, en su edición de mayo de 2024, describe (apartado 2.1.2) varias finalidades habituales: técnicas, de preferencias o personalización, de análisis o medición y de publicidad comportamental. Añade que esas tipologías se ofrecen "a título orientativo" y que editores y terceros pueden categorizar como mejor se ajuste a la finalidad real, siempre que se respete la transparencia frente al usuario.

Lo que ese matiz implica para un escáner es que no existe una lista oficial cerrada que la herramienta pueda aplicar sin más. La categoría de cada cookie es, en último término, una decisión de quien edita la web.

El escáner de tags de AdOpt clasifica automáticamente las tags que encuentra en las URLs vinculadas al aviso, y trabaja con cinco categorías: Necesarias, Marketing o Publicidad, Estadística o Analítica, Rendimiento y Funcionales.

Cuando no reconoce una tag, la deja como "Desconocidas". Esas tags las tiene que recategorizar la persona que gestiona el aviso, eligiéndolas en una de las cinco categorías y guardando y publicando el cambio. Cómo decidir en cada caso lo cuenta auditoría de cookies: cómo interpretar el escaneo.

Un detalle a favor de la claridad: una tag equivale a un disparador de una o varias cookies. Por eso, la lista de tags suele ser más corta y más fácil de gobernar que la lista completa de cookies.

Si quieres ver tu sitio ordenado así sin instalar nada complicado, puedes empezar gratis con AdOpt.

No necesitas ninguna herramienta de pago para hacer una primera comprobación. Bastan un navegador y diez minutos. La verificación manual tiene además una virtud: te enseña a leer lo que ocurre, y eso mejora cualquier informe posterior.

Vamos a usar las herramientas para desarrolladores de Chrome. El resto de navegadores tiene un panel equivalente.

Abre una ventana de incógnito, que no arrastra cookies de visitas anteriores. Es importante para que lo que veas sea lo que ve un visitante nuevo y no el rastro de tu propio historial.

Abre las herramientas para desarrolladores con F12 o con clic derecho y "Inspeccionar", antes de cargar la página si es posible.

Carga la web y no toques el aviso. Según la documentación de Chrome DevTools, para ver las cookies debes ir a la pestaña Application, desplegar Storage, pulsar Cookies y seleccionar el origen de tu web.

Apunta lo que aparece. La tabla muestra, entre otros datos, el nombre, el dominio, la caducidad y las marcas de seguridad de cada cookie. Fíjate sobre todo en el dominio: si es distinto del tuyo, es de un tercero.

Esta lista es el momento del "antes del consentimiento". Debería contener, como mucho, cookies técnicas imprescindibles y la que recuerda la propia decisión sobre las cookies.

Ahora acepta todas las cookies en el aviso y recarga la página. Vuelve a mirar la tabla y compara. Las cookies nuevas son las que dependen del consentimiento.

Haz también la prueba inversa: borra las cookies, recarga, rechaza todo en el aviso y mira qué queda. Si tras rechazar sigue apareciendo algo que no es estrictamente necesario, tienes una discrepancia que corregir. Puedes repetir esta prueba con el escáner de tags de AdOpt delante para ver si coincide.

El último paso es cruzar lo que has visto con lo que declara tu aviso y tu política. Cada cookie o tag que aparece tendría que estar descrita, con su finalidad y quién la utiliza. Y cada cosa descrita tendría que existir de verdad.

Esta comparación es el método más honesto de verificar tu implementación, porque no depende de la confianza en una herramienta. Un escáner acelera el proceso, pero el criterio de comprobar el antes, el después y lo que se declara sigue siendo el mismo.

Si prefieres que alguien de tu equipo tenga a mano este método, pruébalo con AdOpt y compara el resultado del escáner con lo que tú has visto en el navegador.

El escáner no es un producto aparte: es una pieza de una cadena. Esa cadena empieza en el inventario y termina en el registro de la decisión del visitante.

En AdOpt, el aviso que ve el visitante incluye la lista de tags y cookies de terceros con su clasificación, según la haya definido quien gestiona el aviso. El visitante puede personalizar sus preferencias por categoría.

Por eso el escaneo importa: si el inventario está incompleto o mal clasificado, el aviso informa mal y el visitante decide con información deficiente. Es la misma idea de fondo que recoge consentimiento de cookies: informar antes de pedir permiso.

Hay dos confusiones frecuentes que merece la pena aclarar.

La primera: marcar una tag como activa o inactiva en el aviso solo define su estado por defecto en el primer acceso, es decir, si aparece activada o desactivada al principio. No sustituye al bloqueo de las tags, que es otra función distinta, manual o automática.

La segunda: detectar una tag no equivale a bloquearla. El escáner informa de que existe; que no se ejecute antes del consentimiento depende del bloqueo. Y para demostrar después qué decidió cada persona, AdOpt registra su elección con un identificador único (CookieID) en el navegador, que sirve como prueba del consentimiento.

Sobre la frecuencia con la que se ejecuta el escaneo, la profundidad de páginas o el soporte de áreas con acceso restringido, consulta la documentación de tu producto en el momento de contratar. Aquí no damos por sentado nada que no esté publicado.

Piensa en tres capas distintas: descubrir (el escáner), decidir (la persona que clasifica y publica) y aplicar (el bloqueo y el registro). Si una de las tres falla, las otras dos no compensan el fallo.

La ley no menciona la palabra "escáner", pero el deber de saber qué usas está implícito en lo que sí exige.

El artículo 22.2 de la LSSI condiciona el uso de estos dispositivos a que la persona haya dado su consentimiento después de recibir información clara y completa sobre su utilización, en particular sobre los fines del tratamiento de los datos. Es difícil informar de lo que no se conoce.

La AEPD lo dice de forma más directa en el apartado 3 de su Guía: recomienda llevar a cabo una revisión de las cookies que se utilizan, para identificar cuáles son propias o de terceros, de sesión o persistentes y cuál es su función. Añade que, dados los cambios posibles en la gestión y uso de las cookies, es recomendable repetir esa revisión periódicamente para actualizar la información disponible.

No es una obligación con plazo fijo, y conviene no presentarla como tal. Pero es la recomendación expresa de la autoridad, y describe exactamente lo que hace un escáner.

Sobre cómo se traduce la información en un documento, tienes un modelo en política de cookies: ejemplo y qué tiene que contener.

Sin entrar en cifras que no podemos garantizar, hay momentos en los que conviene volver a mirar:

• Antes de publicar el aviso por primera vez.
• Después de añadir una herramienta, un plugin o una campaña nueva.
• Después de cambios grandes en el gestor de etiquetas.
• Cuando cambias de proveedor de analítica, de publicidad o de chat.
• De forma periódica, aunque no haya cambios visibles.

El segundo artículo del grupo desarrolla estos disparadores con ejemplos. Si tu caso es el de una web con varios equipos que tocan el código, empieza por ahí.

El escáner de cookies no arregla nada por sí mismo, pero hace visible lo que antes no lo era. Ese es su valor: convertir una sospecha ("creo que no tenemos nada raro") en una lista que se puede leer, discutir y corregir.

Con AdOpt puedes escanear tu web desde el plan gratuito, ver cómo se clasifican las tags y comprobar por ti mismo, con el método de los cuatro pasos, que lo que el aviso muestra coincide con lo que tu sitio hace.

No hay garantía de que ninguno lo haga. Un escáner detecta lo que se ejecuta en las páginas que visita y en el estado en que las visita. Las tags que dependen de una interacción, de un área con sesión iniciada o de una página que no forma parte del recorrido pueden quedar fuera. Por eso conviene combinar el escáner con la revisión manual y volver a escanear cuando algo cambie.

No. Escanear es descubrir y clasificar lo que existe; bloquear es impedir que se ejecute hasta que haya consentimiento. Una tag puede aparecer perfectamente clasificada en el informe y aun así dispararse antes de que la persona decida. Las dos funciones son necesarias y se configuran por separado, así que comprueba las dos.

Depende del producto. Puedes hacer una primera comprobación manual gratis con las herramientas del navegador, como se explica en este artículo. En el caso de AdOpt, el escáner de tags está disponible desde el plan gratuito. Para cualquier otra herramienta, revisa qué incluye cada plan antes de dar por hecho que cubre lo que necesitas.

Hay que averiguar para qué sirven y asignarlas a una categoría. En AdOpt, las tags desconocidas las recategoriza la persona que gestiona el aviso: se elige la categoría y se guarda y publica el cambio. Antes de decidir, identifica el proveedor de la tag y su finalidad real, no solo su nombre.

La ley no fija esa obligación con un plazo concreto. Lo que sí existe es una recomendación expresa de la AEPD en su Guía de cookies: revisar las cookies que se utilizan y repetir la revisión periódicamente para mantener actualizada la información. Es una buena práctica respaldada por la autoridad y la forma práctica de informar con exactitud.

• Por qué escanear y volver a escanear tu web — los cambios que entran sin aviso y qué deberías poder demostrar.
• Auditoría de cookies: cómo interpretar el escaneo — de la lista al aviso publicado, categoría por categoría.