Cumplimiento y cookies

Cómo funciona esta comprobación

Scanaris hace dos pruebas sobre el HTML de tu página, ambas deliberadamente generosas para no dar falsos positivos. Primera: busca cualquier enlace cuyo destino o cuyo texto contenga palabras como privacidad, cookies, aviso legal, legal notice, Datenschutz, RGPD, GDPR, términos, terms o condiciones, en varios idiomas. Si no encuentra ni uno, abre un hallazgo de severidad media: la señal de que no hay página legal es fuerte. Segunda: si la respuesta de tu servidor establece cookies (cabecera Set-Cookie) y en el HTML no aparece ninguna plataforma de consentimiento conocida (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron y una veintena más) ni los textos típicos de un banner ("usamos cookies", "accept cookies", "política de cookies"), abre un hallazgo de severidad baja. Baja porque muchos banners se cargan por JavaScript y no están en el HTML inicial; el propio hallazgo lo advierte.

Por qué importa

En la Unión Europea, y en cada vez más países, tratar datos personales obliga a informar de quién los trata, para qué y durante cuánto tiempo: eso es la política de privacidad, y un formulario de contacto, un registro o una herramienta de analítica ya son tratamiento de datos. La ley de cookies añade que las no esenciales (analítica, publicidad, redes sociales) solo pueden instalarse con consentimiento previo, informado y revocable. Las multas existen y las agencias de protección de datos las ponen también a empresas pequeñas, normalmente tras una denuncia de un usuario. Pero el motivo más práctico es la confianza: una web sin aviso legal ni política de privacidad parece abandonada o poco seria, y los clientes de empresa lo comprueban antes de pagar.

Cómo arreglarlo

Política de privacidad y aviso legal

• Qué incluir: quién eres (nombre, identificación fiscal, dirección, correo), qué datos recoges y con qué finalidad, con qué base legal, a quién los cedes (tu hosting, tu proveedor de correo, tu analítica), cuánto los guardas, cómo ejercer los derechos de acceso y supresión, y si hay transferencias fuera de la UE.
• Cómo: un generador de políticas te da una base; adáptala a lo que de verdad haces. Una página /privacy y otra /legal o /terms, enlazadas desde el pie de todas las páginas.

Consentimiento de cookies

• Primero, inventario: qué cookies pones y cuáles son esenciales (sesión, carrito, la propia preferencia de consentimiento) y cuáles no (Google Analytics, píxeles de anuncios, vídeos incrustados).
• Si solo usas esenciales, no necesitas banner; sí política de cookies que lo diga.
• Si usas no esenciales, un gestor de consentimiento que las bloquee hasta que el usuario acepte, con "rechazar" tan visible como "aceptar". Cookiebot, iubenda, Termly o CookieYes para empezar; Complianz o Borlabs en WordPress. Si usas Google Analytics o Ads, configura el modo de consentimiento para que respete la elección.
• Carga el banner en el HTML inicial o con un script en el <head>, no diferido: así aparece antes que las cookies y además esta comprobación lo detecta.

Comprueba que está arreglado

curl -s https://tudominio.com | grep -oiE '<a[^>]*href="[^"]*(privac|legal|cookie|terms|condiciones)[^"]*"[^>]*>'
curl -sI https://tudominio.com | grep -i set-cookie
curl -s https://tudominio.com | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|usamos cookies|accept cookies" | head -3

La primera debe mostrar al menos un enlace legal. Si la segunda muestra cookies, la tercera debe mostrar tu gestor de consentimiento.

Preguntas frecuentes

Mi web es un proyecto personal sin ánimo de lucro. ¿También?

Si recoges datos de otras personas (un formulario, un registro, analítica), sí. Si es una página estática sin formularios ni analítica, no tratas datos personales y basta con un aviso de quién eres. Pero la mayoría de webs "sin nada" llevan Google Analytics.

Tengo el banner pero sale el hallazgo.

Probablemente lo carga JavaScript después de que el HTML llegue, y esta comprobación no ejecuta JavaScript. El hallazgo es de severidad baja precisamente por eso. Si tu banner funciona y bloquea las cookies hasta aceptar, puedes darlo por aceptado; mejor aún, carga el script del gestor en el <head>.

¿Y las cookies de sesión necesitan consentimiento?

No: las estrictamente necesarias para que el servicio funcione están exentas. Pero sí necesitan estar bien configuradas, que es lo que mira cookies inseguras. El resto de la lista legal y técnica previa al lanzamiento está en la checklist antes de lanzar.