Un sitio sin banner de cookies: qué hace falta
Nuestro sitio pone exactamente una cookie y no muestra banner. Qué pide la ley mexicana en realidad, por qué el banner copiado de Europa responde a otra pregunta, qué cambia si tus clientes están en Europa o Estados Unidos y cuál es la cookie que nos sobra.
Primero la medición. Así responde nuestra página de inicio:
set-cookie: grav-site-d064a95=…; Max-Age=1800; path=/;
domain=primero.link; secure; HttpOnly; SameSite=LaxUna cookie, treinta minutos, sin nombre, sin identificador que sobreviva a la visita, nada entregado a terceros. Por eso en primero.link no hay banner. Aquí está el camino para llegar ahí, con todo y el punto en el que a nosotros nos falta.
El banner que casi todos copian responde a otra pregunta
La barra de consentimiento llegó desde Europa hace unos años y se ha copiado desde entonces. En México ninguna norma la exige. Lo que sí exige la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025 y vigente desde el día siguiente, es el aviso de privacidad: en medios electrónicos, la versión simplificada a la vista y el enlace a la integral.
La diferencia entre los tres modelos, en corto:
| Pregunta | México | Europa | Estados Unidos |
|---|---|---|---|
| ¿Cuándo se necesita permiso? | como regla, el consentimiento tácito basta tras poner el aviso a disposición | antes de guardar o leer algo en el dispositivo | cuando hay venta, cesión o publicidad dirigida |
| ¿Qué documento manda? | el aviso de privacidad | el registro de tratamientos y la base legal | la política de privacidad del sitio |
| ¿Cómo dice que no el visitante? | ejerciendo sus derechos ARCO | rechazando en el banner | con un enlace, una solicitud o una señal del navegador |
| ¿Quién queda obligado? | cualquier responsable que trate datos | cualquier operador de sitio | empresas por encima de ciertos umbrales |
La primera columna explica por qué tantos sitios mexicanos cargan un banner que no les corresponde: se copió la plantilla completa junto con el tema de WordPress.
Dónde sí entran las cookies en México
La ley no habla de cookies. Habla de datos personales, y ahí es donde entran: una cookie que permite identificar a una persona o reconocerla entre visitas trata datos personales. Eso incluye los identificadores de las herramientas de medición y de los pixeles de publicidad, aunque nunca veas un nombre.
De ahí salen tres obligaciones prácticas:
- El aviso de privacidad describe esas cookies, para qué sirven y quién más las ve.
- Si un tercero trata los datos por ti, el artículo 35 te obliga a comunicarle el aviso y las finalidades que el titular aceptó.
- Los derechos ARCO aplican también a esos datos, así que necesitas una forma real de atenderlos.
Y de ahí sale la ruta corta que tomamos nosotros: quitar las piezas que generan el tratamiento.
Lo que hicimos
La tipografía vive en nuestro servidor. Un archivo, Quicksand, reducido a los caracteres que necesitan el alemán, el inglés y el español, 27 KB. A Google no se le pide nada.
Los números salen de dos fuentes que no ponen cookies. Search Console muestra con qué se buscó, los registros del servidor muestran qué se pidió. Para saber qué artículo se lee y por qué búsqueda llegó alguien, alcanza.
El calendario de citas carga hasta el clic. Vive en meetergo, o sea en un tercero. Quien abre /reunion ve primero una explicación y un botón. El clic carga el calendario. El botón es un enlace normal a la misma página con un parámetro, así que todo funciona sin una línea de JavaScript:
<a href="/es/blog/sitio-sin-banner-de-cookies?kalender=1#kalender">Cargar el calendario</a>
La etiqueta canonical sigue apuntando a la dirección sin parámetro, para que los buscadores vean una sola página.
Pixeles de publicidad no hay. Empezó como decisión de negocio y de paso simplificó todo lo demás.
La cookie que nos sobra
Ahora la parte incómoda.
Nuestro gestor de contenidos abre una sesión en cada visita a una página, incluso en una que solo muestra texto. La sesión hace falta en un solo lugar: el formulario de contacto, para el token de un solo uso que bloquea envíos desde otros sitios y envíos duplicados. Medida contra la lectura estrecha que hacen las autoridades europeas, esa cookie sobra en todas las demás páginas.
Lo consideramos un caso leve: contiene un identificador y nada más, vence a los treinta minutos, no va con nadie y no sirve para reconocer a nadie entre visitas. Aun así se puede evitar, y Grav trae el interruptor:
session:
initialize: false # la sesión arranca solo donde hace faltaCon eso, el tema tiene que abrir la sesión por su cuenta en cuanto una página trae un formulario. Lo estamos probando contra nuestro formulario de contacto. En cuanto quede, se dice aquí.
Revisar tu propio sitio cuesta una línea:
curl -sSI https://tu-dominio.com/ | grep -i set-cookieSi no regresa nada, estás limpio. Si regresan varias líneas, el trabajo empieza por la pregunta de quién las pone y para qué.
Lo que queda cuando se va el banner
Tres obligaciones se confunden con el banner y siguen vivas sin él:
- El aviso de privacidad. Describe qué pasa en una visita, y los registros del servidor cuentan. Va en formato simplificado a la vista, con enlace al integral.
- El acuerdo con tu proveedor de hosting. El tratamiento ocurre en su equipo y eso tiene que estar cubierto.
- Un plazo de conservación para los registros. Siete días para resolver fallas se defiende solo. Un año se vuelve difícil de explicar.
Lo que puedes hacer hoy
- Mide qué cookies pone tu página de inicio, con la línea de arriba o en la pestaña Aplicación de las herramientas del navegador.
- Dale un propósito a cada cookie. Lo que puedas justificar en una frase se queda. El resto va a la lista.
- Baja las tipografías a tu propio servidor. Es la pieza que más se pasa por alto y la más fácil de corregir.
- Convierte mapas, videos y calendarios a carga con clic. Ganas velocidad y te ahorras el permiso en un solo movimiento.
- Si después queda medición, descríbela en el aviso de privacidad y ofrece una forma real de oponerse.
Si quieres saber qué descarga tu sitio en la primera visita: escríbenos. Le echamos un ojo y te decimos qué piezas están detrás de tu banner y cuáles tienen reemplazo silencioso.
Aviso legal
Este artículo refleja el estado al 25 de septiembre de 2026 y es información general, sin sustituir a una asesoría legal. La LFPDPPP es reciente y su reglamento sigue en desarrollo. Para un caso concreto, conviene revisarlo con abogado.
Fuentes
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares
- Garrigues: la nueva LFPDPPP, aviso de privacidad y fin del INAI
- Rafik: cambios principales en los avisos de privacidad web
- W3C: especificación de Global Privacy Control
- § 25 TDDDG, la regla europea contra la que construimos
- Grav: referencia de configuración de sesiones
Vigencia de este artículo
Sin cambios de fondo desde su publicación.
Preguntas frecuentes sobre el banner de cookies
¿La ley mexicana obliga a poner un banner de cookies?
Ninguna norma mexicana exige un banner que bloquee la página hasta que alguien acepte. Lo que exige la LFPDPPP es un aviso de privacidad y, en medios electrónicos, ponerlo a la vista en su modalidad simplificada con un enlace al integral. El banner que bloquea la pantalla viene del modelo europeo y responde a otra pregunta.
Entonces, ¿qué sí es obligatorio?
El aviso de privacidad desde el momento en que recabas datos, informar para qué los usas y por cuánto tiempo, atender los derechos ARCO y aplicar medidas de seguridad. Si un tercero trata datos por ti, el artículo 35 te obliga a comunicarle el aviso y las finalidades que el titular aceptó. Desde el 21 de marzo de 2025 la autoridad es la Secretaría Anticorrupción y Buen Gobierno en lugar del INAI.
¿Las cookies cuentan como datos personales?
Cuando permiten identificar a una persona o seguirla entre visitas, sí. Una cookie de medición con identificador propio cae en esa categoría, y su tratamiento tiene que estar descrito en el aviso de privacidad. Una cookie de sesión que solo mantiene el estado mientras llenas un formulario queda en otro lugar: sirve al servicio que la persona pidió.
¿Qué pasa si mis clientes están en Europa o en Estados Unidos?
Aplican las reglas de allá para esas visitas. En Europa hace falta consentimiento antes de guardar o leer algo en el dispositivo, con excepciones estrechas. En Estados Unidos el modelo es distinto: aviso más derecho de oposición, y en varios estados la obligación de respetar una señal automática del navegador, la Global Privacy Control. Nosotros construimos contra la regla europea porque quien la cumple cumple también las demás.
¿Cuánto cuesta equivocarse?
Las multas de la LFPDPPP se calculan en UMA, la Unidad de Medida y Actualización. El rango llega hasta 320,000 UMA para las infracciones más graves, que con el valor diario de 2026 significa decenas de millones de pesos, y puede duplicarse cuando hay datos sensibles de por medio. En la práctica, lo que más se ve son quejas de titulares y requerimientos de la autoridad.
¿Puedo medir visitas sin cookies?
Sí, con lo que ya tienes. Los registros del servidor muestran qué se pidió y desde dónde, y Search Console muestra con qué búsquedas llega la gente. Pierdes la precisión de una herramienta de analítica y te ahorras el tratamiento, el banner y la conversación sobre consentimiento. Para saber qué artículo se lee, alcanza.