Escáner / analizador de cookies

El Escáner / Analizador de Cookies es una herramienta online gratuita que permite pegar cabeceras Set-Cookie o document.cookie para analizar atributos, indicadores de seguridad, categorías, cumplimiento del RGPD y generar plantillas de banners de consentimiento. Funciona por completo en tu navegador, sin necesidad de instalación ni registro.

Cabeceras Set-Cookie (una por línea) o cadenas document.cookie sin procesar. Detecta el formato automáticamente.

Mediante heurísticas basadas en el nombre para más de 30 patrones: _ga/_gid → Analítica, _fbp → Marketing, __cf/csrf/session → Necesarias, pref/lang → Preferencias.

No. Todo el análisis y procesamiento se ejecuta en tu navegador.

Sí, el Escáner / Analizador de Cookies es 100 % gratuito, sin registro, sin tarifas ocultas y sin límites de uso. Todo el procesamiento ocurre localmente en tu navegador, garantizando una privacidad total.

Sí, el Escáner / Analizador de Cookies es totalmente adaptable y funciona en smartphones y tablets. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna app.

No hace falta ninguna cuenta ni registro. Solo abre el Escáner / Analizador de Cookies en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo introduce tu entrada en el campo correspondiente, ajusta las opciones a tu gusto y la herramienta la procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El Escáner / Analizador de Cookies funciona en todos los navegadores modernos, como Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Porque el navegador los oculta deliberadamente. La propiedad document.cookie en JavaScript solo expone los pares nombre=valor que tus scripts tienen permitido leer; nunca revela atributos como HttpOnly, Secure, SameSite, Domain, Path o Expires. Las cookies HttpOnly, las que suelen contener tokens de sesión, quedan excluidas de document.cookie por diseño, así que una cadena copiada desde la consola no puede mostrar sus indicadores de seguridad. Por eso este escáner muestra solo nombres y valores cuando detecta una entrada de document.cookie, y ofrece un panorama parcial en lugar de una calificación de seguridad completa para cada cookie. Para auditar los indicadores correctamente, obtén los encabezados de respuesta Set-Cookie sin procesar desde la pestaña Network de tu navegador (en Response Headers) o desde una solicitud curl -I, y pégalos en su lugar para un desglose completo de atributos y seguridad.

Cada cookie parte de 100 puntos y los va perdiendo por cada protección ausente. La falta del indicador Secure resta 30 puntos, ya que la cookie puede viajar por HTTP sin cifrar. La falta de HttpOnly también resta 30, porque JavaScript puede entonces leerla y cualquier fallo de XSS se convierte en un robo de sesión. La falta del atributo SameSite resta 25 puntos por dejar la cookie expuesta a CSRF. SameSite=Lax pierde apenas 5 puntos; SameSite=None pierde 10, o 15 si carece del indicador Secure obligatorio; SameSite=Strict obtiene la puntuación más limpia, sin ninguna deducción. El atributo Partitioned (CHIPS) suma un pequeño bono de 5 puntos. Las puntuaciones de cada cookie se promedian después en una calificación de A a F. Pega tus encabezados Set-Cookie para ver exactamente qué indicadores están bajando la puntuación de cada cookie.

SameSite=None significa que la cookie se envía deliberadamente en solicitudes entre sitios, algo necesario en casos legítimos como widgets incrustados, SSO o iframes de terceros. El escáner igual la marca porque las cookies entre sitios conllevan más riesgo, y los navegadores aplican una regla estricta: SameSite=None solo funciona si también está presente el indicador Secure, y los navegadores modernos rechazan las cookies None que no lo tengan. Por eso la herramienta resta 10 puntos cuando None va acompañado de Secure, y una penalización más severa de 15 puntos junto con una advertencia cuando falta Secure, ya que esa cookie simplemente será descartada. La marca no indica que estés equivocado, solo que esa cookie necesita un escrutinio adicional y un emparejamiento válido con Secure. Si una cookie puede ser del mismo sitio, prefiere Lax o Strict. Pega tus encabezados para confirmar que tus cookies None llevan Secure.

Una cookie de sesión no tiene fecha de expiración, así que el navegador la elimina al cerrarse; una cookie persistente incluye una fecha Expires o un Max-Age y perdura hasta que ese plazo transcurre. El escáner lee ambos atributos, marca cada cookie como Sesión o Persistente, y para las persistentes calcula los días restantes hasta la expiración a partir de Max-Age o de la marca temporal de Expires. Esto importa tanto para la seguridad como para la privacidad: las cookies de sesión, de corta duración, limitan la exposición si un token se filtra, mientras que las cookies persistentes de larga duración, especialmente las de analítica y marketing, atraen un escrutinio adicional del RGPD, porque una retención prolongada debe ser proporcional a su finalidad. La herramienta también señala que las cookies persistentes deberían tener períodos de expiración razonables. Pega tus encabezados Set-Cookie para ver qué cookies perduran y durante cuánto tiempo.

Bajo el RGPD y la Directiva ePrivacy, solo las cookies estrictamente necesarias están exentas de consentimiento. El escáner clasifica cada cookie en Necesarias, Analíticas, Marketing, Preferencias o Desconocida usando más de 30 patrones de nombres, y luego asigna la obligación de consentimiento correspondiente. Las cookies Necesarias, como las de sesión, CSRF y tokens de autenticación, pueden configurarse sin consentimiento, pero deben seguir apareciendo en tu política de privacidad. Las cookies de Analítica como _ga y _gid, y las de Marketing como _fbp o _gcl_au, requieren una aceptación explícita y previa, y no deben configurarse hasta que el usuario esté de acuerdo. Las cookies de Preferencias normalmente necesitan consentimiento, salvo que sirvan directamente a una función solicitada por el usuario, como el idioma. Todo lo marcado como Desconocida debería revisarse y tratarse como no esencial. Pega tus cookies para ver la orientación de consentimiento por categoría y generar un banner de consentimiento acorde.