Sobre galletas y biscochos

Una cookie es un pequeño conjunto de datos enviados desde un sitio web que se almacena en el navegador web del usuario, al navegar el usuario por ese sitio web.

Cuando un usuario accede a un sitio web que hace uso de las cookies por vez primera, se genera una cookie y se envía desde el servidor al navegador del equipo local donde se almacena (se almacena en el sitio del PC donde establezca el navegador que debe guardarse).

Más tarde, cuando el usuario vuelve a la misma página web, el sitio web reconoce al usuario por la cookie que almacena la información de dicho usuario, y que el navegador del usuario envía al servidor web a instancias de éste.

Las cookies fueron diseñadas para ser un mecanismo fiable para los sitios web a la hora de recordar la información de estado (tales como elementos de una cesta de la compra) o para registrar la actividad de navegación del usuario.

Aunque las cookies no son portadoras de virus y no pueden instalar malware en el equipo del usuario, representan un riesgo potencial para la intimidad de las personas, al poder acumular información de los hábitos de un usuario durante un período de tiempo grande, tales como qué tipo de artículos compra, las contraseñas, cuántas veces accede a su banco, número de tarjeta de crédito, una dirección, etc.

Conscientes del riesgo que representa este mecanismo de almacenaje de información, desde una Directiva de la UE, que se traspuso en España mediante un Real Decreto que modificó parcialmente la LSSI en el punto segundo del artículo 22:

Proporcionar información previa a la instalación de las cookies (no sólo de la existencia de cookies sino también sobre el uso que se hará de la información obtenida), teniendo en cuenta el tipo de usuario medio al que se dirige la página web, adecuando el lenguaje y el contenido de los mensajes al nivel técnico del usuario y dando una correcta accesibilidad y visibilidad de la citada información.

Se creó la “Ley de cookies” (se denomina así al punto tercero del artículo 4 del Real Decreto-ley 13/2012, de 30 de marzo), que establece que la cookie se utilice:

• “al solo fin de efectuar la transmisión de una comunicación a través de una red de comunicaciones electrónicas”.
• “en la medida de lo estrictamente necesario a fin de que el proveedor de un servicio de la sociedad de la información preste un servicio expresamente solicitado por el abonado o el usuario”.

Además obliga a los portales web a obtener el consentimiento expreso del destinatario del servicio, a excepción que se cumpla uno de los puntos anteriores, y de informar sobre el uso de las cookies.

De todos los tipos de cookies que existen, las más importantes son las cookies de autenticación, el método más común utilizado por los servidores web para saber si el usuario está conectado o no, y con qué cuenta ha entrado, como por ejemplo Google o MSN. Funcionan a modo de un Single Sign On vía web, de modo que el usuario no tiene que estar logandose continuamente en todas las funciones que el sitio web le proporciona (por ejemplo correo web, almacenamiento en la nube, calendario, etc.)

La seguridad de una cookie de autenticación generalmente depende de la seguridad de la página web en sí, del navegador del usuario y de si los datos se cifran en las cookies.

Las vulnerabilidades de seguridad pueden permitir que los datos de una cookie puedan ser leídos por un hacker, utilizando la información robada para tener acceso a los datos del usuario o realizar ataques de desvío de usuarios a otros links ajenos al servidor web (como por ejemplo un ataque cross-site scripting).

A continuación se describen los tipos de cookies que existen actualmente en Internet y el uso que se suele hacer de las mismas:

Cookies de Sesión

Son datos temporales, almacenados como archivos temporales de Internet, que se eliminan cuando el usuario cierra el navegador o bien decide eliminarlos mediante las opciones para ello que le ofrece la configuración del Navegador.

Cookies Persistentes/de Seguimiento

Aquí se fijan por el tiempo que se estime necesario para que el servidor reconozca al usuario cada vez que entra en su sitio web. Suelen guardar tendencias o costumbres del usuario y particularizan por tanto cada visita por defecto a este tipo de preferencias. Dependiendo del tipo de información que almacenen se pueden considerar afectadas por la LOPD o no.

Cookies de Terceros

Las cookies de terceros son las que pertenecen a dominios diferentes del que se muestra en la barra de direcciones. Las páginas web pueden ofrecer contenidos de los dominios de terceros (tales como anuncios o links externos), lo que abre la posibilidad de seguir el historial de navegación del usuario.

La mayoría de navegadores ofrece opciones de configuración de la privacidad que permite el bloqueo de cookies de seguimiento de terceros.

Cookies Seguras

Son las cookies que se usan a través de https, asegurando que la cookie siempre va cifrada.

Cookies de tipo “HttpOnly”

Se aplica a las cookies de sesión y previene que sean usadas por otra aplicación, API o script, así sólo serán usadas por el navegador. Es una recomendación de seguridad muy adecuada para evitar el secuestro de cookies o manipulación de las mismas por malware.

Supercookie

Se aplica a las cookies relativas a sitios web de dominios de primer nivel. Normalmente están bloqueadas o deberían estarlo por parte de los navegadores como medidas de precaución.

Cookies Zombis

En html5 y Flash, por ejemplo, existe la opción de regenerar la cookie de usuario aun cuando el usuario haya cerrado el navegador.

Es por esta razón por la que se aconseja a los usuarios, cuando navegan por sitios sensibles, que eliminen de forma activa sus cookies después de cerrar los sitios web por donde han navegado, ya que cerrar el navegador no siempre es suficiente. Otra alternativa sería navegar con el modo incógnito que ofrecen varios navegadores (Ctrl+Mayúscula+n en Chrome, Ctrl+Mayúscula+P en Firefox e Internet Explorer).