Cookies, local storage y session storage: ¿cuál es la diferencia?
22 de octubre de 2026
•
9 min de lectura
Índice
Volver
Volver arriba
Cookies, local storage y session storage: ¿cuál es la diferencia?
Las cookies, el local storage y el session storage permiten que los sitios web recuerden información en el navegador de un visitante. Suelen mencionarse juntos, y es fácil suponer que hacen más o menos lo mismo. En la práctica, se comportan de forma distinta, duran periodos diferentes y conllevan consideraciones técnicas y de privacidad diferentes.
Para los propietarios de sitios web, la distinción importa más allá del desarrollo. Una herramienta de marketing puede guardar un identificador publicitario en una cookie, un sitio web puede guardar una preferencia de idioma en el local storage y un flujo de checkout puede conservar información temporal en el session storage. El método de almacenamiento cambia cómo funciona el sitio web, pero no determina automáticamente si se requiere consentimiento.
¿Qué significa realmente el almacenamiento del navegador?
El almacenamiento del navegador es una forma de que un sitio web conserve información en el dispositivo de una persona. Sin él, muchos sitios web olvidarían detalles útiles cada vez que se recarga una página o un visitante pasa a otra página. Los carritos de compra, las sesiones iniciadas, los ajustes guardados y ciertas funciones de analítica pueden depender de información almacenada o consultada a través del navegador.
La distinción importante no es simplemente si se almacena información. Es cuánto tiempo sigue disponible, desde dónde se puede acceder a ella, si se envía automáticamente a un servidor y por qué la usa el sitio web.
¿Qué son las cookies y cómo funcionan?
Una cookie es un pequeño fragmento de datos que un sitio web puede pedir al navegador que almacene. Cuando el navegador hace una solicitud posterior a una dirección web que coincide, puede enviar esa cookie automáticamente con la solicitud, según su configuración y los atributos de la cookie.
Ese intercambio automático hace que las cookies sean útiles para tareas relacionadas con el servidor, como mantener las sesiones de inicio de sesión. Un servidor puede reconocer que una serie de solicitudes pertenece a la misma sesión iniciada sin pedir al usuario que vuelva a iniciar sesión en cada página.
Las cookies pueden ser cookies de sesión, que suelen durar una sesión de navegación, o cookies persistentes, que tienen una fecha de caducidad o una duración máxima. También pueden ser first-party o third-party, según la relación entre el sitio web visitado y el proveedor que las establece o las recibe. Los ajustes de privacidad del navegador pueden limitar el comportamiento de las cookies, y algunos navegadores restauran las cookies de sesión cuando se restauran las sesiones.
Los atributos de seguridad de las cookies incluyen Secure, que limita la transmisión a conexiones seguras; HttpOnly, que bloquea el acceso desde JavaScript; y SameSite, que ayuda a restringir las solicitudes entre sitios. Ayudan a proteger las sesiones, pero no eliminan todos los riesgos.
Para una explicación técnica, consulta la guía de MDN sobre cookies HTTP.
¿Qué es el local storage?
localStorage permite que un sitio web guarde datos de tipo clave-valor en el navegador del visitante mediante JavaScript. A diferencia de las cookies, el navegador no adjunta automáticamente esos valores a cada solicitud HTTP. Si una aplicación necesita enviar un valor a un servidor, su código debe hacerlo de forma explícita.
El local storage suele estar disponible para las páginas del mismo origen, es decir, el mismo protocolo, host y puerto. Un valor almacenado por un origen no está disponible automáticamente para un sitio web completamente distinto. Sin embargo, los scripts que se ejecutan dentro de ese origen pueden leerlo, incluidos los scripts third-party que se han incluido directamente en la página.
Los datos almacenados en localStorage suelen permanecer después de cerrar la pestaña o la ventana del navegador. No tienen una fecha de caducidad integrada, aunque los usuarios pueden borrarlos y los navegadores pueden eliminarlos en ciertas circunstancias. En la navegación privada, el almacenamiento suele ser temporal.
Los usos habituales incluyen guardar un tema seleccionado, recordar un ajuste de la interfaz o conservar el estado no sensible de la aplicación entre visitas. No es un lugar seguro para secretos solo porque los datos se quedan en el navegador: el JavaScript que se ejecuta en la página normalmente puede leerlos.
¿Qué es el session storage?
sessionStorage usa una interfaz de JavaScript similar a la del local storage, pero su duración y su alcance son diferentes. Almacena información para un origen concreto y para una pestaña o contexto de navegación concreto.
La información suele sobrevivir a las recargas de la página y a la navegación dentro de esa pestaña. Cuando termina la sesión de página de la pestaña, los datos normalmente se borran. Abrir otra pestaña independiente no le da sin más el mismo session storage en curso. Esto hace que el session storage sea útil para el progreso temporal de un formulario, un flujo de varios pasos o un estado de la interfaz que no debe mantenerse indefinidamente.
Hay un detalle que suele generar confusión: el session storage no es lo mismo que una cookie de sesión. Una cookie de sesión sigue siendo una cookie y puede enviarse automáticamente a un servidor. sessionStorage es un área de almacenamiento del navegador a la que se accede mediante JavaScript, y sus datos no se incluyen automáticamente en las solicitudes de red.
Puedes leer más en la documentación de MDN sobre la Web Storage API.
Cookies, local storage y session storage: comparación rápida
| Característica | Cookies | Local storage | Session storage |
| --- | --- | --- | --- |
| Finalidad principal | Recordar valores pequeños y facilitar la comunicación entre navegador y servidor | Conservar datos en el navegador entre visitas | Conservar datos temporales dentro de una sesión de página |
| Duración habitual | Hasta que termina la sesión o una caducidad configurada | Hasta que se elimina, se borra o se descarta | Normalmente hasta que termina la sesión de página de la pestaña |
| Se envía automáticamente con las solicitudes HTTP | Sí, en las solicitudes que coinciden, cuando está permitido | No | No |
| Accesible mediante JavaScript | Normalmente, salvo que sea HttpOnly | Sí | Sí |
| Alcance del almacenamiento | Controlado por el dominio, la ruta y otros atributos | Por origen | Por origen y por pestaña/sesión de página |
| Ejemplos habituales | Sesión iniciada, elección de consentimiento, identificador de analítica | Tema, preferencias de interfaz guardadas | Progreso temporal de un formulario o del checkout |
| Exento automáticamente de las normas de consentimiento de cookies | No | No | No |
¿Cuál debería usar tu sitio web?
Para las sesiones iniciadas, una cookie segura y HttpOnly suele ser preferible a guardar tokens de autenticación en el local storage. Los desarrolladores siguen teniendo que abordar riesgos como cross-site request forgery y cross-site scripting.
Para el tema o el ajuste de visualización de un visitante, el local storage puede ser práctico porque el navegador puede recordar la preferencia sin enviarla al servidor en cada solicitud. Para el progreso temporal de un formulario o un flujo que normalmente debería desaparecer al cerrar la pestaña, el session storage puede encajar mejor.
La analítica y el marketing son otra cuestión. Un proveedor publicitario puede usar una cookie, el local storage o varias tecnologías a la vez para reconocer un navegador o medir la actividad. Elegir el local storage en lugar de las cookies no convierte el seguimiento publicitario en una función necesaria del sitio web. La finalidad de fondo sigue siendo el factor decisivo.
¿El local storage y el session storage requieren consentimiento según el GDPR?
En la UE, las normas sobre almacenamiento en el dispositivo suelen proceder de las leyes que transponen la Directiva ePrivacy, y el GDPR también se aplica a los datos personales. En el Reino Unido, las Privacy and Electronic Communications Regulations (PECR) regulan muchas formas de almacenamiento y acceso al dispositivo, y el UK GDPR se aplica cuando hay datos personales implicados.
Estas normas son más amplias que las cookies HTTP tradicionales. La Information Commissioner's Office del Reino Unido trata explícitamente tanto el local storage como el session storage en su guía sobre tecnologías de almacenamiento y acceso.
Que se necesite o no consentimiento depende de la legislación aplicable, de la finalidad del almacenamiento o del acceso y de cualquier excepción pertinente. El almacenamiento realmente necesario para prestar un servicio que el usuario ha solicitado puede acogerse a una excepción. Otras excepciones limitadas pueden aplicarse en jurisdicciones y circunstancias concretas. El marketing, la publicidad comportamental y otros seguimientos opcionales similares suelen requerir consentimiento en la UE y el Reino Unido.
Por ejemplo, guardar un identificador temporal del carrito para que un cliente pueda completar el checkout es distinto de almacenar un identificador publicitario para reconocer a ese visitante más adelante. Lo primero puede ser necesario para ofrecer la experiencia de compra solicitada. Lo segundo sirve a una finalidad de marketing distinta, tanto si el identificador se guarda en una cookie como en el local storage.
Por qué los escaneos de cookies por sí solos pueden no contar toda la historia
Los sitios web ejecutan con frecuencia código de proveedores de analítica, plataformas publicitarias, widgets de chat, reproductores de vídeo y otros servicios externos. Algunos scripts usan cookies. Otros escriben en el local storage, en el session storage o en más de un lugar. Su comportamiento también puede cambiar según si la persona ha iniciado sesión, ha aceptado el seguimiento o ha completado una acción.
El escáner de cumplimiento de sitios web de CookiePal es un punto de partida para identificar las cookies y las tecnologías de seguimiento de un sitio web. Combínalo con revisiones del local storage y del session storage cuando investigues scripts o funciones concretas de la aplicación. No des por hecho que identificar solo las cookies demuestra que se han revisado todas las formas de almacenamiento del navegador.
Cómo gestionar el almacenamiento del navegador en tu proceso de consentimiento
Una revisión práctica del consentimiento no tiene por qué convertirse en un proyecto técnico enorme. Empieza por las páginas y los recorridos que los visitantes usan realmente: la página de inicio, las landing pages, los flujos de registro, el checkout, el área de cuenta y las herramientas integradas. Después, sigue estas comprobaciones:
- Identifica qué se almacena. Revisa las cookies, el local storage, el session storage y los scripts responsables de ellos.
- Registra la finalidad. ¿La información es necesaria para una función solicitada o se usa para analítica, publicidad, personalización u otra finalidad?
- Revisa la norma de consentimiento aplicable. No clasifiques algo como necesario solo porque sea útil para el negocio.
- Prueba el comportamiento del consentimiento. Confirma que el almacenamiento y el seguimiento opcionales se controlan correctamente antes y después de que el visitante tome una decisión.
- Mantén tus explicaciones al día. Describe las finalidades y los proveedores con precisión y revísalos cuando cambie el sitio web.
Una plataforma de gestión del consentimiento puede ayudar a conectar las elecciones de consentimiento con los controles de cookies, las preferencias del banner y los registros. En los scripts que usan otros mecanismos de almacenamiento, comprueba cómo se comporta la integración concreta y si se necesita alguna configuración adicional.
Tu política de cookies también debe ser comprensible para los visitantes sin conocimientos técnicos. En lugar de enumerar solo identificadores y duraciones, explica por qué se usan las tecnologías, qué pueden controlar los visitantes y dónde intervienen servicios third-party. La política de privacidad general también debe abordar el tratamiento de datos personales pertinente.
En resumen: almacenamientos diferentes, la misma necesidad de transparencia
Las cookies, el local storage y el session storage resuelven problemas técnicos distintos. Las cookies pueden comunicarse automáticamente con los servidores; el local storage conserva datos del navegador entre visitas; el session storage mantiene datos temporales vinculados a una sesión de página. Estas distinciones ayudan a los desarrolladores a crear mejores sitios web, pero no determinan por sí solas el cumplimiento en materia de privacidad.
Para los propietarios de sitios web, la pregunta más útil no es “¿Usamos cookies?”. Es “¿Qué información almacenamos o consultamos en los dispositivos de los visitantes, por qué la necesitamos y reflejan nuestros controles de consentimiento esa finalidad?”.
Empieza por revisar tu sitio web con el escáner de cumplimiento gratuito de CookiePal y, después, prueba el almacenamiento del navegador y los scripts que importan a tus visitantes. Un inventario claro y preciso es la base de una experiencia de consentimiento que las personas puedan entender y en la que puedan confiar.
Explorar más
¿Las herramientas de pruebas A/B requieren consentimiento de cookies?
Las pruebas A/B pueden guardar IDs, compartir eventos y alimentar audiencias publicitarias. Descubre cuándo requieren consentimiento y cuándo puede aplicarse una exención limitada.
22 de octubre de 2026
9 min
¿El reCAPTCHA requiere consentimiento de cookies?
El reCAPTCHA puede estar exento como seguridad necesaria, pero no toda configuración lo está. Descubre cómo evaluar tu versión, auditar sus cookies y mantener tus formularios activos.
15 de octubre de 2026
7 min
¿Los widgets de chat en vivo requieren consentimiento de cookies?
Widgets como Intercom y Zendesk suelen hacer seguimiento antes de cualquier conversación. Descubre qué cookies del chat necesitan consentimiento, cuáles pueden estar exentas y cómo probarlo.
15 de octubre de 2026
7 min