Qué detecta Leyzly en tu web

Detectamos cookies de terceros instaladas en la primera visita, antes de que el usuario haya interactuado con el banner. La instalación de cookies no estrictamente necesarias sin consentimiento previo es la infracción más sancionada por la AEPD bajo el artículo 22.2 de la LSSI.

Leyzly diferencia entre cookies estrictamente necesarias (sesión, CSRF, idioma, propia gestión de consentimiento) y cookies de seguimiento o marketing. La Guía AEPD de cookies de 2023 deja claro que sólo las primeras pueden cargarse sin recabar consentimiento.

En cada hallazgo te indicamos qué cookie concreta se instaló, su dominio, su tiempo de vida y, cuando es posible, qué proveedor la coloca. Así puedes ir directo al plugin o al script responsable.

Para cumplir, lo más habitual es desplegar una Consent Management Platform (CMP) y bloquear los scripts hasta que el usuario otorgue consentimiento granular por finalidad.

Identificamos los trackers más usados que disparan cookies o peticiones pre-consentimiento: Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, Microsoft Clarity, DoubleClick, LinkedIn Insight Tag, TikTok Pixel y X/Twitter Analytics.

Cada tracker pre-consentimiento genera un finding independiente con la evidencia capturada del tráfico de red y del DOM. Esto te permite priorizar qué scripts mover detrás del banner.

La sentencia Planet49 (TJUE C-673/17) y la Guía AEPD dejan claro que el consentimiento debe ser previo, libre, específico, informado e inequívoco. Cargar Google Analytics "anonimizado" antes del consentimiento sigue siendo infracción.

Verificamos la presencia del banner en la primera capa de información, la paridad visual entre los botones "Aceptar" y "Rechazar", y la existencia de un botón "Configurar" para granularidad.

La Guía AEPD de cookies prohíbe explícitamente los patrones oscuros: rechazar no puede requerir más clics que aceptar, ni quedar oculto en una segunda capa, ni tener un contraste inferior. Tampoco vale el scroll como consentimiento implícito.

Si el banner permite aceptar todas las finalidades pero no rechazarlas igual de fácilmente, Leyzly lo marca como infracción de alta severidad porque es uno de los patrones más sancionados.

Comprobamos que tu web ofrezca tres documentos clave: Aviso Legal (LSSI art. 10), Política de Privacidad (RGPD arts. 13 y 14) y Política de Cookies (Guía AEPD).

Buscamos los enlaces en el footer y en las áreas del DOM más habituales. Si el documento existe, hacemos un HEAD request para asegurarnos de que no es un 404. Si falta o devuelve error, generamos un finding crítico con la cita textual del artículo correspondiente.

Estos tres documentos no son opcionales. El Aviso Legal aplica a cualquier prestador de servicios de la sociedad de la información, aunque tu web sea sólo informativa.

Para cada formulario detectado, verificamos si existe un checkbox de consentimiento explícito ligado a la Política de Privacidad y si la base jurídica del tratamiento queda clara.

El RGPD art. 7 exige que el consentimiento sea libre, específico, informado e inequívoco, y que se pueda demostrar. Una casilla pre-marcada no vale (sentencia TJUE Planet49) y un texto vago tampoco.

Detectamos también campos sensibles (email, teléfono, dirección, NIF) en formularios sin enlace a la Política de Privacidad, lo que constituye una infracción del deber de información del RGPD art. 13.

El RGPD art. 32 obliga al responsable y al encargado del tratamiento a aplicar medidas técnicas apropiadas. Una web sin HTTPS o sin cabeceras básicas de seguridad incumple este principio de seguridad por defecto.

Comprobamos HTTPS obligatorio, presencia de HSTS, X-Content-Type-Options, Referrer-Policy y atributos Secure/HttpOnly en las cookies de sesión.

No pretendemos sustituir a una auditoría de seguridad ofensiva, pero detectamos los descuidos más comunes que también suelen aparecer en las resoluciones de la AEPD como agravante.