Cloudflare no obliga a poner banner: sus cookies son de seguridad y balanceo, exentas por el art. 22.2 de la Ley 34/2002. El banner lo obligan tus herramientas.
Cloudflare por sí solo no te obliga a poner banner. Las cookies que instala el proxy son de seguridad, balanceo y limitación de tráfico, y encajan en la excepción técnica del artículo 22.2 de la Ley 34/2002. El banner lo obligan tus herramientas: analítica, píxeles, vídeos incrustados, mapas y fuentes remotas.
Cloudflare cambia quién sirve tus bytes. No cambia quién responde ante la AEPD.
Qué cookies pone Cloudflare y por qué están exentas
El artículo 22.2 de la Ley 34/2002 exige consentimiento para almacenar o recuperar datos en el equipo del usuario, con una excepción tasada.
La Guía sobre el uso de las cookies de la AEPD (versión de mayo de 2024) enumera las categorías exceptuadas: cookies de entrada del usuario, de autenticación de sesión, de seguridad del usuario, de sesión de reproductor multimedia, de sesión para equilibrar la carga, de personalización de la interfaz y determinadas cookies de complemento social.
Las cookies del proxy caen ahí. Estas son, con la duración que documenta Cloudflare:
| Cookie | Para qué | Duración documentada |
|---|---|---|
__cf_bm | Detección y mitigación de bots | Caduca a los 30 minutos de inactividad continuada |
cf_clearance | Detecciones por JavaScript y pre-clearance de Turnstile | No documentada en la referencia pública |
__cflb | Afinidad de sesión del balanceador | De varios segundos a 24 horas |
__cfruid | Soporte de Rate Limiting | No documentada |
_cfuvid | Distingue usuarios que comparten una IP en reglas de limitación | Solo si lo configuras |
cf_ob_info / cf_use_ob | Always Online | 30 segundos |
Cloudflare las declara «strictly necessary to provide the services requested by our customers, unless otherwise stated».
El matiz que casi ninguna página española escribe: la exención la da la finalidad y la duración, no la declaración del proveedor. Cloudflare puede llamar «estrictamente necesaria» a una cookie suya. Quien sostiene esa calificación ante la Agencia eres tú, y se sostiene mientras la cookie sirva a seguridad o balanceo y no alimente ninguna medición.
Lo habitual en el sector: «Uso Cloudflare, que es seguridad, así que estoy exento y quito el banner.» El proxy no toca Google Analytics, ni el iframe de YouTube, ni el mapa incrustado en la página de contacto. Esas siguen escribiendo en el navegador de tu visitante.
Nuestro criterio: Auditamos qué escribe tu web con el banner desactivado y con las herramientas cargadas. Si lo único que aparece son cookies de Cloudflare, retiramos el banner y lo dejamos documentado. Si aparece cualquier otra cosa, el banner se queda.
Dónde se rompe la exención
Tres casos concretos, y son los tres que vemos.
Zaraz cargando herramientas de terceros. La documentación de Cloudflare es explícita: sus herramientas «all use cookies that are not strictly necessary for the website's correct operation». Por eso Zaraz incorpora su propio gestor de consentimiento. Si usas Zaraz para meter analítica o píxeles, necesitas banner.
Cualquier incrustación externa. Un vídeo de YouTube, una fuente servida desde un dominio ajeno, un widget de reseñas. Cloudflare los sirve más rápido, no más legales.
Reutilizar la cookie de seguridad para medir. En el momento en que un dato de __cf_bm alimenta un panel de audiencia, deja de ser estrictamente necesario.
«Sin cookies» no significa «sin obligación»
Cloudflare Web Analytics no usa cookies: «We don't use any client-side state (like cookies or localStorage) for analytics purposes», publicado el 9 de diciembre de 2020. Cuenta visitas por la cabecera de referencia, no por un identificador guardado.
Eso la deja fuera del artículo 22.2. Pero el artículo no habla de cookies: habla de almacenar y recuperar datos en el equipo terminal, y eso alcanza también al localStorage y al fingerprinting. Una herramienta «sin cookies» que huella el navegador entra de lleno en el consentimiento. Sin cookies no es sinónimo de sin banner. Sin estado en el cliente, sí.
Lo que necesitas aunque retires el banner
- Inventario de cookies y de localStorage hecho con el navegador en ventana limpia, no de memoria
- Ninguna incrustación de terceros en ninguna plantilla, tampoco en el blog ni en el formulario
- Política de privacidad con la información del artículo 13 del RGPD, que sigue siendo obligatoria
- Aviso legal con los datos del artículo 10 de la LSSI: banner y aviso legal son cosas distintas
- Documento interno que explique por qué cada cookie está exenta, con fecha
Quitar el banner es una conclusión que tú documentas, no una casilla que desactiva Cloudflare.
Verificado el 27-08-2026 contra la documentación pública de cookies de Cloudflare, el texto consolidado de la Ley 34/2002 en el BOE y la Guía sobre el uso de las cookies de la AEPD (mayo de 2024). La lista del proxy cambia con los productos que actives: revísala cada vez que enciendas una función nueva.
Un banner que sobra molesta a cada visita y no protege de nada. Un banner que falta se paga una vez y caro. La diferencia no la decide el proveedor: la decide el inventario.
¿Quieres que miremos qué escribe tu web de verdad antes de tocar nada?
Preguntas frecuentes
¿Cloudflare es responsable o encargado del tratamiento?
Frente a tus visitantes el responsable eres tú; Cloudflare actúa como encargado por cuenta tuya. Firmar su adenda no traslada tu obligación de informar: la sigues teniendo entera.
¿Y si activo Bot Fight Mode? ¿Necesito consentimiento para __cf_bm?
No, mientras se limite a distinguir bots de personas: es una cookie de seguridad del usuario y entra en las categorías exceptuadas que enumera la AEPD. Si la usas para algo más, deja de estarlo.
¿Puedo quitar el banner y dejar solo la política de cookies?
Sí, si tu web no escribe nada fuera de la excepción técnica. La política de cookies puede reducirse a una sección de la política de privacidad que liste las exentas y explique por qué lo son.
¿Turnstile me obliga a poner banner?
Turnstile emite una cookie de pre-clearance con finalidad antifraude, no de medición. Encaja en seguridad del usuario, pero documéntalo: la carga de la prueba es tuya, no de Cloudflare.
¿Esto se sanciona por la vía del RGPD?
El incumplimiento del artículo 22.2 se persigue por la Ley 34/2002, no por el RGPD, aunque instruya la misma Agencia. Cambia el régimen sancionador, no la obligación.
Sigue leyendo
- Obligaciones legales de una web en España: RGPD, cookies y Consent Mode v2
- Kit Digital en 2026: qué pasó y quién conserva bono
- Qué hosting elegir en España: criterios, no rankings de afiliados
- Checklist de 47 comprobaciones antes de poner una web en producción
Nota de transparencia. Algunos datos propios de esta guía todavía están en medición en proyectos reales, con un mismo método. Los publicaremos con su tamaño de muestra y su ventana de fechas cuando la muestra sea suficiente; hasta entonces, cada cifra que ves lleva su fuente y su fecha de consulta.
Fuentes verificadas
- https://developers.cloudflare.com/fundamentals/reference/policies-compliances/cloudflare-cookies/ — listado oficial de cookies del proxy (__cf_bm, cf_clearance, __cflb, __cfruid, _cfuvid, cf_ob_info/cf_use_ob), sus finalidades, duraciones documentadas y la declaración «strictly necessary to provide the services requested by our customers, unless otherwise stated»
- https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758 — texto consolidado de la Ley 34/2002 (LSSI-CE), artículo 22.2: consentimiento y excepción técnica («en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario»)
- https://www.aepd.es/documento/guia-cookies.pdf — Guía sobre el uso de las cookies de la AEPD, versión de mayo de 2024: lista de categorías exceptuadas (entrada de usuario, autenticación de sesión, seguridad del usuario, reproductor multimedia, equilibrado de carga de sesión, personalización de interfaz, complemento social) y criterio sobre cookies analíticas y de terceros
- https://blog.cloudflare.com/privacy-first-web-analytics/ — publicado el 9 de diciembre de 2020: «We don't use any client-side state (like cookies or localStorage) for analytics purposes» y el método de conteo por cabecera de referencia
- https://developers.cloudflare.com/zaraz/consent-management/ — gestor de consentimiento de Zaraz y la afirmación de que las herramientas que carga «all use cookies that are not strictly necessary for the website's correct operation»
- https://developers.cloudflare.com/turnstile/frequently-asked-questions/ — pre-clearance de Turnstile y su declaración de tratar «only the data strictly necessary to provide this security function»
¿Quieres ver este criterio aplicado a un proyecto real?