Scripts de terceros en su web: a quién envía datos

Qué son los terceros en una web

• Un tercero es cualquier servicio de otro dominio al que llama la página al abrirse: medición de audiencia, píxel publicitario, fuentes, mapa, vídeo, chat, pasarela de pago o una biblioteca de un CDN público.
• El navegador se conecta a él directamente, así que el proveedor recibe la dirección IP del visitante, la dirección de la página y datos del navegador.
• Cargado no es lo mismo que enviado. La simple descarga de un script o de una fuente ya revela la dirección IP al proveedor. Pero el código de medición y publicidad envía además otros datos de la visita, como un identificador del visitante o el envío de un formulario. WebMeter distingue ambos casos.

Los principales tipos de servicios de terceros y qué recibe su proveedor:

Por qué los terceros importan a una pyme

Las reglas de consentimiento para cookies y medición se explican en la guía Cookies y RGPD en su web; aquí la cuestión es adónde van los datos. El RGPD permite transferir datos personales fuera de la UE y del EEE solo en determinadas condiciones. El caso más sencillo es la transferencia a un país para el que la Comisión Europea ha adoptado una decisión de adecuación, por ejemplo el Reino Unido, Suiza, Canadá o Japón. Para Estados Unidos rige desde el 10 de julio de 2023 el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), pero solo para las empresas adheridas. El Tribunal General de la UE desestimó en septiembre de 2025 un recurso contra este marco; el recurso de casación ante el Tribunal de Justicia de la UE aún no está resuelto.

Un caso especial son las fuentes de los servidores de Google. En enero de 2022, el Tribunal Regional de Múnich (LG München I) concedió 100 euros a un visitante porque una web transmitió su dirección IP a Google sin su consentimiento, aunque las fuentes podían servirse desde el propio servidor. Es una única sentencia alemana; en Chequia, donde opera WebMeter, no existe una decisión comparable.

Problemas habituales con terceros

• Códigos de medición y publicidad que se ejecutan antes de cualquier elección en el banner de cookies.
• Fuentes cargadas desde los servidores de Google en lugar del servidor propio de la web.
• Un vídeo de YouTube o un mapa que se carga nada más abrir la página, y no tras un clic.
• Códigos olvidados de campañas terminadas y servicios añadidos por un plugin o una plantilla sin que el propietario lo sepa.
• Bibliotecas de CDN públicos sin comprobación de integridad (SRI), de modo que el navegador no detecta si el archivo cambia en el servidor ajeno. La cabecera Content-Security-Policy limita desde dónde puede cargar scripts una página; más en la comprobación de cabeceras de seguridad.
• Cada dominio ajeno adicional supone una nueva conexión a otro servidor, y los scripts de terceros pueden ralentizar la carga de la página. La prueba de velocidad web muestra cuánto.

Comprobar trackers y terceros: qué revisamos

WebMeter abre la página de inicio en un navegador real, no se desplaza por ella y nunca hace clic en el banner de consentimiento. Registra cada dominio ajeno al que la página envió una solicitud y, con su propia lista de más de cien servicios conocidos, le asigna una finalidad (analítica, publicidad, chat, vídeo, mapas, pagos, fuentes, bibliotecas y CDN) y el país de la sede del proveedor. Cuenta la sede del proveedor (en los grupos multinacionales, la de la matriz), no la ubicación de los servidores. Los países se agrupan en cuatro: UE y EEE, países con decisión de adecuación, Estados Unidos y otros terceros países. En las bibliotecas de versión fija de CDN públicos avisa si falta la comprobación de integridad.

La medición que la web inicia solo tras el consentimiento no es visible al abrir la página. Por eso WebMeter revisa el código de la página de inicio y hasta ocho archivos JavaScript del dominio de la web en busca de las direcciones desde las que se cargan los servicios de medición y publicidad, por ejemplo Google Tag Manager, Meta Pixel, Hotjar o Sklik (el sistema publicitario del portal checo Seznam.cz). Si antes del consentimiento no se cargó ninguna medición, el informe indica que está preparada en el código. La vista de terceros no tiene puntuación propia; la medición antes del consentimiento y las fuentes de Google se evalúan en el área Cookies y RGPD.

No ve lo que la web carga tras el consentimiento, en subpáginas o en el carrito, ni los datos que la web envía desde su propio servidor. No comprueba si una empresa estadounidense está adherida al Data Privacy Framework ni valora los contratos de encargo, la base jurídica o la política de privacidad. Los servicios que no están en su lista los muestra solo con el dominio, como desconocidos.

Diseño web sin códigos de seguimiento innecesarios

Construimos la nueva web solo con los servicios que de verdad necesita: fuentes desde su propio servidor, mapas y vídeos tras un clic y códigos de seguimiento solo después del consentimiento. Antes de la entrega la pasamos por la misma comprobación de terceros que aquí.

Cómo es el diseño web → Caso práctico: de 73 a 97 puntos →

Preguntas frecuentes sobre terceros

Otras áreas revisadas

• Qué es el SEO
• Cabeceras de seguridad
• Comprobación de SPF, DKIM y DMARC
• Comprobación del certificado SSL
• Comprobar dominio y DNS
• Cookies y RGPD en su web
• Velocidad web
• Comprobador SEO
• Accesibilidad web
• CMS y tecnología
• Exposición de su web
• Buscadores con IA
• Empresa y tienda online
• Buscadores aparte de Google
• NIS2 y su web
• Comparativa con la competencia
• Resumen de todo lo que revisa WebMeter

Cómo trata la comprobación su web se explica en la página sobre el robot WebMeterBot; qué se guarda y durante cuánto tiempo, en la política de tratamiento de datos.