Estrictamente necesario: el carrito

Una cookie es una nota que una web le pide al navegador que guarde y que el navegador le devuelve en cada visita; sirve para reconocer a quien vuelve. La ley dice que para casi todas hay que pedir permiso, con una excepción: las que hacen falta para que la web haga lo que el visitante le está pidiendo, como mantener la sesión mientras rellena un formulario o recordar que ya ha aceptado la barra. Esas se ponen sin preguntar, porque preguntar por ellas sería como pedir permiso para encender la luz. Por eso la lista de lo necesario es la lista de lo que uno se traga sin que le pregunten.

La del ministerio tiene dos cookies con nombre propio y cinco familias, que son prefijos: todo lo que empiece por ahí entra. Las de WordPress se entienden sin esfuerzo: la que comprueba si el navegador acepta cookies, la de sesión de PHP, las que mantienen la sesión y los ajustes de quien entra a editar el contenido. En una web con gestor de contenidos eso es funcionamiento, y nadie discutiría que estén ahí. Sin ellas, quien publica una nota de prensa no podría ni entrar.

Y luego están las otras dos. woocommerce_cart_hash es la huella del carrito de la compra, la cookie que permite que un producto siga en el carrito cuando se cambia de página. wp_woocommerce_session_ es el prefijo de la sesión de compra. WooCommerce es el complemento con el que WordPress se convierte en tienda en línea, el mismo que usan miles de comercios pequeños para cobrar con tarjeta. Esas dos cookies solo tienen sentido si hay algo que meter en un carrito y alguien dispuesto a pagarlo.

Así que fuimos a buscar la tienda. En los 2.075 ficheros HTML que guardamos del ministerio no hay un solo fichero servido desde plugins/woocommerce, que es la carpeta de la que cuelga todo lo de esa tienda, ni una referencia a ella: ni una hoja de estilo ni un script. Tampoco en la página que volvimos a pedir el 15 de septiembre de 2026, ni en la portada del 23. La tienda no está. Su declaración de cookies imprescindibles, sí. Es como encontrar en el inventario de una biblioteca pública dos carros de la compra.

Tampoco es cosa de una página olvidada. La misma lista, letra por letra, aparece en 2.206 ficheros del archivo, entre páginas y programas incrustados, bajo los dos nombres principales del ministerio, con www y sin él. Es lo que el complemento escribe siempre, y por tanto lo que recibe cualquiera que entre, en cualquier sección, antes de decidir si acepta algo. Es el sitio entero, portada incluida, y el 23 de septiembre la portada seguía trayendo la misma lista.

La lista tiene un origen, y está a la vista. Es la que el complemento trae de fábrica. En el repositorio público de complementos de WordPress, el código de la versión 1.0.21, la misma que cargan las páginas del ministerio, pone por defecto esas siete entradas, en el mismo orden, y 180 días de caducidad para el consentimiento. La versión que el repositorio publica hoy trae la misma. La web del ministerio la sirve tal como viene.

Un detalle de propina, del mismo objeto. La fecha en la que caduca el consentimiento no es fija: el servidor la calcula al fabricar cada página, 180 días después de ese segundo, y en el archivo hay 2.119 valores distintos. El de la página que leemos aquí cae el 27 de febrero de 2027. Luego la página se guarda un rato ya hecha: el 23 de septiembre, dos peticiones seguidas a la portada trajeron la misma fecha, calculada casi dos horas antes. Quien entra en ese rato se lleva la misma caducidad que el anterior.