Iniciar sesión en Facebook con cookies: qué son, qué no son y la lista de verificación para la transición

```html

Que te entreguen un bloque de cookies y ninguna contraseña se siente como un error la primera vez. Vale la pena saber lo común que es en realidad antes de decidir qué hacer con ellas.

Contando los listados de cuentas de Facebook activos en este sitio hoy, el cincuenta y siete por ciento menciona cookies en algún lugar del listado, y un tercio las incluye en el título. Las cookies no son un recurso inusual aquí. Son el formato de entrega predeterminado, que aparece junto a un inicio de sesión y una contraseña en la mayoría de los listados y de forma independiente en unos pocos.

Ese puñado tiene precios en una dirección que la mayoría no adivinaría. Los listados que indican claramente que la cookie es la única vía de acceso no son el extremo barato del estante; se sitúan en aproximadamente una vez y media la mediana del estante. Sea lo que sea una cuenta solo con cookies, el mercado no lo trata como un descuento.

Qué es una cookie, en la única frase que importa

Una cookie no es una credencial. Es la prueba de que ya se produjo un inicio de sesión.

Cuando alguien inicia sesión normalmente, Facebook escribe algunos valores en ese navegador. Cada solicitud posterior los devuelve, y Facebook los lee como "esta sesión ya está autenticada" en lugar de volver a verificar quién eres. Copia esos valores en un navegador diferente y ese navegador hereda la sesión. No se omite nada ni se vulnera la seguridad; estás continuando algo que ya existe.

Que es exactamente por lo que las cookies son frágiles de maneras que una contraseña no lo es. Una sesión termina cuando el propietario de la cuenta cierra sesión, cuando Facebook decide que algo parece sospechoso, o cuando simplemente caduca. Cuando eso sucede, la cookie no se degrada ni pide una contraseña. Simplemente deja de funcionar y no hay nada que reintentar.

Dos nombres aparecen constantemente en este contexto, c_user y xs, y vale la pena ser directo sobre de dónde vienen. Son lo que muestra la propia vista de almacenamiento del navegador. Meta no documenta nada de esto: la política de cookies no nombra ninguna cookie individual y no ofrece ningún detalle técnico sobre ninguna de ellas. Trata los nombres como folklore operativo que resulta ser fiable, no como algo a lo que puedas señalar una página de soporte para justificarlo.

Cargarlas y la cuestión de la plataforma que los resultados de búsqueda siguen planteando

Las personas que buscan esto preguntan abrumadoramente "en qué dispositivo". La respuesta honesta es que este es un procedimiento de navegador de escritorio, y los resultados móviles son en su mayoría ruido.

A mano. Abre facebook.com, abre las herramientas de desarrollador del navegador, ve al panel de almacenamiento o aplicación, encuentra la lista de cookies para el dominio e introduce los valores. Funciona y es tedioso. Las dos cosas que lo rompen son un dominio incorrecto y una ruta incorrecta, y ninguna produce un mensaje de error. La página simplemente permanece sin sesión iniciada.

Con una extensión de editor de cookies. Cualquier cosa que importe una matriz JSON es más rápida y mucho más difícil de equivocar, porque el dominio y la ruta viajan con los datos en lugar de volver a escribirse. La forma es una lista de objetos, cada uno con un dominio de .facebook.com, una ruta de /, un nombre y un valor. Importa, guarda, recarga la página. Si la sesión está viva, entras de inmediato.

Las reglas que deciden si funciona son breves. El dominio debe incluir el punto inicial, la ruta casi siempre es la raíz del sitio, y los nombres y valores deben ser exactos, incluidos los caracteres finales que un copiar y pegar puede omitir. Si xs falta o es incorrecto, el resto del conjunto no mantendrá una sesión por sí solo.

En los teléfonos, la ruta de la extensión en su mayoría no existe, por eso las sugerencias de búsqueda se llenan de aplicaciones independientes e instaladores. Esos son software de terceros que piden mantener una sesión activa para una cuenta que te importa, una decisión considerablemente mayor que el propio inicio de sesión. Si la cuenta importa, usa un navegador de escritorio.

Las cookies y los tokens de acceso no son la misma compra

La otra consulta que la gente combina con esta es si quieren cookies o un token, y la dispersión de precios en nuestro propio estante lo responde mejor que una explicación. Los listados que mencionan un token de acceso se sitúan en casi tres veces la mediana del estante. Los listados que ofrecen cookies en formato JSON se sitúan en menos de un tercio de la misma. Nueve a uno, entre dos cosas de las que la gente habla indistintamente.

La razón es lo que alcanza cada una. Una cookie de sesión lleva a un navegador a la interfaz que usa una persona. Un token aborda la superficie programática y sigue funcionando donde no hay ningún navegador involucrado. Los compradores que necesitan automatización pagan por el segundo y no pueden sustituir el primero, que es lo que mide la dispersión. Si te entregaron cookies y esperabas manejar una API, no obtuviste una versión más barata de lo mismo. Obtuviste algo diferente.

Los primeros diez minutos, si la cuenta ahora es tuya

Una cookie es acceso temporal por construcción. Si la intención es que seas dueño de la cuenta en lugar de tomar prestada una sesión, la entrega no está completa hasta que las credenciales que sobreviven a una sesión sean tuyas, y nada de eso sucede automáticamente.

Primero, una advertencia de navegación, porque de lo contrario te hará perder el tiempo. Meta está en plena migración y lo dice en sus propias páginas de ayuda: es posible que veas Centro de cuentas o Configuración de la cuenta de Meta como el lugar para gestionar la configuración de la cuenta. El artículo sobre cambio de contraseña incluso tiene su propia rama de respaldo, que te dice que selecciones Contraseña y seguridad directamente si el Centro de cuentas no está allí. Así que espera uno de dos diseños y navega por el nombre de la sección en lugar de por el número de clics.

La ruta que Meta documenta es: tu foto de perfil, luego Configuración y privacidad, luego Configuración, luego Centro de cuentas, luego Contraseña y seguridad. Casi todo lo demás vive en esa única sección.

• Finaliza las otras sesiones. En Contraseña y seguridad, abre Dónde has iniciado sesión, elige la cuenta y luego selecciona todos los dispositivos y cierra sus sesiones. Haz esto deliberadamente en lugar de asumir que un cambio de contraseña lo hace por ti. La documentación de Meta sobre el cambio de contraseña no dice nada sobre otros dispositivos, y lo único que documenta sobre finalizar sesiones es que lo haces tú mismo.
• Cambia la contraseña. Contraseña y seguridad, luego Cambiar contraseña y luego elige la cuenta.
• Configura la autenticación de dos factores, en la misma sección. Luego toma los códigos de recuperación: dentro de la autenticación de dos factores, en cómo recibes los códigos de inicio de sesión, abre Métodos adicionales, luego Códigos de recuperación y luego obtén códigos nuevos. Se emiten diez. Generar un nuevo conjunto es lo que invalida cualquier conjunto que el titular anterior haya conservado, y este es el paso que la gente se salta.
• Revisa la lista de claves de acceso. Una clave de acceso es una ruta de inicio de sesión separada que vive en el dispositivo físico de alguien, y una que se deja atrás es una forma de volver a entrar que una nueva contraseña no cierra de manera obvia. Meta no publica ninguna declaración al respecto sobre lo que un cambio de contraseña hace a una clave de acceso existente, razón suficiente para mirar la lista tú mismo en lugar de asumir. Eliminar una requiere volver a introducir la contraseña, así que hazlo después de haber establecido la contraseña que controlas.

El orden importa aquí. Finaliza las sesiones primero, para que cualquier otra persona que estuviera dentro salga antes de que empieces a cambiar lo que pueden ver. Luego la contraseña, luego la autenticación de dos factores, luego los códigos de recuperación y luego las claves de acceso.

Lo que las cookies no pueden hacer por ti

Tener una sesión no es tener una cuenta, y la brecha se muestra precisamente en los pasos anteriores. El cambio de contraseña pide lo que no tienes. Eliminar una clave de acceso re-autentica. Si las cookies son realmente todo lo que se entregó, eres un invitado en esa sesión durante el tiempo que dure, y cada acción que haría permanente el acceso está detrás de una credencial que no te dieron.

Esa es la prueba de si una entrega solo con cookies es lo que querías. Para administrar la cuenta durante una semana, está bien. Para poseerla, las cookies solas no te llevan allí, y lo que hay que negociar antes de pagar es la contraseña y el correo electrónico, no el formato de cookie.

Dónde encaja esto con los términos de Facebook

Vale la pena decirlo claramente en lugar de dejarlo implícito. Los términos de servicio de Facebook piden a los usuarios no compartir una contraseña ni dar acceso a su cuenta de Facebook. Esa cláusula existe, no es ambigua y se aplica independientemente de cómo se haya empaquetado el acceso o quién haya aceptado entregarlo.

Lo que sigue es una evaluación de riesgos más que un procedimiento. Las sesiones obtenidas de esta manera pueden ser finalizadas por Facebook en cualquier momento, una cuenta puede ser restringida y ninguna ruta de apelación comienza con "me dieron las cookies". Los compradores que hacen esto a gran escala tratan cada cuenta como desechable y contabilizan las pérdidas. Tratar una cuenta comprada como infraestructura es asumir un riesgo que la plataforma anunció de antemano.

Los listados de cuentas de Facebook aquí revelan el formato de entrega en el título, por lo que las cuentas solo con cookies, las de cookies más inicio de sesión y las que incluyen token se pueden distinguir antes de la compra en lugar de después. La descripción general de seguridad de la cuenta de Facebook cubre la superficie circundante, y bloquear una cuenta correctamente cubre el estado final.

```