Consentimiento de cookies en WordPress: ¿qué plugins y scripts hay que bloquear?

Consentimiento de cookies en WordPress: ¿qué plugins y scripts hay que bloquear?

WordPress facilita crear un sitio web rápidamente. También facilita cargar por accidente scripts de seguimiento antes de que el visitante haya dado su consentimiento.

Un sitio web típico de WordPress puede usar herramientas de analítica, formularios, vídeos incrustados, plugins de e-commerce, botones para compartir en redes sociales, chat en vivo, herramientas de seguridad, píxeles publicitarios, mapas de calor, widgets de reservas y creadores de páginas. Muchos de ellos pueden establecer cookies, acceder al almacenamiento, cargar código de terceros o enviar datos de los visitantes a servicios externos.

Por eso el consentimiento de cookies en WordPress no debe tratarse como “instala un banner y olvídate”.

---

El núcleo de WordPress no lo es todo

El propio WordPress puede establecer cookies para usuarios que han iniciado sesión, preferencias del panel de administración, comentarios y funciones básicas del sitio. La página de cookies de WordPress.org enumera ejemplos como las cookies de prueba y las cookies de configuración que se usan para el comportamiento de los usuarios que han iniciado sesión: WordPress.org Cookie Policy.

Pero la mayoría de los problemas de cumplimiento de cookies en WordPress vienen de plugins, temas, contenidos incrustados y scripts de marketing.

La documentación de privacidad de WordPress explica que los administradores del sitio pueden crear una página de política de privacidad y que los plugins y los temas pueden afectar a cómo se recogen y se tratan los datos personales: WordPress Privacy.

Así que el punto de partida no es solo el núcleo de WordPress. Es toda la estructura del sitio web.

---

La regla básica: necesario vs no esencial

La Information Commissioner’s Office (ICO) del Reino Unido explica que las organizaciones que usan cookies y tecnologías similares deben informar a las personas de qué cookies se usan, explicar qué hacen y obtener su consentimiento, salvo que se aplique una excepción. Puedes leer la guía de la ICO aquí: Cookies and similar technologies.

La ICO también explica que las tecnologías de almacenamiento y acceso van más allá de las cookies tradicionales e incluyen píxeles, etiquetas, scripts, plugins, fingerprinting de dispositivos y almacenamiento local: What are storage and access technologies?.

Si un plugin o script es estrictamente necesario para el sitio web o para el servicio que ha solicitado el usuario, puede que no necesite consentimiento antes de cargarse. Si se usa para analítica, marketing, personalización, publicidad, seguimiento del comportamiento o funciones opcionales, puede que deba bloquearse hasta que se otorgue el consentimiento.

---

Plugins y scripts que normalmente hay que bloquear

Plugins de analítica

Los plugins de analítica suelen establecer cookies o enviar el comportamiento de los visitantes a plataformas como Google Analytics, Matomo, Plausible, Microsoft Clarity u otras herramientas de informes.

En muchos casos, el seguimiento analítico no es estrictamente necesario para que el sitio web funcione. Es útil para el negocio, pero el visitante puede seguir usando el sitio web sin él.

Píxeles publicitarios

Los píxeles publicitarios son uno de los ejemplos más claros de scripts que deben bloquearse antes del consentimiento. Esto incluye Meta Pixel, TikTok Pixel, LinkedIn Insight Tag, las etiquetas de conversión de Google Ads, Pinterest Tag, los píxeles de anuncios de X y los scripts de seguimiento de afiliados.

Estas herramientas se usan habitualmente para retargeting, medición de conversiones, creación de audiencias y optimización de anuncios. Normalmente pertenecen a la categoría de marketing, no a la de necesarias.

Mapas de calor y grabaciones de sesiones

Las herramientas de mapas de calor y de grabación de sesiones pueden registrar cómo interactúan los visitantes con una página. Pueden capturar clics, desplazamientos, movimientos, interacciones con formularios, datos del dispositivo y recorridos de navegación.

Como estas herramientas analizan el comportamiento del usuario, normalmente deben bloquearse hasta que se otorgue el consentimiento de analítica o de seguimiento del comportamiento, según tu estructura de categorías.

Vídeos incrustados y widgets sociales

Los contenidos incrustados de YouTube, Vimeo, TikTok e Instagram, los widgets de Facebook, los botones para compartir en redes sociales y los widgets de comentarios pueden cargar scripts de terceros o establecer cookies.

Una configuración más segura es usar un marcador de posición hasta que el usuario otorgue el consentimiento funcional o de marketing, según el proveedor y la finalidad.

Chat en vivo y widgets de soporte

Los plugins de chat en vivo pueden ser útiles, pero pueden establecer cookies, identificar a los visitantes, registrar páginas vistas o conectarse a sistemas CRM.

Si el chat no es estrictamente necesario para que la página funcione, plantéate bloquearlo hasta que se otorgue el consentimiento funcional.

Herramientas de personalización y de pruebas A/B

Las pruebas A/B, los motores de recomendación, las herramientas de contenido dinámico y los plugins de personalización suelen usar identificadores para asignar a los usuarios a variantes o personalizar el sitio web. Estas herramientas normalmente no son estrictamente necesarias.

Scripts de CRM, email y automatización de marketing

Los sitios web de WordPress suelen incluir scripts de HubSpot, Mailchimp, Klaviyo, ActiveCampaign, Salesforce o herramientas similares.

Estos scripts pueden hacer seguimiento de páginas vistas, identificar contactos, activar formularios, apoyar el lead scoring o crear segmentos. Según lo que hagan, pueden necesitar consentimiento de analítica, funcional o de marketing antes de cargarse.

---

Plugins que pueden ser necesarios

Algunos plugins pueden ser necesarios para la seguridad o para el funcionamiento básico del sitio web.

Algunos ejemplos son la seguridad del inicio de sesión, la prevención del fraude, el balanceo de carga, la funcionalidad del carrito de compra, la gestión de la sesión del checkout, la autenticación de usuarios, las preferencias de accesibilidad y el almacenamiento de las preferencias de cookies.

Pero “importante para el negocio” no es lo mismo que “estrictamente necesario para el usuario”.

Por ejemplo, una cookie del carrito de WooCommerce puede ser necesaria para que un cliente complete una compra. Un píxel de retargeting en la página del producto no lo es.

---

Los temas y los creadores de páginas de WordPress también importan

No revises solo los plugins.

Los temas y los creadores de páginas también pueden añadir scripts. Un tema puede incluir Google Fonts, mapas incrustados, sliders, vídeos de fondo, fragmentos de código de analítica o scripts sociales.

El manual de privacidad para plugins de WordPress anima a los desarrolladores a considerar si un plugin carga JavaScript, píxeles de seguimiento o iframes de terceros, porque pueden recoger datos de los visitantes o dejar cookies: Privacy Plugin Handbook.

La misma lógica se aplica cuando auditas tu propio sitio web de WordPress.

---

Cómo auditar un sitio web de WordPress para el bloqueo

Empieza con un escaneo práctico. Revisa los plugins activos, la configuración del tema, los widgets del creador de páginas, los scripts de cabecera y pie de página, los contenedores de Google Tag Manager, las integraciones de WooCommerce, los contenidos multimedia incrustados, los plugins de formularios, los widgets de chat, los scripts de CRM, los píxeles publicitarios y las herramientas de mapas de calor.

Después, prueba el sitio web antes de aceptar las cookies. Abre una sesión limpia del navegador e inspecciona las cookies, el almacenamiento y las solicitudes de red.

Si los scripts de analítica, publicidad, mapas de calor o marketing se activan antes del consentimiento, probablemente haya que bloquearlos.

Una plataforma de gestión del consentimiento como CookiePal puede ayudar a escanear cookies, categorizarlas, bloquear scripts no esenciales y permitir que los visitantes acepten, rechacen o cambien sus elecciones. La página de gestión del consentimiento de CookiePal explica el escaneo de cookies, los banners de consentimiento y el bloqueo automático.

---

Errores comunes de consentimiento de cookies en WordPress

Instalar un banner que no bloquea scripts

Un banner por sí solo no basta. Si los scripts ya se cargan antes de que el visitante elija, la configuración no funciona.

Revisar solo la página de inicio

Los sitios web de WordPress suelen cargar scripts distintos en el blog, las landing pages, las páginas de producto, las páginas del checkout y las páginas de contacto.

Olvidar los scripts codificados de forma fija

El código de seguimiento puede estar escondido en archivos del tema, en plugins de cabecera y pie de página, en GTM, en creadores de páginas o en plantillas personalizadas.

Clasificar todo como necesario

Las funciones de seguridad y de checkout pueden ser necesarias. La analítica y la publicidad normalmente no lo son.

No volver a probar tras actualizar los plugins

Las nuevas versiones de plugins, los cambios de tema o las campañas de marketing pueden introducir nuevos scripts.

La página de funciones de CookiePal destaca los escaneos programados, la categorización automática, los banners multilingües, la compatibilidad con Google Consent Mode v2 y el bloqueo automático de cookies.

---

Lista de verificación práctica

Antes de publicar un sitio web de WordPress, revisa:

• ¿Se han revisado todos los plugins en busca de cookies y scripts?
• ¿Se han revisado los scripts del tema y del creador de páginas?
• ¿Se bloquean las herramientas de analítica antes del consentimiento?
• ¿Se bloquean los píxeles publicitarios antes del consentimiento?
• ¿Se bloquean las herramientas de mapas de calor y de grabación de sesiones?
• ¿Están controlados los contenidos incrustados y los widgets sociales?
• ¿Están bien categorizados los scripts de formularios, chat y CRM?
• ¿Rechazar todo bloquea de verdad los scripts no esenciales?
• ¿Aceptar todo permite los scripts correctos?
• ¿Pueden los usuarios cambiar su consentimiento más adelante?
• ¿Se gestionan correctamente las cookies del checkout de WooCommerce?
• ¿Está actualizada la política de cookies?
• ¿Se hace un nuevo escaneo después de cada actualización de plugins?

Para las pequeñas empresas que comparan opciones de CMP, la página de precios de CookiePal puede ayudar a ajustar las funciones de consentimiento al tamaño y al tráfico del sitio web.

---

Conclusión

El consentimiento de cookies en WordPress no consiste solo en elegir un plugin de banner. Se trata de controlar lo que realmente se carga en el sitio web.

Los plugins de analítica, los píxeles publicitarios, los mapas de calor, los contenidos multimedia incrustados, las herramientas de chat, los scripts de CRM y las herramientas de personalización suelen tener que bloquearse hasta que se otorgue el consentimiento adecuado. La seguridad, el checkout, la autenticación y el almacenamiento de las preferencias de cookies pueden ser necesarios, pero cada script debe revisarse según su finalidad.

El enfoque más seguro es auditar toda la estructura de WordPress: núcleo, plugins, tema, creador de páginas, gestor de etiquetas, contenidos incrustados y código personalizado. Después, bloquear los scripts no esenciales antes del consentimiento y seguir probando tras cada actualización.

Una buena configuración de consentimiento en WordPress no solo pide permiso. Se asegura de que el sitio web respete la respuesta.