Banner de cookies en WordPress: lo que pide la AEPD y el fallo más común

En España, si tu web usa cookies que no son estrictamente técnicas (analítica de terceros, publicidad, widgets de redes), necesitas el consentimiento del visitante antes de instalarlas. Un banner de cookies es la forma habitual de pedirlo. El fallo más común no es que no haya banner. Es que el banner está, pero Google Analytics, el píxel de Meta o un widget ya se han cargado por detrás antes de que el visitante pulse nada.

Esto no es asesoramiento legal. Son observaciones técnicas sobre cómo se comportan las webs. Para dudas legales concretas sobre tu caso, consulta con un abogado o con la AEPD.

Qué dice la norma, en corto

La base está en el artículo 22.2 de la LSSI (texto consolidado en el BOE). Permite usar «dispositivos de almacenamiento y recuperación de datos» en el equipo del usuario «a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización». Quedan fuera las cookies técnicas, las que hacen falta para el servicio que el usuario ha pedido.

La AEPD lo desarrolla en su Guía sobre el uso de las cookies, actualizada en mayo de 2024. Tres puntos prácticos:

• Rechazar tiene que ser tan fácil como aceptar. La guía dice que la opción de rechazar «deberá ofrecerse al usuario al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptarlas». Un botón grande de «Aceptar» y un enlace escondido de «Configurar» no cumple.
• Nada de muros de cookies sin alternativa. La AEPD lo explicó al actualizar la guía: no se puede condicionar el acceso a la web a que se acepten las cookies si no se ofrece una alternativa.
• La analítica puede estar exenta, pero con condiciones. La guía sobre herramientas de medición de audiencia admite que ciertas cookies de analítica no necesiten consentimiento. Tienen que servir solo para medir la audiencia de tu web, producir datos estadísticos anónimos, no cruzarse con otros datos ni enviarse a terceros, y no seguir al usuario por otras webs. Muchas herramientas de analítica populares no cumplen esas condiciones.

Conclusión práctica: si una cookie no técnica se instala, o se envían datos a terceros, antes de que el visitante elija, el banner no está haciendo su trabajo.

Cómo comprobar tu web en cinco minutos

No hace falta ningún programa especial:

1. Abre tu web en una ventana de incógnito y no toques el banner.
2. Pulsa F12 para abrir las herramientas de desarrollo del navegador.
3. En la pestaña Aplicación (o «Almacenamiento»), mira las cookies. Si ves _ga, _gid, _fbp o similares, la analítica o la publicidad ya se han cargado.
4. En la pestaña Red, recarga la página y filtra por google-analytics, collect, facebook o tiktok. Si hay peticiones, se están enviando datos.
5. Repite la prueba después de pulsar «Rechazar». No debería aparecer nada nuevo.

Hazlo también en una página interior (una ficha de producto, una entrada del blog), no solo en la portada. A veces el fallo está solo en una plantilla.

Por qué pasa tanto en WordPress

En WordPress es muy fácil acabar con la analítica cargada desde dos sitios a la vez, y solo uno de ellos respeta el banner. Las causas típicas:

• El código de Google Analytics pegado a mano en el tema o en un plugin de «insertar código», además de la integración del plugin de cookies.
• Un plugin de SEO, de formularios o del tema que añade su propia etiqueta de Google sin pasar por el consentimiento.
• Widgets de redes, mapas o vídeos incrustados (Instagram, YouTube, Google Maps) que instalan sus cookies en cuanto se cargan.
• Una caché mal configurada que sirve a todos los visitantes la misma versión de la página, scripts incluidos, sin tener en cuenta lo que ha elegido cada uno.

Google Consent Mode v2: qué es y qué no es

Si usas herramientas de Google, te habrás encontrado con Consent Mode. Sirve para que las etiquetas de Google sepan qué ha aceptado el visitante. Se definen por defecto en «denied» ad_storage, analytics_storage, ad_user_data y ad_personalization, y se actualizan cuando el visitante acepta. La versión 2 añadió los dos últimos.

Dos matices importantes:

• Consent Mode no es un banner ni sustituye al consentimiento. Necesitas una herramienta de consentimiento que lo active.
• Google documenta dos modos. En el básico, las etiquetas no se cargan hasta que el visitante interactúa con el banner. En el avanzado, se cargan desde el principio y, si el visitante rechaza, envían señales sin cookies. Cuál encaja con la normativa en tu caso es una decisión legal, no técnica.

Dos casos reales

Nuestra propia tienda: lazaruslab.net

En la auditoría del 7 de octubre de 2026, la ficha de producto de lazaruslab.net, nuestra tienda en WooCommerce, instalaba 6 cookies de terceros sin que nadie tocara el banner. El 11 de octubre, tras el arreglo: 0.

Lo importante es que la analítica no se perdió. La política de seguridad del sitio (CSP) bloqueaba Google Analytics incluso después de aceptar. Se corrigió, y ahora GA4 funciona tras el consentimiento. Arreglar las cookies no debería dejarte sin datos: la analítica se carga cuando toca, no nunca.

Un estudio de tatuajes en Square Online

Madriz Ink es un estudio de tatuajes del centro de Madrid cuya web está en Square Online, no en WordPress, pero el fallo era el mismo. Un fragmento duplicado de Google Analytics se saltaba el consentimiento. Lo quitamos, cambiamos una ventana de cookies muy pesada por un aviso ligero e hicimos que los widgets de redes esperaran al consentimiento de marketing. Las visitas registradas en Google Analytics antes del consentimiento pasaron de sí a 0.

Lo que no se pudo arreglar: el script de Meta se sigue cargando antes del consentimiento a través de la cuenta conectada a Square. Es un límite de la plataforma, aunque no instala cookies. Los detalles están en los casos reales.

Si prefieres que lo revisemos nosotros

La auditoría de solo lectura (249 €, IVA aparte) incluye el apartado de RGPD y legal: qué cookies se cargan antes de aceptar, cómo es el banner y si las páginas legales y los formularios están bien. Cada hallazgo va con su prueba, y el informe es tuyo.

En WordPress, la Reparación WordPress (desde 600 €, IVA aparte) incluye un RGPD de verdad: el banner de cookies bloquea la analítica hasta que el visitante acepta.

Si tu web va lenta, los scripts de terceros suelen tener parte de la culpa. Lo explicamos en WordPress lento.

Preguntas frecuentes

¿Es obligatorio el banner de cookies? Lo obligatorio es informar y pedir el consentimiento antes de usar cookies no técnicas. Si tu web solo usa cookies técnicas, no necesitas pedir consentimiento para ellas. Qué cuenta como técnica lo detalla la guía de la AEPD.

¿Vale un plugin gratuito de cookies? Puede valer, si bloquea de verdad los scripts hasta que el visitante acepta y ofrece rechazar al mismo nivel que aceptar. Compruébalo con la prueba de arriba, con independencia de lo que diga el plugin.