Resumen
WordPress no gestiona de forma nativa el consentimiento de cookies. Para que una web WordPress cumpla el RGPD, necesitas instalar una solución de gestión del consentimiento (CMP) que muestre un banner, bloquee los scripts sin consentimiento y conserve la prueba del consentimiento. Existen varios enfoques: un plugin específico de WordPress, una solución SaaS externa como FlowConsent o una integración manual mediante un fragmento de código.
¿Por qué WordPress por sí solo no basta para cumplir con las cookies?
WordPress es un sistema de gestión de contenidos. No incluye ningún mecanismo nativo para informar a los visitantes sobre las cookies, recoger su consentimiento o bloquear scripts antes de su aceptación. Sin embargo, la mayoría de las webs WordPress instalan cookies desde la primera carga de página.
Las fuentes de cookies en una web WordPress son numerosas: el propio núcleo de WordPress (cookies de sesión, cookies de autenticación), los plugins instalados (formularios, analítica, caché, comercio electrónico, SEO), el tema activo (Google Fonts, scripts integrados) y los servicios de terceros integrados (Google Analytics, píxel de Facebook, YouTube, widgets de chat). Cada uno de ellos puede instalar cookies propias o de terceros.
Sin una CMP, todas estas cookies se activan al cargar la página, antes de que el visitante haya dado su consentimiento. Es el incumplimiento más habitual en las webs WordPress.
¿Qué exige el RGPD a una web WordPress?
Los requisitos son los mismos que para cualquier web, sea cual sea la tecnología utilizada.
Muestra un banner de consentimiento conforme cuando llega el visitante, con un botón Aceptar y otro Rechazar igual de visibles. Bloquea todos los scripts no esenciales (analítica, publicidad, redes sociales) hasta que el visitante haga clic en Aceptar. Ofrece una política de cookies accesible y actualizada que enumere todos los rastreadores presentes en la web. Conserva la prueba del consentimiento para presentarla en caso de inspección. Permite al visitante modificar o retirar su consentimiento en cualquier momento.
Usar WordPress no modifica ni reduce estas obligaciones. Una web WordPress con WooCommerce, Google Analytics y un píxel de Facebook tiene exactamente los mismos requisitos que una web desarrollada a medida.
¿Cómo gestionar las cookies en WordPress?
Hay tres enfoques principales para que una web WordPress cumpla con la normativa de cookies.
Opción 1: un plugin de consentimiento de cookies para WordPress
Es el enfoque más habitual. Plugins como Complianz, CookieYes, Cookie Notice o GDPR Cookie Compliance añaden un banner de consentimiento y un mecanismo de bloqueo de scripts directamente en WordPress.
La ventaja es la sencillez: bastan unos pocos clics en la interfaz de WordPress. La limitación es que estos plugins dependen del ecosistema de WordPress: compatibilidad con los temas, con otros plugins y con las actualizaciones del núcleo. Algunos plugins gratuitos ofrecen un banner básico, pero no bloquean realmente los scripts antes del consentimiento, por lo que la web no cumple pese a las apariencias.
Opción 2: una CMP SaaS externa
Una CMP externa como FlowConsent, Cookiebot o Didomi se integra mediante un fragmento de JavaScript en la cabecera de la web. Funciona con independencia de WordPress y gestiona el consentimiento, el bloqueo de scripts y la prueba del consentimiento en el servidor.
La ventaja es la fiabilidad: la CMP no depende de plugins de WordPress y funciona igual sea cual sea el tema o la configuración. Además, ofrece funciones avanzadas (escaneo automático de cookies, Google Consent Mode v2, informes de cumplimiento) que la mayoría de los plugins gratuitos no incluyen.
Opción 3: integración manual
Los desarrolladores pueden crear un mecanismo de consentimiento a medida utilizando la API JavaScript de la CMP o programando manualmente el bloqueo de scripts (atributo type="text/plain" en las etiquetas script y activación condicional tras el consentimiento).
Este enfoque ofrece un control total, pero exige un mantenimiento continuo y un buen conocimiento del funcionamiento de las cookies y del RGPD. Rara vez está justificado para una web WordPress estándar.
¿Cómo bloquear los scripts antes del consentimiento en WordPress?
El bloqueo de scripts es el punto técnico más crítico. Un banner que se muestra pero no bloquea las cookies antes del consentimiento no es conforme.
El método estándar consiste en modificar el atributo type de las etiquetas script. En lugar de type="text/javascript" (que provoca la ejecución inmediata), se utiliza type="text/plain" con un atributo data-category que identifica la categoría de cookies (analytics, marketing, etc.). La CMP reactiva los scripts de la categoría correspondiente solo después del consentimiento.
En WordPress, esta modificación puede hacerse de tres formas: desde la configuración del plugin de consentimiento (la mayoría ofrece un mecanismo de bloqueo automático), mediante un plugin de gestión de scripts como Header Footer Code Manager (para modificar los atributos manualmente) o a través del archivo functions.php del tema hijo (para integraciones a medida).
Una vez configurado el bloqueo, una auditoría de cookies verifica que los scripts estén realmente bloqueados antes del consentimiento. Es un paso de validación imprescindible.
Cookies habituales en una web WordPress
Una web WordPress estándar instala varias categorías de cookies que deben identificarse y documentarse.
Entre las cookies nativas de WordPress están wordpress_test_cookie (prueba del funcionamiento de las cookies), wordpress_logged_in_* (sesión de autenticación de los usuarios conectados) y wp-settings-* (preferencias de la interfaz de administración). Estas cookies son estrictamente necesarias y están exentas de consentimiento para los usuarios autenticados.
Las cookies de WooCommerce (si está instalado) incluyen woocommerce_cart_hash y woocommerce_items_in_cart (carrito de compra). Son estrictamente necesarias en el contexto de un proceso de compra.
Las cookies de terceros son las que requieren consentimiento: _ga y _gid (Google Analytics), _fbp y _fbc (píxel de Facebook), las cookies de YouTube (si se integran vídeos), las de los plugins para compartir en redes sociales y las de las soluciones de chat o soporte.
Un escaneo de tu web identifica todas estas cookies y te permite clasificarlas correctamente en tu CMP.
Errores habituales en las webs WordPress
Instalar un plugin de banner sin activar el bloqueo de scripts. El banner se muestra, pero las cookies de analítica y publicidad se siguen activando al cargar la página. Es el incumplimiento más extendido en WordPress.
Usar un plugin gratuito que no bloquea realmente las cookies. Algunos plugins gratuitos se limitan a mostrar un aviso sin ningún mecanismo técnico de bloqueo. El banner es puramente decorativo.
No actualizar la configuración tras añadir un nuevo plugin. Cada plugin de WordPress puede instalar sus propias cookies. Añadir un plugin de formularios, una herramienta de chat o un módulo de comercio electrónico modifica el inventario de cookies de la web.
Olvidar las cookies que instala el tema. Los temas de WordPress suelen cargar Google Fonts, librerías JavaScript externas o scripts de analítica integrados. Estos instalan cookies de terceros que deben bloquearse antes del consentimiento.
No gestionar la caché de WordPress. Los plugins de caché (WP Rocket, W3 Total Cache, LiteSpeed Cache) pueden servir una versión en caché de la página que ya contiene cookies de una sesión anterior. La CMP debe configurarse para funcionar correctamente con la caché.
WordPress y Google Consent Mode v2
Si tu web WordPress utiliza Google Analytics 4 o Google Ads, Consent Mode v2 es imprescindible. Este mecanismo permite que las etiquetas de Google adapten su comportamiento en función de la elección de consentimiento del visitante.
En el modo básico, las etiquetas de Google no se activan en absoluto antes del consentimiento. En el modo avanzado, las etiquetas envían pings sin cookies para alimentar el aprendizaje automático de Google, incluso sin consentimiento.
En WordPress, Consent Mode v2 puede configurarse mediante Google Tag Manager (GTM) o directamente a través de la CMP. FlowConsent y la mayoría de las CMP SaaS transmiten automáticamente las señales de consentimiento a las etiquetas de Google. Si usas un plugin de WordPress, comprueba que sea compatible de forma nativa con Consent Mode v2.
Checklist: cumplimiento de cookies en WordPress
- Realiza un escaneo de la web para inventariar todas las cookies (núcleo, plugins, tema, terceros).
- Instala una CMP (plugin de WordPress o solución SaaS externa).
- Configura el bloqueo de los scripts no esenciales antes del consentimiento.
- Comprueba que el botón Rechazar sea tan visible como el botón Aceptar.
- Activa Google Consent Mode v2 si utilizas Google Analytics o Google Ads.
- Redacta y publica una política de cookies completa.
- Prueba el comportamiento en navegación privada: ninguna cookie no esencial antes de hacer clic en Aceptar.
- Configura la CMP para que funcione con el plugin de caché de WordPress.
- Programa auditorías trimestrales y después de añadir cada plugin.
- Documenta la configuración para poder presentarla en las inspecciones.
Conclusión
WordPress no gestiona el consentimiento de cookies de forma nativa, pero el cumplimiento es alcanzable con las herramientas adecuadas. La clave está en elegir una solución que bloquee realmente los scripts antes del consentimiento, no un simple banner decorativo. Una CMP SaaS como FlowConsent ofrece una integración fiable, independiente de plugins y temas, con escaneo automático y Consent Mode v2 incluidos.
Empieza con un escaneo gratuito de tu web WordPress para identificar todas las cookies presentes y evaluar tu nivel actual de cumplimiento.