Sus plugins de WordPress cargan rastreadores antes de que alguien haga clic en aceptar

Usted instaló un plugin de consentimiento. Sus otros plugins nunca le pidieron permiso.

La configuración en la que todos confían

Un sitio típico de cliente: un tema del marketplace, un constructor de páginas, un plugin de formularios, un plugin de analítica, un widget de chat, quizá un gestor de etiquetas. Después, un plugin de consentimiento, configurado una vez, con un banner que parece correcto.

El banner decide lo que pasa después del clic. Pero cada plugin encola sus propios scripts, y muchos se cargan con la página, antes de que nadie haga clic en nada. En los foros de soporte de WordPress.org la queja es literal: las cookies de analítica "se están cargando antes de que el usuario haya dado su consentimiento" (soporte de WordPress.org, 24 abr 2025).

Por qué en WordPress esto pasa desapercibido

En WordPress, muchas manos cargan scripts. El tema carga Google Fonts desde los servidores de Google. Un constructor de páginas trae sus propias bibliotecas. Un plugin añade un píxel de seguimiento con una casilla en su configuración. El plugin de consentimiento solo bloquea lo que le dijeron que bloqueara, y una actualización de plugin puede añadir algo nuevo sin avisar a nadie.

El sitio se ve igual después de cada actualización. Nada en pantalla dice que un dominio nuevo empezó a recibir solicitudes al cargar la página.

Lo que muestra el informe en una página WordPress

SiteMerit abre la página en un navegador real, se desplaza hasta el final y no hace clic en nada. Todo lo que registra ocurrió antes de que el visitante eligiera algo. El informe completo muestra:

• Rastreo antes del consentimiento. Solicitudes a dominios de publicidad, analítica y redes sociales, cookies y claves de almacenamiento de rastreo, grabadores de sesión, y Google Fonts descargadas de Google antes de cualquier elección. Detectamos señales de rastreo antes de la elección; si eso es un problema donde opera su cliente es una pregunta para su abogado.
• Cada cookie escrita al cargar, por la empresa dueña de su dominio, con sus atributos y cuánto dura.
• Los plugins que vimos funcionando, nombrados por los archivos que cargan desde /wp-content/plugins/, con una versión cuando los propios archivos del plugin coinciden en una. WordPress también se nombra, cada uno con la evidencia que lo reveló.
• Bibliotecas JavaScript con un aviso de seguridad público, cargadas en una versión identificable, con el aviso y la versión que lo corrige. Los plugins suelen incluir una copia antigua de una biblioteca.
• El enlace a la política de privacidad: si la página enlaza a la política del propio sitio, y si ese enlace abre.

El informe lista lo que se ejecutó junto a qué dominios de terceros recibieron solicitudes. Vincular un rastreador con el plugin que lo cargó suele estar a un paso: la columna Initiator del panel Network del navegador.

Qué hacer con esto

Empiece por los dominios que no sabe explicar. Encuentre el plugin o el ajuste del tema que carga cada uno, y colóquelo detrás del consentimiento o desactívelo. Aloje Google Fonts con el tema. Actualice o reemplace el plugin que trae una biblioteca con aviso. Después, vuelva a ejecutar la auditoría tras la próxima ronda de actualizaciones de plugins, porque es entonces cuando aparecen scripts nuevos.

El tema, ya que está ahí

El mismo informe comprueba la accesibilidad de la página en el navegador, después de que se ejecuta el JavaScript: contraste del texto, nombres accesibles de campos, enlaces y botones, texto alternativo de las imágenes, regiones de la página y ARIA. Los constructores de páginas son una fuente habitual de botones con solo un icono y sin nombre, y de texto que no pasa el contraste al pasar el ratón. En los datos de demandas por accesibilidad de 2025, el 20,5 % de los sitios demandados funcionaba con WordPress (EcomBack, informe anual 2025).

Detectamos señales de riesgo, con evidencia. No emitimos certificados de conformidad, no evaluamos su banner de consentimiento y no damos opiniones legales. Cada informe cubre una página, la dirección que usted nos da.

El mismo problema en cualquier sitio: cookies guardadas antes de que nadie acepte

La muestra ejecuta 8 verificaciones en su página, 2 por área. El rastreo antes del consentimiento no está entre ellas: necesita el navegador real del informe completo. El informe completo ejecuta las 45 verificaciones, con evidencia y guía de corrección, por US$ 29,70, una sola vez, y solo se cobra a su tarjeta cuando se entrega el informe.