Seus plugins do WordPress carregam rastreadores antes de alguém clicar em aceitar

Você instalou um plugin de consentimento. Os seus outros plugins nunca pediram permissão a ele.

A montagem em que todo mundo confia

Um site típico de cliente: um tema comprado no marketplace, um construtor de páginas, um plugin de formulários, um plugin de analytics, um widget de chat, talvez um gerenciador de tags. Depois, um plugin de consentimento, configurado uma vez, com um banner que parece certo.

O banner decide o que acontece depois do clique. Mas cada plugin enfileira os próprios scripts, e muitos deles carregam junto com a página, antes de alguém clicar em qualquer coisa. Nos fóruns de suporte do WordPress.org a queixa é literal: cookies de analytics "estão sendo carregados antes de o usuário dar o consentimento" (suporte do WordPress.org, 24 abr. 2025).

Por que no WordPress isso passa despercebido

No WordPress, muitas mãos carregam scripts. O tema busca as Google Fonts nos servidores do Google. Um construtor de páginas traz as próprias bibliotecas. Um plugin acrescenta um pixel de rastreio com uma caixinha marcada nas configurações. O plugin de consentimento só bloqueia o que mandaram bloquear, e uma atualização de plugin pode trazer algo novo sem avisar ninguém.

O site parece igual depois de cada atualização. Nada na tela diz que um domínio novo começou a receber pedidos quando a página carrega.

O que o relatório mostra numa página WordPress

O SiteMerit abre a página num navegador de verdade, rola até o fim e não clica em nada. Tudo o que ele registra aconteceu antes de o visitante escolher qualquer coisa. O relatório completo mostra:

• Rastreio antes do consentimento. Pedidos a domínios de publicidade, analytics e redes sociais, cookies e chaves de armazenamento de rastreio, gravadores de sessão, e Google Fonts buscadas no Google antes de qualquer escolha. Detectamos sinais de rastreio antes da escolha; se isso é um problema onde o seu cliente atua é uma pergunta para o advogado dele.
• Cada cookie gravado no carregamento, pela empresa dona do domínio, com os atributos e quanto tempo ele dura.
• Os plugins que vimos rodando, nomeados pelos arquivos que carregam de /wp-content/plugins/, com a versão quando os próprios arquivos do plugin concordam numa só. O WordPress também é nomeado, cada um com a evidência que o revelou.
• Bibliotecas JavaScript com um alerta de segurança público, carregadas numa versão identificável, com o alerta e a versão que o corrige. Plugins costumam trazer embutida uma cópia antiga de uma biblioteca.
• O link da política de privacidade: se a página aponta para a política do próprio site, e se esse link abre.

O relatório lista o que rodou ao lado de quais domínios de terceiros receberam pedidos. Ligar um rastreador ao plugin que o carregou costuma estar a um passo dali: a coluna Initiator do painel Network do navegador.

O que fazer com isso

Comece pelos domínios que você não sabe explicar. Ache o plugin ou a configuração do tema que carrega cada um, e coloque-o depois do consentimento ou desligue. Hospede as Google Fonts junto com o tema. Atualize ou troque o plugin que traz uma biblioteca com alerta. Depois rode a auditoria de novo após a próxima rodada de atualizações de plugins, porque é aí que aparecem scripts novos.

O tema, já que você está aí

O mesmo relatório verifica a acessibilidade da página no navegador, depois que o JavaScript roda: contraste do texto, nomes acessíveis de campos, links e botões, texto alternativo das imagens, regiões da página e ARIA. Construtores de páginas são uma fonte comum de botões só com ícone e sem nome, e de texto que reprova no contraste quando o mouse passa por cima. Nos dados de processos por acessibilidade de 2025, 20,5% dos sites processados rodavam em WordPress (EcomBack, relatório anual de 2025).

Detectamos sinais de risco, com evidência. Não emitimos certificado de conformidade, não avaliamos o seu banner de consentimento e não damos parecer jurídico. Cada relatório cobre uma página, o endereço que você nos passa.

O mesmo problema em qualquer site: seu site grava cookies antes de alguém aceitar

Ela roda 8 verificações na sua página, 2 por área. O rastreio antes do consentimento não está entre elas: ele precisa do navegador de verdade do relatório completo. O relatório completo roda todas as 45 verificações, com evidência e guia de correção, por US$ 29,70, uma vez só, e o cartão só é cobrado quando o relatório é entregue.