En resumen
Qué se comprueba
si existe un aviso de cookies, y cuántas cookies y rastreadores se activan antes del consentimiento.
Valor correcto
aviso presente y cero cookies o rastreadores no esenciales antes de que el visitante acepte.
Por qué importa
la normativa europea exige pedir permiso, y las sanciones del RGPD llegan a 20 millones de euros o el 4 % de la facturación anual.
Severidad en Wakaris
Crítico. Falla en el 72 % de las páginas analizadas.
Qué es y qué mide este hallazgo
Este hallazgo mide si tu web respeta la decisión del visitante sobre sus datos. Una cookie es un pequeño dato que la web guarda en el navegador para reconocer a la persona en la siguiente visita. Un rastreador es un código, casi siempre de un tercero, que recoge lo que hace esa persona: analítica, publicidad, redes sociales. Algunas cookies son esenciales, como la del carrito o la de la sesión. Las demás necesitan permiso.
Wakaris evalúa tres evidencias. El aviso de cookies: si existe un mecanismo visible para aceptar o rechazar. Las cookies antes del consentimiento: cuántas se guardan antes de que la persona haya tocado nada. Y los rastreadores antes del consentimiento: cuántos códigos de terceros se activan en ese mismo momento. El umbral parte de cero: una sola cookie no esencial previa a la decisión ya es un hallazgo, y la severidad crece con el número.
MDN resume la obligación en tres puntos: avisar de que la web usa cookies, permitir rechazar algunas o todas, y dejar usar la mayor parte del servicio sin recibirlas.
Cómo se mide
Wakaris carga la URL que le indiques en un navegador limpio, sin cookies previas, y observa lo que ocurre antes de que nadie pulse nada. En ese primer instante registra qué cookies han aparecido y qué peticiones de terceros se han lanzado. Después busca en la página un mecanismo de consentimiento. Con esa foto te devuelve las tres evidencias: si hay aviso, cuántas cookies previas y cuántos rastreadores previos, con la severidad del hallazgo.
El detalle que cambia la lectura es el momento. Muchas webs tienen un aviso perfecto y aun así fallan, porque la analítica y la publicidad se cargan a la vez que el aviso, no después de aceptarlo. El aviso informa, pero no protege: el dato ya ha salido. Por eso Wakaris no se limita a buscar el banner, sino que cuenta lo que se activa antes de la decisión.
La medición es sobre una página concreta y sin historial. Una cookie que solo aparece tras aceptar no cuenta; cuenta lo que se guarda a la primera, sin permiso.
Por qué importa
Importa en dos frentes, el legal y el de confianza.
En el legal, la normativa que cubre las cookies en la Unión Europea es el RGPD junto con la Directiva ePrivacy, y su alcance es global: se aplica a cualquier web que visiten personas desde la Unión Europea, esté alojada donde esté. El RGPD exige que el consentimiento sea explícito y libre, que se pueda retirar en cualquier momento y que retirarlo sea tan fácil como darlo. Las sanciones pueden llegar a 20 millones de euros o al 4 % de la facturación mundial anual, según la gravedad y el tamaño de la organización. Son el techo del riesgo, no la sanción habitual.
En el de confianza, los navegadores ya actúan por su cuenta. Firefox, Safari y Brave bloquean las cookies de rastreo por defecto, y Edge bloquea los rastreadores de sitios no visitados. Una web que activa rastreadores sin preguntar no solo se expone a una sanción: pierde datos, porque parte de sus visitantes ya llega con esos rastreadores bloqueados, y pierde credibilidad.
Causas comunes
Las tres evidencias fallan por motivos distintos.
Cuando no hay aviso, la causa suele ser una web que nació sin él o que lo perdió en un rediseño. También ocurre que el aviso existe pero no lo es: un mensaje informativo sin botón de rechazo, que informa pero no pide permiso.
Cuando hay cookies antes del consentimiento, el culpable habitual es el orden de carga. El código de analítica o de publicidad está pegado en la plantilla, o en un gestor de etiquetas que dispara todo en cuanto la página carga, sin condición. El aviso llega después, cuando la cookie ya está guardada. Otra causa frecuente son los complementos del gestor de contenidos que colocan sus propias cookies sin pasar por el consentimiento.
Cuando hay rastreadores antes del consentimiento, suelen ser recursos embebidos que nadie considera rastreadores: vídeos de terceros, botones de redes sociales, mapas, tipografías externas o chats. Cada uno lanza peticiones a su servidor al cargar, y con ellas viaja información del visitante. MDN describe el resultado: un servidor de terceros puede construir un perfil del historial y los hábitos de una persona a partir de las cookies que recibe desde varios sitios.
Cómo solucionarlo
Lo primero es saber cuál de las tres evidencias falla, porque el arreglo cambia. Wakaris te señala en el informe si falta el aviso, cuántas cookies previas hay y cuántos rastreadores previos.
Si falta el aviso, instala un mecanismo que ofrezca aceptar y rechazar con la misma facilidad y permita cambiar la decisión más tarde.
Si hay cookies o rastreadores previos, condiciona la carga. Cada etiqueta de analítica, publicidad o redes sociales debe esperar a la decisión del visitante y activarse solo si la respuesta es sí. Google documenta dos formas para sus etiquetas: la básica, que impide cargarlas hasta que la persona interactúe con el aviso, y la avanzada, que las carga con el consentimiento denegado por defecto y sin cookies. Los vídeos y mapas embebidos se sustituyen por una imagen previa que solo carga el contenido real al hacer clic.
Por último, cuida el propio aviso: web.dev señala que los avisos de cookies son una fuente muy común de desplazamientos de diseño, así que reserva su espacio o colócalo como pie fijo.
Tabla con las tres evidencias del hallazgo: aviso de cookies, cookies antes del consentimiento y rastreadores antes del consentimiento, con su umbral y su arreglo
Brief para generar la imagen
Ilustración editorial para una guía técnica de Wakaris. Tema: Tabla con las tres evidencias del hallazgo: aviso de cookies, cookies antes del consentimiento y rastreadores antes del consentimiento, con su umbral y su arreglo. Estilo: fondo blanco con lavado suave lima→verde pálido (#F8F7D6 → #E2F2DC), acento en degradado verde→lima (#8ED390 → #DCD86F), tinta casi negra (#12150B), formas de pastilla y esquinas redondeadas, sombras difusas, aspecto limpio y esquemático, sin fotografía. Formato: 16:9, 1440 píxeles de ancho. Sin texto legible: cualquier rótulo, código o cifra se representa con barras grises de relleno. El significado lo lleva el pie de foto, no la imagen. Sin logotipos reales ni marcas de terceros. Sin personas reconocibles. Etiquetas: gestión, consentimiento, tabla, evidencias, hallazgo, aviso, cookies, rastreadores
Pregúntale a tu IA
Si quieres profundizar en tu caso concreto, copia uno de estos dos prompts y pégalo en la IA que uses. Elige según tu situación.
Ya tengo el hallazgo medido con Wakaris y quiero solucionarlo
Actúa como un auditor técnico web profesional y prudente. Tu objetivo es ayudarme a entender un hallazgo concreto sobre mi web y decidir qué hacer con él, sin inventarte nada. Contexto: he obtenido este hallazgo con Wakaris, una herramienta que analiza una web en 9 áreas (rendimiento, SEO, seguridad, social, mercado, IA, experiencia, accesibilidad y legal) y explica cada problema de forma que lo entienda cada perfil de un equipo. El hallazgo es: Gestión del consentimiento. Comprueba tres cosas: si mi web tiene un aviso de cookies con opción de aceptar y rechazar, cuántas cookies se guardan en el navegador antes de que el visitante decida y cuántos rastreadores de terceros se activan antes de esa decisión. Referencia: aviso presente y cero cookies o rastreadores no esenciales antes del consentimiento. Pega aquí el resultado de Wakaris: qué evidencia te ha salido fuera de umbral, con qué número, en qué página y, si lo indica, qué cookies o dominios de terceros aparecen. Si no lo tienes, dímelo y te diré cómo obtenerlo antes de seguir. Reglas que debes seguir en todo momento: 1. No asumas nada sobre mi web. Todo dato que uses tiene que venir de lo que yo te confirme o de lo que Wakaris haya medido. Si no lo sabes, pregúntamelo antes de afirmarlo. 2. Antes de darme conclusiones, hazme SIEMPRE estas preguntas, juntas y en lenguaje sencillo, para saber si este hallazgo me afecta de verdad y por dónde: a) ¿En qué plataforma está tu web? (WordPress, Shopify, web a medida, otra) b) ¿Tienes un aviso de cookies? Si lo tienes, ¿permite rechazar con la misma facilidad que aceptar? c) ¿Cómo cargas la analítica y la publicidad: pegadas en la plantilla, con un gestor de etiquetas o con un complemento? d) ¿Qué contenido de terceros tienes embebido: vídeos, mapas, botones de redes sociales, chats, tipografías externas? e) De las tres evidencias, ¿cuál te ha salido fuera de umbral y con qué número? f) ¿Controlas tú el código de la web o lo gestiona otra persona o agencia? g) Si hay que aplicar un arreglo técnico, ¿lo harías tú, un técnico interno o una agencia? 3. Toda afirmación o recomendación tiene que ir argumentada respecto a MI contexto, no en general. Si me recomiendas algo, explícame por qué aplica a mi caso. 4. Marca siempre tu nivel de certeza. Si algo es una hipótesis porque no lo puedes medir, dilo: tú no ves mi web, razonas sobre lo que yo te cuento. Y recuérdame que tú no eres asesor legal: si necesito una valoración jurídica, debo consultarla con un profesional. 5. No me propongas cambios técnicos irreversibles o de riesgo (configuración de servidor, borrar recursos, cambios directos en producción) sin avisarme antes del riesgo y de que conviene una copia de seguridad o un entorno de prueba. 6. Si necesitas un dato que solo se obtiene midiendo la web (confirmar qué cookies se guardan antes del consentimiento, o si el arreglo funcionó), dímelo y recomiéndame volver a pasar la página por Wakaris: eso se mide, no se adivina. 7. La decisión final es mía, no tuya. Tu papel es ayudarme a entender y a preparar la acción, no decidir por mí. 8. Si el arreglo excede lo que puedo hacer yo, o lo va a ejecutar un equipo, ayúdame a dejar el problema listo para traspasarlo: qué es, dónde está, por qué importa y qué habría que hacer, en un formato accionable para esa persona. Fuente de este hallazgo: https://www.wakaris.com/es/guias/legal-rgpd/gestion-del-consentimiento Para medirlo o volver a medirlo: https://www.wakaris.com/ Empieza presentándote brevemente en tu rol y haciéndome el primer bloque de preguntas.
Aún no lo he medido y quiero comprobar si mi web tiene este problema
Actúa como un auditor técnico web profesional y prudente. Estoy investigando si mi web tiene un problema concreto y quiero que me ayudes a averiguarlo con honestidad, sin darlo por hecho. Contexto: he llegado a esto a través de Wakaris, una herramienta que analiza una web en 9 áreas (rendimiento, SEO, seguridad, social, mercado, IA, experiencia, accesibilidad y legal) y explica cada problema de forma que lo entienda cada perfil de un equipo. El problema que quiero investigar es: Gestión del consentimiento. Consiste en que la web guarde cookies o active rastreadores de terceros antes de que el visitante haya aceptado, o en que no tenga un aviso de cookies con opción de rechazar. Referencia: aviso presente y cero cookies o rastreadores no esenciales antes del consentimiento. Todavía NO sé si mi web lo tiene: quiero averiguarlo. Reglas que debes seguir en todo momento: 1. Lo primero y más importante: las cookies y los rastreadores previos al consentimiento se MIDEN observando la carga real de la página, y tú no puedes medir mi web desde esta conversación. Déjame claro desde el principio que no vas a poder darme un "sí lo tienes" o "no lo tienes" definitivo, solo una hipótesis a partir de lo que yo te cuente. 2. No asumas nada. Antes de darme ninguna valoración, hazme SIEMPRE estas preguntas, juntas y en lenguaje sencillo, para estimar si es probable que tenga el problema: a) Cuando entras en tu web por primera vez, ¿aparece un aviso de cookies? ¿Tiene botón de rechazar, o solo de aceptar? b) ¿Usas analítica web, publicidad o píxeles de redes sociales? ¿Sabes si esperan a que el visitante acepte o se cargan siempre? c) ¿Tienes contenido de terceros embebido: vídeos, mapas, botones de compartir, chats, tipografías externas? d) ¿Quién instaló el aviso de cookies y las herramientas de medición: tú, un complemento del gestor de contenidos o una agencia? e) ¿En qué plataforma está tu web? (WordPress, Shopify, web a medida, otra; o no lo sé) f) ¿Has cambiado algo en la web en los últimos meses: un rediseño, un complemento nuevo, una campaña de publicidad? 3. Con mis respuestas, dame una estimación clara de si es PROBABLE o POCO PROBABLE que lo tenga, y de cuál de las tres evidencias sería la sospechosa, argumentada según lo que te he dicho y marcada explícitamente como hipótesis, no como diagnóstico. 4. Dime de forma directa que la única manera de saberlo de verdad es medirlo, y que puedo hacerlo gratis y sin crear cuenta pasando mi web por Wakaris, que me dará si hay aviso, cuántas cookies y rastreadores se activan antes del consentimiento y de paso el estado de las otras áreas. 5. Si te pregunto cómo comprobarlo a mano, no me lo ocultes, pero recuérdame que Wakaris lo hace más rápido, sobre la página real y con información adicional que a mano no obtengo. 6. Si al medirlo resulta que sí lo tengo, dime que el siguiente paso es entender cómo me afecta y cómo solucionarlo en mi caso concreto, y que para la parte jurídica debo consultar con un profesional. 7. La conclusión y la decisión son mías, no tuyas. Tú me ayudas a orientarme. Fuente de este hallazgo: https://www.wakaris.com/es/guias/legal-rgpd/gestion-del-consentimiento Para medirlo: https://www.wakaris.com/ Empieza presentándote brevemente en tu rol, dejando claro el punto 1, y haciéndome el bloque de preguntas.
Preguntas frecuentes
¿Basta con tener un aviso de cookies? +
No. El aviso informa, pero el hallazgo mide también lo que ocurre antes de que el visitante decida. Si la analítica o la publicidad se cargan a la vez que el aviso, las cookies ya están guardadas cuando la persona lee el mensaje. El aviso tiene que ir acompañado de una carga condicionada a la respuesta.
¿Qué cookies pueden guardarse sin consentimiento? +
Las estrictamente necesarias para prestar el servicio que la persona ha pedido: la de sesión, la del carrito, la que recuerda el idioma o la propia decisión sobre las cookies. Todo lo demás, incluidas analítica, publicidad y redes sociales, necesita permiso previo. Wakaris cuenta las no esenciales que aparecen antes de la decisión.
¿Qué sanción puede acarrear incumplirlo? +
Según la documentación de MDN sobre el RGPD, las multas pueden llegar a 20 millones de euros o al 4 % de la facturación mundial anual del ejercicio anterior, y varían según la gravedad de la infracción y el tamaño de la organización. Son el techo para los casos más graves, no la sanción habitual, pero marcan el riesgo.
¿Por qué mi analítica ha bajado tras arreglar este hallazgo? +
Porque antes medías a todo el mundo, con o sin permiso, y ahora solo a quien acepta. La caída no es una pérdida de visitantes, sino la diferencia entre lo que medías sin derecho y lo que puedes medir con él. Google documenta un modo que envía mediciones sin cookies cuando el permiso se deniega, para reducir ese hueco.
Fuentes citadas
- developer.mozilla.orgGDPR, MDN Web Docs: alcance del RGPD, requisitos del consentimiento y cuantía de las sanciones.
- developer.mozilla.orgUsing HTTP cookies, MDN Web Docs: normativa que cubre las cookies, alcance global y los tres requisitos.
- developer.mozilla.orgThird-party cookies, MDN Web Docs: cookies de terceros, perfiles de navegación y bloqueo por defecto en los navegadores.
- developers.google.comConsent mode overview, Google for Developers: comportamiento de las etiquetas según el consentimiento, modos básico y avanzado.
- web.devBest practices for cookie notices, web.dev: los avisos de cookies como fuente común de desplazamientos de diseño.
Actualizado: 7 de septiembre de 2026.
Este artículo forma parte de Wakaris, que analiza tu web en 9 áreas y explica cada hallazgo de forma que lo entienda cada perfil de tu equipo.