Plugin de cookies para WordPress: gratis y autoalojado
Un banner de cookies listo para el RGPD, sin suscripción ni terceros: bloqueo de scripts antes del consentimiento, presets legales, registro de prueba. Gratis.
El banner de cookies se ha convertido en el peaje más odiado de la web — y sin embargo, mal hecho, no protege a nadie: ni a tus visitantes, cuyos datos se fugan antes de que hayan dicho que sí, ni a ti, que sigues expuesto a los reguladores detrás de un banner puramente decorativo. La respuesta del mercado fueron servicios en la nube por suscripción, que te facturan cada mes el derecho a ser conforme. Yo tomé el camino contrario: un módulo de consentimiento completo, autoalojado, gratuito — porque la conformidad no debería ser un alquiler.
Lo esencial
- La regla europea cabe en una frase: ninguna cookie no esencial antes de un consentimiento libremente otorgado, y rechazar debe ser tan fácil como aceptar — la CNIL francesa, una de las autoridades más estrictas, lo formula exactamente así.
- El módulo bloquea scripts, scripts inline e iframes (YouTube, mapas…) hasta que su categoría es aceptada — lo primero que verifica cualquier auditoría.
- 28 presets de jurisdicción ajustan el banner a la ley aplicable: opt-in europeo estricto, opt-out estadounidense con “Do Not Sell or Share”, la LGPD brasileña…
- El registro de consentimientos cubre 13 meses — el período recomendado por la CNIL — como huellas anonimizadas: la prueba, sin el fichero de datos personales.
- 100% autoalojado y gratuito: sin suscripción, sin escaneos facturados, sin servidor de terceros dentro de tu circuito de consentimiento.
¿Qué debe hacer un banner de cookies para ser realmente conforme?
Tres cosas, en este orden: impedir que cualquier cookie no esencial se coloque antes de que el visitante elija, hacer el rechazo tan accesible como la aceptación, y conservar la prueba del consentimiento recogido. Todo lo demás — colores, posición, redacción — es decoración alrededor de esas tres obligaciones.
La primera descalifica a la mayoría de los plugins de consentimiento de cookies para WordPress que circulan por ahí. Un banner que se muestra mientras Google Analytics, el píxel de Meta o un video de YouTube ya están soltando sus cookies no es un mecanismo de consentimiento: es una notificación decorativa. La CNIL francesa lo dice sin ambigüedad desde sus directrices de 2020, y es el primer punto que se comprueba durante una auditoría — basta con abrir el inspector de tu navegador en tu página de inicio, pestaña Cookies, antes de hacer clic en nada.
La segunda acabó con el banner de un solo botón: si aceptar toma un clic, rechazar debe tomar un clic. Los recorridos donde el rechazo hay que ganárselo — “configuración”, luego desmarcar, luego confirmar — están explícitamente en la mira de los requerimientos de los reguladores.
La tercera es la menos conocida: si te auditan, la carga recae sobre ti para demostrar que el consentimiento fue recogido, cuándo y para qué. Sin registro, tu conformidad descansa sobre tu palabra.
¿Por qué un banner autoalojado en lugar de un servicio en la nube?
Porque el consentimiento de tus visitantes no tiene ninguna razón de pasar por un servidor de terceros, y tu conformidad ninguna razón de convertirse en una suscripción: un banner autoalojado hace el mismo trabajo desde tu propio sitio, sin alquiler y sin dependencia.
El mercado se organizó alrededor de soluciones SaaS — Cookiebot, CookieYes, Usercentrics — cuyo modelo es facturar por tráfico, páginas escaneadas o dominio. Ese modelo tiene tres consecuencias que descubres después: el precio sube con tu audiencia, el banner deja de funcionar si la suscripción lo hace, y un actor más se cuela en el circuito de tus datos de consentimiento — irónico, para un mecanismo de protección de datos. Complianz y CookieYes, con un millón de instalaciones cada uno, muestran la escala de la demanda; sus funciones serias están en gran parte detrás de los planes de pago.
El autoalojamiento invierte cada término de ese trato: el banner lo sirve tu sitio, el registro vive en tu base de datos, el costo es cero y seguirá siendo cero. La contrapartida honesta es que tu servidor hace el trabajo — un trabajo ligero, pero real: el módulo reescribe tus páginas para neutralizar los scripts antes del consentimiento.
¿Cómo maneja el módulo las distintas leyes — RGPD, CCPA, LGPD?
Mediante 28 presets de jurisdicción: eliges la ley aplicable y el banner adopta el modelo de consentimiento correspondiente — opt-in europeo estricto, opt-out estadounidense con enlace “Do Not Sell or Share”, híbridos canadienses o australianos, la LGPD brasileña, la DPDP india… Cada preset fija de un solo movimiento el modelo (opt-in, opt-out o simple aviso), las categorías premarcadas, la presencia de un botón “Rechazar todo” y la ventana de renovación del consentimiento (6, 12 o 24 meses según el régimen).
Dos presets merecen una mirada más de cerca. El preset francés añade el rechazo en un clic sobre el que insiste la CNIL. El preset estadounidense activa el enlace “Do Not Sell or Share My Personal Information” que exige la ley de California — un requisito con dientes nuevos, ya que las nuevas regulaciones de la CCPA entraron en vigor en enero de 2026 y ponen los mecanismos de opt-out bajo un escrutinio más estrecho. El módulo también respeta la señal Global Privacy Control del lado del servidor: un visitante cuyo navegador emite GPC recibe el rechazo automático de las cookies no esenciales, y el sitio lo confirma con la cabecera Sec-GPC-Acknowledged. Casi todos los banners del mercado manejan GPC en JavaScript, cuando lo manejan; el manejo del lado del servidor es más robusto y más fácil de defender.
¿Cómo lo instalo y configuro en la práctica?
Activa el módulo Cookies, elige tu preset de jurisdicción, declara tus servicios, genera la página de política: cuatro pasos, sin cuenta que crear.
- Instala Blaminhor Essentials y activa el módulo Cookies.
- Selecciona el preset que corresponde a tu situación — para un sitio que sirve a visitantes de la UE: el opt-in europeo, rechazo en un clic incluido.
- Declara tus servicios (Analytics, YouTube, píxeles…) en sus categorías: esta declaración alimenta a la vez el bloqueo previo al consentimiento y la tabla de la política de cookies.
- Haz clic en “Crear página de política”: el módulo genera la página con el shortcode
[blaminhor_cookie_declaration], que muestra una tabla de declaración agrupada por categoría — y que se actualiza sola cada vez que añades un servicio. Esa página que nadie escribe nunca es, sin embargo, una exigencia legal.
Monté esta configuración exacta en un sitio de prueba para tomar las capturas de este artículo: desde la activación del módulo hasta un banner funcionando con su página de política generada, sin salir ni una vez del panel de WordPress — precisamente el nivel de simplicidad que buscaba cuando lo construí. Si usas un producto de Google, Consent Mode v2 se emite de forma nativa: Analytics y Ads reciben el estado del consentimiento en el formato que esperan desde marzo de 2024, sin etiqueta extra.
La comparación en una tabla
| Criterio | SaaS (Cookiebot, CookieYes…) | Complianz (freemium) | Módulo Cookies de Blaminhor Essentials |
|---|---|---|---|
| Dónde se aloja el consentimiento | Los servidores del proveedor | Tu servidor | Tu servidor |
| Precio | Suscripción, crece con el tráfico | Plan gratuito limitado, Premium por sitio | Gratis, sin planes |
| Bloqueo antes del consentimiento | Sí | Sí | Sí, scripts inline e iframes incluidos |
| Presets de jurisdicción | Según el plan | Sí | 28, del RGPD a la DPDP india |
| Global Privacy Control | Raro, en JS | Parcial | Respetado del lado del servidor + cabecera de confirmación |
| Registro de prueba | Del lado del proveedor | Local | Local, 13 meses, huellas anonimizadas |
| Certificación IAB TCF | Según el plan | Complemento | No — por diseño, fuera del objetivo ad-tech |
¿Qué valen realmente las multas para un sitio modesto?
Los récords de titulares — cientos de millones contra Google o Meta — no son tu riesgo; tu riesgo es la denuncia de un visitante, gratuita de presentar, que desencadena una auditoría, un requerimiento público de conformidad y la obligación de arreglarlo todo con prisa. Las autoridades europeas publican regularmente sanciones y requerimientos dirigidos a empresas perfectamente ordinarias — la CNIL francesa es el ejemplo más visible — y el regulador de California tiene ahora su propia vía de aplicación. La doble pena es sobre todo reputacional: el requerimiento es público, y tu banner remendado se convierte en un comunicado de prensa.
La buena noticia es que el nivel exigido está totalmente a tu alcance: bloqueo antes del consentimiento, rechazo en un clic, prueba conservada. Exactamente lo que automatiza un plugin de consentimiento de cookies para WordPress bien diseñado.
La conformidad no es una suscripción
Un banner de cookies no es un producto gancho para un SaaS: es una obligación legal estable que se resuelve perfectamente con código corriendo en tu propio servidor. Bloquear antes de consentir, rechazar tan rápido como aceptar, probar sin perfilar — el módulo Cookies hace ese trabajo gratis, y tus visitantes comparten su elección contigo y con nadie más.
Es uno de los módulos de Blaminhor Essentials, el plugin gratuito y modular — junto al anti-spam sin CAPTCHA, que comparte la misma filosofía: tus datos se quedan en casa, y la factura no existe.
FAQ
¿Es obligatorio un banner de cookies en todo sitio WordPress?
En cuanto el sitio coloca cookies no esenciales — analítica, publicidad, videos incrustados — antes del consentimiento o sin él, sí: el RGPD y la Directiva ePrivacy lo exigen para cualquier sitio al alcance del derecho europeo, esté alojado donde esté. Un sitio de presentación sin analítica ni contenidos de terceros puede prescindir de él; en la práctica, es raro.
¿Qué arriesga un sitio sin un consentimiento conforme?
Los reguladores europeos — la CNIL francesa entre los más estrictos — han impuesto multas de cientos de millones de euros a los gigantes, pero también auditan y ordenan formalmente a pequeñas empresas ponerse en regla. El riesgo más concreto para un sitio pequeño sigue siendo la denuncia de un visitante — gratuita de presentar — y el requerimiento de conformidad que le sigue, con la exposición pública que conlleva.
¿Por qué evitar soluciones en la nube como Cookiebot o CookieYes?
Funcionan por suscripción, meten sus propios servidores dentro de tu circuito de consentimiento y la factura sube con tu tráfico o el número de páginas escaneadas. Un banner autoalojado hace el mismo trabajo desde tu propio servidor: sin factura mensual, sin dependencia, y el consentimiento de tus visitantes no pasa por las manos de nadie más.
¿El módulo bloquea de verdad los scripts antes del consentimiento?
Sí, incluidos los scripts inline y los iframes incrustados (YouTube, mapas): quedan neutralizados hasta que el visitante acepta la categoría correspondiente, y se ejecutan una vez dado el consentimiento. Es lo primero que verifican los reguladores — un banner que se muestra mientras Google Analytics ya está corriendo no protege a nadie.
¿Cómo demuestro el consentimiento si me auditan?
El módulo conserva un registro de consentimientos de 13 meses — el período de validez que recomienda la CNIL francesa — en forma de huellas anonimizadas: puedes demostrar que el consentimiento fue recogido sin haber construido un fichero de datos personales para probarlo. El registro está disponible directamente en el panel de administración.
¿Qué es Google Consent Mode v2 y me concierne?
Es el mecanismo por el cual tu banner comunica el estado del consentimiento a Google Analytics y Google Ads, obligatorio desde marzo de 2024 para usar la medición publicitaria en el Espacio Económico Europeo. Si usas un producto de Google, te concierne; el módulo lo emite de forma nativa, sin ninguna etiqueta extra que añadir.
¿La geolocalización por visitante funciona por sí sola?
No, y prefiero decirlo sin rodeos: adaptar el banner al país del visitante requiere la base de datos de MaxMind, subida manualmente, o las cabeceras de geolocalización de Cloudflare si tu sitio corre detrás de ellos. Sin resolución de país, el módulo aplica el preset más estricto — eres conforme por defecto, nunca al revés.
Comentarios