Cómo probar un banner de cookies antes de publicarlo

Todos los artículos

Prueba un banner de cookies en una URL de staging, en una ventana privada, antes de publicarlo. Primero comprueba que aparece, que retiene las cookies no esenciales hasta que hay una elección y que la señal de consentimiento de la petición saliente coincide con esa elección. Después comprueba que la elección queda registrada y que sobrevive a una visita de vuelta y a una retirada del consentimiento. Las tres últimas son donde suelen fallar las configuraciones.

Casi todas las pruebas que se publican son auditorías a posteriori

Busca cómo probar un banner de cookies y lo que sale son auditorías: abre la web, abre las herramientas para desarrolladores, pulsa rechazar y mira si los rastreadores se detienen. Es una auditoría razonable y nosotros también la haríamos. Pero si lees las guías que hoy salen primero, están escritas para un banner que ya está publicado, y eso responde a una pregunta distinta de la del título.

La diferencia importa porque cada prueba cuesta algo distinto cuando falla. Un banner publicado que resulta estar roto lleva recogiendo datos que no debía, o perdiendo datos que debía recoger, durante todo el tiempo que alguien haya tardado en darse cuenta. Un banner roto en staging te ha costado una tarde.

¿Qué hay que comprobar antes de publicar un banner de cookies?

1. Prueba en staging, no en la web publicada

   Producción no es un banco de pruebas. Pon el banner en una URL de staging y registra ese dominio en la herramienta de consentimiento para que allí muestre un banner real y no se niegue a cargar. La mayoría de herramientas de consentimiento tienen un modo de pruebas o de borrador pensado para esto.

2. Abre una ventana privada y comprueba que el banner aparece

   Una ventana privada limpia es la única primera mirada honesta. Tu propio navegador guarda una elección que hiciste antes, y un banner ya respondido no vuelve a salir. Comprueba que el banner aparece en la primera carga, que la opción de rechazar se ve sin hacer scroll y que rechazar no es más difícil que aceptar.

3. Recházalo todo y mira qué envía la página

   Abre el panel de red y el panel de almacenamiento del navegador antes de tocar el banner. Todavía no debería haberse escrito ninguna cookie no esencial, ni debería cargar ninguna etiqueta de terceros como Meta o Hotjar. Las peticiones de Google dependen de tu configuración de Consent Mode, que vemos en la siguiente sección. Después rechaza todo y recarga, también en una página de producto y en el checkout, porque las etiquetas se añaden a menudo por plantilla y por personas distintas.

4. Lee la señal de consentimiento en la petición saliente, no en el banner

   Esta es la comprobación que separa un banner de una configuración de consentimiento, y la que se dejan fuera las listas publicadas. Donde hay Consent Mode implementado, las etiquetas de Google llevan el estado del consentimiento en la propia petición: rechaza, lee ese estado y confirma que dice denegado. Si no aparece ningún estado de consentimiento, eso ya es un hallazgo en sí, y un fallo distinto: significa que Consent Mode no está funcionando, no que haya fallado el banner.

5. Confirma que la elección quedó registrada

   Un consentimiento que no puedes presentar más tarde sirve de poco en una auditoría. Comprueba que, al responder al banner, se crea un registro guardado que puedes recuperar, con las categorías aceptadas y cuándo se aceptaron. Qué más incluye depende del proveedor, y el campo por el que merece la pena preguntar es la versión del aviso que se mostró, porque sin él no puedes decir qué aceptó el visitante.

6. Repítelo como visitante que vuelve, tras retirar el consentimiento y desde otra región

   Las tres se publican rotas con regularidad. Recarga como un visitante que ya respondió y confirma que la elección almacenada se sigue aplicando. Retira el consentimiento y confirma que las etiquetas de terceros se paran y que las de Google vuelven a un estado denegado. Después comprueba una región donde tus reglas sean distintas.

¿Es un fallo una petición de Google antes del consentimiento?

No siempre. Aquí se mezclan dos pruebas distintas. Ninguna cookie no esencial antes del consentimiento es una prueba de almacenamiento: no se escribe ni se lee en el navegador nada que no sea estrictamente necesario hasta que el visitante acepta. Ninguna petición de analítica antes del consentimiento es una prueba de red más estricta, y solo se cumple con Consent Mode básico o con etiquetas que bloqueas por completo.

Con Consent Mode avanzado, las etiquetas de Google cargan con todas las señales denegadas y envían pings sin cookies, un comportamiento que Google documenta como esperado. En esa configuración, una petición /g/collect antes del consentimiento pasa la prueba si lleva gcs=G100 y no pone ninguna cookie. Una petición de Meta o de Hotjar en el mismo punto no la pasa.

Qué prueba aplica es una decisión legal además de técnica. Las directrices del Comité Europeo de Protección de Datos sobre el artículo 5(3) de la Directiva ePrivacy lo interpretan como algo que abarca más que las cookies, y algunos equipos eligen el modo básico por consejo legal. Decide qué configuración usas y prueba esa.

Cómo es un aprobado de verdad

Cuatro de esas comprobaciones tienen una versión cómoda y otra honesta, y la mayoría de guías se conforman con la cómoda. En la distancia entre las dos columnas es donde configuraciones que todo el mundo dio por buenas resultan estar mal meses después.

La tercera fila es la que merece más atención. Cuando una herramienta de consentimiento te dice que ha aplicado una elección, te está informando de su propio estado interno, que no es lo mismo que lo que recibieron tus etiquetas. La duda se resuelve en la petición que sale del navegador, y por eso comprobar la señal de Consent Mode v2 es un paso aparte y no un detalle de la prueba de rechazo.

¿Qué tres estados no prueba nadie?

Las primeras visitas se prueban porque son fáciles de reproducir. Los estados que llegan rotos a producción son los que exigen algo de preparación.

El visitante que vuelve. Una elección guardada tiene que leerse y volver a aplicarse en la siguiente visita, y ese camino pasa por un código distinto del que la registró. Cuando falla, el visitante ve otra vez el banner en cada carga de página o, peor aún, el banner no aparece, la elección guardada se ignora sin que nadie se entere y las etiquetas funcionan con un valor por defecto que nadie eligió.

La retirada. El artículo 7 del RGPD exige que retirar el consentimiento sea tan fácil como darlo. Lo interesante es qué pasa después: las etiquetas de terceros que estaban concedidas tienen que pararse, y las de Google tienen que volver a un estado denegado. Una retirada puede actualizar el registro almacenado y dejar corriendo las etiquetas ya cargadas hasta la siguiente carga de página, algo que conviene saber antes del lanzamiento y no después de una reclamación.

Otra región. Las reglas se configuran para el mercado que alguien tenía en la cabeza ese día, así que una configuración que muestra un banner correcto en un país puede no mostrar nada en otro. Quien hace la prueba suele estar en el primer país, y por eso nadie lo ve.

Guarda constancia

Apunta lo que has visto, porque la prueba pierde valor en cuanto la web vuelve a cambiar. Guarda la petición saliente con el estado denegado, el registro de consentimiento almacenado y una nota con las plantillas de página que revisaste. Esa es la diferencia entre decir que el banner se probó y poder demostrarlo, la misma que marcamos en ¿cómo demuestras que un visitante dio su consentimiento?

Conviene ser honestos sobre lo que protege esta prueba. Las elecciones de consentimiento ocultan a la analítica una parte de las sesiones, y esa parte varía según la región, el público y el diseño del banner. La tasa de aceptación de tu herramienta de consentimiento te dice cuál es la tuya. Un banner que falla de alguna de las formas anteriores no es solo un riesgo legal: cambia lo que cuentan todos los informes que van detrás, y sin dar ni un mensaje de error.

Velo está hecho para que casi toda esta lista se cumpla desde la primera carga. El estado de consentimiento se fija desde un único snippet antes de que se inicien tus etiquetas, la elección se registra con sus categorías y la versión del aviso, y una visita de vuelta se comporta como la primera. El mecanismo está en la página de producto.