¿HubSpot necesita consentimiento de cookies?

Todos los artículos

Sí, en la UE y Reino Unido, si el script de HubSpot funciona en tu web. HubSpot clasifica __hstc y hubspotutk como cookies de analítica no esenciales y sus píxeles de anuncios como publicidad. Retén el script hasta el consentimiento o comunícale la elección a HubSpot. No basta con condicionar tus etiquetas de Meta y LinkedIn, porque HubSpot puede cargar esos píxeles por su cuenta.

¿Qué cookies de HubSpot necesitan consentimiento?

En la UE la norma es el artículo 5(3) de la Directiva ePrivacy, y Reino Unido tiene su propia versión en la PECR: guardar algo en el dispositivo de un visitante requiere consentimiento salvo que sea estrictamente necesario para el servicio que ha pedido. En Estados Unidos la mayoría de las leyes estatales funcionan de otra forma, con exclusión voluntaria, como explica el artículo sobre las leyes estatales de privacidad.

La lista de cookies de HubSpot hace casi toda la clasificación por ti:

• Analítica, necesitan consentimiento: __hstc, hubspotutk, __hssc y __hssrc. Las dos primeras duran seis meses.
• Publicidad, necesitan consentimiento: los píxeles de Facebook, LinkedIn y Google instalados con la herramienta de anuncios de HubSpot.
• Necesarias, sin consentimiento: las cookies que recuerdan la propia elección, como __hs_cookie_cat_pref y __hs_do_not_track, además de las de seguridad y de inicio de sesión de miembros.

Con el chat en directo hay que leer con calma. HubSpot trata messagesUtk como necesaria cuando su ajuste de consentimiento para cookies del chat está activado. Si está desactivado, lo gobierna un ajuste de consentimiento aparte en el chatflow, así que revisa los dos antes de clasificarla.

¿Por qué se cargan los píxeles de anuncios de HubSpot con tus etiquetas bloqueadas?

Porque no vienen de tus etiquetas. En una web real que auditamos en agosto de 2026, las etiquetas de Meta y LinkedIn en Tag Manager estaban bien condicionadas y no se dispararon. Aun así, la traza de red mostraba al script de HubSpot cargando js.hsadspixel.net/pixels.js, que inyectaba los dos píxeles con los mismos ID.

Leímos los scripts que HubSpot servía en noviembre de 2026 para ver por qué. El cargador de HubSpot añade pixels.js junto a su archivo de analítica, en los dos cargadores que comprobamos. Puedes abrir ese archivo y buscar addPrivacyConsentListener. No mira tu contenedor. Solo escucha una cosa, el estado de consentimiento de la propia HubSpot, y solo le pide la lista de píxeles cuando la categoría advertisement vale true. Lo ejecutamos contra una simulación para confirmarlo: sin respuesta o con una respuesta false no envió ninguna petición, y con una respuesta true pidió la lista.

Ahora, lo que pilla a las webs que usan otra herramienta de consentimiento. En ese mismo script del banner, cuando ninguna política de cookies de HubSpot coincide con la página, el consentimiento queda permitido para todas las categorías. Una web que cambió de banner y no dejó ninguna política en HubSpot le está diciendo que sí al archivo de píxeles, haga clic donde haga clic el visitante. HubSpot no describe este comportamiento por defecto en las páginas que leímos y los scripts cambian, así que usa la comprobación de abajo como prueba para tu web.

¿Basta con el banner de cookies de HubSpot?

Puede serlo, para las cookies de la propia HubSpot. El ejemplo de HubSpot es el píxel de Facebook: instalado con su herramienta de anuncios y con consentimiento explícito obligatorio, no puede crear cookies hasta que el visitante acepte. También dice que el banner solo cubre las cookies de HubSpot, y que los píxeles añadidos a mano en la cabecera de tu web quedan fuera de su control. Si el resto de tu web usa otras etiquetas, necesitas algo que las gobierne, y conviene evitar dos banners que hagan la misma pregunta a un mismo visitante.

¿Cómo retienes HubSpot hasta que el visitante acepta?

Hay cuatro vías. Elige según lo que más funcione en la web y lo que quieras conservar para quienes rechazan.

• El banner de HubSpot es tu único banner. En Settings, en Privacy & Consent, asigna a cada página y región que te importe una política de cookies que exija consentimiento explícito.
• Retén todo el script con tu herramienta de consentimiento. En Tag Manager, añade una comprobación de consentimiento a la etiqueta de HubSpot y dispárala con el evento de actualización del consentimiento de tu plataforma además de con la carga de página. Si lleva píxeles, condiciónala a publicidad, o una elección solo de analítica los liberará. El coste: el cargador también trae la analítica de HubSpot, los formularios recopilados y las ventanas emergentes, así que quien rechaza se queda sin ellos.
• Mantén el script y comunícale la elección a HubSpot. La API del banner de cookies de HubSpot lo documenta: define window.disableHubSpotCookieBanner = true cerca del inicio del head y después envía setHubSpotConsent con los valores analytics, advertisement y functionality. El valor se guarda en memoria, así que tu código tiene que enviarlo de nuevo en cada página. HubSpot avisa además de que ese indicador desactiva su gestión del consentimiento, de modo que todo pasa a depender de tu herramienta. En el script que leímos, el indicador evita el permiso por defecto que acabamos de ver, y el archivo de píxeles espera. La página de la API no dice qué hace el código de seguimiento antes de que haya una elección, así que comprueba tú las cookies.
• Saca los píxeles de HubSpot. Elimínalos en la pestaña de píxeles y ejecútalos como etiquetas tuyas condicionadas, y luego condiciona aparte la analítica de HubSpot. Elimínalos primero: HubSpot avisa de que un píxel instalado de las dos formas se dispara dos veces. Su archivo de píxeles también envía eventos de envío de formularios, así que reconstruye los que necesites.

Elijas la que elijas, compruébalo igual.

1. Comprueba la página antes de cambiar nada

   Abre la web en un perfil de navegador limpio con el panel de red ya abierto y no hagas clic en el banner. Filtra por hs-scripts, hsadspixel, connect.facebook.net y snap.licdn.com, y luego busca __hstc, hubspotutk y _fbp en la lista de cookies.

2. Averigua qué cargó cada petición

   Despliega la cadena de iniciadores en cualquier petición de píxel. Si pixels.js está justo encima, ese píxel lo cargó HubSpot y ninguna etiqueta de tu contenedor. Por qué sigue cargándose el píxel de Facebook con tus etiquetas bloqueadas explica cómo leer la cadena.

3. Haz una lista de los píxeles de HubSpot

   En HubSpot, abre Settings, luego Marketing, luego Ads, y lee la pestaña Pixels. Anota cada red que aparezca, porque cada una puede cargarse desde el script de HubSpot.

4. Aplica una vía de consentimiento

   Elige una de las cuatro vías anteriores y aplícala a todas las páginas que llevan el script de HubSpot. Con dos vías en una misma página, el resultado cuesta de interpretar.

5. Prueba a rechazar, aceptar y volver

   Repite la comprobación de tres formas: rechaza y verifica que las cookies y las peticiones de píxeles no aparecen, acepta y verifica que llegan, y recarga como el mismo visitante para ver que la elección se mantiene. Cómo probar un banner de cookies antes de publicarlo tiene la secuencia completa.

La vista previa de tu gestor de etiquetas no mostrará nada de esto, porque describe etiquetas y estas peticiones no lo son. A qué categoría de consentimiento pertenece un script te ayuda si HubSpot convive con otras herramientas que aún no has clasificado.

¿Qué pierdes cuando un visitante rechaza?

HubSpot dice que su código de seguimiento puede seguir cargándose y ejecutándose después de rechazar las cookies no esenciales, y que registra páginas vistas agregadas y anónimas que no se vinculan a un visitante ni a un contacto. Aquí la segunda y la tercera vía se diferencian. Si retienes el script, pierdes esas páginas vistas de quienes rechazan. Si comunicas la elección, las conservas, con el script aún funcionando en la página. Ninguna de las dos devuelve al visitante que rechazó a tus registros de contactos, así que cuenta con informes de origen más pequeños en HubSpot tras una corrección bien hecha.

Velo retiene cualquier script que marques con una categoría de consentimiento hasta que esa categoría se concede, y envía velo_consent_update para los activadores de Tag Manager. No envía a HubSpot ninguna señal de consentimiento, así que la tercera vía necesita un pequeño script tuyo. La página de HubSpot explica la instalación.