Qué pasa en la web de una pyme antes de que el visitante acepte las cookies

Medimos la portada de 211 webs con un navegador real, como lo haría alguien que llega por primera vez y todavía no ha tocado el aviso de cookies. En 175 se pudo medir. El resultado resume bien lo que vemos cada semana al revisar webs de clientes: el problema no suele ser la falta de banner, sino lo que se carga antes de que nadie pulse nada.

Qué se midió y cómo

Cada web se abrió el 14 de septiembre de 2026 con Chromium, sin cookies previas y sin aceptar nada. Durante la carga de la portada se registraron:

• si había un aviso de cookies y de qué tipo (un gestor conocido o uno hecho a medida);
• qué cookies se instalaban antes de consentir, clasificadas por nombre en técnicas, de analítica o de publicidad;
• qué peticiones salían hacia servicios de medición o de publicidad (Google Analytics, Google Ads, Meta, TikTok, Hotjar…);
• y, si había botón de rechazar, qué seguía apareciendo después de pulsarlo.

Se midió solo la portada y con un único visitante. No se revisaron los textos legales ni lo que ocurre al navegar por otras páginas.

Resultados principales

De media, cada web instalaba 3,5 cookies antes de consentir, de las que 1,9 eran de analítica o publicidad.

Tener banner no basta

La cifra que más nos llamó la atención es esta: de las 54 webs con algún aviso o gestor de cookies, 35 (el 65 %) cargaban analítica o publicidad antes de que el visitante eligiera. El aviso estaba, pero no bloqueaba nada.

Por lo que vemos al revisarlas, el motivo más habitual es que el código de medición está pegado directamente en la plantilla, o que Google Tag Manager se carga por su cuenta, fuera del gestor de cookies. El banner pregunta, pero la respuesta ya no importa: los datos han salido.

En el otro extremo, de las 121 webs sin ningún aviso, 47 rastreaban igualmente. Las otras 74 no usaban nada que no fuera técnico en la portada, así que en esa página no necesitaban pedir consentimiento.

Qué se carga antes de aceptar

Google Analytics es, con diferencia, la fuga más frecuente. Le siguen las etiquetas de Google Ads y, a más distancia, el píxel de Meta y los vídeos de YouTube incrustados sin el modo de privacidad.

El botón de rechazar

Solo se pudo probar el botón de rechazar en 23 webs: en el resto no había aviso o el aviso no ofrecía esa opción en la primera capa. En 20 funcionó; en 3 seguía apareciendo algo de analítica o publicidad después de rechazar.

Veredicto por web

Con un criterio prudente (solo se marca «no cumple» cuando hay cookies claramente de analítica o publicidad, o envíos de rastreo, antes de elegir, o cuando rechazar no funciona), el reparto fue este:

Qué revisar en la web de un cliente

1. Abre la web en una ventana privada y, antes de tocar el aviso, mira las cookies y las peticiones en las herramientas de desarrollo. Si ves _ga o envíos a google-analytics.com, hay fuga.
2. Busca el código de medición fuera del gestor: en la plantilla, en un plugin de «cabecera y pie» o en el propio tema. Todo lo que no sea técnico tiene que cargarse a través del gestor de cookies.
3. Si usas Google Tag Manager, que el contenedor dependa del consentimiento. Más detalle en la guía de Consent Mode v2.
4. Pon «Rechazar» en la primera capa, al mismo nivel que «Aceptar», y comprueba que después de rechazar no aparece nada nuevo. Lo explicamos en qué debe tener un banner de cookies.
5. Revisa los vídeos y mapas incrustados: también instalan cookies de terceros antes de aceptar.

Si prefieres que lo midamos por ti, la auditoría de cookies hace exactamente esta medición con cualquier web y te envía el informe.

Limitaciones del estudio

• La muestra no es aleatoria. Son webs de clientes de un grupo de agencias de marketing, casi todas de pymes españolas y en su mayoría sin nuestro banner. Los porcentajes describen esta muestra; no se pueden extrapolar a todas las webs de España.
• Solo la portada y un visitante. Otras páginas pueden cargar más cosas, y un visitante que ya aceptó en otra visita no se ha medido.
• La clasificación de cookies es por nombre. Una cookie con un nombre desconocido cuenta como técnica, así que el recuento de cookies no técnicas es, si acaso, prudente.
• No es una auditoría legal. Mide lo que ocurre técnicamente; no revisa la política de cookies ni la información del aviso.

Preguntas frecuentes

¿Cuántas webs se analizaron?

211 webs auditadas el 14 de septiembre de 2026, de las que 175 se pudieron medir. Las otras 36 no cargaron, bloquearon al navegador o redirigían a otro dominio.

¿Cuál es la fuga más frecuente?

Google Analytics: envía datos antes de que el visitante elija en 68 de las 175 webs medidas, el 39 %. La cookie _ga aparece antes de consentir en 65.

¿Tener un banner de cookies garantiza que no se rastrea antes de aceptar?

No. De las 54 webs con algún aviso o gestor de cookies, 35 cargaban analítica o publicidad antes de que el visitante eligiera. Lo habitual es que el código de medición esté pegado en la plantilla, fuera del gestor.

¿Es una muestra representativa de todas las webs españolas?

No. Son webs de clientes de un grupo de agencias de marketing, casi todas de pymes y en su mayoría sin nuestro banner. Sirve para ver patrones frecuentes, no para extrapolar un porcentaje a todo el país.

Fuentes

1. AEPD: Guía sobre el uso de las cookies (versión de mayo de 2024)
2. Ley 34/2002 (LSSI), artículo 22.2 (texto consolidado, BOE)