Google Analytics sin consentimiento: por qué carga antes de aceptar las cookies y cómo arreglarlo

Respuesta corta: si al abrir tu web en una ventana privada aparecen las cookies _ga o _ga_XXXX, o salen peticiones a google-analytics.com antes de pulsar «Aceptar», estás cargando Google Analytics sin consentimiento. Casi siempre es porque la etiqueta se instala por un camino que el banner no controla (el tema, un plugin o Google Tag Manager). Localiza todas las instalaciones, deja una sola y haz que dependa del consentimiento, con bloqueo previo o con Consent Mode.

Qué significa tener Google Analytics sin consentimiento

Google Analytics 4 funciona con una etiqueta (gtag.js o una etiqueta de Google Tag Manager) que, al cargar, hace dos cosas:

• Crea cookies propias en tu dominio: _ga (identifica al navegador) y _ga_ seguida del ID de tu propiedad (guarda la sesión).
• Envía peticiones de medición a los servidores de Google, a direcciones como region1.google-analytics.com/g/collect.

La normativa española de cookies (el artículo 22.2 de la LSSI) y la Guía sobre el uso de las cookies de la AEPD piden consentimiento previo para las cookies que no son estrictamente necesarias, y la interpretación habitual es que las de analítica de terceros como Google Analytics no son necesarias. Si se instalan antes de que el visitante decida, el banner es decorativo. Nosotros no somos abogados: para valorar tu caso concreto, consulta con tu asesor. Lo que sí podemos es explicarte cómo verlo y cómo arreglarlo técnicamente.

Por qué pasa

Las causas de tener Google Analytics sin consentimiento que nos encontramos una y otra vez:

1. La etiqueta está pegada en el tema (en header.php o en un campo de «códigos de seguimiento» del tema) y el gestor de consentimiento no la conoce.
2. Un plugin de Analytics (Site Kit, MonsterInsights, GA Google Analytics y similares) la inserta por su cuenta, sin esperar al banner.
3. Google Tag Manager con la etiqueta en «Todas las páginas» y sin comprobación de consentimiento.
4. Instalaciones duplicadas: un plugin bloqueado por el banner y una segunda copia en GTM o en el tema que no lo está.
5. El bloqueo automático del gestor de cookies no la reconoce, por ejemplo porque se carga desde un script propio o con un nombre distinto.
6. Consent Mode mal configurado: el valor por defecto «denegado» se declara después de que la etiqueta ya ha arrancado (Google explica el orden correcto en su guía oficial de Consent Mode).
7. La caché sirve HTML antiguo de antes de instalar el banner.

Cómo saber si te pasa

En el navegador, en dos minutos

1. Abre una ventana privada (para no tener un consentimiento guardado).
2. Abre las herramientas de desarrollo (F12) antes de entrar en la web.
3. Entra en tu web y no toques el banner.
4. Pestaña Aplicación (Chrome) o Almacenamiento (Firefox) > Cookies > tu dominio. Si aparecen _ga o _ga_..., Analytics ha escrito cookies sin consentimiento.
5. Pestaña Red, filtra por collect o por google-analytics. Si hay peticiones, Analytics está enviando datos.
6. Pulsa «Rechazar» y navega a otra página. No debería aparecer nada nuevo.

Si ves peticiones a collect pero no cookies, mira el parámetro gcs de la URL de la petición. Si vale G100, Analytics está en Consent Mode con todo denegado: envía avisos sin cookies (lo explicamos en la guía de Consent Mode v2). Si vale G111 o no aparece, está midiendo como si hubieras aceptado.

Encuentra todas las instalaciones

Busca los identificadores de Google en el HTML de la portada:

curl -s https://tuweb.com/ | grep -oE "G-[A-Z0-9]{6,}|GTM-[A-Z0-9]+|UA-[0-9]+-[0-9]+" | sort -u

Si salen dos identificadores distintos, o un G- y un GTM-, probablemente tienes más de una instalación. Después revisa:

• Plugins activos: cualquiera con «Analytics», «Site Kit», «Tag Manager» o «Insights» en el nombre.
• Opciones del tema: campos de «Scripts en cabecera» o «Código de seguimiento».
• Plugins de inserción de código (Insert Headers and Footers, WPCode y similares).
• El contenedor de Google Tag Manager: qué etiquetas se disparan en «All Pages» o «Initialization».

Cómo arreglarlo paso a paso

1. Deja una sola instalación

Elige un único camino para cargar Analytics: un plugin, Google Tag Manager o el código directo, nunca dos. Quita el resto. Las instalaciones duplicadas, además de saltarse el banner, duplican las visitas en los informes.

2. Haz que la etiqueta dependa del consentimiento

Tienes dos formas, y puedes combinarlas.

Opción A: bloqueo previo. La etiqueta no se carga hasta que el visitante acepta las cookies de analítica. Es lo que hacen los gestores de consentimiento (Cookiebot, CookieYes, Complianz, Real Cookie Banner y otros) con sus integraciones o su bloqueo automático. Si pegas el código a mano, la técnica habitual es declararlo como texto para que el navegador no lo ejecute, y que el gestor lo active al aceptar. Cada gestor usa su propio atributo de categoría: búscalo en su documentación. El patrón general es este:

<script type="text/plain" data-categoria-del-gestor="analytics" async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Si usas un plugin de Analytics, mira si tu gestor de cookies tiene integración con él; muchos la tienen y basta con activarla.

Opción B: Consent Mode. La etiqueta carga, pero arranca con el consentimiento denegado y no escribe cookies hasta que el banner le dice que el visitante ha aceptado. Lo fundamental es que el valor por defecto se declare antes que cualquier etiqueta de Google:

<script>
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('consent', 'default', {
  'analytics_storage': 'denied',
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500
});
</script>
<!-- después, la etiqueta de Google -->

Y cuando el visitante acepta, el gestor de cookies debe enviar la actualización:

gtag('consent', 'update', { 'analytics_storage': 'granted' });

La mayoría de gestores de cookies certificados por Google hacen esto por ti si activas su opción de Consent Mode. Tienes los detalles en nuestra guía de Consent Mode v2. Con Consent Mode en modo avanzado, Google sigue recibiendo avisos sin cookies aunque el visitante rechace; si eso es aceptable en tu caso es una decisión que conviene hablar con tu asesor.

3. Si usas Google Tag Manager

1. En el contenedor, abre Administrar > Configuración del contenedor y activa la vista general de consentimiento.
2. En la etiqueta de Google (GA4), en Configuración de consentimiento, exige analytics_storage como consentimiento adicional, o cambia su activador por un evento que lance tu gestor de cookies al aceptar.
3. Si usas Consent Mode, carga la plantilla de tu gestor de cookies con el activador «Consent Initialization – All Pages», que se ejecuta antes que el resto.
4. Publica el contenedor y compruébalo con el modo Vista previa.

4. Vacía la caché

Plugin de caché, servidor y CDN. Si no, parte de tus visitantes seguirá recibiendo el HTML antiguo.

5. Comprueba otra vez

Repite la prueba de la ventana privada: sin tocar el banner, ni _ga ni peticiones a collect (o solo con gcs=G100 si usas Consent Mode avanzado). Pulsa «Aceptar»: ahora sí deben aparecer. Pulsa «Rechazar» en otra ventana privada: no deben aparecer en ninguna página.

Errores habituales

• Probar con la sesión normal. Si aceptaste las cookies hace un mes, el navegador recuerda tu consentimiento y no verás el problema. Siempre ventana privada.
• Declarar el consentimiento por defecto después de la etiqueta. Unos milisegundos bastan para que se escriba _ga.
• Bloquear solo las cookies y no las peticiones. Algunos ajustes borran las cookies después, pero la medición ya se ha enviado.
• Olvidar al resto. Si arreglas Analytics y Hotjar, Clarity o el píxel de Meta siguen cargando sin permiso, el problema sigue ahí. Tienes una guía para el píxel de Meta.
• Que «Rechazar» no haga nada. El botón existe, pero no envía el «denegado» ni bloquea nada.

Para agencias: comprobarlo en todas las webs sin abrir el navegador

Hacer esta prueba a mano en una web lleva cinco minutos. En cuarenta webs, cada vez que alguien instala un plugin, no se hace.

Jeffrey tiene un escáner de cookies que abre cada web una vez al día con un navegador Chromium real, en español y en tamaño de escritorio. Espera a que la página cargue, mueve el ratón y hace scroll como haría un visitante, y nunca pulsa el banner: ve exactamente lo que ve alguien que todavía no ha decidido. Cuenta las cookies de analítica (como _ga, _gid, las de Hotjar, Clarity o Matomo) y las peticiones a servidores de medición como google-analytics.com o analytics.google.com. Esas peticiones se cortan antes de llegar, para no ensuciar las estadísticas de tu cliente, pero quedan registradas. No cuenta el cargador de Google Tag Manager por sí solo, ni las peticiones de Google que llegan con Consent Mode denegando analítica y publicidad. Si encuentra algo, te deja un aviso con la lista de proveedores y te dice si la web tiene banner de un gestor conocido o no lo tiene. Es un aviso para revisar, no una alarma urgente.

Lo encuadramos todo en la guía de cookies y RGPD en tu web.

Preguntas frecuentes