Consent Mode su WordPress: configurare banner cookie, Google Tag Manager e GA4

Ultimo aggiornamento: febbraio 2025.

Un banner cookie visibile non dimostra che GA4, Google Ads o altri pixel rispettino davvero la scelta dell'utente. Su WordPress gli script possono essere caricati da tema, plugin, Google Site Kit, Google Tag Manager (GTM), WooCommerce o codice inserito nell'header.

Per configurare correttamente Consent Mode su WordPress occorre coordinare tre elementi: la CMP raccoglie e memorizza la scelta dell'utente; Consent Mode trasmette quello stato ai tag Google; regole di blocco separate governano i servizi che non supportano Consent Mode. Sono funzioni diverse e vanno verificate insieme.

Questa è una guida tecnica di configurazione e controllo. Non certifica la conformità del sito: la valutazione dipende dai trattamenti, dai fornitori, dal pubblico raggiunto e dalla normativa applicabile.

1. Prima di configurare: individua chi carica tag e consenso

Prima di installare un altro plugin, individua tutte le fonti che caricano Google tag, GTM, GA4, Google Ads e pixel esterni. Tag duplicati causano spesso page view doppie, eventi ripetuti e applicazione parziale delle preferenze.

Dove cercare GA4, Google tag, GTM e pixel

• tema e child theme, in particolare header e footer;
• plugin per inserire codice nell'header o nel footer;
• Google Site Kit;
• plugin per Analytics, Google Ads o WooCommerce;
• container Google Tag Manager e relativi template;
• CMP o plugin per il banner cookie;
• page builder, script CDN e codice personalizzato.

Assegna una responsabilità a ogni funzione. Per esempio, GTM può essere l'unico punto di caricamento per GA4, Google Ads e tag di marketing, mentre la CMP imposta e aggiorna il consenso. Se Analytics viene inserito sia da Site Kit sia da GTM, rimuovi una delle due implementazioni prima di proseguire.

2. Consent Mode v2: segnali, Basic e Advanced

I segnali rilevanti per GA4 e Google Ads

Consent Mode v2 aggiunge i segnali ad_user_data e ad_personalization. Per GA4 e Google Ads, i quattro segnali normalmente centrali sono:

• analytics_storage: storage e cookie usati per analytics;
• ad_storage: storage collegato alla pubblicità;
• ad_user_data: invio a Google di dati utente per finalità pubblicitarie;
• ad_personalization: uso dei dati per pubblicità personalizzata.

L'API di Google prevede anche altri tipi di consenso, tra cui functionality_storage, personalization_storage e security_storage. Non vanno però aggiunti automaticamente: la mappatura deve riflettere i servizi e le finalità effettivamente presenti. La documentazione Google sui tipi di consenso è il riferimento per valutarli.

Non associare le categorie del banner in modo meccanico. "Statistiche" può corrispondere a analytics_storage; "marketing" può richiedere uno o più segnali pubblicitari. La categoria "necessari", invece, non equivale automaticamente a un segnale Google.

Cosa cambia tra Basic e Advanced

Un plugin che carica GTM o GA4 solo dopo l'accettazione realizza, di fatto, un comportamento Basic. Non è Advanced soltanto perché presenta un'opzione denominata "Consent Mode".

In Advanced, "cookieless" indica che il tag opera senza leggere o scrivere gli identificatori di storage interessati dal consenso negato. Non indica assenza assoluta di richieste o di dati: il comportamento va valutato anche sotto il profilo privacy.

3. Configurazione su WordPress con CMP e GTM

Per siti con GA4, Google Ads, WooCommerce e più pixel, la combinazione CMP + GTM è spesso più semplice da controllare. I nomi delle impostazioni cambiano tra CMP, ma la sequenza tecnica resta la stessa.

1. Scegli un solo punto di inserimento: mantieni un solo container GTM oppure un solo Google tag diretto. Se usi GTM per GA4, evita che un plugin o Site Kit inserisca una seconda copia di GA4.
2. Configura la CMP: deve poter impostare uno stato predefinito e inviare un aggiornamento dopo accettazione, rifiuto o modifica delle preferenze.
3. Imposta il default prima degli altri tag: in GTM, la CMP o il relativo template deve eseguire questa operazione con il trigger Consent Initialization – All Pages. Google documenta l'uso del trigger e dei controlli del consenso in Tag Manager.
4. Configura i tag: per ogni tag, controlla la sezione Consent Settings e gli eventuali Additional Consent Checks. Un controllo aggiuntivo non necessario può impedire il firing anche dopo il consenso.
5. Collega le categorie: la scelta statistiche deve aggiornare analytics_storage; le scelte pubblicitarie devono aggiornare solo i segnali Google coerenti con quanto è stato autorizzato.
6. Blocca i servizi non Google: assegna a Meta Pixel, TikTok Pixel, chat, mappe, heatmap e contenuti incorporati una regola CMP o un trigger GTM basato sulla relativa categoria.

Default e update: ordine corretto con gtag.js

Il comando default deve essere elaborato prima di qualsiasi gtag('config', ...) o gtag('event', ...). Il file gtag.js può essere caricato in modo asincrono prima del default, purché dataLayer e la funzione gtag siano già disponibili e il comando di consenso venga accodato prima della configurazione del tag.

Questo è un esempio tecnico minimo di sequenza con default negato. Non copiarlo insieme a un'integrazione CMP o GTM già attiva: introdurrebbe un secondo gestore del consenso.

window.dataLayer = window.dataLayer || [];
function gtag()

gtag('consent', 'default', );

gtag('js', new Date());
gtag('config', 'G-XXXXXXXXXX');

La CMP deve inviare l'update quando l'utente effettua una scelta. Per esempio, con il solo consenso alla categoria statistiche:

gtag('consent', 'update', );

In caso di consenso marketing, aggiorna i segnali pubblicitari solo se corrispondono alle categorie autorizzate e ai servizi effettivamente usati. Per dettagli su default e update, consulta la guida Google all'implementazione del consenso.

Attenzione alla revoca

Un consent update con valore denied modifica lo stato per le richieste successive, ma non elimina retroattivamente cookie già creati, non scarica script già caricati e non interrompe necessariamente servizi esterni già inizializzati. Verifica quindi che la CMP abbia una gestione prevista per cookie e tag già attivi e controlla anche il comportamento dopo il refresh della pagina.

4. Mappa e testa il comportamento dei tag

Prima della pubblicazione, prepara una mappa essenziale dei servizi attivi. Serve a scoprire tag caricati dal tema o da plugin che non passano da GTM.

Cache, minificazione, defer e ritardo JavaScript possono modificare l'ordine di esecuzione tra CMP, default, GTM e update. Dopo modifiche ai plugin di performance, ripeti i test e svuota tutte le cache coinvolte.

Apri una finestra anonima, elimina cookie e storage del sito e prova questi casi:

1. Prima della scelta: controlla lo stato default, i cookie e i tag esterni. In Advanced possono esserci richieste senza cookie coerenti con la configurazione.
2. Rifiuto: verifica l'update negato, l'assenza dei cookie interessati e il blocco dei pixel non Google.
3. Solo statistiche: analytics_storage deve diventare granted; i segnali pubblicitari devono restare negati se marketing non è autorizzato.
4. Marketing: verifica Google Ads, Conversion Linker e pixel esterni, assicurandoti che non siano caricati due volte.
5. Revoca: modifica la scelta nel centro preferenze, verifica il nuovo stato, la gestione di cookie e tag già attivi e ripeti il test dopo il reload.

Usa Google Tag Assistant e l'anteprima di GTM per verificare default, update, stato del consenso e firing dei tag. In DevTools, le schede Network e Application/Storage aiutano a osservare richieste, cookie e local storage. Parametri di rete come gcs e gcd sono solo indizi: la codifica può cambiare e non deve essere l'unico criterio diagnostico.

5. Misurazione, publisher e limiti della configurazione tecnica

Perché GA4 può registrare meno dati

Dopo l'introduzione del consenso, utenti e sessioni osservati in GA4 possono diminuire. Prima di attribuire il calo al consenso, controlla il tasso di accettazione, eventuali duplicazioni dei tag, l'ordine di esecuzione e i test di ciascuna scelta.

La modellazione comportamentale di GA4 non recupera automaticamente tutti i dati non osservati. Tra i requisiti indicati da Google figurano Consent Mode Advanced su tutte le pagine, almeno 1.000 eventi giornalieri con analytics_storage='denied' per almeno sette giorni e almeno 1.000 utenti giornalieri con analytics_storage='granted' per almeno sette degli ultimi 28 giorni. Restano inoltre altre condizioni di idoneità, quindi per i siti piccoli la modellazione non è garantita. I dettagli sono nella documentazione sulla behavioral modeling di GA4.

Caso separato: AdSense, Ad Manager e AdMob

Per i publisher che usano annunci personalizzati in EEA, Regno Unito o Svizzera, Consent Mode v2 non sostituisce automaticamente i requisiti Google relativi a CMP certificata e IAB TCF. Prima di modificare il banner, verifica i requisiti aggiornati nella guida Google per i publisher.

Privacy: il confine della guida tecnica

La configurazione deve essere verificata rispetto ai trattamenti reali del sito. In Italia, le indicazioni del Garante precisano, in linea generale, che prima del consenso non dovrebbero essere installati cookie diversi da quelli tecnici né usati strumenti di profilazione quando il consenso è richiesto; scrolling e inattività non costituiscono automaticamente consenso. Per il quadro europeo, consulta anche le linee guida EDPB sul consenso.

Checklist prima della pubblicazione

• Un solo punto di caricamento per ogni Google tag o container GTM.
• Default del consenso disponibile prima di config ed event.
• Update verificato per rifiuto, statistiche, marketing e modifica delle preferenze.
• Tag non Google controllati da regole specifiche della CMP o di GTM.
• Revoca verificata subito e dopo il refresh della pagina.
• Cache e ottimizzazioni JavaScript testate dopo ogni modifica.