Cookie Rocket, Cookie Consent Banner and Script Blocker for GDPR, CCPA and LGPD

Registro de cambios

2.16.1

Fixed: an em dash in the consent log, the one that means «no categories recorded», was drawn at a contrast of 1.97:1. WCAG AA asks for 4.5:1 on text that carries meaning, and that dash carries meaning: it is how the log says a visitor accepted nothing. It now sits at 4.83:1 — still clearly muted, but readable.
* The admin stylesheet’s colours are now a system rather than a habit. Fifty-six colours were written by hand across the file, among them five near-whites and four light greys separated by differences no eye can see, with nothing to say which to reach for. They are now twenty-eight named values, and no colour is written by hand anywhere else.
* Five of those near-identical greys were merged into the two they were already imitating. The change is real but slight — the largest is a background moving by 2%% of its lightness — and it affects a code block, a diagram, a nav strip, a panel and a notice.
* The colours borrowed from the WordPress admin itself are now named as such, so it is clear they are deliberate and that changing them would mean no longer matching the dashboard around them.
Nothing else changed: same rules, same values, same layout. No change to your banner, your settings or your consent records.

2.16.0

The scanner now recognises 34 third-party services instead of 9. Until now it knew the large advertising and analytics platforms — Google Analytics, Meta, LinkedIn, TikTok and a few more — and everything else on your site was invisible to it: neither blocked, nor listed on your cookie policy, with nothing on screen to say so. Twenty-five services have been added, chosen for what a WordPress site actually runs rather than for what looks impressive in a list.
* Forms and anti-spam: Google reCAPTCHA, hCaptcha, Cloudflare Turnstile and CleanTalk. A contact form is the most common third party on a WordPress site and it was the one the scanner never saw.
* WordPress.com and Automattic: Jetpack Stats, WooCommerce Analytics, Gravatar hovercards and Crowdsignal.
* Embedded content and social: Instagram, Twitch, Spotify, SoundCloud, Dailymotion, Disqus, the Facebook SDK used by like buttons and comments (which is not the advertising pixel), and X/Twitter widgets.
* Live chat and share buttons: Tidio, LiveChat, Smartsupp, JivoChat, Chatra, ShareThis, AddToAny, Hello Bar and BDOW!/Sumo.
* Fixed: a site using the Facebook SDK for like buttons or comments was reported as running the Meta advertising pixel, so the cookie policy listed advertising cookies the site did not set. The two are told apart now.
* Every signature names a full domain and path, so it cannot match an unrelated script and break your site; every cookie listed comes from the service’s own published documentation. AddThis was considered and left out: it was shut down in 2023.
No change to your banner, your settings or your existing consent records. Run the scanner again to pick up whatever is new on your site.

2.15.17

Fixed, and this one made an unreadable site look like a clean one: the scanner never checked whether it had actually loaded your page. When a page answered with an error — a server error, a login wall, a firewall block, a site behind a password — the scanner parsed the error page as if it were your site, found no trackers in it, and reported zero. «0 trackers detected» is the most reassuring thing this plugin can tell you, and it was being shown to sites it had never managed to read even once. The scanner now checks the response before reading it, and your dashboard says plainly that nothing could be read instead of showing a zero.
* Fixed, and this one could empty a published Cookie Policy: a scan that read nothing was still saved as the result. If a firewall answered a scan with a block on every page, the empty result replaced your cookie inventory — and the Cookie Policy is generated from that inventory, so the declaration your visitors read would quietly go blank. A scan that could not read a single page now keeps the last good inventory and its date, and records only the failed attempt.
* Fixed: pages that could not be read were only reported when the scan found nothing at all. One tracker on your home page was enough for four blocked pages to vanish from the report while the screen claimed it had read them. They are now listed either way, and the page count only counts pages actually read.
* Fixed: with Cookie Rocket Pro installed alongside this plugin, eight PHP notices were written on every request because both editions define the same constants. They are guarded now.
No change to your banner, your settings or your existing consent records.

2.15.16

Fixed: plural sentences were left out of the translation fallback added in 2.15.15. That release made the plugin fall back to its own bundled translation for anything the language pack was missing, but only for ordinary strings — any sentence that changes with a number still came out in English. Plurals now use the same fallback.
* Fixed: three settings were left behind when the plugin was uninstalled, including the list of services you had declared yourself.
* The translation template shipped with the blank header that the extraction tool leaves behind, so a translator opening it saw placeholders instead of the plugin’s name and licence. It is filled in now.
* Added an extension point so Cookie Rocket Pro can hide the notice that suggests routing the law per visitor — Pro already does that, and was recommending itself to people who had bought it.
No change to settings, consent records or blocking behaviour.

2.15.15

Fixed: parts of the plugin appeared in English on sites whose translation is incomplete. WordPress loads the translation package from wordpress.org and stops there, so the complete catalogue shipped inside the plugin was never consulted. Where that package was missing strings, they fell back to English — including the name of a consent category, inside the consent dialog. The bundled catalogue is now used to fill those gaps, and never to replace a translation the site already has.
* Fixed: a malformed country value reaching the consent endpoint was trimmed to two letters instead of being rejected, so it could enter the consent record as a real country code. It is now discarded unless it is exactly an ISO-3166 alpha-2 code.
* Fixed: when neutralising a script whose type attribute was unquoted, spaced or module, the original attribute was left in place next to the new one. Blocking was unaffected — browsers keep the first attribute — but the markup was invalid. The attribute is now removed in all three forms.
No change to settings, consent records or blocking behaviour.

2.15.14

Corregido: el contenido incrustado bloqueado ya conserva su forma en sitios con una Content-Security-Policy estricta. El marcador que sustituye a un vídeo o un mapa bloqueado lleva la proporción del contenido al que reemplaza, para que la página no dé un salto cuando el visitante acepta. Esa proporción es distinta en cada caso, así que viajaba en un atributo style — que una política así descarta, dejando el marcador sin altura: justo el desplome del diseño que ese marcador existe para evitar. Ahora la proporción viaja en un atributo data y la aplica el script.

2.15.13

Corregido: el plugin ya se comporta igual en sitios que envían una Content-Security-Policy estricta. Una CSP cuyos style-src y script-src no permiten ‘unsafe-inline’ hace que el navegador descarte los atributos style en línea y los manejadores de eventos en línea. El banner y el diálogo ponían ahí parte de su diseño y de su comportamiento, así que en esos sitios había partes del plugin que dejaban de funcionar en silencio. Todo se movió a la hoja de estilos y al archivo de script, que la política sí permite.
* Corregido: los shortcodes [cookie-rocket-preferences] y [cookie-rocket-withdraw] no hacían nada bajo una política así. Llevaban su llamada en un atributo onclick, que el navegador se niega a ejecutar, de modo que el visitante no podía volver a abrir sus elecciones ni retirar su consentimiento desde la página donde habías puesto el botón. Ahora el script los escucha por clase.
* Corregido: en el diálogo de preferencias, el control de cada categoría caía debajo de su etiqueta en vez de quedar a la derecha, porque la fila armaba sus columnas con un atributo style.
* Corregido: el color del texto de tu botón Aceptar, los colores sólidos de tus botones secundarios y los colores del pie fijo de la ventana solo se aplicaban mediante atributos style, así que una política estricta los descartaba y los mismos ajustes se veían distintos de un sitio a otro. Ahora forman parte de la hoja de estilos.
* Las miniaturas de diseño del banner en el editor dibujaban «flotante» y «ventana» como barras anchas, cuando ambas apilan sus botones y se ven como tarjetas altas. Ahora coinciden con lo que produce aplicarlas.
* La vista previa era más baja que un banner flotante, así que el banner arrancaba por encima del marco y tapaba la página previsualizada. La vista previa es más alta.
Solo estilo y marcado; sin cambios en los ajustes, los registros de consentimiento ni el comportamiento del bloqueo.

2.15.12

Corregido: cuatro cosas del diálogo de preferencias que costaban más de usar de lo que parecía. Los controles de categoría eran un conmutador deslizante al que se le había quitado la forma redondeada, y no se leía ni como interruptor ni como casilla: una perilla cuadrada dentro de un carril cuadrado, donde lo único que delataba el estado era el color del carril. Ahora son casillas normales: un cuadrado vacío para apagado, un cuadrado relleno con palomita para encendido, y uno marcado en gris para las estrictamente necesarias. El mismo aspecto cuadrado y sin radio; el estado se ve de un vistazo.
* El botón de cerrar estaba en la cabecera, a la altura del título. Ahora va anclado en la esquina superior derecha del diálogo, que es donde se busca, y mide 28×28 en lugar de 13×22: su ancho lo daba el propio glifo, por debajo del mínimo de 24×24 que recomienda WCAG 2.5.8 e incómodo de acertar con el pulgar.
* La descripción de cada categoría ocupaba todo el ancho y pasaba por debajo de la columna de controles. En el teléfono el texto llegaba al borde mientras el título de encima se paraba antes, y el margen derecho quedaba dentado. Ahora los dos cortan en la misma línea.
* Refuerzo: el diálogo fija su propio box-sizing en lugar de depender de que el tema lo fije globalmente.
Sólo estilo. Tus ajustes, tu banner y tu registro de consentimientos no cambian.

2.15.11

La descripción del plugin y la lista de características ahora dicen lo que el plugin hace, en lugar de prometer un resultado. La descripción ya no garantiza una puntuación de PageSpeed, que depende de tu sitio y de tu alojamiento y no de este plugin, y la línea de los marcos legales ya no afirma conceder cumplimiento legal, que ningún plugin puede conceder. Lo que sí dice es exacto: trae los textos del banner y las reglas de consentimiento del RGPD, la CCPA / CPRA, la LGPD y la LFPDPPP, y eliges cuál se aplica. Sin cambios funcionales.

2.15.10

La cabecera del plugin ahora lleva el mismo nombre que la ficha del directorio.

2.15.9

Ahora el plugin figura por lo que hace —un banner de consentimiento de cookies y un bloqueador de scripts— en lugar de prometer un cumplimiento legal que ningún plugin puede garantizar. CCPA / CPRA se suma a las etiquetas ahora que el plugin es totalmente compatible con ese marco. Refuerzo del código en torno al nuevo campo de país del visitante.

2.15.8

Nuevo: el plugin ahora te dice qué ha encontrado en tu propio sitio. Tres avisos que aparecen solo cuando hay algo real que decir, y desaparecen cuando los descartas o cuando el dato cambia.
* El país de tus visitantes ahora se guarda con cada decisión de consentimiento. Ya se resolvía en el navegador por zona horaria y luego se desechaba. Sin IP, sin servicio externo, sin nuevos datos personales.
* Si una parte relevante de tus visitantes procede de una región regida por un marco distinto del que aplica tu banner, el plugin te lo dice, con el porcentaje.
* Si una cuarta parte o más de tus visitantes rechaza las cookies, el plugin te lo dice, y te indica si Consent Mode v2 está activado, que es lo que decide si esos visitantes se pueden medir siquiera.
* La petición de valoración ahora espera a que Cookie Rocket haya hecho de verdad algo que se pueda contar en tu sitio, y dice qué ha hecho, en lugar de aparecer sin más a los 14 días.

2.15.7

Corregido: la barra de cookies ocupaba un tercio de la pantalla del móvil. En móvil los tres botones se apilaban uno por fila: 148px de controles en una barra de 300px, altura suficiente para taparle a un formulario el botón de enviar. Ahora Aceptar mantiene su propia fila a todo lo ancho y Personalizar y Rechazar comparten la siguiente: 282px en lugar de 300, en dos filas en lugar de tres. Si en tu sitio están desactivados Personalizar o Rechazar, el botón que queda ocupa toda la fila. Solo cambian los diseños de barra superior e inferior; los diseños de ventana emergente, flotante y cajón quedan intactos.
* Traducciones: se ha eliminado una cadena sobrante y se ha actualizado la plantilla.

2.15.6

Nuevo: declara tus propios servicios. Cookie Rocket reconoce nueve proveedores habituales. Cualquier otra cosa que tengas en el sitio —un widget de chat, una herramienta de mapas de calor, el script de un boletín— no se bloqueaba ni aparecía en tu política de cookies. En Bloqueo → Tus propios servicios puedes darle nombre, indicar la dirección del script para que se bloquee y describir sus cookies para que salgan en tu política con una finalidad y una duración reales.

Nuevo: California. CCPA / CPRA se suma al RGPD, la LGPD y la LFPDPPP en el selector de marco, con su propio texto de banner.

Nuevo: la exploración llega a tu tienda. En sitios con WooCommerce ahora también lee las páginas Tienda, Carrito, Finalizar compra y Mi cuenta —donde suelen vivir los píxeles de conversión y donde una exploración limitada a la portada nunca miraba—. Además te dice qué rastreadores son nuevos desde tu exploración anterior.

Corregido: una exploración fallida ya no pasa por un sitio limpio. Si una página no se ha podido leer, el resultado lo dice y detalla cuáles, en lugar de informar de cero rastreadores encontrados.

Corregido: la exploración informa de Google Tag Manager. El contenedor no se bloquea a propósito —de él se encarga Consent Mode—, pero callarlo hacía que un sitio que lo carga todo a través de GTM apareciera como «no se han encontrado rastreadores». Ahora se lista con su estado real.

Corregido: el estado de bloqueo dice la verdad. A un rastreador pegado directamente en tu tema no lo alcanza el bloqueo de scripts salvo que esté activado el bloqueo de HTML en crudo. Esa fila decía que estaba bloqueado; ahora indica que está pegado directamente en el HTML y enlaza al conmutador que se ocupa de ello.

Nuevo: la retención del registro de consentimientos ahora la decides tú. Las entradas se eliminaban a los 90 días sin forma de cambiarlo y sin nada en pantalla que lo advirtiera. Ahora hay un campo, y el registro indica cuánto tiempo conserva las entradas.

Gratis: los temas de banner Glass, Graphite y Branded, y la opción de fuente autoalojada.

Diseño actualizado. Esquinas rectas, sin sombras, sin transiciones y sin animación de entrada, en el banner, en el diálogo de preferencias y en las pantallas de administración. Si actualizas un sitio que ya está en marcha, el banner perderá su sombra y su entrada deslizante y ganará un borde de un píxel; tu radio de esquina guardado no se toca.

Accesibilidad. El anillo de foco del botón flotante de preferencias ahora se ve sobre fondos claros, y los conmutadores de categoría se leen con claridad en los dos estados.

Pulido, refuerzo & correcciones tras una auditoría a fondo: funcionalidad, seguridad, accesibilidad, fiabilidad y traducciones. No hay nada que reconfigurar; tus ajustes, tu banner y tu registro de consentimientos no cambian.
* Corregido (accesibilidad): el banner ya no atrapa el foco del teclado en el diseño de barra (puedes pasar de largo con el tabulador), mientras que la ventana emergente, el panel lateral y el cajón siguen conteniendo el foco mientras están abiertos. El diálogo de preferencias se anuncia por su título, retiene el foco incluso cuando lo abre desde el botón flotante un visitante que vuelve, devuelve el foco al control que lo abrió y sus conmutadores de categorías de cookies llevan nombres accesibles (WCAG 2.1.2 / 2.4.3).
* Corregido (fiabilidad): detrás de una caché de página completa, el consentimiento de un visitante podía quedar sin registrar si la página cacheada llevaba un token de seguridad caducado; el registro ya no depende de él. El límite de peticiones del endpoint de consentimiento ahora se aplica sobre la IP real de la conexión con una ventana fija de un minuto, de modo que no se puede esquivar con cabeceras falsificadas ni convertirse en un bloqueo permanente.
* Corregido (privacidad): los contenidos incrustados de redes sociales y medios que estaban bloqueados (X, Instagram, TikTok, Facebook y similares) se restauran por completo tras el consentimiento, incluidos los que cargan su propio script; y el bloqueador de scripts en HTML en crudo ahora también detecta los rastreadores cuyos atributos src/type van sin comillas.
* Corregido (Consent Mode): la señal «functionality_storage» ahora sigue lo que el visitante haya elegido para las cookies funcionales, en lugar de comunicar siempre el valor granted.
* Corregido: «Guardar texto» y los controles de diseño / posición / anchura / fondo ahora avisan de un guardado fallido o lo revierten, en lugar de mostrar como aplicado un cambio sin guardar; las estadísticas y la retención del registro de consentimientos calculan su periodo en la zona horaria del propio sitio; el botón de cerrar de las preferencias cumple el contraste; y la cuadrícula de categorías de cookies ya no se desborda en móviles estrechos.
* Mejorado (traducciones): toda la interfaz, la tabla de declaración de cookies (la finalidad y la duración de cada cookie) y la etiqueta de la programación de limpieza están ya completas en español y portugués.

2.15.5

En algunos temas el botón Rechazar podía verse sin relleno; su relleno ahora se impone a los estilos de botón del tema.

2.15.4

Banner por defecto alineado con la convención habitual de las herramientas de consentimiento: Rechazar relleno y con el mismo peso visual, Personalizar con contorno y esquinas sutiles de 2px.

2.15.3

El orden de los botones del banner sigue la convención habitual en todos los diseños, y ningún botón queda enfocado de antemano al aparecer el banner.

2.15.2

Los botones del banner toman siempre el mismo radio de esquina que el banner en todos los diseños.

2.15.1

Etiquetas de botón con vista previa en vivo, una vista previa limpia sin la barra de administración, estilos predefinidos que se aplican al instante, ayudas contextuales emergentes y un radio de esquina de 0px por defecto.

2.15.0

Configuración en un clic, un editor de banner en vivo, marcadores de posición que mantienen tu diseño cuando se bloquea un contenido incrustado, y un consentimiento que se conserva aunque se borre localStorage.

2.14.x y anteriores

Las notas de versiones anteriores están disponibles en el historial de desarrollo del plugin en WordPress.org.