Estadísticas sin cookies: qué hicimos cuando dejamos de ver a quien pulsa «Rechazar»

Cuando un aviso de cookies está bien hecho, mucha gente pulsa «Rechazar». Es lo esperable y es su derecho, pero tiene una consecuencia que pocas veces se cuenta: esas personas desaparecen de Google Analytics. Esta es la historia de cómo llegamos a tener estadísticas sin cookies en dos webs, primero en Canary Islands Experience y después en esta.

Primero, hacer bien el aviso de cookies

El 17 de septiembre comparamos el aviso de Canary Islands Experience con el de otras once webs: la Agencia Española de Protección de Datos, Renfe, Iberia, Turespaña, Paradores, El Corte Inglés, Booking o RTVE, entre otras. Las abrimos en un móvil sin aceptar nada y las medimos contra la Guía sobre el uso de las cookies de la AEPD.

Lo que encontramos:

• Nuestro aviso era de los más cortos (46 palabras) y no instalaba nada antes de decidir. No todas pueden decir lo mismo: en cuatro de las doce webs había cookies de medición o de publicidad antes de que el visitante eligiera.
• Le faltaba información. No decía si las cookies eran propias o de terceros, ni que la publicidad se basa en un perfil de navegación.
• Los botones no estaban al mismo nivel. «Aceptar» iba relleno y arriba; «Rechazar», con contorno y el último. La AEPD pide que aceptar y rechazar se ofrezcan de la misma forma.
• En el móvil ocupaba media pantalla: 491 de 839 píxeles.

Reescribimos el texto siguiendo el ejemplo de la propia guía, igualamos los tres botones y, con un plugin que desarrollamos nosotros para la web, convertimos el aviso del móvil en una franja baja que ocupa algo más de 200 píxeles. Como el plan gratuito de la herramienta de cookies no deja cambiar los colores, ese mismo plugin aplica el azul de la marca y deja todos los botones con el alto táctil mínimo de 48 píxeles.

Todos los plugins de los que hablo en este artículo los hemos desarrollado internamente, a medida de Canary Islands Experience. Así sabemos exactamente qué hace cada línea y no dependemos de que un tercero arregle lo que nos afecta a nosotros.

La cookie que se colaba sin permiso

Al revisar qué se instalaba de verdad, apareció un problema que ningún banner podía resolver. El plugin oficial del píxel de Meta escribe sus cookies (_fbp y _fbc) desde el servidor, en la propia respuesta de la página, antes de que el aviso llegue a cargarse. Las visitas que llegaban desde un anuncio de Meta, con ?fbclid= en la dirección, nunca salían de la caché, así que cada una de ellas se llevaba esas cookies sin haber aceptado nada.

Lo resolvimos en otro de nuestros plugins, el de seguridad. El plugin de Meta tiene un modo para retener sus señales sin escribir cookies, y lo conectamos al consentimiento real: mientras la publicidad no esté aceptada, no se escribe nada. Además, se borran las cookies que ya estaban en los navegadores sin permiso, porque las anteriores al arreglo duraban 90 días.

El efecto secundario: medir solo a quien acepta

Con el aviso en regla, la analítica habitual solo ve a quien acepta. Google Analytics funciona con el modo de consentimiento de Google, que por defecto lo deniega todo: lo comprobamos el 13 de septiembre y, sin aceptar o tras rechazar, no se guarda ninguna cookie de Google ni de Meta ni se envía nada a sus servidores. Las estadísticas de Jetpack solo se cargan si se acepta la analítica. Cumplir con la ley es exactamente eso, pero deja un hueco: de quien rechaza no sabemos nada, ni siquiera que ha entrado.

Para una guía local esto no es un detalle. Necesitamos poder decirle a un restaurante o a un alojamiento «tu ficha tuvo tantas visitas el mes pasado», y que la cifra sea la de todas las personas que la abrieron, no solo la de quienes aceptaron las cookies.

Un contador propio, sin cookies

La solución fue un tercer plugin propio: un contador de visitas que no usa cookies, no guarda nada en el navegador y no registra ni la IP ni el navegador. Solo suma cifras: qué página se ha visto, qué día y de dónde llega la visita (Google, Instagram, un QR con su campaña…). Como no instala nada en el dispositivo ni guarda datos personales, no forma parte del aviso de cookies.

Algunas decisiones que tomamos por el camino:

• No cuenta las recargas, al equipo con la sesión iniciada, los robots ni las páginas de error.
• Distingue páginas vistas de visitas, pero no ofrece «usuarios únicos»: sin cookies no se puede saber si quien vuelve el martes es la misma persona del lunes, y preferimos no inventarlo.
• Cada ficha muestra sus propias visitas dentro del panel de la web: hoy, 7 días, 30 días, este mes y el anterior.
• Google Analytics sigue funcionando para el detalle de quien acepta. Las cifras no coinciden, y no tienen por qué: miden cosas distintas.

La primera prueba fue sencilla: el 25 de septiembre abrimos la web sin aceptar las cookies. La visita apareció en el contador propio y no en Jetpack. El contador lleva desde ese día sumando, y en noviembre tendremos el primer mes completo para comparar con calma las dos fuentes.

El panel del contador dentro de la web de Canary Islands Experience, a primera hora del 3 de octubre: páginas más vistas, de dónde llegan las visitas y descarga en CSV.

En mi web: sin cookies desde el principio

Con lo aprendido en Canary Islands Experience, al rehacer javierjg.es la pregunta fue otra: ¿hace falta alguna cookie? En una web personal, sin publicidad ni tienda, la respuesta fue no. Sin cookies de analítica ni de publicidad no hay nada que aceptar, así que tampoco hay banner. Puedes comprobarlo en la política de cookies.

Para las visitas uso Umami, una herramienta de analítica de código abierto que funciona sin cookies y sin guardar la IP. No la uso en su versión en la nube: la instalé en un servidor pequeño aparte, separado del alojamiento donde están las webs de clientes, y con copias de seguridad diarias. Desde ese mismo panel veré también el resto de proyectos a medida que los vaya conectando. Los detalles están en la política de privacidad.

A cambio, renuncio a cosas que Google Analytics sí da: datos demográficos, audiencias para anuncios o el seguimiento de una misma persona durante semanas. Para saber qué artículos se leen y de dónde llega la gente, no las necesito.

Lo que me llevo

• Un aviso de cookies bien hecho implica perder datos, y hay que contar con ello antes de mirar las gráficas.
• Contar no es lo mismo que seguir. Para saber cuántas personas ven una página no hace falta identificar a ninguna.
• Hay que medir lo que se va a usar. En Canary Islands Experience son las visitas de cada ficha. En esta web, qué se lee. Todo lo demás sobra.

Si estás en la misma situación con tu web o con la de tu negocio, hablemos.