consentimiento de cookies para Astro
@cookiecrumbs/astro inserta la etiqueta como primer elemento del head de cada página, en tiempo de build para páginas prerenderizadas y por petición en SSR. Un middleware alimenta el lector de cookies del lado del servidor.
la norma
Las islas de Astro hidratan la analítica en cuanto se montan. Sin capa de consentimiento, el primer pintado de un sitio de contenido ya lleva un rastreador.
La norma es la misma en toda la UE y en el Reino Unido: nada más allá de lo estrictamente necesario puede almacenarse en el dispositivo de un visitante ni leerse de él antes de que haya dado su consentimiento. Es el artículo 5(3) de la Directiva ePrivacy, y ese consentimiento debe cumplir la definición del RGPD: libre, específico, informado e inequívoco, con un rechazo tan fácil como la aceptación. El Reino Unido mantiene la misma norma en PECR, con exenciones limitadas para estadísticas de bajo riesgo desde el 5 de febrero de 2026. California y las demás leyes estatales de EE. UU. funcionan al revés: sin opt-in, pero con un enlace de opt-out y soporte para la señal Global Privacy Control.
De ahí se derivan tres cosas para un sitio web. Los scripts de analítica, publicidad y redes sociales tienen que esperar una decisión. La decisión tiene que registrarse de forma que puedas demostrarla después, porque el artículo 7(1) pone la carga de la prueba sobre ti. Y retirar el consentimiento tiene que ser tan fácil como darlo, lo que exige un control que vuelva a abrir el banner en cada página. Un banner que muestra dos botones y carga Google Analytics de todos modos suspende la primera prueba, y ese es justo el fallo que las autoridades están sancionando, desde las decisiones de la CNIL contra Google y SHEIN hasta las inspecciones de las autoridades neerlandesa y belga.
cómo funciona
Los sitios Astro son sobre todo HTML estático con islas de interactividad, y eso es buena noticia para el consentimiento: el runtime puede escribirse en el HTML en tiempo de build, primero en el head de cada página, sin nada contra lo que competir. La integración hace exactamente eso para las páginas prerenderizadas y lo repite por petición para las renderizadas en servidor, así que un sitio híbrido se comporta igual en todas partes.
Las islas son donde se esconden los rastreadores. Un GTM cargado con Partytown, una isla de analítica solo cliente, un vídeo de YouTube en un componente client:visible: cada uno recibe una categoría en su etiqueta script o comprueba el estado del consentimiento antes de montarse. La integración incluye los componentes compartidos, y el middleware expone el consentimiento en Astro.locals para que una página decida en el servidor si renderiza un embed o su marcador.
Los sitios de contenido suelen tener cientos de páginas, y el escaneo las rastrea en cada estado de consentimiento hasta el presupuesto de tu plan. El resultado alimenta la declaración de cookies, que puedes montar en tu página de privacidad con CookieDeclaration y que se actualiza sola cuando el siguiente escaneo encuentra algo nuevo.
configuración
Cinco pasos. La CLI hace la mayoría, y cada uno es también un clic en el panel.
Detecta Astro, vincula el sitio, escribe la configuración.
npx cookiecrumbs login
npx cookiecrumbs initUna línea en astro.config.mjs. Con auto: false colocas <CookieCrumbs /> tú mismo en tu layout.
npm i @cookiecrumbs/astro
// astro.config.mjs
import { defineConfig } from 'astro/config';
import cookiecrumbs from '@cookiecrumbs/astro';
export default defineConfig({
integrations: [cookiecrumbs({ site: 'pk_live_…', env: 'production' })],
});Las etiquetas sujetas a consentimiento reciben type="text/plain" y una categoría. Las islas que cargan rastreadores pueden comprobar el estado del consentimiento antes de montarse.
<script type="text/plain" data-cc-category="analytics"
src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>El middleware pone el consentimiento en locals, así que una página puede omitir por completo un embed para los visitantes que dijeron no.
// src/pages/index.astro
const { consent } = Astro.locals;
const showVideo = consent?.isGranted('marketing');El escaneo rastrea el sitio construido en cada estado de consentimiento. Clasifica una vez, publica.
npx cookiecrumbs scan --wait
npx cookiecrumbs push --env productionLos sitios Astro suelen ejecutar GTM a través de Partytown en un web worker. Los valores por defecto del consentimiento deben existir igualmente antes de que cargue, lo que la integración garantiza escribiendo el runtime primero.
Google Consent Mode v2 es la capa de señales entre el banner y las etiquetas de Google. Antes de que se ejecute cualquier etiqueta, siete señales (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) se fijan en «denied» para los visitantes del EEE, el Reino Unido y Suiza. En cuanto alguien elige, el runtime las actualiza y las etiquetas de Google se ajustan. Desde el 15 de junio de 2026 Google usa ad_storage como señal determinante para los datos de Ads, así que acertar con el valor por defecto importa más que antes.
CookieCrumbs fija los valores por defecto de forma síncrona, antes que cualquier gestor de etiquetas, los actualiza con cada decisión e incluye una plantilla de Google Tag Manager para que los activadores de consentimiento existan sin listeners escritos a mano. En modo avanzado, los pings sin cookies de Google mantienen las conversiones modeladas para los visitantes que dijeron que no. Lo que no hace es fingir ser una CMP certificada por Google: para AdSense, Ad Manager o AdMob en el EEE sigues necesitando una con IAB TCF, y CookieCrumbs hoy no lo es.
ojo
Cada uno aparece en el primer escaneo como un rastreador que se disparó antes del consentimiento.
antes de publicar
Ocho líneas. El panel marca las dos últimas con datos reales.
type="text/plain" con una categoría, o bien el host está en el mapa de bloqueo del escaneo.lo que obtienes
Dos dominios, 100 subpáginas escaneadas al mes por dominio, todas las normativas, la CLI, los SDK y el servidor MCP.
Cada página, en cada estado de consentimiento, en un navegador real. Cookies, píxeles, iframes y claves de almacenamiento, con la página y el script que los pusieron. Se vuelve a escanear según un calendario.
La declaración de cookies se escribe sola a partir del resultado.
Las etiquetas permanecen inactivas hasta que se concede su categoría. «Rechazar todo» es tan visible como «Aceptar todo». Siete diseños, 25 idiomas, Consent Mode v2 y la norma correcta por región.
21 kB, un solo archivo, sin peticiones propias a terceros.
Cada decisión se guarda con marca de tiempo, versión del banner y un hash de los textos mostrados, encadenada al registro anterior. Las exportaciones van firmadas. Alojado en Fráncfort.
Artículo 7(1), en el plan gratuito.
comprobación gratuita
El HTML de la página de inicio, contrastado con la base de datos de rastreadores. Sin cuenta, sin guardar nada. El escaneo completo del panel hace lo mismo con cada página, en un navegador real.
preguntas
siguiente paso
Añade el sitio, ejecuta npx cookiecrumbs init en tu repositorio Astro y el registro de consentimiento empieza a grabar en la UE.