consentimiento de cookies para Lovable
Lovable construye la app y el seguimiento que pediste, y no añade ningún paso de consentimiento. Pídele un banner y obtienes una caja que muestra una elección y no bloquea nada. Esta página arregla ambas cosas en diez minutos.
la norma
Un proyecto Lovable por defecto pone cookies de analítica y marketing en cuanto se añaden esos scripts. Ese es exactamente el comportamiento que las autoridades europeas están sancionando, y el deber legal recae en ti, el operador, no en la herramienta que generó el código.
La norma es la misma en toda la UE y en el Reino Unido: nada más allá de lo estrictamente necesario puede almacenarse en el dispositivo de un visitante ni leerse de él antes de que haya dado su consentimiento. Es el artículo 5(3) de la Directiva ePrivacy, y ese consentimiento debe cumplir la definición del RGPD: libre, específico, informado e inequívoco, con un rechazo tan fácil como la aceptación. El Reino Unido mantiene la misma norma en PECR, con exenciones limitadas para estadísticas de bajo riesgo desde el 5 de febrero de 2026. California y las demás leyes estatales de EE. UU. funcionan al revés: sin opt-in, pero con un enlace de opt-out y soporte para la señal Global Privacy Control.
De ahí se derivan tres cosas para un sitio web. Los scripts de analítica, publicidad y redes sociales tienen que esperar una decisión. La decisión tiene que registrarse de forma que puedas demostrarla después, porque el artículo 7(1) pone la carga de la prueba sobre ti. Y retirar el consentimiento tiene que ser tan fácil como darlo, lo que exige un control que vuelva a abrir el banner en cada página. Un banner que muestra dos botones y carga Google Analytics de todos modos suspende la primera prueba, y ese es justo el fallo que las autoridades están sancionando, desde las decisiones de la CNIL contra Google y SHEIN hasta las inspecciones de las autoridades neerlandesa y belga.
cómo funciona
Lovable genera una app React sobre Vite con Tailwind y shadcn/ui, normalmente con Supabase detrás, y la publica en un subdominio lovable.app o en tu propio dominio. El runtime de consentimiento pertenece al único archivo que toda app Vite tiene: index.html, primero en el head. Lovable edita ese archivo cuando se lo pides y mantiene el cambio en prompts posteriores.
Lo que Lovable no hará por sí solo es bloquear nada. Si pides «un banner de cookies», el modelo escribe un componente que muestra dos botones y guarda un booleano, mientras el snippet de Google Analytics o Meta Pixel que añadió antes sigue ejecutándose en cada carga. Eso es peor que no tener banner: parece conforme y no lo es. El prompt de abajo hace las dos cosas que importan, en el orden correcto: primero el runtime, después cada rastreador convertido en un script sujeto a consentimiento.
Después, el escáner toma el relevo. Carga tu app publicada en un navegador real, en cada estado de consentimiento, y lista lo que aún se dispara antes del consentimiento, si hay algo. Como las apps de Lovable son de una sola página, el escaneo sigue las rutas del lado del cliente que descubre en el DOM renderizado; añade URL de inicio en el panel para las rutas que no puede alcanzar desde la página de inicio. El registro de consentimiento graba cada decisión desde el momento en que el banner está en producción.
configuración
Diez minutos, un prompt, sin npm.
Regístrate, añade el dominio en el que está publicada tu app y copia la clave de producción desde Instalar. El plan gratuito cubre dos dominios.
Pone la etiqueta primero y convierte cada rastreador en un script sujeto a consentimiento. Lee el diff que genera; nada más debería cambiar.
Add this script tag as the very first element inside <head> of index.html:
<script src="https://app.cookiecrumbs.eu/runtime/cc.js"
data-cc-site="pk_live_…"
data-cc-env="production"></script>
Then change every analytics, advertising and social script (Google Analytics, gtag, Meta Pixel, TikTok, Hotjar, HubSpot) to type="text/plain" and add data-cc-category="analytics" or data-cc-category="marketing" to each one. Do not change anything else.Publica la app. En el panel, ejecuta el primer escaneo: carga la app en producción en un navegador real y lista lo que aún se dispara antes del consentimiento, si hay algo.
Clasifica cada proveedor en una categoría, configura tus enlaces de aviso legal y privacidad, publica. El banner está en producción y el registro de consentimiento está grabando.
Carga tu página como un visitante y confirma que el banner se ejecutó antes que cualquier rastreador. Esa marca es la prueba.
Los proyectos de Lovable con Google Ads o GA4 reciben los valores por defecto de Consent Mode del runtime antes de que carguen esas etiquetas, así que la medición sigue funcionando para los visitantes que dicen sí.
Google Consent Mode v2 es la capa de señales entre el banner y las etiquetas de Google. Antes de que se ejecute cualquier etiqueta, siete señales (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) se fijan en «denied» para los visitantes del EEE, el Reino Unido y Suiza. En cuanto alguien elige, el runtime las actualiza y las etiquetas de Google se ajustan. Desde el 15 de junio de 2026 Google usa ad_storage como señal determinante para los datos de Ads, así que acertar con el valor por defecto importa más que antes.
CookieCrumbs fija los valores por defecto de forma síncrona, antes que cualquier gestor de etiquetas, los actualiza con cada decisión e incluye una plantilla de Google Tag Manager para que los activadores de consentimiento existan sin listeners escritos a mano. En modo avanzado, los pings sin cookies de Google mantienen las conversiones modeladas para los visitantes que dijeron que no. Lo que no hace es fingir ser una CMP certificada por Google: para AdSense, Ad Manager o AdMob en el EEE sigues necesitando una con IAB TCF, y CookieCrumbs hoy no lo es.
ojo
Cada uno aparece en el primer escaneo como un rastreador que se disparó antes del consentimiento.
antes de publicar
Ocho líneas. El panel marca las dos últimas con datos reales.
type="text/plain" con una categoría, o bien el host está en el mapa de bloqueo del escaneo.lo que obtienes
Dos dominios, 100 subpáginas escaneadas al mes por dominio, todas las normativas, la CLI, los SDK y el servidor MCP.
Cada página, en cada estado de consentimiento, en un navegador real. Cookies, píxeles, iframes y claves de almacenamiento, con la página y el script que los pusieron. Se vuelve a escanear según un calendario.
La declaración de cookies se escribe sola a partir del resultado.
Las etiquetas permanecen inactivas hasta que se concede su categoría. «Rechazar todo» es tan visible como «Aceptar todo». Siete diseños, 25 idiomas, Consent Mode v2 y la norma correcta por región.
21 kB, un solo archivo, sin peticiones propias a terceros.
Cada decisión se guarda con marca de tiempo, versión del banner y un hash de los textos mostrados, encadenada al registro anterior. Las exportaciones van firmadas. Alojado en Fráncfort.
Artículo 7(1), en el plan gratuito.
comprobación gratuita
El HTML de la página de inicio, contrastado con la base de datos de rastreadores. Sin cuenta, sin guardar nada. El escaneo completo del panel hace lo mismo con cada página, en un navegador real.
preguntas
siguiente paso
Plan gratuito, dos dominios, sin tarjeta. Escanea primero la app en producción si quieres ver qué carga hoy.