iubenda è installato, il banner compare, la cookie policy è aggiornata. Ma guardando il banner non puoi sapere se Google Analytics, il Meta Pixel o Google Ads aspettano davvero il consenso prima di inviare dati.
Lo abbiamo misurato. Nel nostro scan quasi sei siti con banner su dieci caricavano tracker prima del consenso. Quasi sempre il problema non è lo strumento, ma l’integrazione.
Cosa abbiamo misurato
Tra il 31 ottobre e il 1° novembre 2026 abbiamo analizzato 10.944 siti di piccole e medie imprese in nove Paesi UE. 4.101 mostravano un cookie banner. Un vero browser ha aperto ogni sito come un nuovo visitatore, senza cliccare nulla, e ha registrato tutte le richieste; dove c’era “Rifiuta” al primo livello abbiamo cliccato e misurato di nuovo.
Una premessa onesta: i siti con iubenda nel campione sono troppo pochi per numeri affidabili, e non abbiamo ancora uno studio sull’Italia. Riportiamo quindi i dati di tutti i siti con un banner, qualunque fosse lo strumento:
- 59,8% (2.453) caricava tracker o cookie di tracciamento prima che il visitatore facesse una scelta.
- 49,5% (2.030) attivava un pixel pubblicitario prima del consenso.
- 67,0% (2.747) caricava Google Fonts direttamente dai server di Google.
- Dei 1.881 siti con “Rifiuta” al primo livello, il 43,6% (821) continuava a inviare dati a terze parti dopo il clic su “Rifiuta”.
Il campione viene dall’Europa centro-orientale, ma le cause sono tecniche e valgono ovunque, anche per un sito con iubenda.
Le 6 cause più comuni
1. Lo script di iubenda non è il primo nel <head>
iubenda blocca solo ciò che si carica dopo di lui, e la guida ufficiale chiede di mettere lo snippet all’inizio del <head>. Se un tag Google incollato nel tema o il pixel di un altro plugin sta più in alto, la richiesta parte prima che il banner esista. E se cambi lo stato del blocco automatico, lo snippet cambia e va reinserito.
2. Blocco automatico disattivato, oppure tag manuali mancanti
Il blocco automatico (auto-blocking), attivo di default nelle nuove installazioni, usa lo scanner per riconoscere script, iframe e tracker e li ferma fino al consenso. La documentazione stessa lo definisce “sperimentale”: ciò che lo scanner non rileva può restare sbloccato finché non lo aggiungi come dominio personalizzato. E ogni eccezione, un dominio nell’elenco di quelli da ignorare o uno script con data-cmp-ab, passa senza blocco.
Con il tagging manuale, invece, iubenda blocca solo gli script che hai marcato tu: classe _iub_cs_activate, type="text/plain" al posto di text/javascript (per gli script esterni l’URL passa in data-suppressedsrc) e, con il consenso per categoria, data-iub-purposes (per esempio 4 misurazione, 5 marketing). Uno snippet aggiunto dopo senza questi attributi parte e basta.
3. Google Tag Manager senza condizione di consenso
Con Google Tag Manager è GTM a decidere quando parte un tag, non il banner. La guida di iubenda è esplicita: niente trigger “All Pages”, ma un evento personalizzato come iubenda_consent_given (o iubenda_consent_given_purpose_4 per Google Analytics, con le categorie). L’alternativa è il Consent Mode con il template di iubenda nella galleria di GTM. Un tag su “All Pages” senza nessuna delle due protezioni è, nella nostra esperienza, la causa più frequente.
4. Plugin di cache e ottimizzazione (WordPress)
Il plugin ufficiale iubenda per WordPress (oltre 200.000 installazioni attive) analizza l’output delle pagine per bloccare gli script. Ma i plugin che uniscono, rimandano o riordinano il JavaScript possono spostare iubenda più in basso o alterare gli script marcati. Escludi iubenda da unione e caricamento differito, svuota la cache (anche del CDN) e verifica di nuovo. E non inserire iubenda due volte, con il plugin e a mano nel tema.
5. Plugin e-commerce con codice proprio (WooCommerce, PrestaShop)
I plugin di marketing e analytics dei negozi online spesso stampano il proprio codice di tracciamento, indipendentemente dal banner. Se iubenda e le impostazioni di consenso del negozio lavorano in parallelo, non è chiaro chi sblocca cosa. L’unica risposta affidabile è misurare.
6. Google Fonts, YouTube e mappe
Google Fonts arriva quasi sempre via CSS, non come script. Il blocco automatico lo elenca tra i servizi bloccati di default, ma se un’eccezione o il tema lo lasciano passare, l’indirizzo IP di ogni visitatore finisce a Google. La soluzione più solida è ospitare i font in locale. Video YouTube e Google Maps incorporati dovrebbero caricarsi solo dopo il consenso: verificalo.
E il Consent Mode v2?
Da marzo 2024 Google richiede il Consent Mode v2 per gli utenti del SEE, e iubenda è una CMP certificata da Google. Con il blocco automatico, nelle nuove installazioni i servizi Google restano bloccati fino al consenso (implementazione “Basic”). Se attivi l’opzione per non bloccare i servizi Google che aderiscono al Consent Mode, passi all’implementazione “Advanced”: i tag Google si caricano e si adeguano al consenso.
In quel caso conta il valore di partenza. Prima di qualsiasi clic, ad_storage, analytics_storage, ad_user_data e ad_personalization devono essere su “denied”. Se al caricamento c’è già “granted”, Google riceve un consenso che il visitatore non ha mai dato. Puoi controllarlo con il Consent Mode Checker gratuito.
Cosa dice il Garante Privacy
Le “Linee guida cookie e altri strumenti di tracciamento” del Garante (provvedimento n. 231 del 10 giugno 2021) contengono punti verificabili tecnicamente:
- Chiudere il banner con la X significa mantenere le impostazioni di default: nessun cookie diverso da quelli tecnici.
- Il semplice scroll non è un consenso valido.
- Rifiutare deve essere facile quanto accettare.
Se dopo la X o dopo “Rifiuta” partono ancora richieste verso Meta, Google Ads o altri tracker, il banner dice una cosa e il sito ne fa un’altra.
Come verificare iubenda in 2 minuti
Da solo, con il browser:
- Apri il sito in incognito, così non c’è un consenso salvato.
- Apri gli strumenti per sviluppatori (F12), scheda “Rete”, e ricarica senza toccare il banner.
- Filtra per
google-analytics,googletagmanager,facebook,doubleclick,fonts.googleapisetiktok: ogni richiesta che compare è partita prima del consenso. - Clicca “Rifiuta” (o la X) e ricarica. Ciò che compare ancora parte nonostante il rifiuto.
Oppure in automatico: lo scanner gratuito di Bannerproof apre il sito come un nuovo visitatore UE, controlla prima del consenso e dopo “Rifiuta”, legge i segnali del Consent Mode e mostra ogni richiesta come prova. Verifichiamo il risultato, non lo strumento: funziona con iubenda come con qualsiasi banner. Per i font c’è anche il Google Fonts Checker.
Checklist per iubenda
- Snippet di iubenda all’inizio del
<head>, reinserito dopo ogni modifica al blocco automatico - Blocco automatico attivo e senza eccezioni superflue, oppure ogni script marcato con
_iub_cs_activateetype="text/plain" - In Google Tag Manager: nessun tag di tracciamento su “All Pages” senza evento di consenso o Consent Mode
- Consent Mode v2: tutti e quattro i segnali su “denied” di default
- WordPress: iubenda escluso da unione e caricamento differito, cache svuotata
- Google Fonts in locale, YouTube e mappe solo dopo il consenso
- Dopo ogni nuovo tema, plugin o pixel: verifica di nuovo
Domande frequenti
iubenda è conforme al GDPR? iubenda è uno strumento. Se il tuo sito è in regola dipende da come è integrato e dal fatto che nulla si carichi prima del consenso. Questo si può misurare; non sostituisce una valutazione legale del tuo caso.
Quanto costa iubenda? Il piano gratuito basta? Prezzi e piani cambiano: fa fede la pagina prezzi ufficiale di iubenda. Secondo la documentazione, il Consent Mode è disponibile anche sui piani gratuiti, mentre alcune impostazioni avanzate del blocco automatico richiedono un piano superiore. Con qualunque piano, il test è lo stesso: cosa parte prima del consenso?
Lo scanner di iubenda non basta? Lo scanner di iubenda trova cookie e servizi del sito e alimenta il blocco automatico. Se un tag parte comunque al primo caricamento, perché sta prima dello snippet o passa da GTM, è un’altra domanda: serve caricare la pagina come un nuovo visitatore e guardare le richieste di rete.
Uso iubenda con WordPress: a cosa devo stare attento? A cache e ottimizzazione (causa 4), ai plugin che stampano codice di tracciamento proprio (causa 5) e a non inserire iubenda due volte.
Verifica il tuo setup iubenda
Avvia lo scanner gratuito: in circa due minuti vedi se prima del consenso o dopo “Rifiuta” si carica ancora qualcosa, e cosa esattamente.
Metodologia: scan di Bannerproof, 31.10–1.11.2026, 10.944 siti di piccole e medie imprese caricati correttamente in Repubblica Ceca, Romania, Ungheria, Slovacchia, Croazia, Slovenia, Lituania, Lettonia e Bulgaria; 4.101 con un cookie banner. I dati si riferiscono a tutti i siti con banner, non al solo iubenda (campione troppo piccolo). Il tracciamento lato server non è visibile a un browser. Non è una consulenza legale; non citiamo singoli siti. iubenda è un marchio di iubenda s.r.l.; Bannerproof non è affiliato a iubenda s.r.l.
