Cookies de terceiros são arquivos gravados por domínios externos ao seu, como Meta e Google, para rastrear o visitante entre sites. Segundo a MDN Web Docs (2024), Safari e Firefox já bloqueiam esse cookie por padrão; o Chrome não. No WordPress, o risco real é gravá-lo antes do consentimento. Mapeie e bloqueie antes do opt-in.

Cookies de terceiros são identificadores gravados no navegador por um domínio diferente daquele que o usuário está visitando. No WordPress, eles chegam embutidos em scripts externos: o pixel de uma rede de anúncios, a tag de um chat, o player de um vídeo. O problema não é técnico, é jurídico: esse cookie costuma gravar antes do visitante clicar em “aceitar”, e isso coloca o site em desacordo com a LGPD. Entender de onde vem cada cookie é o primeiro passo de qualquer trabalho de conformidade sério no guia de LGPD e privacidade no WordPress da FULL.

Os 3 tipos de cookies de terceiros que mais aparecem

Existem 3 famílias de cookies de terceiros que respondem por quase todo o rastreamento de um site WordPress: publicidade, analytics e mídia incorporada. O Meta Pixel grava cookie de remarketing; o Google Analytics 4 grava cookie de audiência; o YouTube grava cookie ao incorporar um vídeo. Cada família carrega um domínio externo distinto, e por isso um único site dispara 15 ou 20 cookies sem o dono perceber.

Por que cookies de terceiros são um problema de LGPD

Cookies de terceiros viram problema de LGPD porque a Lei 13.709 exige base legal antes da coleta e trata dado de comportamento como dado pessoal. Segundo o texto no Planalto (2018), o consentimento precisa ser livre, informado e inequívoco. Um cookie de publicidade que grava no instante em que a página abre não atende a nenhum dos três critérios.

A consequência prática aparece todos os dias no suporte. A gente vê no suporte da FULL que boa parte dos sites instala um banner bonito de consentimento, mas o Meta Pixel continua gravando o cookie no carregamento, antes de qualquer clique. O banner registra o “aceito”, só que o rastreamento já aconteceu. Esse descompasso entre o que o site diz e o que ele faz é o que mais expõe a empresa numa fiscalização da ANPD. Vale ler antes o material sobre como aplicar a LGPD no WordPress.

Cookie de terceiro versus cookie próprio: A confusão que custa caro

A diferença entre cookies de terceiros e cookies próprios está em 1 detalhe: o domínio que grava o arquivo. Um cookie próprio (first-party) vem do seu domínio, como seu-site.com.br, e serve para login e carrinho. Um cookie de terceiro vem de outro domínio carregado dentro da sua página, como facebook.com, e é ele que rastreia o visitante entre sites diferentes.

Aqui mora a informação que quase ninguém cobre: muitos scripts modernos contornam o bloqueio gravando um cookie first-party “disfarçado”. O Google Analytics 4 grava o cookie _ga no seu próprio domínio, então tecnicamente não é cookie de terceiro, mas o dado segue para o Google. Olhar só o domínio engana. O que importa para a LGPD é para onde o dado vai, não onde o arquivo foi salvo. Classificar cada cookie exige checar o script que o cria, não a lista do navegador. Os termos ficam mais claros no verbete de cookies no WordPress do glossário.

Como o WordPress grava cookies de terceiros sem você pedir

O WordPress grava cookies de terceiros sempre que um script externo carrega no ou no rodapé, e isso acontece por 3 caminhos silenciosos. O primeiro é o tema: muita gente cola o Meta Pixel direto no header.php, que dispara em toda página. O segundo é o Google Tag Manager, que carrega tags assíncronas fora do controle do banner. O terceiro são os embeds de vídeo, que gravam cookie ao renderizar.

O ponto que pega a maioria é o Tag Manager. Quando o GTM carrega tags sem o modo de consentimento ativo e o banner é apenas visual, o site registra o “aceito” do usuário, mas as tags já dispararam o cookie de terceiro antes disso. O consentimento existe no papel e não no código. Esse é o tipo de furo que só aparece quando alguém abre a aba de rede do navegador e olha as requisições, ou usa um plugin que detecta quais cookies o site grava de verdade.

Como mapear e bloquear cookies de terceiros antes do consentimento

Bloquear cookies de terceiros corretamente exige 2 etapas que a maioria pula: mapear o que existe e impedir o disparo até o opt-in. Plugins como o CookieYes e o Complianz fazem o scan automático, listam cada cookie por categoria e seguram os scripts de terceiros até o visitante consentir. Sem essa retenção (o chamado prior blocking), o banner é decorativo.

A configuração que funciona categoriza os cookies em publicidade, analytics e necessários, e libera cada grupo só após o clique correspondente. A escolha do plugin importa menos que a checagem final. A gente vê no suporte que a maior parte dos sites “resolve” a LGPD instalando o plugin e nunca testa se o cookie parou de gravar. O teste correto é abrir o navegador em aba anônima, recusar tudo no banner e conferir se nenhum cookie de terceiro foi gravado. Para comparar as opções, vale o guia de plugins de conformidade com GDPR e LGPD, que cobrem banner e bloqueio prévio.

Onde a FULL entra nessa conta

Manter cookies de terceiros sob controle envolve plugin de consentimento, mas também tema, performance e SEO juntos. O plano PRO da FULL reúne o bundle dos 17 plugins premium por R$849 por ano, o que dá cerca de R$85 por site quando você gerencia uma carteira de 10 WordPress.

Em vez de comprar licença avulsa de cada ferramenta de conformidade, performance e segurança, o conjunto vem ativado em um clique. Veja os detalhes em FULL.services/planos. A gente vê no suporte que centralizar a stack reduz o número de scripts soltos gravando cookie sem rastreabilidade, porque cada tag passa a ter um responsável claro dentro do painel, e não espalhada por temas e instalações avulsas que ninguém audita.

Perguntas frequentes sobre cookies de terceiros

O próximo passo para um WordPress em conformidade

Cookies de terceiros deixam de ser um risco quando você troca o banner decorativo por um fluxo que mapeia cada script e segura o disparo até o consentimento real. O caminho é sempre o mesmo: inventariar o que grava cada cookie, classificar por categoria, bloquear antes do opt-in e testar recusando tudo. A diferença entre estar formalmente em conformidade e estar de fato protegido está nesse teste final, e não no plugin que aparece no rodapé. Para fechar a base jurídica, complemente com o passo a passo de como criar a política de privacidade do WordPress e mantenha o inventário de cookies atualizado a cada nova tag instalada.

Legenda: cada domínio diferente do seu site, listado na aba do navegador, é um cookie de terceiro a categorizar.