AdSense e GDPR in WordPress: come montare la pubblicità senza sorprese

Vuoi pubblicità o Google AdSense sul tuo sito WordPress, con un montaggio veloce, mantenibile e difendibile. La strada solita è incollare uno snippet AdSense da qualche parte nel tema e sperare che regga. Il conto arriva dopo: al prossimo aggiornamento, nel tempo di caricamento e sulla questione del consenso. In questo articolo si vede come governare gli annunci da un solo punto invece di spargere codice, cosa guardare sul fronte della protezione dei dati e com'è fatta una configurazione pulita, passo dopo passo.

Una precisazione prima dei dettagli: questo è un inquadramento pratico, non una consulenza legale. Il GDPR vale in tutta l'Unione con lo stesso testo, ma la regola che governa davvero i cookie pubblicitari nasce dalla direttiva ePrivacy, che ogni Stato ha recepito a modo suo. Quando conta la lettera precisa del tuo mercato, la risposta ce l'ha un legale di quel mercato.

Perché governare la pubblicità invece di spargere codice

Nel momento in cui il primo blocco pubblicitario finisce dentro un file del tema o dentro un articolo, comincia un piccolo caos. Al prossimo aggiornamento del tema il codice può essere sparito. Se un annuncio deve stare in dieci punti, lo si mantiene dieci volte. E se si vuole sapere se una posizione rende qualcosa, manca ogni base per rispondere, perché non si sta misurando niente.

Tre motivi spingono a gestire la pubblicità in un punto solo:

• Manutenzione: un annuncio, una fonte. Si cambia il codice una volta e l'annuncio si aggiorna ovunque sia stato inserito.
• Prestazioni: gli script pubblicitari sono spesso gli elementi più pesanti di una pagina. Caricarli in modo controllato, con il caricamento differito, protegge il tempo di caricamento e con esso il posizionamento.
• Diritto: la pubblicità, soprattutto quella personalizzata, tocca la protezione dei dati. Una gestione centrale rende molto più semplice mostrare gli annunci solo dopo il consenso, invece di ricordarsene in ogni singolo snippet.

Qui entra in gioco un gestore di pubblicità come Adjet: gli annunci si creano come blocchi a sé, posizione e regole si decidono in modo centrale e l'effetto si vede in una statistica locale. Basta cercare nei file del tema. Se prima vuoi confrontare gli strumenti disponibili, l'articolo sulle alternative ad Advanced Ads passa in rassegna i principali. Per lo strumento più diffuso nell'inserimento di codice c'è il nostro confronto con Ad Inserter.

Una nota sul nome, prima di cercarlo invano nella bacheca: nella directory ufficiale di WordPress la versione gratuita si chiama Hafenstudios Ads, non Adjet. Si installa da Plugin, Aggiungi nuovo, cercando «Hafenstudios Ads», oppure direttamente da wordpress.org/plugins/hafenstudios-ads/. All'inizio di settembre 2026 la scheda mostra la versione 2.5.0 con almeno 100 installazioni attive e 14 recensioni con media 5,0; ad agosto 2026 WordPress.org lo ha inserito nell'elenco dei plugin in evidenza.

Cosa chiedono davvero il GDPR e l'articolo 122 a un annuncio

Gli annunci personalizzati, quelli che AdSense mostra per impostazione predefinita, di norma installano cookie o leggono identificatori simili per riconoscere chi visita. In Europa questo richiede una decisione attiva della persona, il consenso di cui parlano tutti. Qui si sovrappongono due livelli, e confonderli è l'equivoco più frequente.

Il GDPR disciplina il trattamento dei dati personali ed elenca le possibili basi giuridiche. Il consenso per scrivere o leggere qualcosa sul dispositivo di chi visita arriva invece dalla direttiva ePrivacy, che non si applica direttamente e che ogni Stato ha dovuto recepire. In Italia è l'articolo 122 del Codice privacy, con le linee guida cookie del Garante per la protezione dei dati personali: il consenso si raccoglie prima che i cookie non necessari vengano installati, e rifiutare deve essere semplice quanto accettare. In Germania la norma corrispondente è il TDDDG, che ha sostituito il TTDSG. In Spagna è l'articolo 22.2 della LSSI, in Francia l'articolo 82 della Loi Informatique et Libertés, nei Paesi Bassi l'articolo 11.7a della Telecommunicatiewet. Leggi diverse, autorità diverse, lo stesso punto di partenza: tecnologia non necessaria solo dopo l'accettazione.

In pratica significa:

• Di norma serve un banner di consenso, o una piattaforma di gestione del consenso (CMP), attraverso cui chi visita può accettare o rifiutare. Rifiutare deve essere semplice quanto accettare: un clic sullo stesso livello, senza deviazioni nascoste dietro una schermata di impostazioni.
• La pubblicità che si appoggia a tecnologie soggette a consenso dovrebbe caricarsi solo dopo quell'accettazione, mai prima.
• Un annuncio è pubblicità e deve restare riconoscibile come tale. Il diritto dei consumatori chiede che l'intento commerciale sia identificabile, e un'etichetta pubblicità visibile è il modo più semplice per rispondere. In Germania un'etichetta chiara è considerata buona prassi; in Italia sul terreno delle pratiche commerciali interviene l'AGCM. Lo stesso ragionamento vale per i link retribuiti, argomento che trattiamo in come etichettare i link di affiliazione.

Il punto debole di quasi tutte le installazioni è il momento. Se lo script pubblicitario parte all'apertura della pagina, spesso è già attivo prima che qualcuno abbia accettato qualcosa. Per questo il blocco tramite consenso, che lega gli annunci al segnale reale di accettazione, vale i dieci minuti che servono ad attivarlo.

Consent Mode v2 e le regole proprie di Google

Da marzo 2024 Google si aspetta Consent Mode v2 dai siti che mostrano annunci Google o misurano con tag Google e hanno visitatori dello SEE. Tecnicamente vengono passati ai tag quattro segnali: ad_storage, analytics_storage, ad_user_data e ad_personalization. Senza, si rischiano misurazioni incomplete, remarketing più debole e, nel caso peggiore, limitazioni sull'account Google Ads o AdSense.

Sopra la legge Google mette poi una regola propria. A chi mostra annunci a persone dello SEE e del Regno Unito viene chiesto di usare una piattaforma di consenso presente nell'elenco certificato di Google, e il messaggio si configura in Privacy & messaging dentro l'account AdSense. Conviene consultare quell'elenco prima di scegliere un banner, perché cambiare strumento di consenso dopo il lancio costa parecchio più che scegliere bene all'inizio.

Installare AdSense in WordPress, passo dopo passo

Ecco come si imposta una configurazione pulita, in sette passaggi. Seguono Adjet, ma il principio vale per qualsiasi impianto pubblicitario fatto bene. I passaggi dal tre al cinque sono il vero lavoro di protezione dei dati, e confonderli è esattamente il modo di aprire la falla di cui parla questo articolo.

1. Creare il blocco pubblicitario

Ci sono due strade. O si incolla il proprio codice annuncio, per esempio quello di un inserzionista diretto, oppure si usa l'assistente AdSense. Per i banner venduti in proprio la strada abituale è un plugin di rotazione, e quella via la esaminiamo nel confronto con AdRotate. Lì si inseriscono ID editore e ID slot e si ottiene un annuncio responsive che si adatta allo spazio. Volendo si può caricare anche il loader Auto ads di Google, in cui è Google a scegliere le posizioni. AdSense si aspetta inoltre un file ads.txt nella radice del dominio: non ha nulla a che vedere con il consenso, ma fa parte di un'installazione completa.

2. Scegliere posizione e targeting

Adesso si decide dove compare l'annuncio. Per il posizionamento automatico ci sono le posizioni tipiche: prima o dopo il contenuto, dopo un determinato paragrafo o dopo la prima immagine. Per un controllo più fine si posiziona a mano con shortcode, blocco Gutenberg o widget:

[adjet_ad id="1"]

Per annunci a rotazione si raccolgono più blocchi in un gruppo servito per peso:

[adjet_ad_group name="header"]

Con il targeting si restringe ancora: solo desktop, tablet o mobile, solo determinati tipi di contenuto, categorie, tag o termini, ogni volta anche con esclusioni. Così un annuncio mobile compare in una sola categoria e resta fuori dalle pagine di vendita.

La parte del consenso: tre compiti, tre passaggi

Adesso arriva la parte che in molti saltano, e sono tre compiti che tecnicamente non hanno nulla a che vedere tra loro. Qualcosa deve raccogliere e conservare la decisione di chi visita. Quella decisione va comunicata ai tag di Google. E gli annunci vanno trattenuti fino ad allora. Un banner da solo copre soltanto il primo compito. È proprio qui che quasi tutte le installazioni falliscono: la persona clicca su rifiuta, il banner sparisce soddisfatto e lo script pubblicitario girava da un pezzo dietro le quinte.

3. Raccogliere e conservare il segnale di consenso

Qui ci sono due strade e se ne sceglie esattamente una.

• Il banner incluso: Adjet porta un modello «Consenso cookie». Lo si crea come blocco e lo si attiva, e da lì il banner conserva la decisione nel cookie adjet_consent, con un anno di durata e SameSite=Lax. Accetta e rifiuta stanno uno accanto all'altro come due pulsanti sul primo livello; il rifiuto non si nasconde dietro un link alle impostazioni. Nella versione gratuita è una decisione tutto o niente; la suddivisione in categorie (necessari, statistica, marketing, preferenze) con caselle proprie appartiene a Pro.
• Una CMP esterna: usi già uno strumento di consenso? Allora basta indicare nelle impostazioni di Adjet il nome del cookie che il tuo strumento scrive dopo l'accettazione e, volendo, il valore che deve contenere. Da lì Adjet controlla esattamente quello e non mostra un banner proprio. Se un nome di cookie è impostato, è quel cookie a decidere se un annuncio può caricarsi, anche se il banner incluso fosse ancora attivo.

Tenerli attivi entrambi è una cattiva idea. Due banner che fanno la stessa domanda confondono chi visita, e alla fine si documentano due decisioni che possono divergere.

4. Comunicare la decisione a Google: Consent Mode v2

A Google un cookie sul dispositivo non dice nulla. Consent Mode v2 lavora con segnali che stanno su granted oppure su denied. La versione gratuita invia esattamente questi quattro:

Altri due segnali fanno parte dello standard, functionality_storage e personalization_storage. Li invia solo Adjet Pro, insieme alla suddivisione del banner in categorie che li associa alle preferenze. Nel codice della versione gratuita non compaiono affatto.

L'ordine è il punto in cui la maggior parte delle implementazioni cade. Prima del primo tag Google deve esserci un consent default con questi quattro segnali su denied. Solo dopo un consent update può comunicare la decisione. Senza quel default i tag partono dal caricamento della pagina con pieno accesso all'archiviazione, e il Tag Assistant di Google segnala «consent update called before default». Per questo Adjet stampa il default molto presto nel <head>, prima di qualsiasi gtag.js, e ricomunica subito come update la decisione già presente nel cookie. Senza questa ricomunicazione un rifiuto durerebbe esattamente una visualizzazione di pagina, perché una cache di pagina serve lo stesso HTML a tutti e non può conoscere il cookie.

Google distingue inoltre due modalità di funzionamento, e lì c'è una scelta vera:

• Basic: i tag Google non si caricano affatto finché non c'è consenso. Senza accettazione non passa nulla, in cambio i dati mancano del tutto. È la strada che Adjet prende con il banner incluso: il loader AdSense viene trattenuto e iniettato nella pagina solo dopo l'accettazione.
• Advanced: i tag si caricano subito, ma prima del consenso inviano solo segnali senza cookie, dai quali Google modella le conversioni mancanti. Più dati utilizzabili, ma anche una richiesta verso Google prima che la persona abbia deciso. Se questo, senza accesso all'archiviazione, ricada già sotto l'articolo 122 del Codice privacy è discusso. Di sicuro c'è che la modalità Basic la domanda non se la pone nemmeno.

C'è poi una terza strada che Adjet offre come interruttore e che nelle guide manca quasi sempre: gli annunci non personalizzati. Con l'impostazione attiva, Adjet mette il flag NPA di Google prima del loader AdSense finché manca il consenso. Chi visita vede allora pubblicità senza personalizzazione invece di uno spazio vuoto, e i segnali di Consent Mode restano su denied. L'interruttore è spento di fabbrica, e l'impostazione stessa spiega perché: anche gli annunci non personalizzati installano cookie per la limitazione della frequenza, quindi nell'Unione il consenso può servire lo stesso.

5. Trattenere davvero gli annunci

Solo adesso entra in gioco il blocco. Con il blocco attivo, Adjet non scrive il codice pubblicitario dentro la pagina, ma lo deposita in un elemento template che il browser non esegue. Quando arriva l'accettazione, lo script del frontend estrae il codice e lo inserisce. Senza accettazione lo spazio resta vuoto in senso letterale: dentro non c'è nessuno script in attesa di un segnale. Con gli Auto ads, dove le posizioni le sceglie Google e non c'è un blocco a fare da ancora, Adjet trattiene invece l'indirizzo del loader e lo aggiunge a tutto il sito dopo la decisione.

6. Accendere caricamento differito ed etichetta

Attiva il caricamento differito, così gli annunci si caricano quando entrano nell'area visibile. Tecnicamente se ne occupa un IntersectionObserver, che osserva se il blocco sta per diventare visibile. Si risparmia tempo di caricamento, soprattutto con un annuncio molto in basso. Accendi anche l'etichetta pubblicità opzionale, perché gli annunci restino riconoscibili.

7. Verificare l'effetto nella statistica

Dopo la messa online si guarda la statistica locale, un grafico a 30 giorni in SVG semplice che mostra impressioni e clic. I dati restano nel tuo database, non ci sono chiamate esterne verso Adjet o hafenstudios. Si vede quindi quale posizione e quale formato funzionano con i tuoi lettori, e le posizioni deboli si possono spegnere invece di tirare a indovinare. Per iniziative a tempo c'è la pianificazione campagna con orario di inizio e fine facoltativi. Un numero da mettere in conto: AdSense riporta gli Ad requests nella propria dashboard, e una richiesta non riempita non diventa mai un'impressione. Le due dashboard non coincideranno mai del tutto, ed è normale.

Dimostrare che il blocco tiene davvero

Una casella spuntata nelle impostazioni non dimostra nulla. La prova sta negli strumenti per sviluppatori del browser e richiede meno di dieci minuti. Contano due indirizzi: il loader AdSense arriva da pagead2.googlesyndication.com, uno slot di Google Ad Manager da securepubads.g.doubleclick.net. È su questi che si filtra.

1. Apri una finestra anonima nuova. Altrimenti stai verificando contro una decisione presa da te settimane fa. Poi premi F12 e passa alla scheda Rete.
2. Imposta il filtro e ricarica. Scrivi googlesyndication nel campo del filtro e carica la pagina. Prima di qualsiasi decisione l'elenco deve restare vuoto. Se c'è già una riga, AdSense si carica troppo presto, e nessun banner per quanto bello ci mette una pezza.
3. Guarda i cookie. Nella scheda Applicazione (Chrome) o Archiviazione (Firefox), prima della decisione dovrebbero comparire solo voci del tuo dominio, per esempio la sessione di WordPress. Niente di Google.
4. Clicca su rifiuta. Il filtro di rete resta vuoto e il cookie adjet_consent passa a denied.
5. Ricarica senza cancellare nulla. Ancora niente di Google, e il banner non deve ricomparire. Questo test lo perdono sorprendentemente tante installazioni: un banner che dopo il ricaricamento richiede di nuovo non ha salvato bene il rifiuto.
6. Cancella i cookie, ricarica, accetta. Adesso la riga deve comparire nella scheda Rete, adjet_consent deve valere granted e lo spazio deve riempirsi. Se non succede, il blocco tiene ma qualcos'altro non va.
7. Controlla il Consent Mode. Scrivi dataLayer nella console e apri le voci. La prima voce consent deve essere un default con questi quattro segnali su denied, l'update con la tua decisione viene dopo. Se l'ordine è invertito, lo segnala anche il Tag Assistant di Google.

Il banner deve essere usabile, non solo a norma

Un banner di consenso sta tra chi visita e tutto il contenuto. Chi non riesce a usarlo non arriva al sito e di conseguenza non può nemmeno acconsentire. Qui protezione dei dati e accessibilità sono lo stesso cantiere: un consenso che si può dare solo con il mouse e solo con una buona vista non è nei fatti una decisione libera. Cinque cose da verificare da soli in pochi minuti:

• Tastiera: carica la pagina e usa solo il tasto Tab. Raggiungi accetta e rifiuta, e si attivano entrambi con Invio o barra spaziatrice? Questo presuppone veri elementi button e non contenitori div resi cliccabili. Nel banner incluso di Adjet sono pulsanti.
• Focus visibile: vedi dove ti trovi mentre navighi con Tab? Un outline: none tolto in fase di design è l'errore più frequente su banner per il resto puliti.
• Copertura: con il banner aperto, continua a navigare con Tab dentro la pagina. Un banner incollato al bordo inferiore copre volentieri proprio l'elemento che ha il focus. WCAG 2.2 ha un criterio dedicato, il 2.4.11 Focus Not Obscured (Minimum), al livello AA.
• Contrasto: il testo del banner richiede almeno 4,5:1 rispetto al fondo secondo il criterio 1.4.3, e il bordo di un pulsante almeno 3:1 secondo l'1.4.11. Il grigio chiaro su bianco qui cade con regolarità, e dei due pulsanti di solito è quello del rifiuto. Chrome mostra il valore di contrasto direttamente nel selettore di colore.
• Screen reader: il banner ha bisogno di un nome, altrimenti viene annunciato come una regione senza nome. Il modello di Adjet porta per questo role="dialog" con un'etichetta aria-label.

Il punto in cui le due esigenze si incontrano è lo stesso di prima: rifiutare deve essere raggiungibile con la stessa facilità di accettare, un clic sullo stesso livello. È protezione dei dati e usabilità insieme. Perché un enigma in più davanti a un modulo produce lo stesso effetto altrove lo racconta l'articolo su captcha e accessibilità.

Tenere d'occhio le prestazioni

Pubblicità e tempo di caricamento sono un equilibrio. Qualche regola semplice aiuta:

• Meno è meglio: tre posizioni pensate rendono spesso più di otto che intasano la pagina e allontanano i lettori.
• Usare il caricamento differito: tutto ciò che sta sotto la prima schermata non deve caricarsi subito.
• Testare le posizioni: usa la statistica per togliere gli annunci senza effetto, invece di aggiungerne sempre di nuovi.

Se stai comunque mettendo ordine nel tuo sito WordPress, vale la pena guardare anche URL pulite e reindirizzamenti. Anche lì il punto è risolvere una cosa tecnica in modo centrale e non sparso: una tabella di reindirizzamenti tenuta in un solo posto è meglio di regole sparse nel file di configurazione del server.

Conclusione

Inserire pubblicità e AdSense in WordPress non è questione di codice copiato in fretta, è questione di governo pulito. Se gli annunci si gestiscono in modo centrale, si mostrano solo dopo il consenso, si caricano in ritardo e si etichettano come pubblicità, si sta al sicuro sul piano tecnico, su quello legale e sui tempi di caricamento. E dato che si misura quello che funziona, alla fine si guadagna di più con meno annunci. Adjet è open source sotto GPLv2, porta un permesso proprio (manage_adjet) e una API REST (adjet/v1), senza consegnare i tuoi dati all'esterno. Quanto costa ogni plugin, Adjet compreso, si trova sulla nostra pagina prezzi. E per ripetere la frase che conta: questo è un inquadramento, non una consulenza legale, quindi la lettera precisa del tuo mercato falla confermare da chi è del mestiere lì.

Domande frequenti su AdSense e pubblicità in WordPress