O consentimento WordPress
que bloqueia antes do clique.

Sim, e o bloqueio vive na marcação, não numa promessa. No modo estrito, ativo por defeito, o documento é capturado à saída e cinco passagens reescrevem scripts, iframes, pixels, sugestões de ligação e media de terceiros. Duas limitações que deves conhecer: o bloqueio real assenta no catálogo de 175 assinaturas e nas assinaturas de código inline — um script de terceiros desconhecido é autorizado por defeito, uma iframe desconhecida é bloqueada —, e se desativares o modo estrito, só os scripts registados pelo WordPress são tratados, não os que estão escritos à mão no tema. Por fim, um documento com mais de 8 MB ou uma falha do motor de expressões regulares é servido intacto, em vez de partido.

Sim, foi essa a restrição de partida. O HTML servido é idêntico para todos os visitantes, rastreadores neutralizados incluídos, e o estado de consentimento é reconstruído no browser a partir do cookie e aplicado antes da primeira pintura. Nenhuma cache pode, portanto, servir as escolhas de um visitante a outro. A contrapartida é explícita: o regime do visitante é decidido do lado do cliente, logo, sem JavaScript nada fica registado. Um visitante sem JavaScript vê um bloco noscript, não carrega nada de não essencial, e nunca fica preso atrás de uma janela que não consegue fechar.

Decide o modelo legal: opt-in para o RGPD, o UK PECR, a nLPD suíça, a Lei 25, a LGPD, a POPIA, a PIPL e a DPDP; concedido até à recusa para a CCPA, o perfil norte-americano genérico e a Austrália. Decide também se o link «Do Not Sell or Share» aparece (só CCPA e perfil norte-americano genérico), se o sinal GPC é vinculativo (os mesmos dois perfis: nos outros, o sinal é refletido no ecrã mas nada fica registado), e tanto a língua como a autoridade de controlo dos documentos gerados. A deteção por país é opcional e vem desativada; falha fechada, ou seja, para o regime mais estrito. Duas limitações assumidas: sem granularidade por estado norte-americano nem por província canadiana, e o ficheiro MaxMind não é descarregado nem carregável pelo plugin — és tu que o colocas em uploads/ow-geoip/.

Prova tanto quanto a chave que o assina, e o plugin diz-to sem rodeios. Cada linha é assinada em HMAC com o hash da anterior e a âncora de cabeça é guardada fora da tabela, de modo que uma alteração, um truncamento ou um esvaziamento se veem na verificação. Mas se AUTH_KEY e AUTH_SALT não estiverem no teu wp-config.php e não tiveres definido OWC_LEDGER_KEY, a chave vem da base de dados: quem tenha acesso à base de dados pode voltar a assinar a cadeia. Nesse caso o plugin mostra um aviso no backoffice e reporta ele próprio que a cadeia já não está à prova de adulteração, em vez de continuar a afirmá-lo.

Não, e é importante dizê-lo antes de o adotares, não depois. O módulo implementa o TCF v2.2 do lado do browser — API __tcfapi, string TC codificada, cookie euconsent-v2 — mas não fornece um CMP ID: esse é atribuído pelo IAB Europe após registo e, sem ele, o módulo não emite absolutamente nada. O perímetro também é limitado: apenas o segmento Core, nenhuma publisher restriction emitida, duas funcionalidades especiais suportadas, sem âmbito global. Na prática, funciona como um CMP compatível não oficial, o que chega para muitas integrações mas não substitui um registo oficial — a Google AdSense, em particular, recusa-o em produção no EEE. O módulo vem desativado por defeito.

Desativar não toca em dados nenhuns: limita-se a retirar as tarefas agendadas. Ao apagar, duas coisas vão-se sempre, seja qual for a tua definição: as tarefas agendadas e a tabela dos pedidos de exercício de direitos, a única que contém dados diretamente identificáveis de terceiros e que, uma vez o plugin fora, deixa de ter qualquer limite de retenção. O resto — registo de consentimento, deteções do scanner, catálogo de rastreadores — sobrevive, a não ser que tenhas assinalado explicitamente o apagamento completo, desmarcado por defeito: a tua prova de consentimento ao abrigo do artigo 7.º, n.º 1 não deve desaparecer com uma desinstalação.