First-party tracking no WordPress: como rastrear campanhas com mais privacidade

First-party vs Third-party tracking

A distinção fundamental entre os dois modelos:

A tendência nos navegadores modernos — especialmente Safari (ITP), Firefox e o Chrome a partir de mudanças planejadas — é de restringir cada vez mais cookies de terceiros. Cookies first-party são definidos pelo próprio domínio do site e têm mais estabilidade nesse cenário.

Como funciona o first-party tracking no WordPress

Um plugin de rastreamento first-party como o UTM Tracker DL funciona assim:

1. Quando um visitante acessa o site, o PHP (server-side) lê os parâmetros UTM da URL
2. O plugin atribui um identificador único ao visitante (cookie first-party, definido pelo seu próprio domínio)
3. Os dados de atribuição (UTMs, click ID, referrer, landing page) são armazenados no banco de dados MySQL do WordPress
4. Não há comunicação com servidores externos para esse processo
5. Quando o formulário é enviado, o snapshot de atribuição é registrado como lead no mesmo banco de dados

Os dados ficam inteiramente no seu servidor WordPress — no banco de dados que você controla.

Cookies first-party

O UTM Tracker DL usa um cookie chamado utmdl_vid para identificar o visitante entre visitas diferentes. Características desse cookie:

• Definido por: seu próprio domínio (não por um terceiro)
• Conteúdo: uma string hexadecimal aleatória de 32 caracteres (ex: a3f7c1...) — sem dados pessoais
• Duração: configurável (padrão: 90 dias, opções: 30, 60, 90, 180)
• SameSite: Lax
• Secure: ativado quando o site usa HTTPS
• HttpOnly: false — necessário para que o JS do plugin leia o identificador e preencha campos de formulário

O cookie em si não contém dados pessoais — é apenas uma chave para buscar os dados de atribuição no banco de dados. Os dados de atribuição (UTM source, medium, campaign) também não são pessoais por natureza, a menos que estejam associados a um lead identificado (como um e-mail em um formulário).

Armazenamento local de dados

Todos os dados capturados ficam em duas tabelas no banco de dados MySQL do seu WordPress:

• wp_utmdl_attribution: dados de atribuição por visitante (First Touch e Last Touch)
• wp_utmdl_conversions: snapshot no momento da conversão do formulário

Esses dados:

• Não são enviados automaticamente para nenhuma plataforma externa
• Ficam no seu servidor (ou no servidor do seu host de WordPress)
• São acessíveis pelo painel do WordPress (UTM Tracker DL → Leads)
• Podem ser exportados em CSV para análise externa

Configurações de retenção

O plugin tem configurações de retenção que permitem definir por quanto tempo os dados são mantidos no banco de dados:

A limpeza automática remove registros antigos em lotes, minimizando o impacto no banco de dados. Ao desinstalar o plugin, todas as tabelas são removidas.

Privacidade e conformidade

O que você ainda precisa avaliar independentemente do plugin:

• Base legal para o rastreamento: no contexto brasileiro (LGPD), você precisa de uma base legal para coletar dados de visitantes — como legítimo interesse ou consentimento, dependendo da finalidade e do tipo de dado.
• Política de privacidade: o rastreamento de origem de visitantes e leads deve ser informado na sua política de privacidade.
• Dados pessoais vs. dados de campanha: os dados UTM por si só não são pessoais. Mas quando associados a nome, e-mail ou telefone de um lead, passam a ser dados pessoais e precisam de tratamento adequado.
• Tempo de retenção: o princípio de minimização de dados recomenda não manter informações por mais tempo do que o necessário para a finalidade declarada.
• Acesso e exclusão: dependendo da regulação aplicável, você pode precisar de processos para atender solicitações de acesso e exclusão de dados de usuários identificados.

Para uma avaliação de conformidade específica para o seu caso, consulte um profissional jurídico com experiência em proteção de dados.

Limitações do modelo first-party

• Escopo limitado: os dados ficam no WordPress — sem integração automática com CRMs, Google Analytics, Data Studio ou outras plataformas (a menos que você exporte o CSV manualmente).
• Sem otimização de campanhas: os dados aqui não alimentam algoritmos de otimização de anúncios (para isso, use Google Ads Conversion Tracking e Meta CAPI).
• Ainda usa cookies: apesar de ser first-party, ainda depende de cookies. Usuários que bloqueiam todos os cookies não são rastreados.
• Um dispositivo por vez: sem login de usuário, não há como conectar a mesma pessoa em dispositivos diferentes.