Escáner de cookies

La regla detrás de todo banner de cookies

Una cookie es un pequeño valor con nombre que un sitio pide al navegador que guarde y devuelva en visitas posteriores. Así recuerda una tienda tu carrito. Y así reconoce una red publicitaria a la misma persona en miles de sitios.

En la Unión Europea y el Reino Unido, las normas de ePrivacy (la versión británica se conoce como PECR) establecen que guardar o leer cualquier cosa en el dispositivo del visitante necesita consentimiento previo, salvo que sea estrictamente necesario para el servicio que la persona pidió. El RGPD precisa después qué es el consentimiento: una acción clara, dada libremente, para una finalidad declarada, y tan fácil de retirar como de dar. Una casilla marcada de antemano no vale, y seguir desplazándose por la página tampoco.

Otros lugares lo plantean de otra manera. Varios estados de EE. UU., empezando por California, dejan que la analítica y la publicidad funcionen por defecto, pero dan a las personas el derecho a oponerse, también mediante la señal Global Privacy Control que envía el navegador. En ambos modelos importa el momento de la primera llegada, y es el momento que mira este escáner.

Qué lee el escáner

• Cookies enviadas por el servidor. Cada cabecera Set-Cookie a lo largo de la cadena de redirecciones, con su duración. Los nombres se clasifican en tres grupos: rastreadores conocidos (_ga, _gid, _fbp, _hjSessionUser, _clck, hubspotutk…), cookies que un sitio necesita para funcionar (PHPSESSID, csrftoken, __cf_bm, carritos, idioma, la memoria del propio banner) y desconocidas. Para un nombre desconocido, el escáner busca tu política de privacidad y comprueba si la cookie se describe ahí.
• Servicios externos en el HTML. Las direcciones de scripts, los fragmentos en línea como gtag('config', 'G-…') o fbq('init'), los iframes, las hojas de estilo, las sugerencias preconnect y las imágenes se comparan con una lista de unos cuarenta servicios.
• Señales de bloqueo. Un script escrito con type="text/plain", o un iframe que guarda su dirección en data-src, no hace nada hasta que una herramienta de consentimiento lo reescribe. Se marcan como “Espera el consentimiento”.
• La herramienta de consentimiento. Se reconocen por su nombre más de veinte, entre ellas Cookiebot, OneTrust, CookieYes, Complianz, Didomi, Usercentrics, iubenda y Klaro, además de banners caseros con botones de aceptar y rechazar.

Cómo se juzga cada línea

Una sola línea roja pone en rojo todo el resultado. Dos casos se suavizan a amarillo, porque el script se carga pero puede estar conteniéndose: las etiquetas de Google cuando la página declara Consent Mode con analytics_storage o ad_storage en denied, y cualquier rastreador cuando Cookiebot funciona en modo de bloqueo automático.

Cómo hacer que los rastreadores esperen un sí

Todas las herramientas de consentimiento usan el mismo truco. La etiqueta permanece en la página de una forma que el navegador ignora, y la herramienta la activa después del clic.

<script type="text/plain" data-category="analytics"
        src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

El nombre del atributo cambia de una herramienta a otra (data-cookieconsent, data-category, data-service). Si tus etiquetas viven dentro de Google Tag Manager, configura cada una para que se dispare con el evento de consentimiento de tu banner en lugar de “All Pages”. Para las líneas amarillas, sirve los archivos de fuentes desde tu propio dominio, sustituye los reproductores de vídeo por una vista previa que carga al hacer clic y arranca el widget de chat cuando alguien pulse el botón de chat.