Scansione cookie
Il nostro server apre la tua pagina come farebbe un perfetto sconosciuto: nessun cookie, nessun pulsante cliccato in nessun banner. Poi elenca i cookie comparsi comunque e i servizi esterni che si stanno già caricando.
La regola dietro ogni banner dei cookie
Un cookie è un piccolo valore con un nome che un sito chiede al browser di conservare e di rimandare nelle visite successive. È così che un negozio si ricorda del tuo carrello. È anche così che una rete pubblicitaria riconosce la stessa persona su migliaia di siti.
Nell’Unione europea e nel Regno Unito, le regole ePrivacy (la versione britannica si chiama PECR) dicono che salvare o leggere qualsiasi cosa sul dispositivo di un visitatore richiede prima il consenso, a meno che non sia strettamente necessario al servizio richiesto dalla persona. Il GDPR precisa poi cos’è il consenso: un’azione chiara, compiuta liberamente, per uno scopo dichiarato, e facile da revocare quanto da dare. Una casella già spuntata non conta, e nemmeno continuare a scorrere la pagina.
Altrove si fa diversamente. Diversi stati degli USA, a cominciare dalla California, lasciano funzionare analisi e pubblicità per impostazione predefinita ma danno alle persone il diritto di opporsi, anche tramite il segnale Global Privacy Control inviato dal browser. In entrambi i modelli conta il momento del primo arrivo, ed è proprio quel momento che questa scansione guarda.
Cosa legge la scansione
- Cookie inviati dal server. Ogni header
Set-Cookielungo la catena di redirect, con la sua durata. I nomi vengono divisi in tre gruppi: tracker noti (_ga,_gid,_fbp,_hjSessionUser,_clck,hubspotutk…), cookie di cui un sito ha bisogno per funzionare (PHPSESSID,csrftoken,__cf_bm, carrelli, lingua, la memoria del banner stesso) e cookie sconosciuti. Per un nome sconosciuto, la scansione va a cercare la tua informativa sulla privacy e controlla se il cookie vi è descritto. - Servizi esterni nell’HTML. Indirizzi degli script, frammenti inline come
gtag('config', 'G-…')ofbq('init'), iframe, fogli di stile, suggerimentipreconnecte immagini vengono confrontati con un elenco di una quarantina di servizi. - Segni di blocco. Uno script scritto con
type="text/plain", o un iframe che tiene il suo indirizzo indata-src, non fa nulla finché uno strumento di consenso non lo riscrive. Questi vengono indicati con «Attende il consenso». - Lo strumento di consenso. Più di venti vengono riconosciuti per nome, tra cui Cookiebot, OneTrust, CookieYes, Complianz, Didomi, Usercentrics, iubenda e Klaro, oltre ai banner fatti in casa con pulsanti di accettazione e rifiuto.
Come viene giudicata ogni riga
| Cosa si carica all’arrivo | Voto | Motivo |
|---|---|---|
| Analisi (Google Analytics, Tag Manager, Hotjar, Clarity, HubSpot) | Rosso | Fatto apposta per identificare e seguire un visitatore. |
| Pubblicità (Meta Pixel, Google Ads, LinkedIn, TikTok, reti pubblicitarie) | Rosso | Lo stesso, condiviso tra siti. |
Un cookie di tracciamento in un header Set-Cookie | Rosso | Salvato prima ancora che la pagina venga disegnata. |
| Video incorporato, mappa o widget social; web font; chat dal vivo | Giallo | Il fornitore riceve l’indirizzo IP del visitatore e può impostare cookie. |
CAPTCHA, CDN pubblico di script, youtube-nocookie.com | Nota | Elencato perché il quadro sia completo. |
Una sola riga rossa rende rosso tutto il risultato. Due casi vengono ammorbiditi a giallo, perché lo script si carica ma potrebbe trattenersi: i tag Google quando la pagina dichiara il Consent Mode con analytics_storage o ad_storage impostato su denied, e qualsiasi tracker quando Cookiebot gira in modalità di blocco automatico.
Far aspettare un sì ai tracker
Tutti gli strumenti di consenso usano lo stesso trucco. Il tag resta nella pagina in una forma che il browser ignora, e lo strumento lo attiva dopo il clic.
<script type="text/plain" data-category="analytics"
src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>Il nome dell’attributo cambia da uno strumento all’altro (data-cookieconsent, data-category, data-service). Se i tuoi tag stanno dentro Google Tag Manager, imposta ognuno perché si attivi sull’evento di consenso del tuo banner invece che su «Tutte le pagine». Per le righe gialle, servi i file dei font dal tuo dominio, sostituisci i lettori video con un’anteprima che si carica al clic e avvia il widget della chat quando qualcuno preme il pulsante della chat.
La scansione non esegue JavaScript. Vede il tag script di un tracker, ma non i cookie che quello script scriverebbe, né quello che un tag manager inietta più tardi. Molti siti mostrano anche un banner diverso a seconda del paese, e il nostro server ne vede una sola versione. Per il quadro completo, apri la pagina in una finestra privata con gli strumenti per sviluppatori sulle schede Rete e Applicazione. È una lettura tecnica, non una consulenza legale.
Domande frequenti
Mi serve un banner dei cookie sul mio sito?
Solo se il sito salva o legge qualcosa che non è strettamente necessario e ha visitatori in un luogo che richiede il consenso, come l’UE o il Regno Unito. Un sito con un cookie di sessione e niente analisi, pubblicità o contenuti incorporati non ha bisogno di un banner.
Quali cookie non richiedono il consenso?
Quelli senza cui il servizio richiesto non può funzionare: sessioni di login, carrelli, token di sicurezza, bilanciamento del carico, la scelta della lingua e il cookie che registra la risposta al banner. I cookie di analisi e pubblicità non fanno parte di questo gruppo.
Posso usare Google Analytics senza consenso?
Non nell’UE o nel Regno Unito con la configurazione standard, perché scrive il cookie _ga. Con il Consent Mode impostato su denied invia invece dei ping senza cookie, e su questi le autorità di controllo sono divise. Alcune autorità esentano gli strumenti di misurazione del pubblico configurati in modo restrittivo, quindi controlla le regole del paese a cui ti rivolgi.
Google Fonts richiede il consenso?
Google Fonts non imposta cookie, ma ogni visita invia a Google l’indirizzo IP del visitatore. Un tribunale di Monaco di Baviera ha condannato per questo il proprietario di un sito nel gennaio 2022. Ospita i file dei font sul tuo server e la questione sparisce.
Perché la scansione non trova cookie quando il mio browser ne mostra molti?
La maggior parte dei cookie viene scritta dagli script dopo il caricamento della pagina, e la scansione non esegue script. Riporta lo script che li scriverebbe, sotto «Servizi di terze parti al caricamento», e solo i cookie impostati direttamente dal server.
Un pulsante «Rifiuta tutto» è obbligatorio?
Secondo il GDPR, rifiutare deve essere facile quanto accettare. Le autorità per la protezione dei dati in Francia, nel Regno Unito e in diversi altri paesi lo interpretano come un’opzione di rifiuto nella prima schermata del banner, visibile quanto il pulsante per accettare.