Cookieスキャン

すべてのCookieバナーの元にあるルール

Cookieは、サイトがブラウザに保存しておき、次回以降の訪問で送り返すよう頼む、名前の付いた小さな値です。ネットショップがカートの中身を覚えているのはこの仕組みです。広告ネットワークが何千ものサイトをまたいで同じ人を見分けるのも、この仕組みです。

欧州連合と英国では、ePrivacyのルール（英国版はPECRと呼ばれます）により、訪問者の端末に何かを保存したり読み取ったりするには、その人が求めたサービスに厳密に必要な場合を除き、まず同意が必要です。そしてGDPRが同意の条件を定めています：明確な行動であること、自由に行われること、目的が示されていること、与えるのと同じくらい簡単に撤回できること。最初からチェックの入ったボックスは同意になりませんし、スクロールを続けることも同意にはなりません。

ほかの地域では考え方が違います。米国のいくつかの州（最初はカリフォルニア州）では、解析や広告は初期状態で動いてよく、その代わり人々にはオプトアウトの権利があります。ブラウザが送るGlobal Privacy Controlの信号によるオプトアウトも含まれます。どちらの方式でも最初に訪れた瞬間が重要で、このスキャンが見るのはまさにその瞬間です。

スキャンが読むもの

• サーバーが送るCookie。リダイレクトの各段階にあるすべてのSet-Cookieヘッダーを、その有効期間とともに読みます。名前は3つに分けます：既知のトラッカー（_ga、_gid、_fbp、_hjSessionUser、_clck、hubspotutk…）、サイトの動作に必要なCookie（PHPSESSID、csrftoken、__cf_bm、カート、言語、バナー自身の記憶）、そして不明なものです。不明な名前については、プライバシーポリシーを探し、そのCookieが説明されているかを確認します。
• HTMLの中の外部サービス。スクリプトのアドレス、gtag('config', 'G-…')やfbq('init')のようなインラインのコード片、iframe、スタイルシート、preconnectの指定、画像を、約40のサービスの一覧と照らし合わせます。
• ブロックしている印。type="text/plain"で書かれたスクリプトや、アドレスをdata-srcに持つiframeは、同意ツールが書き換えるまで何もしません。これらは「同意待ち」と表示します。
• 同意ツール。Cookiebot、OneTrust、CookieYes、Complianz、Didomi、Usercentrics、iubenda、Klaroなど20以上を名前で認識します。承諾と拒否のボタンを持つ自作のバナーも認識します。

各行の判定方法

赤い行が1つあれば、結果全体が赤になります。2つの場合は黄に和らげます。スクリプトは読み込まれても、動作を控えている可能性があるからです：ページがanalytics_storageまたはad_storageをdeniedにしたConsent Modeを宣言しているときのGoogleのタグと、Cookiebotが自動ブロックモードで動いているときのあらゆるトラッカーです。

トラッカーに「はい」を待たせる

どの同意ツールも同じ仕掛けを使います。タグはブラウザが無視する形でページに残しておき、クリックのあとでツールがそれを有効にします。

<script type="text/plain" data-category="analytics"
        src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

属性の名前はツールによって違います（data-cookieconsent、data-category、data-service）。タグをGoogle Tag Managerで管理しているなら、各タグの発火条件を「すべてのページ」ではなく、バナーの同意イベントにしてください。黄色の行については、フォントファイルを自分のドメインから配信し、動画プレーヤーをクリックで読み込むプレビューに置き換え、チャットのウィジェットは誰かがチャットボタンを押したときに起動するようにします。