Verificador de cookies
Nosso servidor abre a sua página como um completo desconhecido faria: sem cookies, sem clicar em nenhum botão de nenhum banner. Depois lista os cookies que apareceram mesmo assim e os serviços externos que já estão carregando.
A regra por trás de todo banner de cookies
Um cookie é um pequeno valor com nome que um site pede ao navegador para guardar e devolver nas visitas seguintes. É assim que uma loja lembra do seu carrinho. É também assim que uma rede de publicidade reconhece a mesma pessoa em milhares de sites.
Na União Europeia e no Reino Unido, as regras de ePrivacy (a versão britânica se chama PECR) dizem que gravar ou ler qualquer coisa no dispositivo do visitante exige consentimento prévio, a menos que seja estritamente necessário para o serviço que a pessoa pediu. O GDPR define então o que é consentimento: uma ação clara, tomada livremente, para uma finalidade declarada, e tão fácil de retirar quanto de dar. Uma caixa que já vem marcada não vale, e continuar rolando a página também não.
Outros lugares fazem de outro jeito. Vários estados dos EUA, a Califórnia primeiro, deixam análise e publicidade rodarem por padrão, mas dão às pessoas o direito de recusar, inclusive pelo sinal Global Privacy Control enviado pelo navegador. Nos dois modelos o momento da primeira chegada importa, e é esse o momento que esta verificação examina.
O que a verificação lê
- Cookies enviados pelo servidor. Todo cabeçalho
Set-Cookieao longo da cadeia de redirecionamentos, com a sua duração. Os nomes são separados em três grupos: rastreadores conhecidos (_ga,_gid,_fbp,_hjSessionUser,_clck,hubspotutk…), cookies de que um site precisa para funcionar (PHPSESSID,csrftoken,__cf_bm, carrinhos, idioma, a memória do próprio banner) e desconhecidos. Para um nome desconhecido, a verificação vai procurar a sua política de privacidade e confere se o cookie está descrito nela. - Serviços externos no HTML. Endereços de scripts, trechos embutidos como
gtag('config', 'G-…')oufbq('init'), iframes, folhas de estilo, dicaspreconnecte imagens são comparados com uma lista de uns quarenta serviços. - Sinais de bloqueio. Um script escrito com
type="text/plain", ou um iframe que guarda o endereço emdata-src, não faz nada até uma ferramenta de consentimento reescrevê-lo. Esses são marcados como “Aguarda consentimento”. - A ferramenta de consentimento. Mais de vinte são reconhecidas pelo nome, entre elas Cookiebot, OneTrust, CookieYes, Complianz, Didomi, Usercentrics, iubenda e Klaro, além de banners caseiros com botões de aceitar e recusar.
Como cada linha é julgada
| O que carrega na chegada | Marca | Motivo |
|---|---|---|
| Análise (Google Analytics, Tag Manager, Hotjar, Clarity, HubSpot) | Vermelho | Feito para identificar e seguir um visitante. |
| Publicidade (Meta Pixel, Google Ads, LinkedIn, TikTok, redes de anúncios) | Vermelho | A mesma coisa, compartilhada entre sites. |
Um cookie de rastreamento num cabeçalho Set-Cookie | Vermelho | Gravado antes mesmo de a página ser desenhada. |
| Vídeo, mapa ou widget social incorporado; fontes web; chat ao vivo | Amarelo | O fornecedor recebe o endereço IP do visitante e pode gravar cookies. |
CAPTCHA, CDN pública de scripts, youtube-nocookie.com | Observação | Listado para o quadro ficar completo. |
Uma única linha vermelha deixa o resultado inteiro vermelho. Dois casos são atenuados para amarelo, porque o script carrega mas pode estar se segurando: as tags do Google quando a página declara o Consent Mode com analytics_storage ou ad_storage em denied, e qualquer rastreador quando o Cookiebot roda em modo de bloqueio automático.
Como fazer os rastreadores esperarem um sim
Toda ferramenta de consentimento usa o mesmo truque. A tag fica na página numa forma que o navegador ignora, e a ferramenta a ativa depois do clique.
<script type="text/plain" data-category="analytics"
src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>O nome do atributo muda de uma ferramenta para outra (data-cookieconsent, data-category, data-service). Se as suas tags ficam no Google Tag Manager, configure cada uma para disparar no evento de consentimento do seu banner em vez de “All Pages”. Para as linhas amarelas, sirva os arquivos de fontes pelo seu próprio domínio, troque os players de vídeo por uma prévia que carrega no clique e inicie o widget de chat quando alguém apertar o botão do chat.
A verificação não executa JavaScript. Ela vê a tag de script de um rastreador, mas não os cookies que esse script gravaria, nem o que um gerenciador de tags injeta depois. Muitos sites também mostram um banner diferente conforme o país, e nosso servidor só vê uma versão. Para o quadro completo, abra a página numa janela anônima com as ferramentas de desenvolvedor nas abas Rede (Network) e Aplicativo (Application). Esta é uma leitura técnica, não uma orientação jurídica.
Perguntas frequentes
Preciso de um banner de cookies no meu site?
Só se o site grava ou lê algo que não é estritamente necessário e tem visitantes num lugar que exige consentimento, como a UE ou o Reino Unido. Um site com um cookie de sessão e sem análise, anúncios ou conteúdo incorporado não precisa de banner.
Quais cookies não precisam de consentimento?
Aqueles sem os quais o serviço pedido não funciona: sessões de login, carrinhos de compras, tokens de segurança, balanceamento de carga, uma escolha de idioma e o cookie que guarda a resposta dada ao banner. Cookies de análise e de publicidade não fazem parte desse grupo.
Posso usar o Google Analytics sem consentimento?
Não na UE nem no Reino Unido na configuração padrão, porque ele grava o cookie _ga. Com o Consent Mode em denied ele envia pings sem cookies, e os órgãos reguladores estão divididos sobre isso. Algumas autoridades isentam ferramentas de audiência configuradas de forma bem restrita, então confira as regras do país que você atende.
O Google Fonts exige consentimento?
O Google Fonts não grava cookies, mas cada visita envia o endereço IP do visitante ao Google. Um tribunal de Munique decidiu contra o dono de um site por isso em janeiro de 2022. Hospede os arquivos de fontes no seu próprio servidor e a questão desaparece.
Por que a verificação não encontra cookies se o meu navegador mostra vários?
A maioria dos cookies é gravada por scripts depois que a página carregou, e a verificação não executa scripts. Ela aponta o script que os gravaria, em “Serviços de terceiros no carregamento”, e só os cookies gravados diretamente pelo servidor.
Um botão “Recusar tudo” é obrigatório?
Pelo GDPR, recusar tem que ser tão fácil quanto aceitar. As autoridades de proteção de dados da França, do Reino Unido e de vários outros países entendem isso como uma opção de recusa na primeira tela do banner, tão visível quanto o botão de aceitar.