Сканиране и одит на бисквитки: Знайте какво задава уебсайтът ви

Не можете да спазвате разпоредбите за бисквитки, ако не знаете кои бисквитки задава уебсайтът ви. Това изглежда очевидно, но е най-често срещаната причина за провал при спазването на изискванията за бисквитки. Уебсайтовете се развиват непрекъснато — инсталират се нови плъгини, добавят се маркетингови тагове, обновяват се скриптове на трети страни — и всяка промяна може да въведе нови бисквитки. Одитът на бисквитки не е еднократна дейност. Това е непрекъснат процес, който трябва да върви в крак с развитието на вашия уебсайт.

Защо сканирането на бисквитки има значение

Всяко задължение за спазване на изискванията за бисквитки зависи от наличието на точен и пълен опис на вашите бисквитки. Без него:

• Банерът ви за бисквитки е непълен. Ако банерът ви изброява четири категории бисквитки, но сайтът ви всъщност задава бисквитки в пета категория, потребителите не могат да дадат информирано съгласие. Тяхното съгласие е невалидно съгласно GDPR.
• Политиката ви за бисквитки е неточна. Органите за защита на данните очакват вашата политика за бисквитки да изброява всяка бисквитка по име, цел, тип и продължителност. Непълната или остаряла политика е нарушение на изискванията, което DPA активно търсят по време на одити.
• Механизмът ви за съгласие може да не блокира всички бисквитки. Ако новодобавен скрипт задава бисквитки, които не са включени в конфигурацията ви за управление на съгласието, тези бисквитки се задействат без съгласие — пряко нарушение на член 5(3) от Директивата за електронна поверителност (ePrivacy).
• Не можете да отговаряте на потребителски заявки. Съгласно GDPR потребителите имат право да знаят какви данни събирате за тях. Ако не знаете кои бисквитки задава сайтът ви, не можете да предоставите точни отговори на заявки за достъп до лични данни.

Какво разкрива сканирането на бисквитки

Задълбоченото сканиране на бисквитки идентифицира:

• Имена на бисквитки: Точният идентификатор на всяка бисквитка (напр. _ga, _fbp, JSESSIONID).
• Произход: Дали бисквитката е от първа страна (зададена от вашия домейн) или от трета страна (зададена от външен домейн).
• Тип: Сесийна бисквитка (изтрива се при затваряне на браузъра) или постоянна бисквитка (остава за определен период).
• Продължителност: Колко дълго се съхранява бисквитката, преди да изтече (напр. 30 минути, 1 година, 2 години).
• Цел: Какво прави бисквитката — управление на сесии, анализ, реклама, персонализация или функционални цели.
• Категория: Категорията за съответствие, към която принадлежи бисквитката — строго необходими, функционални, аналитични/за производителност или маркетингови/рекламни.
• Доставчик от трета страна: Ако бисквитката е зададена от трета страна, към коя услуга принадлежи (Google Analytics, Facebook, HubSpot, Hotjar и др.).
• Събирани данни: Каква информация съхранява бисквитката или чието събиране позволява.

Ръчно сканиране на бисквитки с инструментите за разработчици на браузъра

Най-основният метод за сканиране на бисквитки използва инструментите за разработчици, вградени във всеки модерен браузър. Макар че ръчното сканиране има значителни ограничения, то е полезно за спорадични проверки и за разбиране на това как работят бисквитките на вашия сайт.

Стъпка по стъпка: Ръчен одит на бисквитки в Chrome

1. Отворете прозорец инкогнито/частен прозорец. Това гарантира, че започвате на чист лист — без съществуващи бисквитки от предишни посещения.
2. Отворете DevTools (натиснете F12 или щракнете с десен бутон и изберете „Инспектиране“).
3. Отидете в раздела Application (в Chrome) или раздела Storage (във Firefox).
4. Разгънете секцията „Cookies“ в лявата странична лента. Ще видите списък с домейни.
5. Посетете уебсайта си без да взаимодействате с банера за бисквитки. Отбележете кои бисквитки се задават веднага — това са бисквитките, зададени преди съгласие, които трябва да бъдат само строго необходими бисквитки.
6. Приемете всички бисквитки в банера за бисквитки. Обновете раздела Application/Storage и отбележете новите бисквитки, които се появяват.
7. Прегледайте ключовите страници на уебсайта си (начална страница, продуктови страници, плащане, формуляр за контакт, блог). Някои бисквитки се задават само на определени страници или след определени взаимодействия.
8. Документирайте всяка бисквитка: За всяка намерена бисквитка запишете нейното име, домейн, път, дата на изтичане, размер и дали е HTTP-only или secure.
9. Проверете раздела Network за допълнително проследяване. Някои технологии за проследяване използват пиксели, маяци или API извиквания вместо традиционни бисквитки. Разделът Network разкрива всички изходящи заявки към домейни на трети страни.

Ограничения на ръчното сканиране

Ръчното сканиране е ценно за обучение и спорадични проверки, но има сериозни ограничения за целите на съответствието:

• Непълно покритие. Можете да проверявате само страниците, които посещавате ръчно. Голям уебсайт със стотици страници може да задава различни бисквитки на различни страници. Ръчното сканиране практически не може да ги обхване всички.
• Без категоризация. DevTools ви показват необработените данни за бисквитките, но не ги категоризират по цел или категория за съответствие. Трябва да проучите всяка бисквитка поотделно.
• Само моментна снимка. Ръчното сканиране ви дава моментна снимка. То не открива нови бисквитки, добавени след вашия одит.
• Без проверка на блокирането на скриптове. Ръчното сканиране не може лесно да провери дали вашата платформа за управление на съгласието правилно блокира скриптовете преди съгласие.
• Отнема много време. За сайт дори с 20 страници ръчната проверка на всяка страница и документирането на всяка бисквитка отнема часове.

Автоматизирано сканиране на бисквитки

Инструментите за автоматизирано сканиране на бисквитки преодоляват ограниченията на ръчното сканиране, като обхождат целия ви уебсайт, идентифицират всички бисквитки и ги категоризират систематично. Добрият инструмент за автоматизирано сканиране предоставя:

• Изчерпателно обхождане: Скенерът посещава всяка страница на сайта ви (или определено подмножество), включително страници, които са достъпни само чрез навигация или търсене.
• Преди и след съгласие: Скенерът проверява кои бисквитки се задават преди даване на съгласие, кои се появяват след съгласие и дали отхвърлените категории са правилно блокирани.
• Автоматична категоризация: Известните бисквитки (като _ga на Google Analytics или _fbp на Facebook) се категоризират автоматично въз основа на поддържани бази данни с цели на бисквитките.
• Идентификация на трети страни: Всички домейни на трети страни, задаващи бисквитки, се идентифицират и документират.
• Планирано сканиране: Сканиранията се изпълняват автоматично по график (седмично, след внедрявания), за да улавят нови бисквитки при появата им.
• Откриване на промени: Скенерът ви предупреждава, когато се появят нови бисквитки или съществуващите бисквитки се променят, за да можете да актуализирате механизма си за съгласие и политиката си за бисквитки.
• Доклади за съответствие: Резултатите се форматират по начин, който поддържа документацията ви за съответствие.

На какво да обърнете внимание при инструмент за сканиране на бисквитки

Когато оценявате решения за автоматизирано сканиране на бисквитки, вземете предвид:

1. Рендиране на JavaScript: Много бисквитки се задават от JavaScript, който се изпълнява след зареждане на страницата. Скенерът трябва да изпълнява JavaScript (използвайки реален браузърен двигател), за да открие тези бисквитки. Простите HTTP обхождащи програми, които не рендират JavaScript, ще пропуснат повечето бисквитки на трети страни.
2. Дълбочина на обхождане: Скенерът трябва да следва вътрешните връзки и да обхожда целия ви сайт, а не само началната страница. Бисквитки, зададени от вградени видеа, формуляри, чат уиджети или процесори за плащания на конкретни страници, ще бъдат пропуснати, ако се сканира само началната страница.
3. Симулация на първо посещение: Скенерът трябва да симулира посетител, който посещава сайта за първи път (без съществуващи бисквитки, без дадено съгласие), за да провери, че не се задават несъществени бисквитки преди съгласие.
4. База данни с бисквитки: Поддържана база данни с известни бисквитки с техните цели и категории драстично намалява ръчните усилия по класификация.
5. Отчитане: Ясни, експортируеми доклади, които могат да бъдат споделяни с правни, маркетингови и развойни екипи.
6. Планиране и предупреждения: Автоматично сканиране по конфигурируем график с известия при откриване на нови бисквитки.

Процесът на сканиране на бисквитки

Задълбоченото сканиране на бисквитки следва пет стъпки, независимо дали се извършва ръчно или с автоматизирани инструменти:

Стъпка 1: Обходете всички страници

Започнете с изграждане на пълна карта на вашия уебсайт. Това включва всички публични страници, страници с удостоверяване (ако е приложимо), лендинг страници, страници за благодарност, страници за грешки и всяка страница, до която посетител може да получи достъп. Не ограничавайте сканирането си само до началната страница — бисквитките често се задават от скриптове на трети страни, които се зареждат само на определени страници (напр. вграден YouTube клип в публикация в блог, процесор за плащания на страницата за плащане или чат уиджет, който се появява само на страниците за поддръжка).

Стъпка 2: Идентифицирайте всички бисквитки

За всяка страница запишете всяка бисквитка, която се задава. Това включва както HTTP бисквитки (видими в хедъра Set-Cookie и в хранилището за бисквитки на браузъра), така и механизми за съхранение от страна на клиента (localStorage, sessionStorage, IndexedDB), които могат да функционират като технологии за проследяване, макар че технически не са бисквитки.

Стъпка 3: Определете произхода на бисквитките

За всяка бисквитка идентифицирайте дали е от първа страна (зададена от вашия собствен домейн) или от трета страна (зададена от външен домейн). Бисквитките от трети страни са особено важни за съответствието, защото обикновено включват споделяне на данни с външни организации, което изисква оповестяване във вашата политика за бисквитки и в много случаи договор за обработване на данни.

Стъпка 4: Класифицирайте бисквитките по категория

Присвоете всяка бисквитка към категория за съответствие:

• Строго необходими: Необходими за функционирането на уебсайта. Не могат да бъдат деактивирани от потребителя. Примери: сесийни бисквитки, CSRF токени, бисквитки за балансиране на натоварването, бисквитки за предпочитания за съгласие за бисквитки.
• Функционални: Позволяват подобрена функционалност и персонализация. Примери: езикови предпочитания, избор на регион, наскоро прегледани артикули (когато не се използват за реклама).
• Аналитични/за производителност: Събират информация за това как посетителите използват уебсайта. Примери: бисквитки на Google Analytics, Hotjar, Matomo.
• Маркетингови/рекламни: Проследяват посетителите между уебсайтове с рекламна цел. Примери: Facebook Pixel, бисквитки на Google Ads, бисквитки за ретаргетиране, бисквитки за проследяване на партньорски програми.

Стъпка 5: Документирайте целта, продължителността и типа

За всяка бисквитка документирайте нейната цел на разбираем език, който нетехническо лице може да разбере, нейната продължителност (сесийна или постоянна, а ако е постоянна, за колко дълго) и нейния тип (HTTP бисквитка, localStorage и др.). Тази документация формира основата на вашата политика за бисквитки и информацията, предоставена във вашия банер за бисквитки.

Непрекъснато наблюдение

Сканирането на бисквитки е валидно само в момента, в който е извършено. Вашият уебсайт не е статичен — той се развива с всяко внедряване, обновяване на плъгин и маркетингова кампания. Непрекъснатото наблюдение е от съществено значение, защото:

• Новите скриптове въвеждат нови бисквитки. Когато разработчик добави нов аналитичен инструмент, маркетингов екип инсталира нов пиксел за проследяване или се обнови плъгин, на сайта ви може да се появят нови бисквитки, без някой изрично да е решил да ги добави.
• Скриптовете на трети страни се променят. Дори ако не променяте уебсайта си, услугите на трети страни, които използвате, може да обновят своите скриптове и да въведат нови бисквитки. Обновяване на Google Analytics, промяна в уиджет за социални мрежи или обновяване на CDN конфигурация — всичко това може да засегне бисквитките на вашия сайт.
• Съответствието е непрекъснато. DPA очакват вашата политика за бисквитки и механизъм за съгласие да отразяват текущото състояние на вашия уебсайт. Политика, която е била точна преди шест месеца, но не включва бисквитки, добавени оттогава, днес не отговаря на изискванията.

Най-добрата практика е да изпълнявате автоматизирани сканирания след всяко внедряване и минимум веднъж месечно. Настройте предупреждения за нови бисквитки, така че екипът ви да може да ги оцени, категоризира и добави към механизма ви за съгласие, преди да се превърнат в проблем със съответствието.

Сканиране на бисквитки и вашата политика за бисквитки

Вашата политика за бисквитки и резултатите от сканирането на бисквитки трябва да останат синхронизирани. Всяка бисквитка, идентифицирана при сканиране, трябва да бъде документирана във вашата политика, а всяка бисквитка, изброена във вашата политика, трябва действително да присъства на сайта ви. Несъответствие в която и да е посока е проблем:

• Бисквитки на сайта, но не в политиката: Това означава, че потребителите не са информирани за цялото проследяване на вашия сайт. Тяхното съгласие, дори и да е дадено, може да не покрива неоповестени бисквитки.
• Бисквитки в политиката, но не на сайта: Макар и по-малко сериозно, изброяването на бисквитки, които не съществуват, създава объркване и подкопава доверието в точността на вашата документация.

Най-ефективният подход е да интегрирате инструмента си за сканиране с политиката си за бисквитки, така че политиката да се обновява автоматично при откриване на нови бисквитки. Това елиминира ръчната стъпка за обновяване на политиката след всяко сканиране и намалява риска двете да излязат от синхрон.

Как Passiro се справя със сканирането на бисквитки

Скенерът на Passiro използва headless браузърен двигател, за да посети всяка страница на вашия уебсайт, изпълнявайки JavaScript точно както би направил браузърът на реален посетител. Това гарантира, че бисквитките, зададени от динамично заредени скриптове, вградено съдържание и рамки за едностранични приложения (single-page application), се откриват всички. Скенерът се изпълнява преди и след симулирано съгласие, за да провери дали вашето управление на съгласието работи правилно — че несъществените бисквитки са наистина блокирани, докато не бъде дадено съгласие.

Резултатите от сканирането се категоризират автоматично с помощта на непрекъснато обновявана база данни с известни бисквитки, с възможност за ръчно класифициране или прекласифициране на всяка бисквитка. Планираните сканирания се изпълняват на конфигурируема основа и получавате предупреждения, когато на сайта ви се появят нови бисквитки, за да можете да предприемете действия, преди те да се превърнат в риск за съответствието.

Колко често трябва да сканирате?

Правилната честота на сканиране зависи от това колко често се променя вашият уебсайт:

• След всяко внедряване: Всяка промяна в кода има потенциала да въведе нови бисквитки. Интегрирайте сканирането на бисквитки във вашия CI/CD пайплайн или изпълнявайте сканиране след всяко издание.
• След добавяне на услуги от трети страни: Всеки път, когато добавите нов аналитичен инструмент, маркетингова платформа, чат уиджет, процесор за плащания или всякакъв скрипт на трета страна, сканирайте незабавно.
• Минимум веднъж месечно: Дори ако не правите промени, скриптовете на трети страни на вашия сайт може да се обновят и да въведат нови бисквитки. Месечното сканиране улавя тези промени.
• След обновявания на CMP: Ако обновите платформата си за управление на съгласието или промените категориите си бисквитки, сканирайте, за да проверите, че промените работят според очакванията.
• Тримесечен преглед: Освен автоматизираното сканиране, провеждайте тримесечен ръчен преглед на вашия опис на бисквитки, за да проверите, че категоризациите все още са точни, че доставчиците от трети страни все още са необходими и че вашата политика за бисквитки отразява реалността.

Организациите, които третират сканирането на бисквитки като рутинна поддръжка, а не като периодичен одит, са тези, които поддържат непрекъснато съответствие — и избягват неприятната изненада да открият недокументирани бисквитки за проследяване по време на разследване от DPA.