Vöfrukökuskönnun og úttekt: Vittu hvað vefsíðan þín setur

Þú getur ekki uppfyllt reglur um vafrakökur ef þú veist ekki hvaða vafrakökur vefsíðan þín setur. Þetta virðist augljóst, en samt er þetta algengasta ástæðan fyrir því að vafrakökusamræmi misheppnast. Vefsíður þróast stöðugt — ný viðbót eru sett upp, markaðsmerki bætt við, forskriftir þriðja aðila uppfærðar — og hver breyting getur innleitt nýjar vafrakökur. Vafrakökuúttekt er ekki einnota verkefni. Það er stöðugt ferli sem verður að halda í við þróun vefsíðunnar þinnar.

Af hverju vafrakökuskönnun skiptir máli

Sérhver skylda um vafrakökusamræmi byggir á því að hafa nákvæma, heildstæða skrá yfir vafrakökurnar þínar. Án hennar:

• Vafrakökuborðinn þinn er ófullkominn. Ef borðinn þinn telur upp fjóra flokka vafrakaka en síðan þín setur í raun vafrakökur í fimmta flokki, geta notendur ekki gefið upplýst samþykki. Samþykki þeirra er ógilt samkvæmt GDPR.
• Vafrakökustefna þín er ónákvæm. Persónuverndaryfirvöld búast við að vafrakökustefna þín telji upp hverja vafraköku eftir heiti, tilgangi, tegund og lengd. Ófullkomin eða úrelt stefna er samræmisbrestur sem persónuverndaryfirvöld leita virkt að við úttektir.
• Samþykkisaðferð þín gæti ekki hindrað allar vafrakökur. Ef nýlega viðbætt forskrift setur vafrakökur sem eru ekki með í uppsetningu samþykkisstjórnunar þinnar, virkjast þessar vafrakökur án samþykkis — beint brot á grein 5(3) í ePrivacy Directive.
• Þú getur ekki brugðist við beiðnum notenda. Samkvæmt GDPR hafa notendur rétt á að vita hvaða gögn þú safnar um þá. Ef þú veist ekki hvaða vafrakökur síðan þín setur, geturðu ekki veitt nákvæm svör við aðgangsbeiðnum skráðra aðila.

Hvað vafrakökuskönnun leiðir í ljós

Ítarleg vafrakökuskönnun greinir:

• Heiti vafrakaka: Nákvæmt auðkenni fyrir hverja vafraköku (t.d. _ga, _fbp, JSESSIONID).
• Uppruni: Hvort vafrakakan er fyrsta aðila (sett af léninu þínu) eða þriðja aðila (sett af utanaðkomandi léni).
• Tegund: Setuvafrakaka (eydd þegar vafrinn lokast) eða viðvarandi vafrakaka (helst í tiltekinn tíma).
• Lengd: Hversu lengi vafrakakan helst áður en hún rennur út (t.d. 30 mínútur, 1 ár, 2 ár).
• Tilgangur: Hvað vafrakakan gerir — setustjórnun, greining, auglýsingar, sérsníðing eða virknitengdir tilgangir.
• Flokkur: Samræmisflokkurinn sem vafrakakan tilheyrir — nauðsynlegar, virknitengdar, greiningar/frammistöðu eða markaðssetning/auglýsingar.
• Þjónustuveitandi þriðja aðila: Ef vafrakakan er sett af þriðja aðila, hvaða þjónustu hún tilheyrir (Google Analytics, Facebook, HubSpot, Hotjar o.s.frv.).
• Gögn sem safnað er: Hvaða upplýsingar vafrakakan geymir eða gerir kleift að safna.

Handvirk vafrakökuskönnun með DevTools vafra

Grunnaðferðin við vafrakökuskönnun notar þróunarverkfærin sem eru innbyggð í hvern nútímavafra. Þótt handvirk skönnun hafi verulegar takmarkanir er hún gagnleg til stikkprófunar og til að skilja hvernig vafrakökur virka á síðunni þinni.

Skref fyrir skref: Handvirk vafrakökuúttekt í Chrome

1. Opnaðu huliðs-/einkaglugga. Þetta tryggir að þú byrjir með hreint borð — engar fyrirliggjandi vafrakökur frá fyrri heimsóknum.
2. Opnaðu DevTools (ýttu á F12 eða hægrismelltu og veldu „Inspect").
3. Farðu í Application-flipann (í Chrome) eða Storage-flipann (í Firefox).
4. Stækkaðu „Cookies"-hlutann í vinstri hliðarstiku. Þú sérð lista yfir lén.
5. Heimsæktu vefsíðuna þína án þess að hafa samskipti við vafrakökuborðann. Taktu eftir hvaða vafrakökur eru settar strax — þetta eru vafrakökurnar sem eru settar fyrir samþykki, sem ættu aðeins að vera nauðsynlegar vafrakökur.
6. Samþykktu allar vafrakökur á vafrakökuborðanum þínum. Endurhladdu Application/Storage-flipann og taktu eftir nýju vafrakökunum sem birtast.
7. Farðu í gegnum lykilsíður vefsíðunnar þinnar (forsíðu, vörusíður, greiðslu, tengiliðaform, blogg). Sumar vafrakökur eru aðeins settar á tilteknum síðum eða eftir tiltekin samskipti.
8. Skjalfestu hverja vafraköku: Fyrir hverja vafraköku sem þú finnur, skráðu heiti hennar, lén, slóð, gildistímalok, stærð og hvort hún sé HTTP-only eða örugg.
9. Athugaðu Network-flipann fyrir viðbótarrakningu. Sum rakningartæki nota myndeiningar (pixels), vita (beacons) eða API-köll frekar en hefðbundnar vafrakökur. Network-flipinn afhjúpar allar útgáandi beiðnir til léna þriðja aðila.

Takmarkanir handvirkrar skönnunar

Handvirk skönnun er verðmæt til náms og stikkprófunar, en hún hefur alvarlegar takmarkanir í samræmislegu tilliti:

• Ófullkomin þekja. Þú getur aðeins athugað síður sem þú heimsækir handvirkt. Stór vefsíða með hundruðum síðna gæti sett ólíkar vafrakökur á ólíkum síðum. Handvirk skönnun getur ekki í reynd náð þeim öllum.
• Engin flokkun. DevTools sýna þér hráar vafrakökugögnin en flokka ekki vafrakökur eftir tilgangi eða samræmisflokki. Þú verður að rannsaka hverja vafraköku fyrir sig.
• Aðeins á tilteknu augnabliki. Handvirk skönnun gefur þér skyndimynd. Hún finnur ekki nýjar vafrakökur sem bætt er við eftir úttektina þína.
• Engin staðfesting á forskriftahindrun. Handvirk skönnun getur ekki auðveldlega staðfest að samþykkisstjórnunarvettvangurinn þinn sé rétt að hindra forskriftir fyrir samþykki.
• Tímafrek. Fyrir síðu með jafnvel 20 síðum tekur það klukkustundir að athuga hverja síðu handvirkt og skjalfesta hverja vafraköku.

Sjálfvirk vafrakökuskönnun

Sjálfvirk vafrakökuskönnunartól taka á takmörkunum handvirkrar skönnunar með því að skríða yfir alla vefsíðuna þína, greina allar vafrakökur og flokka þær kerfisbundið. Gott sjálfvirkt skönnunartól veitir:

• Heildstæða skriðsöfnun: Skanninn heimsækir hverja síðu á síðunni þinni (eða skilgreindan hluta), þar á meðal síður sem eru aðeins aðgengilegar í gegnum leiðsögn eða leit.
• Fyrir og eftir samþykki: Skanninn athugar hvaða vafrakökur eru settar áður en samþykki er gefið, hvaða birtast eftir samþykki og hvort hafnaðir flokkar séu rétt hindraðir.
• Sjálfvirka flokkun: Þekktar vafrakökur (svo sem _ga frá Google Analytics eða _fbp frá Facebook) eru sjálfkrafa flokkaðar á grundvelli viðhaldinna gagnagrunna um tilgang vafrakaka.
• Auðkenning þriðja aðila: Öll lén þriðja aðila sem setja vafrakökur eru auðkennd og skjalfest.
• Áætlaða skönnun: Skannanir keyra sjálfkrafa á áætlun (vikulega, eftir útgáfur) til að ná nýjum vafrakökum um leið og þær birtast.
• Breytingagreiningu: Skanninn lætur þig vita þegar nýjar vafrakökur birtast eða núverandi vafrakökur breytast, svo þú getir uppfært samþykkisaðferð þína og vafrakökustefnu.
• Samræmisskýrslur: Niðurstöður eru mótaðar á þann hátt sem styður samræmisskjölun þína.

Hvað ber að leita að í vafrakökuskönnunartóli

Þegar þú metur sjálfvirkar vafrakökuskönnunarlausnir skaltu íhuga:

1. JavaScript-birting: Margar vafrakökur eru settar af JavaScript sem keyrir eftir að síðan hleðst. Skanninn verður að keyra JavaScript (með raunverulegri vafravél) til að finna þessar vafrakökur. Einfaldir HTTP-skriðarar sem birta ekki JavaScript missa af flestum vafrakökum þriðja aðila.
2. Dýpt skriðsöfnunar: Skanninn ætti að fylgja innri tenglum og skríða yfir alla síðuna þína, ekki bara forsíðuna. Vafrakökur sem settar eru af ígræddum myndböndum, formum, spjallviðmótum eða greiðsluvinnsluaðilum á tilteknum síðum verða missar ef aðeins forsíðan er skönnuð.
3. Hermun fyrstu heimsóknar: Skanninn ætti að herma eftir fyrsta gestasama (engar fyrirliggjandi vafrakökur, ekkert samþykki gefið) til að staðfesta að engar ónauðsynlegar vafrakökur séu settar fyrir samþykki.
4. Vafrakökugagnagrunnur: Viðhaldinn gagnagrunnur yfir þekktar vafrakökur með tilgangi þeirra og flokkum dregur verulega úr handvirkri vinnu við flokkun.
5. Skýrslugerð: Skýrar, útflytjanlegar skýrslur sem hægt er að deila með lögfræði-, markaðs- og þróunarteymum.
6. Áætlun og tilkynningar: Sjálfvirk skönnun á stillanlegri áætlun með tilkynningum þegar nýjar vafrakökur eru greindar.

Vafrakökuskönnunarferlið

Ítarleg vafrakökuskönnun fylgir fimm skrefum, hvort sem hún er framkvæmd handvirkt eða með sjálfvirkum tólum:

Skref 1: Skríddu yfir allar síður

Byrjaðu á því að byggja upp heildstætt kort af vefsíðunni þinni. Þetta felur í sér allar opinberar síður, auðkenndar síður (ef við á), lendingarsíður, þakkarsíður, villusíður og hverja síðu sem gestur gæti fengið aðgang að. Ekki takmarka skönnunina þína við forsíðuna — vafrakökur eru oft settar af forskriftum þriðja aðila sem hlaðast aðeins á tilteknum síðum (t.d. YouTube-ígræðsla á bloggfærslu, greiðsluvinnsluaðili á greiðslusíðu eða spjallviðmót sem birtist aðeins á stuðningssíðum).

Skref 2: Greindu allar vafrakökur

Fyrir hverja síðu skaltu skrá hverja vafraköku sem sett er. Þetta felur í sér bæði HTTP-vafrakökur (sýnilegar í Set-Cookie-hausnum og vafrakökugeymslu vafrans) og geymsluaðferðir viðskiptavinamegin (localStorage, sessionStorage, IndexedDB) sem geta virkað sem rakningartækni þótt þær séu ekki tæknilega vafrakökur.

Skref 3: Ákvarðaðu uppruna vafrakaka

Fyrir hverja vafraköku skaltu greina hvort hún sé fyrsta aðila (sett af þínu eigin léni) eða þriðja aðila (sett af utanaðkomandi léni). Vafrakökur þriðja aðila eru sérstaklega mikilvægar fyrir samræmi því þær fela venjulega í sér að deila gögnum með utanaðkomandi aðilum, sem krefst upplýsingagjafar í vafrakökustefnu þinni og, í mörgum tilvikum, gagnavinnslusamnings.

Skref 4: Flokkaðu vafrakökur eftir flokkum

Úthlutaðu hverri vafraköku í samræmisflokk:

• Nauðsynlegar: Þarf til að vefsíðan virki. Notandinn getur ekki gert óvirkar. Dæmi: setuvafrakökur, CSRF-tákn, álagsjöfnunarvafrakökur, vafrakökur um vafrakökusamþykkiskosti.
• Virknitengdar: Gera aukna virkni og sérsníðingu mögulega. Dæmi: tungumálakostir, svæðaval, nýlega skoðaðar vörur (þegar þær eru ekki notaðar til auglýsinga).
• Greiningar/frammistaða: Safna upplýsingum um hvernig gestir nota vefsíðuna. Dæmi: Google Analytics-, Hotjar-, Matomo-vafrakökur.
• Markaðssetning/auglýsingar: Rekja gesti þvert á vefsíður í auglýsingaskyni. Dæmi: Facebook Pixel, Google Ads-vafrakökur, endurmarkaðsvafrakökur, samstarfsrakningarvafrakökur.

Skref 5: Skjalfestu tilgang, lengd og tegund

Fyrir hverja vafraköku skaltu skjalfesta tilgang hennar í einföldu máli sem manneskja án tæknikunnáttu getur skilið, lengd hennar (setu eða viðvarandi, og ef viðvarandi, hversu lengi) og tegund hennar (HTTP-vafrakaka, localStorage o.s.frv.). Þessi skjölun myndar grunninn að vafrakökustefnu þinni og upplýsingunum sem veittar eru í vafrakökuborðanum þínum.

Áframhaldandi eftirlit

Vafrakökuskönnun er aðeins gild á því augnabliki sem hún er framkvæmd. Vefsíðan þín er ekki kyrrstæð — hún þróast með hverri útgáfu, viðbótaruppfærslu og markaðsherferð. Áframhaldandi eftirlit er nauðsynlegt vegna þess að:

• Nýjar forskriftir innleiða nýjar vafrakökur. Þegar þróunaraðili bætir við nýju greiningartóli, markaðsteymi setur upp nýja rakningarmyndeiningu eða viðbót er uppfærð, geta nýjar vafrakökur birst á síðunni þinni án þess að nokkur hafi beinlínis ákveðið að bæta þeim við.
• Forskriftir þriðja aðila breytast. Jafnvel þótt þú breytir ekki vefsíðunni þinni, geta þjónustur þriðja aðila sem þú notar uppfært forskriftir sínar og innleitt nýjar vafrakökur. Google Analytics-uppfærsla, breyting á samfélagsmiðlaviðmóti eða uppfærsla á CDN-uppsetningu geta allar haft áhrif á vafrakökurnar á síðunni þinni.
• Samræmi er samfellt. Persónuverndaryfirvöld búast við að vafrakökustefna þín og samþykkisaðferð endurspegli núverandi ástand vefsíðunnar þinnar. Stefna sem var nákvæm fyrir sex mánuðum en inniheldur ekki vafrakökur sem bætt hefur verið við síðan þá er ósamræmd í dag.

Bestu venjur eru að keyra sjálfvirkar skannanir eftir hverja útgáfu og að lágmarki mánaðarlega. Settu upp tilkynningar fyrir nýjar vafrakökur svo teymið þitt geti metið, flokkað og bætt þeim við samþykkisaðferðina þína áður en þær verða samræmisvandamál.

Vafrakökuskönnun og vafrakökustefna þín

Vafrakökustefna þín og niðurstöður vafrakökuskönnunar þinnar verða að haldast í samræmi. Sérhver vafrakaka sem greind er í skönnun ætti að vera skjalfest í stefnu þinni, og sérhver vafrakaka sem talin er upp í stefnu þinni ætti raunverulega að vera til staðar á síðunni þinni. Ósamræmi í hvora áttina sem er er vandamál:

• Vafrakökur á síðu en ekki í stefnu: Þetta þýðir að notendur eru ekki upplýstir um alla rakningu á síðunni þinni. Samþykki þeirra, jafnvel þótt gefið sé, gæti ekki náð yfir óupplýstar vafrakökur.
• Vafrakökur í stefnu en ekki á síðu: Þótt það sé minna alvarlegt skapar það ruglingi og grefur undan trausti á nákvæmni skjölunar þinnar að telja upp vafrakökur sem eru ekki til.

Skilvirkasta aðferðin er að samþætta skönnunartólið þitt við vafrakökustefnu þína, þannig að stefnan sé sjálfkrafa uppfærð þegar nýjar vafrakökur eru greindar. Þetta eyðir handvirka skrefinu við að uppfæra stefnuna eftir hverja skönnun og dregur úr hættunni á að þau tvö komist úr samræmi.

Hvernig Passiro meðhöndlar vafrakökuskönnun

Skanni Passiro notar höfuðlausa vafravél til að heimsækja hverja síðu vefsíðunnar þinnar, keyrandi JavaScript nákvæmlega eins og vafri raunverulegs gests myndi gera. Þetta tryggir að vafrakökur settar af forskriftum sem hlaðast kviklega, ígræddu efni og einnar-síðu-forritsrömmum séu allar greindar. Skanninn keyrir fyrir og eftir hermt samþykki til að staðfesta að samþykkisstjórnunin þín virki rétt — að ónauðsynlegar vafrakökur séu raunverulega hindraðar þar til samþykki er gefið.

Skönnunarniðurstöður eru flokkaðar sjálfkrafa með stöðugt uppfærðum gagnagrunni yfir þekktar vafrakökur, með möguleika á að flokka eða endurflokka hverja vafraköku handvirkt. Áætlaðar skannanir keyra á stillanlegum grundvelli, og þú færð tilkynningar þegar nýjar vafrakökur birtast á síðunni þinni svo þú getir brugðist við áður en þær verða samræmisáhætta.

Hversu oft ættir þú að skanna?

Rétt skönnunartíðni fer eftir því hversu oft vefsíðan þín breytist:

• Eftir hverja útgáfu: Sérhver kóðabreyting hefur möguleika á að innleiða nýjar vafrakökur. Samþættu vafrakökuskönnun í CI/CD-ferlið þitt eða keyrðu skönnun eftir hverja útgáfu.
• Eftir að bæta við þjónustum þriðja aðila: Þegar þú bætir við nýju greiningartóli, markaðsvettvangi, spjallviðmóti, greiðsluvinnsluaðila eða hvaða forskrift þriðja aðila sem er, skannaðu strax.
• Að lágmarki mánaðarlega: Jafnvel þótt þú gerir engar breytingar geta forskriftir þriðja aðila á síðunni þinni uppfærst og innleitt nýjar vafrakökur. Mánaðarleg skönnun nær þessum breytingum.
• Eftir CMP-uppfærslur: Ef þú uppfærir samþykkisstjórnunarvettvanginn þinn eða breytir vafrakökuflokkunum þínum, skannaðu til að staðfesta að breytingarnar virki eins og til er ætlast.
• Ársfjórðungsleg endurskoðun: Umfram sjálfvirka skönnun skaltu framkvæma ársfjórðungslega handvirka endurskoðun á vafrakökuskrá þinni til að staðfesta að flokkanir séu enn nákvæmar, að þjónustuveitendur þriðja aðila séu enn nauðsynlegir og að vafrakökustefna þín endurspegli raunveruleikann.

Þau fyrirtæki sem líta á vafrakökuskönnun sem rútínuviðhald frekar en reglubundna úttekt eru þau sem viðhalda samfelldu samræmi — og forðast óþægilega uppgötvun óskjalfestra rakningarvafrakaka við rannsókn persónuverndaryfirvalda.