Slapukų nuskaitymas ir auditas: sužinokite, ką nustato jūsų svetainė

Negalite laikytis slapukų reglamentų, jei nežinote, kokius slapukus nustato jūsų svetainė. Tai atrodo akivaizdu, tačiau būtent tai yra dažniausia slapukų atitikties nesėkmės priežastis. Svetainės nuolat vystosi — įdiegiami nauji papildiniai, pridedamos rinkodaros žymos, atnaujinami trečiųjų šalių scenarijai — ir kiekvienas pakeitimas gali įtraukti naujų slapukų. Slapukų auditas nėra vienkartinė veikla. Tai nuolatinis procesas, kuris turi neatsilikti nuo jūsų svetainės raidos.

Kodėl slapukų nuskaitymas svarbus

Kiekviena slapukų atitikties prievolė priklauso nuo tikslaus ir išsamaus jūsų slapukų sąrašo. Be jo:

• Jūsų slapukų juosta yra neišsami. Jei juostoje nurodytos keturios slapukų kategorijos, tačiau svetainė iš tikrųjų nustato slapukus penktoje kategorijoje, naudotojai negali duoti informuoto sutikimo. Toks sutikimas pagal GDPR yra negaliojantis.
• Jūsų slapukų politika yra netiksli. Duomenų apsaugos institucijos tikisi, kad jūsų slapukų politikoje bus išvardytas kiekvienas slapukas, nurodant jo pavadinimą, paskirtį, tipą ir trukmę. Neišsami ar pasenusi politika yra atitikties pažeidimas, kurio DPI aktyviai ieško atlikdamos auditus.
• Jūsų sutikimo mechanizmas gali blokuoti ne visus slapukus. Jei naujai pridėtas scenarijus nustato slapukus, neįtrauktus į jūsų sutikimo valdymo konfigūraciją, tie slapukai suveikia be sutikimo — o tai tiesioginis ePrivacy direktyvos 5 straipsnio 3 dalies pažeidimas.
• Negalite atsakyti į naudotojų užklausas. Pagal GDPR naudotojai turi teisę žinoti, kokius duomenis apie juos renkate. Jei nežinote, kokius slapukus nustato jūsų svetainė, negalėsite tiksliai atsakyti į duomenų subjekto prieigos užklausas.

Ką atskleidžia slapukų nuskaitymas

Kruopštus slapukų nuskaitymas nustato:

• Slapukų pavadinimus: tikslų kiekvieno slapuko identifikatorių (pvz., _ga, _fbp, JSESSIONID).
• Kilmę: ar slapukas yra pirmosios šalies (nustatytas jūsų domeno), ar trečiosios šalies (nustatytas išorinio domeno).
• Tipą: seanso slapukas (ištrinamas užvėrus naršyklę) ar nuolatinis slapukas (išlieka nurodytą laiką).
• Trukmę: kiek laiko slapukas išlieka, kol nustoja galioti (pvz., 30 minučių, 1 metai, 2 metai).
• Paskirtį: ką slapukas daro — seanso valdymas, analitika, reklama, personalizavimas ar funkcinės paskirtys.
• Kategoriją: atitikties kategoriją, kuriai priklauso slapukas — būtinieji, funkciniai, analitiniai / našumo ar rinkodaros / reklamos.
• Trečiosios šalies teikėją: jei slapuką nustato trečioji šalis, kuriai paslaugai jis priklauso (Google Analytics, Facebook, HubSpot, Hotjar ir kt.).
• Renkamus duomenis: kokią informaciją slapukas saugo arba leidžia rinkti.

Rankinis slapukų nuskaitymas naudojant naršyklės kūrėjo įrankius

Paprasčiausias slapukų nuskaitymo metodas naudoja kūrėjo įrankius, integruotus į kiekvieną šiuolaikinę naršyklę. Nors rankinis nuskaitymas turi didelių apribojimų, jis naudingas atrankiniam tikrinimui ir suprasti, kaip slapukai veikia jūsų svetainėje.

Žingsnis po žingsnio: rankinis slapukų auditas naršyklėje „Chrome“

1. Atverkite inkognito / privatų langą. Taip užtikrinsite švarų atskaitos tašką — jokių esamų slapukų iš ankstesnių apsilankymų.
2. Atverkite kūrėjo įrankius (DevTools) (paspauskite F12 arba spustelėkite dešiniuoju pelės klavišu ir pasirinkite „Inspect“).
3. Pereikite į skirtuką „Application“ (naršyklėje „Chrome“) arba skirtuką „Storage“ (naršyklėje „Firefox“).
4. Išplėskite skiltį „Cookies“ kairiajame šoniniame skydelyje. Pamatysite domenų sąrašą.
5. Apsilankykite savo svetainėje nesąveikaudami su slapukų juosta. Atkreipkite dėmesį, kurie slapukai nustatomi iš karto — tai slapukai, nustatomi prieš sutikimą, kurie turėtų būti tik būtinieji slapukai.
6. Priimkite visus slapukus slapukų juostoje. Atnaujinkite skirtuką „Application“ / „Storage“ ir atkreipkite dėmesį į naujai atsiradusius slapukus.
7. Pereikite per pagrindinius savo svetainės puslapius (pradinį puslapį, produktų puslapius, atsiskaitymą, kontaktų formą, tinklaraštį). Kai kurie slapukai nustatomi tik konkrečiuose puslapiuose arba po konkrečių sąveikų.
8. Dokumentuokite kiekvieną slapuką: kiekvienam rastam slapukui užrašykite jo pavadinimą, domeną, kelią, galiojimo datą, dydį ir ar jis yra „HTTP-only“ arba „secure“.
9. Patikrinkite skirtuką „Network“, ar nėra papildomo sekimo. Kai kurios sekimo technologijos naudoja taškinius vaizdus (pixels), švyturėlius (beacons) ar API iškvietimus, o ne tradicinius slapukus. Skirtukas „Network“ atskleidžia visas išeinančias užklausas į trečiųjų šalių domenus.

Rankinio nuskaitymo apribojimai

Rankinis nuskaitymas vertingas mokantis ir atrankiniam tikrinimui, tačiau atitikties tikslais jis turi rimtų apribojimų:

• Neišsami aprėptis. Galite patikrinti tik tuos puslapius, kuriuose apsilankote rankiniu būdu. Didelė svetainė su šimtais puslapių gali nustatyti skirtingus slapukus skirtinguose puslapiuose. Rankinis nuskaitymas praktiškai negali aprėpti jų visų.
• Nėra kategorizavimo. Kūrėjo įrankiai parodo neapdorotus slapukų duomenis, bet nekategorizuoja slapukų pagal paskirtį ar atitikties kategoriją. Kiekvieną slapuką turite ištirti atskirai.
• Tik konkretaus momento vaizdas. Rankinis nuskaitymas suteikia momentinę nuotrauką. Jis neaptinka naujų slapukų, pridėtų po jūsų audito.
• Nėra scenarijų blokavimo patikros. Rankiniu būdu sunku patikrinti, ar jūsų sutikimo valdymo platforma teisingai blokuoja scenarijus prieš sutikimą.
• Užima daug laiko. Net ir svetainei su 20 puslapių, rankinis kiekvieno puslapio tikrinimas ir kiekvieno slapuko dokumentavimas užtrunka valandas.

Automatinis slapukų nuskaitymas

Automatiniai slapukų nuskaitymo įrankiai sprendžia rankinio nuskaitymo apribojimus, apeidami visą jūsų svetainę, nustatydami visus slapukus ir sistemingai juos kategorizuodami. Geras automatinio nuskaitymo įrankis suteikia:

• Išsamų apėjimą: nuskaitymo įrankis aplanko kiekvieną jūsų svetainės puslapį (arba apibrėžtą jų pogrupį), įskaitant puslapius, kurie pasiekiami tik per navigaciją ar paiešką.
• Prieš ir po sutikimo: nuskaitymo įrankis patikrina, kurie slapukai nustatomi prieš duodant sutikimą, kurie atsiranda po sutikimo ir ar atmestos kategorijos yra tinkamai blokuojamos.
• Automatinį kategorizavimą: žinomi slapukai (pvz., „Google Analytics“ _ga arba „Facebook“ _fbp) automatiškai kategorizuojami remiantis prižiūrimomis slapukų paskirčių duomenų bazėmis.
• Trečiųjų šalių atpažinimą: nustatomi ir dokumentuojami visi trečiųjų šalių domenai, nustatantys slapukus.
• Suplanuotą nuskaitymą: nuskaitymai vykdomi automatiškai pagal tvarkaraštį (kas savaitę, po diegimų), kad būtų aptikti nauji slapukai, kai tik jie atsiranda.
• Pakeitimų aptikimą: nuskaitymo įrankis įspėja jus, kai atsiranda nauji slapukai arba pasikeičia esami, kad galėtumėte atnaujinti savo sutikimo mechanizmą ir slapukų politiką.
• Atitikties ataskaitas: rezultatai suformatuojami taip, kad palaikytų jūsų atitikties dokumentaciją.

Į ką atkreipti dėmesį renkantis slapukų nuskaitymo įrankį

Vertindami automatinio slapukų nuskaitymo sprendimus, apsvarstykite:

1. „JavaScript“ atvaizdavimą: daugelį slapukų nustato „JavaScript“, kuris paleidžiamas įsikėlus puslapiui. Nuskaitymo įrankis turi vykdyti „JavaScript“ (naudodamas tikros naršyklės variklį), kad aptiktų šiuos slapukus. Paprasti HTTP apėjimo įrankiai, kurie neatvaizduoja „JavaScript“, praleis daugumą trečiųjų šalių slapukų.
2. Apėjimo gylį: nuskaitymo įrankis turi sekti vidines nuorodas ir apeiti visą jūsų svetainę, o ne tik pradinį puslapį. Slapukai, nustatomi įterptų vaizdo įrašų, formų, pokalbių valdiklių ar mokėjimų apdorojimo įrankių konkrečiuose puslapiuose, bus praleisti, jei nuskaitomas tik pradinis puslapis.
3. Pirmojo apsilankymo modeliavimą: nuskaitymo įrankis turi modeliuoti pirmą kartą apsilankantį lankytoją (jokių esamų slapukų, jokio duoto sutikimo), kad patikrintų, ar prieš sutikimą nenustatomi jokie nebūtini slapukai.
4. Slapukų duomenų bazę: prižiūrima žinomų slapukų su jų paskirtimis ir kategorijomis duomenų bazė smarkiai sumažina klasifikavimo rankinį darbą.
5. Ataskaitas: aiškias, eksportuojamas ataskaitas, kuriomis galima dalytis su teisės, rinkodaros ir kūrimo komandomis.
6. Planavimą ir įspėjimus: automatinį nuskaitymą pagal konfigūruojamą tvarkaraštį su pranešimais, kai aptinkami nauji slapukai.

Slapukų nuskaitymo procesas

Kruopštus slapukų nuskaitymas atliekamas penkiais žingsniais, nesvarbu, ar jis vykdomas rankiniu būdu, ar automatiniais įrankiais:

1 žingsnis: apeikite visus puslapius

Pradėkite sudarydami išsamų savo svetainės žemėlapį. Jį sudaro visi vieši puslapiai, autentifikuoti puslapiai (jei taikoma), nukreipimo puslapiai, padėkos puslapiai, klaidų puslapiai ir bet kuris puslapis, kurį lankytojas gali pasiekti. Neapribokite nuskaitymo pradiniu puslapiu — slapukus dažnai nustato trečiųjų šalių scenarijai, kurie įsikelia tik konkrečiuose puslapiuose (pvz., „YouTube“ įterpimas tinklaraščio įraše, mokėjimų apdorojimo įrankis atsiskaitymo puslapyje ar pokalbių valdiklis, kuris pasirodo tik pagalbos puslapiuose).

2 žingsnis: nustatykite visus slapukus

Kiekvienam puslapiui užrašykite kiekvieną nustatytą slapuką. Tai apima ir HTTP slapukus (matomus antraštėje „Set-Cookie“ ir naršyklės slapukų saugykloje), ir kliento pusės saugojimo mechanizmus (localStorage, sessionStorage, IndexedDB), kurie gali veikti kaip sekimo technologijos, nors techniškai nėra slapukai.

3 žingsnis: nustatykite slapuko kilmę

Kiekvienam slapukui nustatykite, ar jis yra pirmosios šalies (nustatytas jūsų paties domeno), ar trečiosios šalies (nustatytas išorinio domeno). Trečiųjų šalių slapukai atitikties požiūriu ypač svarbūs, nes paprastai jie apima duomenų dalijimąsi su išorinėmis organizacijomis, o tam reikia atskleidimo jūsų slapukų politikoje ir daugeliu atvejų — duomenų tvarkymo sutarties.

4 žingsnis: klasifikuokite slapukus pagal kategorijas

Priskirkite kiekvieną slapuką atitikties kategorijai:

• Būtinieji: būtini svetainei veikti. Naudotojas negali jų išjungti. Pavyzdžiai: seanso slapukai, CSRF žetonai, apkrovos balansavimo slapukai, slapukų sutikimo nuostatų slapukai.
• Funkciniai: įgalina išplėstinį funkcionalumą ir personalizavimą. Pavyzdžiai: kalbos nuostatos, regiono pasirinkimas, neseniai peržiūrėti elementai (kai nenaudojami reklamai).
• Analitiniai / našumo: renka informaciją apie tai, kaip lankytojai naudojasi svetaine. Pavyzdžiai: „Google Analytics“, „Hotjar“, „Matomo“ slapukai.
• Rinkodaros / reklamos: seka lankytojus įvairiose svetainėse reklamos tikslais. Pavyzdžiai: „Facebook Pixel“, „Google Ads“ slapukai, pakartotinio taikymo slapukai, partnerių sekimo slapukai.

5 žingsnis: dokumentuokite paskirtį, trukmę ir tipą

Kiekvienam slapukui dokumentuokite jo paskirtį paprasta kalba, kurią suprastų netechninis asmuo, jo trukmę (seanso ar nuolatinis, o jei nuolatinis — kiek ilgai) ir jo tipą (HTTP slapukas, localStorage ir kt.). Ši dokumentacija sudaro jūsų slapukų politikos ir slapukų juostoje pateikiamos informacijos pagrindą.

Nuolatinis stebėjimas

Slapukų nuskaitymas galioja tik jo atlikimo momentu. Jūsų svetainė nėra statiška — ji vystosi su kiekvienu diegimu, papildinio atnaujinimu ir rinkodaros kampanija. Nuolatinis stebėjimas yra būtinas, nes:

• Nauji scenarijai įtraukia naujų slapukų. Kai kūrėjas prideda naują analitikos įrankį, rinkodaros komanda įdiegia naują sekimo taškinį vaizdą arba atnaujinamas papildinys, jūsų svetainėje gali atsirasti naujų slapukų, kurių niekas sąmoningai nesprendė pridėti.
• Trečiųjų šalių scenarijai keičiasi. Net jei nekeičiate savo svetainės, jūsų naudojamos trečiųjų šalių paslaugos gali atnaujinti savo scenarijus ir įtraukti naujų slapukų. „Google Analytics“ atnaujinimas, socialinės medijos valdiklio pakeitimas ar CDN konfigūracijos atnaujinimas — visa tai gali paveikti jūsų svetainės slapukus.
• Atitiktis yra nuolatinė. DPI tikisi, kad jūsų slapukų politika ir sutikimo mechanizmas atspindėtų dabartinę jūsų svetainės būklę. Politika, kuri buvo tiksli prieš šešis mėnesius, bet neįtraukia nuo tada pridėtų slapukų, šiandien neatitinka reikalavimų.

Geriausia praktika — vykdyti automatinius nuskaitymus po kiekvieno diegimo ir bent kartą per mėnesį. Nustatykite įspėjimus apie naujus slapukus, kad jūsų komanda galėtų juos įvertinti, kategorizuoti ir įtraukti į sutikimo mechanizmą, kol jie netapo atitikties problema.

Slapukų nuskaitymas ir jūsų slapukų politika

Jūsų slapukų politika ir slapukų nuskaitymo rezultatai turi likti sinchronizuoti. Kiekvienas nuskaitymo metu nustatytas slapukas turėtų būti dokumentuotas jūsų politikoje, o kiekvienas politikoje išvardytas slapukas iš tikrųjų turėtų būti jūsų svetainėje. Neatitikimas bet kuria kryptimi yra problema:

• Slapukai svetainėje, bet ne politikoje: tai reiškia, kad naudotojai neinformuoti apie visą sekimą jūsų svetainėje. Jų sutikimas, net jei duotas, gali neapimti neatskleistų slapukų.
• Slapukai politikoje, bet ne svetainėje: nors ir mažiau rimta, neegzistuojančių slapukų nurodymas kelia painiavą ir menkina pasitikėjimą jūsų dokumentacijos tikslumu.

Efektyviausias būdas — integruoti nuskaitymo įrankį su slapukų politika, kad politika būtų automatiškai atnaujinama aptikus naujus slapukus. Tai pašalina rankinį politikos atnaujinimo žingsnį po kiekvieno nuskaitymo ir sumažina riziką, kad abi nustos būti sinchronizuotos.

Kaip Passiro tvarko slapukų nuskaitymą

Passiro nuskaitymo įrankis naudoja „headless“ naršyklės variklį, kad aplankytų kiekvieną jūsų svetainės puslapį, vykdydamas „JavaScript“ lygiai taip, kaip tai darytų tikra lankytojo naršyklė. Tai užtikrina, kad aptinkami visi slapukai, nustatyti dinamiškai įkeltų scenarijų, įterpto turinio ir vieno puslapio taikomųjų programų sistemų. Nuskaitymo įrankis veikia prieš ir po modeliuoto sutikimo, kad patikrintų, ar jūsų sutikimo valdymas veikia teisingai — ar nebūtini slapukai iš tiesų blokuojami, kol nėra duoto sutikimo.

Nuskaitymo rezultatai automatiškai kategorizuojami naudojant nuolat atnaujinamą žinomų slapukų duomenų bazę, su galimybe rankiniu būdu klasifikuoti ar perklasifikuoti bet kurį slapuką. Suplanuoti nuskaitymai vykdomi pagal konfigūruojamą pagrindą, o jūs gaunate įspėjimus, kai jūsų svetainėje atsiranda nauji slapukai, kad galėtumėte imtis veiksmų, kol jie netapo atitikties rizika.

Kaip dažnai reikėtų atlikti nuskaitymą?

Tinkamas nuskaitymo dažnis priklauso nuo to, kaip dažnai keičiasi jūsų svetainė:

• Po kiekvieno diegimo: bet koks kodo pakeitimas gali įtraukti naujų slapukų. Integruokite slapukų nuskaitymą į savo CI/CD grandinę arba vykdykite nuskaitymą po kiekvienos laidos.
• Pridėjus trečiųjų šalių paslaugas: kai tik pridedate naują analitikos įrankį, rinkodaros platformą, pokalbių valdiklį, mokėjimų apdorojimo įrankį ar bet kokį trečiosios šalies scenarijų, nedelsdami atlikite nuskaitymą.
• Bent kartą per mėnesį: net jei nedarote jokių pakeitimų, jūsų svetainėje esantys trečiųjų šalių scenarijai gali atsinaujinti ir įtraukti naujų slapukų. Mėnesinis nuskaitymas aptinka šiuos pakeitimus.
• Po CMP atnaujinimų: jei atnaujinate savo sutikimo valdymo platformą arba keičiate slapukų kategorijas, atlikite nuskaitymą, kad patikrintumėte, ar pakeitimai veikia taip, kaip tikėtasi.
• Ketvirtinė peržiūra: be automatinio nuskaitymo, atlikite ketvirtinę rankinę slapukų sąrašo peržiūrą, kad patikrintumėte, ar kategorizavimas vis dar tikslus, ar trečiųjų šalių teikėjai vis dar reikalingi ir ar jūsų slapukų politika atspindi tikrovę.

Organizacijos, kurios slapukų nuskaitymą traktuoja kaip įprastą priežiūrą, o ne kaip periodinį auditą, būtent tos ir išlaiko nuolatinę atitiktį — ir išvengia nemalonaus netikėtumo aptikti nedokumentuotus sekimo slapukus DPI tyrimo metu.