Cookie-skanning och granskning: Ha koll på vad din webbplats sätter

Du kan inte följa cookie-regler om du inte vet vilka cookies din webbplats sätter. Det låter självklart, men det är den enskilt vanligaste orsaken till bristande cookie-efterlevnad. Webbplatser förändras ständigt — nya tillägg installeras, marknadsföringstaggar läggs till, tredjepartsskript uppdateras — och varje förändring kan introducera nya cookies. En cookie-granskning är inte en engångsföreteelse. Det är en löpande process som måste hålla jämna steg med webbplatsens utveckling.

Varför cookie-skanning är viktigt

Alla skyldigheter kring cookie-efterlevnad bygger på att du har en korrekt och komplett förteckning över dina cookies. Utan den:

• Är din cookie-banner ofullständig. Om din banner listar fyra kategorier av cookies men din webbplats faktiskt sätter cookies i en femte kategori, kan användarna inte lämna informerat samtycke. Deras samtycke är ogiltigt enligt GDPR.
• Är din cookiepolicy felaktig. Dataskyddsmyndigheter förväntar sig att din cookiepolicy listar varje cookie med namn, syfte, typ och varaktighet. En ofullständig eller föråldrad policy är en brist i efterlevnaden som dataskyddsmyndigheter aktivt letar efter vid granskningar.
• Blockerar din samtyckesmekanism kanske inte alla cookies. Om ett nyligen tillagt skript sätter cookies som inte ingår i din konfiguration för samtyckeshantering, aktiveras dessa cookies utan samtycke — ett direkt brott mot artikel 5.3 i ePrivacy-direktivet.
• Kan du inte svara på användarförfrågningar. Enligt GDPR har användare rätt att få veta vilka uppgifter du samlar in om dem. Om du inte vet vilka cookies din webbplats sätter kan du inte ge korrekta svar på begäranden om tillgång från registrerade.

Vad en cookie-skanning avslöjar

En grundlig cookie-skanning identifierar:

• Cookie-namn: Den exakta identifieraren för varje cookie (t.ex. _ga, _fbp, JSESSIONID).
• Ursprung: Om cookien är en förstapartscookie (satt av din domän) eller en tredjepartscookie (satt av en extern domän).
• Typ: Sessionscookie (raderas när webbläsaren stängs) eller permanent cookie (finns kvar under en angiven period).
• Varaktighet: Hur länge cookien består innan den upphör att gälla (t.ex. 30 minuter, 1 år, 2 år).
• Syfte: Vad cookien gör — sessionshantering, analys, annonsering, personalisering eller funktionella ändamål.
• Kategori: Den efterlevnadskategori cookien tillhör — absolut nödvändig, funktionell, analys/prestanda eller marknadsföring/annonsering.
• Tredjepartsleverantör: Om cookien sätts av en tredje part, vilken tjänst den tillhör (Google Analytics, Facebook, HubSpot, Hotjar osv.).
• Insamlade uppgifter: Vilken information cookien lagrar eller möjliggör insamling av.

Manuell cookie-skanning med webbläsarens DevTools

Den mest grundläggande metoden för cookie-skanning använder de utvecklarverktyg som finns inbyggda i varje modern webbläsare. Även om manuell skanning har betydande begränsningar är den användbar för stickprov och för att förstå hur cookies fungerar på din webbplats.

Steg för steg: Manuell cookie-granskning i Chrome

1. Öppna ett inkognito-/privat fönster. Detta säkerställer att du börjar med ett rent utgångsläge — inga befintliga cookies från tidigare besök.
2. Öppna DevTools (tryck på F12 eller högerklicka och välj ”Inspektera”).
3. Gå till fliken Application (i Chrome) eller fliken Storage (i Firefox).
4. Expandera avsnittet ”Cookies” i vänstermenyn. Du ser då en lista över domäner.
5. Besök din webbplats utan att interagera med cookie-bannern. Notera vilka cookies som sätts direkt — det är de cookies som sätts före samtycke, och som endast bör vara absolut nödvändiga cookies.
6. Acceptera alla cookies på din cookie-banner. Uppdatera fliken Application/Storage och notera de nya cookies som visas.
7. Navigera genom viktiga sidor på din webbplats (startsida, produktsidor, kassa, kontaktformulär, blogg). Vissa cookies sätts endast på specifika sidor eller efter specifika interaktioner.
8. Dokumentera varje cookie: För varje cookie du hittar, registrera namn, domän, sökväg, utgångsdatum, storlek och om den är HTTP-only eller secure.
9. Kontrollera fliken Network för ytterligare spårning. Vissa spårningstekniker använder pixlar, beacons eller API-anrop i stället för traditionella cookies. Fliken Network visar alla utgående förfrågningar till tredjepartsdomäner.

Begränsningar med manuell skanning

Manuell skanning är värdefull för lärande och stickprov, men den har allvarliga begränsningar i efterlevnadssyfte:

• Ofullständig täckning. Du kan bara kontrollera sidor du besöker manuellt. En stor webbplats med hundratals sidor kan sätta olika cookies på olika sidor. Manuell skanning kan i praktiken inte täcka dem alla.
• Ingen kategorisering. DevTools visar rådata om cookies men kategoriserar dem inte efter syfte eller efterlevnadskategori. Du måste undersöka varje cookie individuellt.
• Endast en ögonblicksbild. Manuell skanning ger dig en ögonblicksbild. Den upptäcker inte nya cookies som läggs till efter granskningen.
• Ingen verifiering av skriptblockering. Manuell skanning kan inte enkelt verifiera att din samtyckesplattform blockerar skript korrekt före samtycke.
• Tidskrävande. För en webbplats med bara 20 sidor tar det timmar att manuellt kontrollera varje sida och dokumentera varje cookie.

Automatiserad cookie-skanning

Verktyg för automatiserad cookie-skanning hanterar begränsningarna med manuell skanning genom att genomsöka hela din webbplats, identifiera alla cookies och kategorisera dem systematiskt. Ett bra automatiserat skanningsverktyg erbjuder:

• Heltäckande genomsökning: Skannern besöker varje sida på din webbplats (eller en definierad delmängd), inklusive sidor som endast är åtkomliga via navigering eller sökning.
• Före och efter samtycke: Skannern kontrollerar vilka cookies som sätts innan samtycke ges, vilka som dyker upp efter samtycke och om nekade kategorier blockeras korrekt.
• Automatisk kategorisering: Kända cookies (som Google Analytics _ga eller Facebooks _fbp) kategoriseras automatiskt utifrån underhållna databaser med cookie-syften.
• Identifiering av tredje part: Alla tredjepartsdomäner som sätter cookies identifieras och dokumenteras.
• Schemalagd skanning: Skanningar körs automatiskt enligt schema (veckovis, efter driftsättningar) för att fånga nya cookies när de dyker upp.
• Förändringsdetektering: Skannern varnar dig när nya cookies dyker upp eller befintliga cookies ändras, så att du kan uppdatera din samtyckesmekanism och cookiepolicy.
• Efterlevnadsrapporter: Resultaten formateras på ett sätt som stödjer din efterlevnadsdokumentation.

Vad du bör titta efter i ett cookie-skanningsverktyg

När du utvärderar lösningar för automatiserad cookie-skanning, tänk på:

1. JavaScript-rendering: Många cookies sätts av JavaScript som körs efter att sidan laddats. Skannern måste köra JavaScript (med en riktig webbläsarmotor) för att upptäcka dessa cookies. Enkla HTTP-crawlers som inte renderar JavaScript missar de flesta tredjepartscookies.
2. Genomsökningsdjup: Skannern bör följa interna länkar och genomsöka hela din webbplats, inte bara startsidan. Cookies som sätts av inbäddade videor, formulär, chattwidgetar eller betalningsleverantörer på specifika sidor missas om endast startsidan skannas.
3. Simulering av förstagångsbesök: Skannern bör simulera en förstagångsbesökare (inga befintliga cookies, inget samtycke lämnat) för att verifiera att inga icke-nödvändiga cookies sätts före samtycke.
4. Cookie-databas: En underhållen databas med kända cookies och deras syften och kategorier minskar dramatiskt det manuella klassificeringsarbetet.
5. Rapportering: Tydliga, exporterbara rapporter som kan delas med juridik-, marknadsförings- och utvecklingsteam.
6. Schemaläggning och varningar: Automatisk skanning enligt ett konfigurerbart schema med aviseringar när nya cookies upptäcks.

Processen för cookie-skanning

En grundlig cookie-skanning följer fem steg, oavsett om den utförs manuellt eller med automatiserade verktyg:

Steg 1: Genomsök alla sidor

Börja med att bygga en komplett karta över din webbplats. Detta inkluderar alla offentliga sidor, inloggade sidor (i förekommande fall), landningssidor, tacksidor, felsidor och alla sidor som en besökare kan tänkas nå. Begränsa inte din skanning till startsidan — cookies sätts ofta av tredjepartsskript som endast laddas på specifika sidor (t.ex. en inbäddad YouTube-video i ett blogginlägg, en betalningsleverantör på kassasidan eller en chattwidget som endast visas på supportsidor).

Steg 2: Identifiera alla cookies

För varje sida, registrera varje cookie som sätts. Detta inkluderar både HTTP-cookies (synliga i Set-Cookie-headern och i webbläsarens cookie-lagring) och lagringsmekanismer på klientsidan (localStorage, sessionStorage, IndexedDB) som kan fungera som spårningstekniker även om de tekniskt sett inte är cookies.

Steg 3: Fastställ cookiens ursprung

För varje cookie, identifiera om det är en förstapartscookie (satt av din egen domän) eller en tredjepartscookie (satt av en extern domän). Tredjepartscookies är särskilt viktiga för efterlevnaden eftersom de vanligtvis innebär att data delas med externa organisationer, vilket kräver information i din cookiepolicy och, i många fall, ett personuppgiftsbiträdesavtal.

Steg 4: Klassificera cookies efter kategori

Tilldela varje cookie en efterlevnadskategori:

• Absolut nödvändiga: Krävs för att webbplatsen ska fungera. Kan inte inaktiveras av användaren. Exempel: sessionscookies, CSRF-tokens, cookies för lastbalansering, cookies för cookie-samtyckesinställningar.
• Funktionella: Möjliggör förbättrad funktionalitet och personalisering. Exempel: språkinställningar, regionval, nyligen visade objekt (när de inte används för annonsering).
• Analys/prestanda: Samlar in information om hur besökare använder webbplatsen. Exempel: cookies från Google Analytics, Hotjar, Matomo.
• Marknadsföring/annonsering: Spårar besökare över olika webbplatser i annonseringssyfte. Exempel: Facebook Pixel, Google Ads-cookies, retargeting-cookies, cookies för affiliate-spårning.

Steg 5: Dokumentera syfte, varaktighet och typ

För varje cookie, dokumentera dess syfte på ett enkelt språk som en icke-teknisk person kan förstå, dess varaktighet (session eller permanent, och om permanent, hur länge) samt dess typ (HTTP-cookie, localStorage osv.). Denna dokumentation utgör grunden för din cookiepolicy och den information som ges i din cookie-banner.

Löpande övervakning

En cookie-skanning är endast giltig i det ögonblick den utförs. Din webbplats är inte statisk — den utvecklas med varje driftsättning, tilläggsuppdatering och marknadsföringskampanj. Löpande övervakning är avgörande eftersom:

• Nya skript introducerar nya cookies. När en utvecklare lägger till ett nytt analysverktyg, ett marknadsföringsteam installerar en ny spårningspixel eller ett tillägg uppdateras, kan nya cookies dyka upp på din webbplats utan att någon uttryckligen har bestämt att lägga till dem.
• Tredjepartsskript ändras. Även om du inte ändrar din webbplats kan de tredjepartstjänster du använder uppdatera sina skript och introducera nya cookies. En uppdatering av Google Analytics, en ändring i en widget för sociala medier eller en uppdatering av en CDN-konfiguration kan alla påverka cookies på din webbplats.
• Efterlevnad är kontinuerlig. Dataskyddsmyndigheter förväntar sig att din cookiepolicy och samtyckesmekanism återspeglar det aktuella tillståndet för din webbplats. En policy som var korrekt för sex månader sedan men inte inkluderar cookies som lagts till sedan dess är inte efterlevande idag.

Bästa praxis är att köra automatiserade skanningar efter varje driftsättning och minst en gång i månaden. Ställ in varningar för nya cookies så att ditt team kan utvärdera, kategorisera och lägga till dem i din samtyckesmekanism innan de blir ett efterlevnadsproblem.

Cookie-skanning och din cookiepolicy

Din cookiepolicy och dina skanningsresultat måste hållas synkroniserade. Varje cookie som identifieras i en skanning bör dokumenteras i din policy, och varje cookie som listas i din policy bör faktiskt finnas på din webbplats. En avvikelse i endera riktningen är ett problem:

• Cookies på webbplatsen men inte i policyn: Detta innebär att användarna inte informeras om all spårning på din webbplats. Deras samtycke, även om det ges, kanske inte omfattar oredovisade cookies.
• Cookies i policyn men inte på webbplatsen: Även om det är mindre allvarligt skapar det förvirring att lista cookies som inte finns, och det undergräver förtroendet för att din dokumentation är korrekt.

Det mest effektiva tillvägagångssättet är att integrera ditt skanningsverktyg med din cookiepolicy, så att policyn automatiskt uppdateras när nya cookies upptäcks. Detta eliminerar det manuella steget att uppdatera policyn efter varje skanning och minskar risken för att de två hamnar i otakt.

Hur Passiro hanterar cookie-skanning

Passiros skanner använder en headless-webbläsarmotor för att besöka varje sida på din webbplats och kör JavaScript exakt som en riktig besökares webbläsare skulle göra. Detta säkerställer att cookies som sätts av dynamiskt laddade skript, inbäddat innehåll och ramverk för enkelsidiga applikationer alla upptäcks. Skannern körs före och efter simulerat samtycke för att verifiera att din samtyckeshantering fungerar korrekt — att icke-nödvändiga cookies verkligen blockeras tills samtycke ges.

Skanningsresultaten kategoriseras automatiskt med hjälp av en kontinuerligt uppdaterad databas med kända cookies, med möjlighet att manuellt klassificera eller omklassificera vilken cookie som helst. Schemalagda skanningar körs på konfigurerbar basis, och du får varningar när nya cookies dyker upp på din webbplats så att du kan agera innan de blir en efterlevnadsrisk.

Hur ofta bör du skanna?

Den rätta skanningsfrekvensen beror på hur ofta din webbplats förändras:

• Efter varje driftsättning: Varje kodändring kan potentiellt introducera nya cookies. Integrera cookie-skanning i din CI/CD-pipeline eller kör en skanning efter varje release.
• Efter att ha lagt till tredjepartstjänster: Skanna omedelbart när du lägger till ett nytt analysverktyg, en marknadsföringsplattform, en chattwidget, en betalningsleverantör eller något annat tredjepartsskript.
• Minst en gång i månaden: Även om du inte gör några ändringar kan tredjepartsskript på din webbplats uppdateras och introducera nya cookies. En månatlig skanning fångar upp dessa förändringar.
• Efter CMP-uppdateringar: Om du uppdaterar din samtyckesplattform eller ändrar dina cookie-kategorier, skanna för att verifiera att ändringarna fungerar som förväntat.
• Kvartalsvis genomgång: Utöver automatiserad skanning bör du genomföra en manuell genomgång av din cookie-förteckning varje kvartal för att verifiera att kategoriseringarna fortfarande är korrekta, att tredjepartsleverantörer fortfarande behövs och att din cookiepolicy återspeglar verkligheten.

De organisationer som behandlar cookie-skanning som rutinunderhåll snarare än en periodisk granskning är de som upprätthåller kontinuerlig efterlevnad — och undviker den obehagliga överraskningen att upptäcka oredovisade spårningscookies under en utredning från dataskyddsmyndigheten.