Come eseguire un audit dei cookie sul tuo sito web

Un audit dei cookie è una revisione strutturata di tutti i cookie e le tecnologie di tracciamento analoghe usati dal tuo sito web: cosa sono, chi li installa, perché, per quanto tempo e se attendono il consenso. Per eseguirne uno, definisci il perimetro, carica il sito in un browser pulito, rileva tutto ciò che viene archiviato o letto, classifica ogni elemento, testa il comportamento prima e dopo il consenso e poi correggi le lacune.

Perché un audit dei cookie è importante?

Non puoi raccogliere un consenso valido, scrivere una cookie policy accurata o rispondere alle domande di un’autorità di controllo senza sapere cosa fa davvero il tuo sito. Un audit sostituisce le supposizioni con un inventario verificato.

Ai sensi dell’articolo 5, paragrafo 3, della direttiva ePrivacy, archiviare informazioni sul dispositivo dell’utente o accedervi richiede in genere il consenso, a meno che ciò non sia strettamente necessario per un servizio richiesto dall’utente. La regola riguarda i cookie, ma anche il local storage, i pixel e tecniche analoghe. Con il tempo la maggior parte dei siti accumula tag tramite strumenti di marketing, video incorporati, widget di chat e script di A/B testing, e pochi team sanno esattamente cosa installa ciascuno.

Un audit fa emergere anche gli sprechi. Tag abbandonati che vengono ancora caricati, strumenti di analisi duplicati e fornitori che nessuno ricorda di aver aggiunto rallentano la pagina e creano rischi senza alcun beneficio.

Cosa devi preparare prima di iniziare?

Concorda il perimetro e raccogli il contesto prima di aprire gli strumenti per sviluppatori del browser. Una breve fase di preparazione evita l’errore più comune, cioè limitare l’audit alla homepage.

• Elenca domini e sottodomini, compresi siti di marketing, sottodomini dell’app, help center e flussi di checkout ospitati altrove.
• Scegli template di pagina rappresentativi: home, articolo, prodotto, ricerca, carrello, checkout, registrazione e una dashboard accessibile dopo il login.
• Annota le varianti regionali. Se mostri banner diversi in base alla posizione, pianifica test da ciascuna area geografica rilevante.
• Esporta il container del tag manager ed elenca i contratti con i fornitori, così potrai associare ogni rilevazione a un responsabile noto.
• Recupera la cookie policy attuale per confrontarla con la realtà alla fine.

Come si esegue un audit dei cookie passo dopo passo?

Analizza il sito partendo da uno stato pulito, rileva tutto e poi registralo in un inventario. I passaggi seguenti descrivono un audit manuale; uno scanner automatico segue la stessa logica su larga scala.

1. Parti da zero. Apri un nuovo profilo del browser o una finestra privata con le estensioni disattivate e nessun consenso memorizzato. Se usi banner geolocalizzati, collegati dall’area geografica che stai testando.
2. Carica ogni template senza toccare il banner. È lo stato più importante: tutto ciò che di non essenziale viene installato qui è installato prima del consenso.
3. Rileva i dati archiviati. Negli strumenti per sviluppatori del browser, controlla l’elenco dei cookie per ogni dominio, oltre a local storage, session storage e IndexedDB.
4. Rileva le richieste di rete. Filtra il pannello di rete per domini di terze parti e annota pixel di tracciamento, beacon e script, anche se non installano alcun cookie.
5. Percorri i flussi principali. Esegui una ricerca, aggiungi un prodotto al carrello, invia un modulo, accedi e avvia un video incorporato, perché molti tag partono solo in seguito a un’interazione.
6. Ripeti dopo aver rifiutato tutto, poi dopo aver accettato tutto. Cancella i dati archiviati tra un test e l’altro, così ogni risultato riflette un solo stato del consenso.
7. Registra ogni elemento nell’inventario usando i campi descritti nella sezione successiva.

Un breve snippet da console può velocizzare il passaggio 3. Tieni presente che document.cookie non vede i cookie HttpOnly né i cookie che appartengono ad altri domini, quindi verifica sempre l’elenco completo negli strumenti per sviluppatori.

// Esegui nella console del browser alla prima visita, prima di toccare il banner
console.log('Cookies:', document.cookie.split('; ').filter(Boolean).map((c) => c.split('=')[0]));
console.log('localStorage:', Object.keys(localStorage));
console.log('sessionStorage:', Object.keys(sessionStorage));

Cosa deve includere il tuo inventario dei cookie?

Ogni riga deve rispondere a chi, cosa, perché e per quanto tempo. Questi campi corrispondono direttamente a ciò che il banner e la cookie policy devono dichiarare.

Campo	Esempio	Perché è importante
Nome	_ga	Identifica l’elemento nelle tue informative
Dominio e fornitore	Google Analytics	Indica se è di prima o terza parte e chi riceve i dati
Tipo	Cookie, local storage, pixel	Tutti rientrano nelle regole sull’archiviazione nel dispositivo
Finalità	Distingue i visitatori a fini di analisi	Determina la categoria
Categoria	Analisi	Stabilisce se serve il consenso
Durata	Data di scadenza o sessione	Va dichiarata e deve essere proporzionata
Installato prima del consenso?	Sì o no	Segnala le lacune di conformità
Responsabile	Team growth	Qualcuno deve giustificarne il mantenimento

Come si classifica ciò che trovi?

Assegna ogni elemento a una sola categoria di finalità, usando la descrizione più ristretta e onesta di ciò che fa. La maggior parte degli strumenti per il consenso usa quattro categorie: necessari, preferenze, analisi e marketing.

Le decisioni difficili riguardano di solito i “necessari”. Vi rientrano solo gli elementi indispensabili per fornire un servizio esplicitamente richiesto dall’utente, come un cookie di sessione del carrello o un cookie di bilanciamento del carico. I cookie di analisi, di A/B testing e pubblicitari in genere non ne fanno parte, anche se l’azienda li considera essenziali. Per i casi limite, leggi cosa si intende per cookie strettamente necessario.

Se non riesci a trovare una finalità o un responsabile per un elemento, consideralo già di per sé un problema da segnalare. I tag sconosciuti sono candidati alla rimozione, non alla categoria dei necessari. Per ripassare le differenze tra cookie di prima parte, di terza parte, di sessione e persistenti, leggi la nostra panoramica sui tipi di cookie.

Come si correggono le lacune e si mantiene aggiornato l’audit?

Trasforma le rilevazioni in un breve elenco di interventi, rilascia le correzioni e poi testa di nuovo le stesse pagine negli stessi tre stati. Le correzioni tipiche rientrano in quattro gruppi.

• Rimuovi i tag senza responsabile o finalità.
• Blocca fino al consenso tutto ciò che di non essenziale viene caricato alla prima visita. La nostra guida su come bloccare gli script di terze parti fino al consenso illustra le tecniche.
• Riduci le durate che superano quanto richiesto dalla finalità.
• Aggiorna le informative nel banner e nella cookie policy, così che corrispondano esattamente all’inventario.

Poi rendi l’audit un’attività di routine. Ripetilo con una cadenza fissa, per esempio trimestrale, e ogni volta che un rilascio aggiunge un tag, un fornitore o un contenuto incorporato. Conserva i risultati di ogni audit con la relativa data, così potrai dimostrare come è cambiata la tua configurazione nel tempo e quando sono stati risolti i problemi.

In sintesi

L’audit dei cookie è la base di ogni altra decisione sul consenso, perché categorie, testi del banner, cookie policy e blocco degli script dipendono tutti da esso. Parti da uno stato pulito, rileva molto più dei soli cookie, testa ogni stato del consenso e ripeti regolarmente il processo. Strumenti come Cookiesh possono automatizzare la fase di scansione, ma le decisioni su finalità e necessità richiedono comunque un responsabile in carne e ossa.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.