Как провести аудит файлов cookie на сайте

Аудит файлов cookie — это структурированная проверка всех файлов cookie и аналогичных технологий отслеживания, которые использует ваш сайт: что это, кто это устанавливает, зачем, на какой срок и дожидается ли оно согласия. Чтобы провести аудит, определите охват, загрузите сайт в чистом браузере, зафиксируйте все, что сохраняется или считывается, классифицируйте каждый элемент, проверьте поведение до и после согласия, а затем устраните пробелы.

Почему аудит файлов cookie так важен?

Невозможно собрать действительное согласие, написать точную политику использования файлов cookie или ответить на вопросы регулятора, не зная, что на самом деле делает ваш сайт. Аудит заменяет предположения проверенным перечнем.

Согласно статье 5(3) Директивы ePrivacy, хранение информации на устройстве пользователя или доступ к ней, как правило, требует согласия, если только это не строго необходимо для запрошенной пользователем услуги. Это правило охватывает не только файлы cookie, но и локальное хранилище, пиксели и аналогичные технологии. На большинстве сайтов со временем накапливаются теги маркетинговых инструментов, встроенных видео, виджетов чата и скриптов A/B-тестирования, и мало какая команда точно знает, что устанавливает каждый из них.

Аудит также выявляет лишнее. Заброшенные теги, которые все еще загружаются, дублирующиеся инструменты аналитики и поставщики, которых никто не помнит, — все это отнимает скорость загрузки страниц и создает риск без всякой пользы.

Что подготовить перед началом?

Согласуйте охват и соберите контекст, прежде чем открывать инструменты разработчика в браузере. Короткая подготовка предотвращает самую частую ошибку — аудит одной только главной страницы.

• Перечислите домены и поддомены, включая маркетинговые сайты, поддомены приложения, справочные центры и процессы оформления заказа, размещенные в другом месте.
• Выберите репрезентативные шаблоны страниц: главная, статья, товар, поиск, корзина, оформление заказа, регистрация и личный кабинет авторизованного пользователя.
• Учтите региональные различия. Если вы показываете разные баннеры в зависимости от местоположения, запланируйте проверку из каждого нужного региона.
• Экспортируйте контейнер менеджера тегов и составьте список договоров с поставщиками, чтобы сопоставить каждую находку с известным владельцем.
• Возьмите текущую политику использования файлов cookie, чтобы в конце сравнить ее с реальностью.

Как провести аудит файлов cookie шаг за шагом?

Пройдите по сайту в чистом состоянии, зафиксируйте все, что найдете, и занесите это в перечень. Ниже описан ручной аудит; автоматический сканер следует той же логике в масштабе.

1. Начните с чистого листа. Откройте новый профиль браузера или приватное окно с отключенными расширениями и без сохраненного согласия. Если баннеры у вас зависят от геолокации, подключайтесь из того региона, который проверяете.
2. Загрузите каждый шаблон, не трогая баннер. Это самое важное состояние: все необязательное, что устанавливается здесь, устанавливается до согласия.
3. Зафиксируйте хранилища. В инструментах разработчика браузера проверьте список файлов cookie для каждого домена, а также локальное хранилище, хранилище сеанса и IndexedDB.
4. Зафиксируйте сетевые запросы. Отфильтруйте сетевую панель по сторонним доменам и отметьте пиксели отслеживания, маяки и скрипты, даже если они не устанавливают файлов cookie.
5. Пройдите ключевые сценарии. Выполните поиск, добавьте товар в корзину, отправьте форму, войдите в систему и запустите встроенное видео, потому что многие теги срабатывают только при взаимодействии.
6. Повторите после отказа от всего, а затем после принятия всего. Очищайте хранилища между прогонами, чтобы каждый результат отражал одно состояние согласия.
7. Занесите каждый элемент в перечень, используя поля из следующего раздела.

Ускорить шаг 3 поможет короткий фрагмент кода для консоли. Учтите, что document.cookie не видит файлы cookie с атрибутом HttpOnly и файлы cookie других доменов, поэтому всегда сверяйте полный список в инструментах разработчика.

// Запустите в консоли браузера при первом визите, до взаимодействия с баннером
console.log('Cookies:', document.cookie.split('; ').filter(Boolean).map((c) => c.split('=')[0]));
console.log('localStorage:', Object.keys(localStorage));
console.log('sessionStorage:', Object.keys(sessionStorage));

Что должно быть в перечне файлов cookie?

Каждая строка должна отвечать на вопросы «кто», «что», «зачем» и «как долго». Эти поля напрямую соответствуют тому, что должны раскрывать ваш баннер и политика использования файлов cookie.

Поле	Пример	Почему это важно
Имя	_ga	Идентифицирует элемент в раскрываемой информации
Домен и поставщик	Google Analytics	Показывает, собственный это элемент или сторонний и кто получает данные
Тип	Файл cookie, локальное хранилище, пиксель	Все они подпадают под правила о хранении на устройстве
Цель	Различает посетителей для аналитики	Определяет категорию
Категория	Аналитика	Определяет, нужно ли согласие
Срок действия	Дата истечения или сеанс	Подлежит раскрытию и должен быть соразмерным
Устанавливается до согласия?	Да или нет	Указывает на несоответствия требованиям
Владелец	Команда роста	Кто-то должен обосновать, зачем это сохранять

Как классифицировать найденное?

Отнесите каждый элемент к одной категории по назначению, используя самое узкое честное описание того, что он делает. Большинство инструментов управления согласием используют четыре категории: необходимые, предпочтения, аналитика и маркетинг.

Сложные решения обычно касаются категории «необходимые». Туда относится только то, что нужно для предоставления услуги, которую пользователь явно запросил, например сеансовый файл cookie корзины покупок или файл cookie балансировки нагрузки. Файлы cookie для аналитики, A/B-тестирования и рекламы, как правило, к ней не относятся, даже если бизнес считает их обязательными. Пограничные случаи разобраны в статье Какие файлы cookie считаются строго необходимыми?

Если для элемента не удается найти цель или владельца, это уже само по себе находка. Неизвестные теги — кандидаты на удаление, а не в категорию необходимых. Чтобы освежить в памяти, чем отличаются собственные, сторонние, сеансовые и постоянные файлы cookie, прочитайте наш обзор типов файлов cookie.

Как устранить пробелы и поддерживать аудит в актуальном состоянии?

Превратите находки в короткий список исправлений, внедрите их, а затем снова проверьте те же страницы в тех же трех состояниях. Типичные исправления делятся на четыре группы.

• Удалите теги без владельца или цели.
• Блокируйте до получения согласия все необязательное, что загружается при первом визите. Приемы описаны в нашем руководстве о блокировке сторонних скриптов до получения согласия.
• Сократите сроки действия, которые превышают то, что нужно для цели.
• Обновите раскрываемую информацию в баннере и политике использования файлов cookie, чтобы она в точности соответствовала перечню.

Затем сделайте аудит регулярным. Повторяйте его по фиксированному графику, например ежеквартально, а также всякий раз, когда релиз добавляет тег, поставщика или встраиваемый контент. Сохраняйте результаты каждого аудита с датой, чтобы можно было показать, как менялась ваша настройка и когда были устранены проблемы.

Итоги

Аудит файлов cookie — основа всех остальных решений о согласии, потому что от него зависят категории, текст баннера, политика использования файлов cookie и блокировка скриптов. Начинайте с чистого состояния, фиксируйте не только файлы cookie, проверяйте каждое состояние согласия и регулярно повторяйте процесс. Такие инструменты, как Cookiesh, могут автоматизировать этап сканирования, но решения о цели и необходимости по-прежнему должен принимать ответственный человек.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.