Как проверить файлы cookie вашего сайта, почему это важно для соответствия 152-ФЗ и что делать с результатами.
Владелец сайта устанавливает Google Analytics, добавляет виджет живого чата, встраивает видео с YouTube и подключает пиксель Facebook. Каждый из этих инструментов работает так, как ожидалось. Данные о трафике отображаются на информационных панелях. Виджет чата приветствует посетителей. Видео воспроизводится. Ретаргетинговая реклама следует за пользователями по всему Интернету.
Владелец веб-сайта часто не осознает, что одни только эти четыре инструмента могут разместить от 20 до 40 файлов cookie в браузере посетителя — большинство из них без явного ведома или настройки владельца. А согласно 152-ФЗ и Директиве 152-ФЗ РФ владелец сайта несет юридическую ответственность за каждое из них.
В этой статье объясняется, откуда берутся файлы cookie, почему большинство владельцев веб-сайтов недооценивают влияние файлов cookie и как провести надлежащий аудит.
Откуда берутся все эти файлы cookie?
Файлы cookie на веб-сайте поступают из двух источников.
Первичные файлы cookie устанавливаются самим веб-сайтом — доменом, на котором находится посетитель. Обычно они включают в себя файлы cookie сеанса (сохраняющие вход пользователя в систему), языковые настройки, содержимое корзины покупок и аналогичные функциональные данные. Большинство основных файлов cookie не вызывают противоречий и часто подпадают под категорию «строго необходимых». освобождение по 152-ФЗ, то есть согласие не требуется.
Сторонние файлы cookie устанавливаются внешними службами, встроенными в веб-сайт. Каждый тег сценария, iframe или пиксель, загружающий контент из другого домена, может содержать свои собственные файлы cookie. Владелец веб-сайта мог намеренно добавить скрипт (чтобы включить аналитику или рекламу), но конкретные файлы cookie, создаваемые скриптом, контролируются третьей стороной, а не владельцем веб-сайта.
Вот здесь и начинается проблема. Один скрипт Google Analytics создает несколько файлов cookie (_ga, _ga_*, _gid, _gat). Пиксель Facebook добавляет свой собственный набор (_fbp, fr). При внедрении YouTube используются файлы cookie с youtube.com и doubleclick.net. Скрипт тепловой карты Hotjar добавляет еще несколько. Запрос Google Fonts может устанавливать файлы cookie. Виджет reCAPTCHA создает файлы cookie. Встроенная карта Google создает файлы cookie.
Большинство владельцев веб-сайтов имеют приблизительное представление о том, какие инструменты они используют. Очень немногие знают точный список файлов cookie, которые создают эти инструменты.
Почему это юридическая проблема
Директива РФ 152-ФЗ, часто называемая «Законом о файлах cookie»; — требует, чтобы операторы веб-сайтов получали информированное согласие посетителей перед размещением второстепенных файлов cookie в своих браузерах. 152-ФЗ усиливает это, требуя правового основания (обычно согласия) для обработки персональных данных, которые файлы cookie часто содержат или позволяют использовать.
«Информированное согласие»; имеет особые требования. Оператор веб-сайта должен сообщить, какие файлы cookie устанавливаются, что делает каждый файл cookie, кто его устанавливает (собственный или сторонний), как долго он сохраняется и передаются ли данные в третьи страны (в частности, в США). Общий баннер файлов cookie с надписью «Этот веб-сайт использует файлы cookie». Нажмите «ОК», чтобы продолжить” не отвечает этим требованиям.
Практический результат: если в баннере файлов cookie неточно перечислены все файлы cookie, которые на самом деле устанавливает веб-сайт, согласие, полученное с помощью этого баннера, недействительно. Сайт обрабатывает данные без юридического основания. Это не теоретический риск — французское ведомство по защите данных (CNIL) наложило штрафы специально за неточные баннеры cookie, аналогичные принудительные меры были приняты в Германии, Бельгии и России.
Почему ручная проверка ненадежна
Некоторые владельцы веб-сайтов пытаются проверить файлы cookie вручную, открыв инструменты разработчика своего браузера, перейдя на вкладку «Приложение» и просматривая перечисленные там файлы cookie. У этого подхода есть несколько проблем.
Первая проблема заключается в том, что функции конфиденциальности браузера мешают получению результатов. Safari по умолчанию блокирует большинство сторонних файлов cookie. Firefox имеет улучшенную защиту от отслеживания, которая блокирует известные трекеры. Поведение Chrome меняется благодаря инициативе Privacy Sandbox. Файлы cookie, видимые в одном браузере, могут не совпадать с файлами cookie, видимыми в другом.
Вторая проблема – это время. Некоторые файлы cookie устанавливаются только после того, как пользователь взаимодействует со страницей — прокручивает, нажимает кнопку или воспроизводит видео. Быстрая проверка файлов cookie при загрузке страницы их не учитывает.
Третья проблема — масштаб. Веб-сайт с 50 страницами может устанавливать разные файлы cookie на разных страницах в зависимости от того, какие виджеты, встраивания и скрипты присутствуют. Проверка только главной страницы дает неполный перечень.
Четвертая проблема — сторонние обновления. Внешние скрипты загружаются из CDN, контролируемых их провайдерами. Когда Google, Facebook или Hotjar обновляют свои скрипты, поведение файлов cookie может измениться без каких-либо действий или ведома со стороны владельца веб-сайта. Ручная проверка, выполненная в прошлом месяце, может не отражать текущее состояние.
Как работает сканер файлов cookie
Автоматический сканер файлов cookie устраняет эти проблемы, имитируя реальное посещение веб-сайта.
Сканер загружает страницу в автономный браузер — полноценный браузерный движок (обычно Chromium), работающий на сервере без видимого окна. Этот браузер выполняет весь JavaScript, загружает все внешние скрипты, отображает все iframe и ожидает завершения всех ресурсов. Результат идентичен тому, что испытал бы реальный посетитель.
После полной загрузки страницы сканер собирает все файлы cookie, используя внутренние API браузера. Сюда входят основные файлы cookie, сторонние файлы cookie, сеансовые файлы cookie, постоянные файлы cookie и любые данные, хранящиеся в localStorage или sessionStorage.
Затем каждый файл cookie классифицируется путем сопоставления его с базой данных известных файлов cookie. Широко используемые файлы cookie, такие как _ga (Google Analytics), _fbp (Facebook Pixel) или __cf_bm (управление ботами Cloudflare), распознаются и классифицируются автоматически. Неизвестные файлы cookie помечаются для проверки вручную.
Выходные данные представляют собой структурированный отчет, в котором перечислены все файлы cookie с указанием имени, домена, категории (необходимые, аналитические, маркетинговые, функциональные), типа (собственные или сторонние), продолжительности действия и флагов безопасности (HTTPOnly, Secure, SameSite).
Что делать с результатами
Отчет о сканировании файлов cookie является документом соответствия. Оно служит нескольким непосредственным целям.
Во-первых, он показывает, является ли текущий баннер cookie точным. Если на баннере указано 12 файлов cookie, а сканирование обнаруживает 38, механизм согласия является неполным. Баннер необходимо обновить или удалить лишние файлы cookie.
Во-вторых, он идентифицирует ненужные файлы cookie. Многие веб-сайты содержат файлы cookie от инструментов, которые были установлены, а затем забыты — скрипт A/B-тестирования, который больше не используется, виджет социального обмена, на который никто не нажимает, или инструмент аналитики, который был заменен, но так и не удален полностью. Каждый ненужный файл cookie представляет собой ненужное обязательство по соблюдению требований.
В-третьих, это раскрывает передачу данных сторонними организациями. Каждый сторонний файл cookie предполагает отправку данных на внешний сервер. Если этот сервер находится в США, передача данных вызывает дополнительные обязательства 152-ФЗ, включая требование стандартных договорных условий или решение об адекватности. Знание того, какие сторонние файлы cookie присутствуют, является первым шагом в оценке того, имеет ли каждая передача данных действительную правовую основу.
В-четвертых, он обеспечивает основу для политики использования файлов cookie. 152-ФЗ требует четкого и конкретного описания всех используемых файлов cookie. Отчет о сканировании содержит именно ту информацию, которая необходима для точного написания этой политики.
Проблема с файлами cookie аналитики
На большинстве веб-сайтов аналитические файлы cookie представляют собой крупнейшую категорию несущественных файлов cookie. Только Google Analytics создает несколько файлов cookie для каждого посетителя, срок действия каждого из которых составляет до двух лет. Добавление Hotjar, Mixpanel, Heap или подобных инструментов еще больше умножает это.
Эти файлы cookie существуют, потому что традиционные инструменты аналитики нуждаются в них для идентификации возвращающихся посетителей, отслеживания сеансов и конверсий атрибутов. Без файлов cookie эти инструменты не могут работать.
Это создает каскадное бремя соблюдения требований. Аналитические файлы cookie требуют согласия. Для согласия требуется баннер cookie. Баннеры с использованием файлов cookie приводят к тому, что от 30 до 40 процентов посетителей отказываются от отслеживания. В этом случае инструмент аналитики видит только 60–70 процентов фактического трафика. Данные неполны, и маркетинговая команда компенсирует это, добавляя дополнительные инструменты отслеживания, которые добавляют больше файлов cookie, что еще больше увеличивает бремя согласия.
Аналитические платформы без файлов cookie разрывают этот порочный круг. Идентифицируя посетителей с помощью методов, не связанных с использованием файлов cookie (таких как безопасное снятие отпечатков пальцев или агрегирование без сеансов), эти платформы собирают аналитические данные без создания файлов cookie. Отсутствие аналитических файлов cookie означает меньшее количество файлов cookie на сайте, более простой баннер согласия, более высокий уровень согласия и более полные данные.
WebMetrics — одна из таких платформ. Он собирает просмотры страниц, источники трафика, данные об устройствах и атрибуцию кампании без размещения файлов cookie в браузере посетителя. Для владельцев веб-сайтов, чьи результаты сканирования показывают большое количество аналитических файлов cookie, переход на аналитическую платформу без файлов cookie часто является наиболее эффективным изменением, которое они могут сделать — как с точки зрения соответствия требованиям, так и с точки зрения качества данных.
Как часто сканировать
Однократное сканирование устанавливает базовый уровень, но веб-сайты постоянно меняются. Каждое обновление плагина, каждая новая вставка, каждое изменение стороннего скрипта может изменить ландшафт файлов cookie.
Разумный график сканирования для большинства компаний: сразу после любого существенного изменения веб-сайта (новые функции, новые инструменты, редизайн), ежеквартально в качестве плановой проверки соответствия и перед любым нормативным аудитом или оценкой воздействия на защиту данных.
Для агентств, управляющих несколькими клиентскими веб-сайтами, предложение регулярных проверок файлов cookie в рамках обеспечения соответствия требованиям является естественным продолжением услуг веб-разработки и маркетинга.
Сканируйте свой сайт сейчас
Сканер файлов cookie WebMetrics бесплатен, не требует регистрации и работает на серверах в РФ. Введите любой URL-адрес и получите полную информацию о файлах cookie за считанные секунды. На самой странице сканера файлы cookie не устанавливаются.
Попробуйте на web-metrics.ru/cookie-scanner.
Сопутствующие инструменты
Сканер файлов cookie— Проведите аудит файлов cookie любого веб-сайта, сценариев отслеживания и локального хранилища. Бесплатно, без регистрации.
https://web-metrics.ru/cookie-scanner
Тест скорости сайта— Проверьте производительность загрузки страниц с российских серверов. Определите скрипты, которые замедляют работу вашего сайта.
https://web-metrics.ru/speed-test
Компоновщик URL-адресов кампании— Создавайте URL-адреса с тегами UTM для отслеживания кампании. Бесплатный UTM-генератор.
https://web-metrics.ru/campaign-url-builder
Cut2.eu— Бесплатное сокращение URL-адресов с хостингом в РФ. Сокращайте ссылки кампании без стороннего отслеживания.
https://cut2.eu
WebMetrics — это платформа веб-аналитики, ориентированная на конфиденциальность, для российского бизнеса. Без файлов cookie, соответствует 152-ФЗ, полностью размещается в РФ. Начните бесплатно свеб-метрика.ру.
🍪 Узнайте, какие cookie ставит ваш сайт — запустите бесплатный сканер cookie онлайн и проверьте соответствие 152-ФЗ.