Seu site grava cookies antes de alguém aceitar?
O banner aparece. Mas os cookies podem já ter sido gravados antes de você clicar em qualquer coisa — e isso não dá para ver na tela.
O problema
Você colocou o banner de cookies, escolheu uma ferramenta conhecida, e considera o assunto resolvido.
O banner controla o que acontece depois que a pessoa clica. Mas boa parte do que grava cookie no seu site — analytics, pixel de anúncio, chat, mapa incorporado, fonte externa — é carregada junto com a página, antes de qualquer clique.
O banner pede permissão para algo que já aconteceu.
Por que isso acontece
Uma página moderna não vem de um lugar só. Ela puxa scripts de vários domínios de terceiros, e cada um deles pode gravar cookie no momento em que é carregado.
Quem instala o banner controla o próprio banner. Não controla o que o tema, o plugin, o gerenciador de tags ou o widget de chat carregam sozinhos.
E o pior: isso é invisível. O site abre normalmente, o banner aparece no lugar certo, e nada na tela indica que dezenas de cookies já foram gravados e que uma dúzia de domínios já recebeu uma requisição.
Como saber o que o seu site faz
Dá para olhar manualmente: abra as ferramentas de desenvolvedor do navegador, vá na aba de armazenamento e veja os cookies logo depois de carregar a página, sem clicar em nada. Depois vá na aba de rede e veja para quais domínios saíram requisições.
Funciona. Mas é uma página por vez, exige conhecer a ferramenta, e é fácil confundir o que veio de onde.
É isso que o SiteMerit observa automaticamente. Abrimos a sua página num navegador real e registramos os cookies gravados durante o carregamento inicial, sem nenhuma interação — cada um com o domínio que o gravou, o caminho, o momento e os atributos de segurança. E listamos os domínios de terceiros que receberam requisição, com quantas requisições cada um.
Nós mostramos o que aconteceu. Quem decide o que fazer com isso é você e, se o caso pedir, seu jurídico. Não emitimos parecer de conformidade e não avaliamos o seu banner.
O que fazer com essa lista
- Separe o necessário do resto. Cookie de sessão e de segurança normalmente precisa existir. Analytics, pixel de anúncio e teste A/B normalmente não precisam carregar antes do consentimento.
- Ache o carregador, não o cookie. Um cookie de terceiro raramente aparece sozinho: alguém o chamou. Gerenciador de tags, plugin, tema ou componente incorporado.
- Adie o que dá para adiar. A maior parte das ferramentas de analytics e anúncio aceita ser carregada só depois do aceite. Costuma ser configuração, não reescrita.
- Reveja depois de cada mudança no site. Um plugin novo pode trazer um rastreador que ninguém pediu, e nada avisa.