Come fare un audit dei cookie del tuo sito, perché è importante per la conformità al GDPR e cosa fare con i risultati.
Il titolare di un sito installa Google Analytics, aggiunge un widget di live chat, incorpora un video di YouTube e collega un Facebook Pixel. Ognuno di questi strumenti funziona come previsto. I dati di traffico compaiono nelle dashboard. Il widget di chat saluta i visitatori. I video partono. Gli annunci di retargeting seguono gli utenti in giro per il web.
Quello di cui il titolare spesso non si rende conto è che questi quattro strumenti, da soli, possono depositare da 20 a 40 cookie nel browser di un visitatore, per lo più senza che lui lo sappia o li abbia configurati. E in base al GDPR e alla direttiva ePrivacy dell’UE, il titolare del sito è legalmente responsabile di ciascuno di essi.
Questo articolo spiega da dove arrivano i cookie, perché la maggior parte dei titolari di siti sottovaluta quanti cookie usa e come condurre un audit come si deve.
Da dove arrivano tutti questi cookie?
I cookie di un sito hanno due origini.
I cookie di prima parte sono impostati dal sito stesso (il dominio su cui si trova il visitatore). Di solito comprendono i cookie di sessione (che mantengono l’utente connesso), le preferenze di lingua, il contenuto del carrello e dati funzionali simili. La maggior parte dei cookie di prima parte non crea problemi e spesso rientra nell’esenzione per i cookie “strettamente necessari” prevista dal GDPR, quindi non richiede consenso.
I cookie di terze parti sono impostati da servizi esterni incorporati nel sito. Ogni tag script, iframe o pixel che carica contenuti da un altro dominio può introdurre i propri cookie. Il titolare può aver aggiunto lo script di proposito (per attivare analytics o pubblicità), ma i cookie specifici che lo script crea sono controllati dalla terza parte, non dal titolare del sito.
Qui comincia il problema. Un solo script di Google Analytics crea più cookie (_ga, _ga_*, _gid, _gat). Un Facebook Pixel aggiunge i suoi (_fbp, fr). Un video YouTube incorporato introduce cookie da youtube.com e doubleclick.net. Uno script di heatmap di Hotjar ne aggiunge diversi altri. Una richiesta a Google Fonts può impostare cookie. Un widget reCAPTCHA crea cookie. Una mappa di Google incorporata crea cookie.
La maggior parte dei titolari di siti ha un’idea approssimativa degli strumenti che usa. Pochissimi conoscono l’elenco esatto dei cookie che quegli strumenti creano.
Perché è un problema legale
La direttiva ePrivacy dell’UE (spesso chiamata “Cookie Law”) impone ai gestori dei siti di ottenere il consenso informato dei visitatori prima di depositare cookie non essenziali nei loro browser. Il GDPR rafforza questo obbligo richiedendo una base giuridica (di solito il consenso) per il trattamento dei dati personali, che i cookie spesso contengono o rendono possibile.
Il “consenso informato” ha requisiti precisi. Il gestore del sito deve indicare quali cookie vengono impostati, a cosa serve ciascuno, chi lo imposta (prima o terza parte), quanto dura e se i dati vengono trasferiti a paesi terzi (in particolare gli Stati Uniti). Un banner generico che dice “Questo sito usa i cookie. Fai clic su OK per continuare” non soddisfa questi requisiti.
La conseguenza pratica: se il banner dei cookie non elenca con precisione tutti i cookie che il sito imposta davvero, il consenso raccolto con quel banner non è valido. Il sito tratta dati senza una base giuridica. Non è un rischio teorico: l’autorità francese per la protezione dei dati (CNIL) ha inflitto sanzioni proprio per banner dei cookie inesatti, e provvedimenti simili ci sono stati in Germania, Belgio e Austria.
Perché il controllo manuale non è affidabile
Alcuni titolari provano a controllare i cookie a mano: aprono gli strumenti per sviluppatori del browser, vanno nella scheda Application e passano in rassegna i cookie elencati. Questo approccio ha diversi problemi.
Il primo è che le funzioni di privacy dei browser falsano i risultati. Safari blocca per impostazione predefinita la maggior parte dei cookie di terze parti. Firefox ha la Protezione antitracciamento avanzata, che blocca i tracker noti. Il comportamento di Chrome sta cambiando con l’iniziativa Privacy Sandbox. I cookie visibili in un browser possono non coincidere con quelli visibili in un altro.
Il secondo è il momento del controllo. Alcuni cookie vengono impostati solo dopo che l’utente interagisce con la pagina, per esempio scorrendo, facendo clic su un pulsante o avviando un video. Un controllo veloce dei cookie al caricamento della pagina non li vede.
Il terzo è la scala. Un sito con 50 pagine può impostare cookie diversi su pagine diverse, a seconda dei widget, degli elementi incorporati e degli script presenti. Controllare solo la home page produce un inventario incompleto.
Il quarto sono gli aggiornamenti delle terze parti. Gli script esterni vengono caricati da CDN controllate dai rispettivi fornitori. Quando Google, Facebook o Hotjar aggiornano i loro script, il comportamento dei cookie può cambiare senza che il titolare del sito faccia nulla o se ne accorga. Un controllo manuale fatto il mese scorso può non rispecchiare la situazione attuale.
Come funziona uno scanner di cookie
Uno scanner di cookie automatico elimina questi problemi simulando una visita reale al sito.
Lo scanner carica la pagina in un browser headless: un motore di browser completo (di solito Chromium) che gira su un server senza finestra visibile. Questo browser esegue tutto il JavaScript, carica tutti gli script esterni, visualizza tutti gli iframe e attende il completamento di tutte le risorse. Il risultato è identico a quello che vedrebbe un visitatore reale.
Quando la pagina è completamente caricata, lo scanner raccoglie tutti i cookie tramite le API interne del browser. Sono inclusi i cookie di prima parte, quelli di terze parti, i cookie di sessione, quelli persistenti ed eventuali dati salvati in localStorage o sessionStorage.
Ogni cookie viene poi classificato confrontandolo con un database di cookie noti. Cookie molto diffusi come _ga (Google Analytics), _fbp (Facebook Pixel) o __cf_bm (gestione dei bot di Cloudflare) vengono riconosciuti e classificati automaticamente. I cookie sconosciuti vengono segnalati per una verifica manuale.
Il risultato è un report strutturato che elenca ogni cookie con nome, dominio, categoria (necessario, analytics, marketing, funzionale), tipo (prima o terza parte), durata e flag di sicurezza (HTTPOnly, Secure, SameSite).
Cosa fare con i risultati
Il report di una scansione dei cookie è un documento di conformità. Serve subito a diversi scopi.
Primo, mostra se il banner dei cookie attuale è accurato. Se il banner elenca 12 cookie e la scansione ne trova 38, il meccanismo di consenso è incompleto. Bisogna aggiornare il banner o eliminare i cookie in eccesso.
Secondo, individua i cookie superflui. Molti siti si portano dietro cookie di strumenti installati e poi dimenticati: uno script di A/B test non più in uso, un widget di condivisione social che nessuno clicca o uno strumento di analytics sostituito ma mai rimosso del tutto. Ogni cookie superfluo è un obbligo di conformità superfluo.
Terzo, fa emergere i trasferimenti di dati a terze parti. Ogni cookie di terze parti comporta l’invio di dati a un server esterno. Se quel server si trova negli Stati Uniti, il trasferimento fa scattare ulteriori obblighi GDPR, tra cui la necessità di Clausole contrattuali standard o di una decisione di adeguatezza. Sapere quali cookie di terze parti sono presenti è il primo passo per valutare se ogni trasferimento di dati ha una base giuridica valida.
Quarto, fornisce la base per la cookie policy. Il GDPR richiede una descrizione chiara e specifica di tutti i cookie utilizzati. Il report di scansione contiene esattamente le informazioni necessarie per scriverla in modo accurato.
Il problema dei cookie di analytics
Sulla maggior parte dei siti, i cookie di analytics sono la categoria più numerosa di cookie non essenziali. Google Analytics da solo crea più cookie per ogni visitatore, ciascuno con una durata fino a due anni. Aggiungendo Hotjar, Mixpanel, Heap o strumenti simili, il numero si moltiplica.
Questi cookie esistono perché gli strumenti di analytics tradizionali ne hanno bisogno per riconoscere i visitatori di ritorno, tracciare le sessioni e attribuire le conversioni. Senza cookie, questi strumenti non funzionano.
Ne nasce un onere di conformità a cascata. I cookie di analytics richiedono il consenso. Il consenso richiede un banner dei cookie. Per colpa dei banner, dal 30 al 40 per cento dei visitatori rifiuta il tracciamento. Lo strumento di analytics vede quindi solo dal 60 al 70 per cento del traffico reale. I dati sono incompleti e il team marketing compensa aggiungendo altri strumenti di tracciamento, che aggiungono altri cookie, che aumentano ancora l’onere del consenso.
Le piattaforme di analytics senza cookie spezzano questo circolo. Identificando i visitatori con metodi diversi dai cookie (come il fingerprinting rispettoso della privacy o l’aggregazione senza sessione), raccolgono dati di analytics senza creare cookie. Niente cookie di analytics significa meno cookie in totale sul sito, un banner di consenso più semplice, tassi di consenso più alti e dati più completi.
EuroMetrics è una di queste piattaforme. Raccoglie visualizzazioni di pagina, sorgenti di traffico, dati sui dispositivi e attribuzione delle campagne senza depositare alcun cookie nel browser del visitatore. Per i titolari di siti la cui scansione mostra molti cookie di analytics, passare a una piattaforma di analytics senza cookie è spesso il singolo cambiamento con il maggiore impatto, sia per la conformità sia per la qualità dei dati.
Ogni quanto fare la scansione
Una scansione una tantum stabilisce un punto di partenza, ma i siti cambiano di continuo. Ogni aggiornamento di un plugin, ogni nuovo elemento incorporato, ogni modifica a uno script di terze parti può cambiare i cookie che il sito imposta.
Un calendario ragionevole per la maggior parte delle aziende: subito dopo ogni modifica importante al sito (nuove funzionalità, nuovi strumenti, restyling), ogni trimestre come controllo di conformità di routine e prima di qualsiasi audit normativo o valutazione d’impatto sulla protezione dei dati.
Per le agenzie che gestiscono i siti di più clienti, offrire audit periodici dei cookie all’interno di un contratto di assistenza sulla conformità è un’estensione naturale dei servizi di sviluppo web e marketing.
Scansiona il tuo sito adesso
Il Cookie Scanner di EuroMetrics è gratuito, non richiede registrazione e gira su server nell’UE. Inserisci un URL qualsiasi e ottieni in pochi secondi l’inventario completo dei cookie. La pagina dello scanner stessa non imposta alcun cookie.
Provalo su eurometrics.eu/cookie-scanner.
Strumenti correlati
Cookie Scanner: analizza cookie, script di tracciamento e local storage di qualsiasi sito. Gratuito, senza registrazione.
https://eurometrics.eu/cookie-scanner
Test di velocità del sito: misura le prestazioni di caricamento delle pagine da server europei. Individua gli script che rallentano il tuo sito.
https://eurometrics.eu/speed-test
Generatore di URL per campagne: crea URL con parametri UTM per tracciare le campagne. Generatore UTM gratuito.
https://eurometrics.eu/campaign-url-builder
Cut2.eu: accorciatore di URL gratuito ospitato nell’UE. Accorcia i link delle campagne senza tracciamento di terze parti.
https://cut2.eu
EuroMetrics è una piattaforma di web analytics orientata alla privacy per le aziende europee. Senza cookie, conforme al GDPR, ospitata interamente nell’UE. Inizia gratis su eurometrics.eu.