GDPR-tarkistus WordPressille

WordPress itsessään on ongelmaton — tietosuoja-aiheet tulevat lähes aina teemojen, lisäosien ja upotetun sisällön kautta.

Käytännössä useimmat tietosuojaongelmat WordPressissä ovat kolmessa lähteessä: teema, joka lataa usein Google Fontsit tai kuvakepaketit ulkoisista CDN:istä; markkinointi- ja analytiikkalaajennukset, jotka kirjoittavat seurantakoodinsa suoraan <head>-osaan kysymättä suostumustilaa; ja lohkomuokkain, joka ratkaisee YouTube-, Maps- ja Twitter-upotukset heti sivun latautuessa. Jokainen näistä lähteistä voidaan tehdä vaarattomaksi erikseen.

Pelkkä suostumuslaajennus ei riitä, jos se ei tosiasiassa estä skriptejä. Monet bannerilaajennukset näyttävät vain ilmoituksen, kun seurantalaajennukset latautuvat rinnalla. Toimivia ovat ratkaisut, jotka pidättelevät tunnetut seurantatyökalut skriptinestimellä tai puuttuvat syvälle kyseisiin laajennuksiin (esim. niiden suostumus-API:en kautta).

WordPressin ydintoiminnot ovat sinänsä vaarattomia, yhtä poikkeusta lukuun ottamatta: emoji-skriptit lataavat oletuksena s.w.org-osoitteen ja voivat — kokoonpanosta riippuen — laukaista ulkoisen yhteyden. Kommenttialueen gravatarit lähettävät lisäksi sähköpostiosoitteen hashin osoitteeseen automattic.com. Molemmat voidaan poistaa käytöstä muutamalla rivillä functions.php:ssä tai pienellä laajennuksella.

Onko tämä riski?

Yleisiä lähteitä: teemat, jotka lataavat Google Fontsin Googlelta; analytiikka- tai markkinointilisäosat ilman suostumuslogiikkaa; upotetut YouTube-/Maps-lohkot; emojit ja Gravatarit ulkoisilta palvelimilta. Kaikkeen ei-välttämättömään pääsyyn sovelletaan § 25 mom. 1 TDDDG.

Mitä voit tehdä

• Paikallista Google Fonts (esim. lisäosa ”OMGF”), poista käytöstä ulkoiset emoji-skriptit.
• Lataa analytiikka/markkinointi vain suostumuslisäosan kautta, joka estää tunnisteet suostumukseen asti.
• Muuta YouTube-/Maps-lohkot kahden napsautuksen upotukseen.
• Tarkista jokaisen lisäosan asennuksen jälkeen etusivun lähdekoodi.

Usein kysytyt kysymykset

Tekeekö WordPressin virallinen tietosuojatyökalu sivustostani vaatimustenmukaisen?

Ei. Sisäänrakennettu työkalu auttaa vain tietosuojaselostesivun luomisessa ja käyttäjätietojen viennissä/poistamisessa. Se ei estä seurantatyökaluja eikä tarkista laajennuksia.

Mitkä laajennukset ovat yleisimmät lähteet?

Analytiikkalaajennukset (Google Site Kit, MonsterInsights), markkinointilaajennukset pikseli-integraatiolla, fonttilaajennukset, jotka lataavat Googlelta, sekä sivunrakentajat, joissa on sisäänrakennetut kuvake- tai fontti-CDN:t.

Riittääkö Google Fontsien lokalisointi laajennuksella?

Fonttien osalta kyllä — laajennukset kuten OMGF lataavat tiedostot kerran ja upottavat ne paikallisesti. Sen jälkeen lähdekoodi kannattaa silti tarkistaa jäljellä olevien fonts.googleapis.com-kutsujen varalta, joita jotkin teemat ovat kovakoodanneet.

Miten tarkistan nopeasti, latautuuko jokin ennen suostumusta?

Avaa etusivu yksityisessä ikkunassa, kehittäjätyökalut, „Verkko“-välilehti, suodata hakusanoilla „google“, „facebook“, „doubleclick“. Jos pyyntöjä ilmestyy ennen „Hyväksy“-napsautusta, seurantatyökalu laukeaa liian aikaisin.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.