Controllo GDPR per WordPress

WordPress in sé non è problematico — i temi di protezione dei dati arrivano quasi sempre tramite temi, plugin e contenuti incorporati.

In pratica, la maggior parte dei problemi di protezione dei dati in WordPress si trova in tre fonti: il tema, che spesso carica Google Fonts o kit di icone da CDN esterni; i plugin di marketing e analisi che scrivono il loro codice di tracciamento direttamente nell'<head> senza interrogare uno stato di consenso; e l'editor a blocchi, che risolve immediatamente gli embed di YouTube, Maps e Twitter al caricamento della pagina. Ognuna di queste fonti può essere disinnescata singolarmente.

Un plugin di consenso da solo non basta se non blocca realmente gli script. Molti plugin di banner mostrano solo l'avviso mentre i plugin di tracciamento si caricano in parallelo. Ciò che funziona sono soluzioni che trattengono i tracker noti tramite un blocco degli script o che si integrano in profondità nei rispettivi plugin (ad esempio tramite le loro API di consenso).

Le funzioni di base di WordPress sono di per sé innocue, con un'eccezione: gli script emoji caricano s.w.org per impostazione predefinita e possono — a seconda della configurazione — attivare una connessione esterna. I gravatar nell'area commenti trasmettono inoltre un hash dell'indirizzo e-mail ad automattic.com. Entrambi possono essere disattivati con poche righe in functions.php o un piccolo plugin.

È un rischio?

Fonti frequenti: temi che caricano Google Fonts da Google; plugin di analisi o marketing senza logica di consenso; blocchi YouTube/Maps incorporati; emoji e Gravatar da server esterni. Per ogni accesso non necessario si applica il § 25 c. 1 TDDDG.

Cosa puoi fare

• Localizzare Google Fonts (es. plugin «OMGF»), disattivare gli script emoji esterni.
• Caricare analisi/marketing solo tramite un plugin di consenso che blocchi i tag fino all'accordo.
• Convertire i blocchi YouTube/Maps in incorporamento a due clic.
• Dopo ogni installazione di plugin, verificare il codice sorgente della home page.

Domande frequenti

Lo strumento ufficiale di protezione dei dati di WordPress rende il mio sito conforme?

No. Lo strumento integrato aiuta solo a creare una pagina di privacy policy e a esportare/eliminare i dati degli utenti. Non blocca alcun tracker e non controlla alcun plugin.

Quali plugin sono i punti più frequenti?

Plugin di analisi (Google Site Kit, MonsterInsights), plugin di marketing con integrazione pixel, plugin di font che caricano da Google e page builder con CDN di icone o font integrati.

Basta localizzare Google Fonts tramite un plugin?

Per i font sì: plugin come OMGF scaricano i file una volta e li incorporano localmente. Dopo il codice sorgente andrebbe comunque controllato per chiamate residue a fonts.googleapis.com che alcuni temi hanno cablate.

Come controllo rapidamente se qualcosa si carica prima del consenso?

Apri la home page in una finestra privata, strumenti di sviluppo, scheda «Rete», filtra per «google», «facebook», «doubleclick». Se compaiono richieste prima del clic su «Accetta», un tracker si attiva troppo presto.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.