Configurar o Cookiebot em conformidade com o RGPD

O Cookiebot CMP (cookiebot.com, pertence à Usercentrics) combina uma análise mensal de cookies, um banner de consentimento e um bloqueio automático de scripts. A sua eficácia depende inteiramente de uma integração correta no modo «auto-blocking».

O Cookiebot funciona em dois modos. No modo automático (auto-blocking), o script tenta impedir todos os rastreadores conhecidos antes do consentimento intercetando a sua execução. Isto só funciona se o script do Cookiebot for realmente o primeiro no head — qualquer script antes dele escapa ao seu controlo. No modo manual, o Cookiebot não bloqueia nada por si; em vez disso, todas as tags têm de ser marcadas com type="text/plain" e o atributo data-cookieconsent, ou ligadas através da Consent API.

A análise mensal de cookies é a função central do Cookiebot, mas tem os limites habituais dos scanners automáticos: rastreia um número limitado de subpáginas, só deteta o que carrega no momento da análise e classifica os cookies com base numa base de dados que não conhece todos os serviços de nicho. Os cookies desconhecidos ficam em «não classificados» e têm de ser categorizados manualmente.

A Cookiebot pertence à Usercentrics desde 2021. O plano gratuito (um domínio, até 50 subpáginas) é bem mais limitado do que os pagos: segundo sites de comparação (situação em 2026), só bloqueio manual em vez de auto-blocking, um idioma do banner, quase nenhuma opção de design e uma validade curta do consentimento guardado. Quem usa o plano gratuito tem, portanto, de marcar cada tag por conta própria com data-cookieconsent. Os planos pagos são cobrados pelo número de subpáginas. Verifique as condições atuais em cookiebot.com antes de decidir.

A marcação manual fica assim: <script src="…"> passa a <script type="text/plain" data-cookieconsent="statistics" src="…"> — o navegador trata o script como texto até a Cookiebot o ativar após o consentimento correspondente. Os valores válidos são preferences, statistics e marketing (também combinados, p. ex. "statistics, marketing"). Com data-cookieconsent="ignore" exclui-se deliberadamente um script do auto-blocking — só para scripts realmente necessários. O próprio código pode consultar o estado via window.CookieConsent.consent.statistics ou .marketing; no servidor, ele está no cookie «CookieConsent».

O scan da Cookiebot e uma verificação de consentimento como a da consentglass respondem a perguntas diferentes. O scan da Cookiebot inventaria que cookies e serviços aparecem nas subpáginas e preenche com isso a declaração de cookies. Não verifica se o banner bloqueia de facto em funcionamento: para isso é preciso ver de fora que pedidos e cookies surgem na primeira visita, antes de qualquer consentimento. É exatamente aí que aparecem os erros de integração típicos — um script antes da tag da Cookiebot, um data-cookieconsent esquecido, um contentor do gestor de tags que dispara independentemente do banner.

Isto é um risco?

No modo manual, o Cookiebot não bloqueia nada por si só — cada tag tem então de ser ligada através do atributo data-cookieconsent ou através do Google Consent Mode. Se isso for esquecido, o rastreador carrega apesar da recusa e falta a base legal do § 25.º, n.º 1 do TDDDG. Mesmo o modo auto-blocking não capta de forma fiável as tags do lado do servidor nem os scripts carregados apenas após interação.

O que pode fazer

• Ativar o auto-blocking e carregar o script do Cookiebot como o primeiro elemento do <head>, antes de todos os outros scripts.
• Após a análise mensal, atribuir manualmente os cookies detetados às categorias e investigar por conta própria as entradas pouco claras.
• Ativar o Google Consent Mode v2 nas definições do Cookiebot se forem usados serviços da Google.
• Numa janela privada, após clicar em «Recusar», verificar se ainda aparecem pedidos a hosts de rastreio no separador de rede.

Häufige Fragen

O modo auto-blocking do Cookiebot é suficiente?

Para muitos rastreadores padrão sim, mas só se o script do Cookiebot carregar mesmo primeiro no head. Não capta de forma fiável as tags do lado do servidor e os scripts carregados apenas após um clique — esses têm de ser ligados manualmente.

O plano gratuito da Cookiebot é suficiente?

Para sites pequenos pode ser, se conhecer as limitações: segundo comparações atuais, o plano gratuito não tem auto-blocking, por isso cada tag tem de ser marcada manualmente com type="text/plain" e data-cookieconsent. Se o resultado se aguenta depende dessa integração, não do plano.

O que significa data-cookieconsent?

O atributo associa um script a uma categoria de consentimento (preferences, statistics, marketing). Junto com type="text/plain", o script só carrega depois de essa categoria ser permitida. data-cookieconsent="ignore" exclui um script do auto-blocking.

Tenho de controlar o relatório de análise de cookies?

Sim. Os cookies não classificados têm de ser atribuídos manualmente a uma categoria, caso contrário o Cookiebot trata-os em caso de dúvida como «não necessários» e bloqueia-os ou apresenta-os de forma incorreta.

O Cookiebot funciona com o Google Consent Mode v2?

Sim, a integração pode ser ativada nas definições. Mas não substitui o bloqueio de scripts — acrescenta a transmissão de sinais à Google.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.