GDPR-kontroll för WordPress

WordPress i sig är oproblematiskt — dataskyddsfrågorna kommer nästan alltid via teman, plugins och inbäddat innehåll.

I praktiken sitter de flesta integritetsproblemen i WordPress i tre källor: temat, som ofta laddar Google Fonts eller ikon-kit från externa CDN:er; marknadsförings- och analysplugin som skriver sin spårkod direkt i <head> utan att fråga efter en samtyckesstatus; och blockredigeraren, som direkt löser upp YouTube-, Maps- och Twitter-inbäddningar vid sidladdning. Var och en av dessa källor kan oskadliggöras var för sig.

Ett samtyckesplugin ensamt räcker inte om det inte faktiskt blockerar skripten. Många bannerplugin visar bara meddelandet medan spårpluginen laddas parallellt. Det som fungerar är lösningar som håller tillbaka de kända spårarna via en skriptblockerare eller griper djupt in i respektive plugin (t.ex. via deras samtyckes-API:er).

WordPress kärnfunktioner är i sig ofarliga, med ett undantag: emoji-skripten laddar s.w.org som standard och kan — beroende på uppsättningen — utlösa en extern anslutning. Gravatarer i kommentarsfältet överför dessutom en hash av e-postadressen till automattic.com. Båda kan stängas av med några rader i functions.php eller ett litet plugin.

Är detta en risk?

Vanliga källor: teman som laddar Google Fonts från Google; analys- eller marknadsföringsplugins utan samtyckeslogik; inbäddade YouTube-/Maps-block; emojis och Gravatarer från externa servrar. För all icke-nödvändig åtkomst gäller § 25 st. 1 TDDDG.

Vad du kan göra

• Lokalisera Google Fonts (t.ex. plugin ”OMGF”), inaktivera externa emoji-skript.
• Ladda analys/marknadsföring endast via en samtyckesplugin som blockerar taggar till samtycke.
• Ställ om YouTube-/Maps-block till tvåklicksinbäddning.
• Efter varje plugininstallation, kontrollera startsidans källkod.

Vanliga frågor

Gör WordPress officiella integritetsverktyg min sida förenlig?

Nej. Det inbyggda verktyget hjälper bara till att skapa en integritetspolicysida och exportera/radera användardata. Det blockerar inga spårare och kontrollerar inga plugin.

Vilka plugin är de vanligaste källorna?

Analysplugin (Google Site Kit, MonsterInsights), marknadsföringsplugin med pixel-integration, teckensnittsplugin som laddar från Google, samt page builders med inbyggda ikon- eller font-CDN:er.

Räcker det att lokalisera Google Fonts via ett plugin?

För teckensnitten ja — plugin som OMGF laddar ner filerna en gång och bäddar in dem lokalt. Därefter bör källkoden ändå kontrolleras för kvarvarande anrop till fonts.googleapis.com som vissa teman har hårdkodat.

Hur kontrollerar jag snabbt om något laddar före samtycket?

Öppna startsidan i ett privat fönster, utvecklarverktyg, fliken „Nätverk“, filtrera på „google“, „facebook“, „doubleclick“. Om förfrågningar dyker upp före klicket på „Godkänn“ avfyras en spårare för tidigt.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.