Налаштування Cookiebot відповідно до GDPR

Cookiebot CMP (cookiebot.com, належить Usercentrics) поєднує щомісячне сканування cookie, банер згоди та автоматичне блокування скриптів. Ефективність повністю залежить від правильної інтеграції в режимі „Auto-Blocking“.

Cookiebot працює у двох режимах. В автоматичному режимі (Auto-Blocking) скрипт намагається запобігти всім відомим трекерам до згоди, перехоплюючи їх виконання. Це працює лише якщо скрипт Cookiebot справді стоїть першим у head — кожен скрипт перед ним вислизає з-під контролю. У ручному режимі Cookiebot сам нічого не блокує; натомість усі теги мають бути позначені type="text/plain" та атрибутом data-cookieconsent або підключені через Consent API.

Щомісячне сканування cookie — основна функція Cookiebot, але воно має звичайні межі автоматичних сканерів: обходить обмежену кількість підсторінок, розпізнає лише те, що завантажується в момент сканування, і призначає cookie на основі бази даних, яка не знає кожну нішеву службу. Невідомі cookie потрапляють у «не класифіковано» і мають бути впорядковані вручну.

З 2021 року Cookiebot належить Usercentrics. Безкоштовний тариф (один домен, до 50 підсторінок) помітно обмеженіший за платні: за даними сайтів порівняння (станом на 2026 рік) у ньому лише ручне блокування замість auto-blocking, одна мова банера, майже жодних налаштувань оформлення та короткий строк дії збереженої згоди. Тож хто користується безкоштовним тарифом, мусить самостійно розмічати кожен тег атрибутом data-cookieconsent. Платні тарифи розраховуються за кількістю підсторінок. Перед рішенням перевірте актуальні умови на cookiebot.com.

Ручна розмітка виглядає так: <script src="…"> стає <script type="text/plain" data-cookieconsent="statistics" src="…"> — браузер сприймає скрипт як текст, доки Cookiebot не активує його після відповідної згоди. Допустимі значення — preferences, statistics і marketing (також разом, напр. "statistics, marketing"). За допомогою data-cookieconsent="ignore" скрипт свідомо виключають з auto-blocking — лише для справді необхідних скриптів. Власний код може зчитати статус через window.CookieConsent.consent.statistics або .marketing; на сервері він зберігається в cookie «CookieConsent».

Сканування Cookiebot і перевірка згоди на кшталт consentglass відповідають на різні запитання. Сканування Cookiebot складає перелік cookie та сервісів, що трапляються на підсторінках, і заповнює ними декларацію cookie. Воно не перевіряє, чи банер справді блокує під час роботи: для цього треба ззовні подивитися, які запити й cookie виникають під час першого відвідування до будь-якої згоди. Саме там виявляються типові помилки інтеграції — скрипт перед тегом Cookiebot, забутий data-cookieconsent, контейнер менеджера тегів, що спрацьовує незалежно від банера.

Це ризик?

У ручному режимі Cookiebot сам по собі нічого не блокує — тоді кожен тег потрібно підключити через атрибут data-cookieconsent або через Google Consent Mode. Якщо про це забути, трекер завантажується попри відмову, і відсутня правова підстава за § 25 абз. 1 TDDDG. Навіть режим Auto-Blocking ненадійно охоплює скрипти, вбудовані на боці сервера, і завантажувані лише після взаємодії.

Що ви можете зробити

• Активувати Auto-Blocking і завантажувати скрипт Cookiebot як найперший елемент у <head>, перед усіма іншими скриптами.
• Після щомісячного сканування вручну призначити розпізнані cookie категоріям і самостійно дослідити нечіткі записи.
• У налаштуваннях Cookiebot активувати Google Consent Mode v2, якщо використовуються служби Google.
• У приватному вікні після „Відхилити“ перевірити, чи з'являються ще на вкладці «Мережа» запити до хостів відстеження.

Поширені запитання

Чи достатньо режиму Auto-Blocking у Cookiebot?

Для багатьох стандартних трекерів — так, але лише якщо скрипт Cookiebot справді завантажується першим у head. Серверні теги та скрипти, дозавантажувані лише після кліку, він ненадійно охоплює — їх потрібно підключати вручну.

Чи достатньо безкоштовного тарифу Cookiebot?

Для невеликих сайтів може вистачити, якщо знати його обмеження: за актуальними порівняннями в безкоштовному тарифі немає auto-blocking, тож кожен тег треба вручну розмічати через type="text/plain" і data-cookieconsent. Надійність результату залежить від цієї інтеграції, а не від тарифу.

Що означає data-cookieconsent?

Атрибут відносить скрипт до категорії згоди (preferences, statistics, marketing). Разом із type="text/plain" скрипт завантажується лише після того, як цю категорію дозволено. data-cookieconsent="ignore" виключає скрипт з auto-blocking.

Чи потрібно мені контролювати звіт сканування cookie?

Так. Некласифіковані cookie потрібно вручну призначити категорії, інакше Cookiebot у разі сумніву вважає їх «не необхідними» і блокує або відображає неправильно.

Чи працює Cookiebot з Google Consent Mode v2?

Так, інтеграцію можна активувати в налаштуваннях. Однак вона не замінює блокування скриптів, а доповнює його передаванням сигналів до Google.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.