Como testar um banner de cookies antes de publicar

Todos os artigos

Teste um banner de cookies em uma URL de staging, em uma janela anônima, antes de publicar. Primeiro confira se ele aparece, se segura os cookies não essenciais até haver uma escolha e se o sinal de consentimento na requisição de saída corresponde a essa escolha. Depois confira se a escolha é registrada e se sobrevive a uma nova visita e a uma retirada do consentimento. As três últimas são onde as configurações costumam falhar.

Quase todo teste publicado é uma auditoria pós lançamento

Busque como testar um banner de cookies e os guias que voltam são auditorias: abra o site, abra as ferramentas de desenvolvimento, clique em recusar, veja se os rastreadores param. É uma auditoria razoável e a gente também faria. Lendo os que posicionam hoje, eles são escritos para um banner que já está no ar, o que responde a uma pergunta diferente da do título acima.

A diferença importa porque os dois testes custam coisas diferentes quando falham. Um banner no ar que se revela quebrado esteve coletando dados que não deveria, ou perdendo dados que deveria ter, por todo o tempo que alguém levou para perceber. Um banner quebrado em staging custou uma tarde.

O que verificar antes de colocar um banner de cookies no ar?

1. Teste em staging, não no site no ar

   Produção não é a bancada de testes. Ponha o banner em uma URL de staging e registre esse domínio na ferramenta de consentimento, para ela servir um banner de verdade ali em vez de se recusar a carregar. A maioria das ferramentas de consentimento tem um modo staging ou rascunho para isso.

2. Abra uma janela anônima e confira se o banner aparece

   Uma janela anônima limpa é o único primeiro olhar honesto. O seu próprio navegador guarda uma escolha feita antes, e um banner já respondido não volta a aparecer. Confira se o banner aparece no primeiro carregamento, se a opção de recusar fica visível sem rolar a página e se recusar não é mais difícil do que aceitar.

3. Recuse tudo, depois observe o que a página envia

   Abra o painel de rede e o painel de armazenamento do navegador antes de tocar no banner. Nenhum cookie não essencial deveria ter sido gravado ainda, e nenhuma tag de terceiros como Meta ou Hotjar deveria carregar. As requisições do Google dependem da sua configuração de Consent Mode, tratada na próxima seção. Depois recuse tudo e recarregue, também em uma página de produto e em uma de checkout, porque as tags costumam ser adicionadas por modelo e por pessoas diferentes.

4. Leia o sinal de consentimento na requisição saindo, não no banner

   Essa é a verificação que separa um banner de uma configuração de consentimento, e a que as listas publicadas deixam de fora. Onde o Consent Mode está implementado, as tags do Google carregam o estado de consentimento na própria requisição: recuse, depois leia esse estado e confirme que ele diz negado. Não encontrar estado de consentimento nenhum é um achado em si, e uma falha diferente, porque significa que o Consent Mode não está rodando e não que o banner falhou.

5. Confirme que a escolha foi registrada

   Um consentimento que você não consegue apresentar depois não serve de muito em uma auditoria. Verifique se responder ao banner cria um registro armazenado que você consegue recuperar, nomeando quais categorias foram aceitas e quando. O que mais ele guarda varia por fornecedor, e a versão do aviso mostrado é o campo pelo qual vale perguntar, porque sem ele você não consegue dizer com o que o visitante concordou.

6. Repita como visitante que volta, depois de uma retirada, e a partir de uma segunda região

   As três saem quebradas com regularidade. Recarregue como visitante que já respondeu e confirme que a escolha guardada continua sendo aplicada. Retire o consentimento e confirme que as tags de terceiros param e que as do Google voltam a um estado negado. Depois confira uma região em que as suas regras sejam diferentes.

Uma requisição do Google antes do consentimento é uma falha?

Nem sempre. Aqui se misturam dois testes diferentes. Nenhum cookie não essencial antes do consentimento é um teste de armazenamento: nada além do estritamente necessário é gravado ou lido no navegador até o visitante aceitar. Nenhuma requisição de análise antes do consentimento é um teste de rede mais rígido, e só vale com o Consent Mode básico ou para tags que você bloqueia por completo.

Com o Consent Mode avançado, as tags do Google carregam com todos os sinais negados e enviam pings sem cookies, um comportamento que o Google documenta como esperado. Nessa configuração, uma requisição /g/collect antes do consentimento passa se levar gcs=G100 e não gravar nenhum cookie. Uma requisição da Meta ou do Hotjar no mesmo lugar falha.

Qual teste vale é uma decisão jurídica além de técnica. As diretrizes do Comitê Europeu de Proteção de Dados sobre o artigo 5(3) da Diretiva ePrivacy o interpretam como abrangendo mais do que cookies, e algumas equipes escolhem o modo básico por orientação jurídica. Decida qual configuração você usa e teste essa.

Como é uma aprovação de verdade

Quatro dessas verificações têm uma versão confortável e uma versão honesta, e a confortável é com a que a maioria dos guias de teste se contenta. A distância entre as duas colunas é onde configurações que todo mundo aprovou se revelam erradas meses depois.

A terceira linha é a que merece atenção. Uma ferramenta de consentimento que informa ter aplicado uma escolha está informando o próprio estado interno, que é outra coisa em relação ao que as suas tags receberam. O lugar onde a pergunta se resolve é a requisição saindo do navegador, e é por isso que verificar o sinal do Consent Mode v2 é um passo à parte e não um detalhe do teste de recusa.

Quais são os três estados que ninguém testa?

As primeiras visitas são testadas porque são fáceis de reproduzir. Os estados que saem quebrados são os que precisam de um pouco de preparo para serem alcançados.

A visita de volta. Uma escolha guardada tem que ser relida e reaplicada na visita seguinte, e esse caminho passa por um código diferente do que a registrou. Quando falha, o visitante vê o banner de novo a cada carregamento de página ou, pior, o banner não aparece enquanto a escolha guardada é ignorada em silêncio e as tags rodam em um padrão que ninguém escolheu.

A retirada. O artigo 7 do GDPR exige que o consentimento seja tão fácil de retirar quanto de dar. A parte interessante é o que acontece depois: as tags de terceiros que estavam concedidas precisam parar, e as do Google precisam voltar a um estado negado. Uma retirada pode atualizar o registro armazenado e deixar rodando as tags já carregadas até o próximo carregamento de página, o que vale saber antes do lançamento e não depois de uma reclamação.

A segunda região. Os conjuntos de regras são configurados para o mercado que alguém tinha em mente naquele dia, então uma configuração que mostra um banner correto em um país pode não mostrar nada em outro. Quem testa normalmente está sentado no primeiro país, e é por isso que passa despercebido.

Guarde a evidência

Anote o que você viu, porque o valor do teste se degrada no momento em que o site muda de novo. Guarde a requisição saindo mostrando um estado negado, o registro de consentimento armazenado, e uma nota de quais modelos de página você conferiu. Essa é a diferença entre dizer que o banner foi testado e conseguir demonstrar, que é a mesma distinção que traçamos em como provar de verdade que um visitante deu consentimento.

Vale ser honesto sobre o que o teste protege. As escolhas de consentimento escondem uma parte das sessões da análise, e essa parte varia com região, público e design do banner. A taxa de aceitação da sua ferramenta de consentimento mostra a sua. Um banner errado de alguma das formas acima não é só uma exposição de conformidade: ele muda em silêncio o que cada relatório posterior conta, sem mensagem de erro.

O Velo foi feito para que quase toda esta lista seja verdade já no primeiro carregamento. O estado de consentimento é definido por um único snippet antes de as suas tags iniciarem, a escolha é registrada com suas categorias e a versão do aviso, e uma nova visita se comporta como a primeira. O mecanismo está na página do produto.