Como saber se uma tag está mesmo gravando cookies antes do consentimento

Todos os artigos

Abra a página em uma janela anônima com as ferramentas de desenvolvedor já abertas e não toque no banner. O que aparecer em Application, Cookies, e o que sair em Network, aconteceu antes do consentimento. Depois atribua cada item: pause a tag de que você suspeita, recarregue e veja se o item volta mesmo assim. Uma auditoria do contêiner responde a outra pergunta: quais tags estão sem trava, e não quais delas fizeram alguma coisa.

O que uma lista de auditoria está de fato dizendo

Uma auditoria de consentimento, venha ela de um scanner ou de alguém lendo uma exportação do contêiner, responde a uma pergunta: quais tags não têm nenhuma condição de consentimento associada. É uma pergunta justa. Não é a mesma pergunta que saber se algo saiu do navegador antes de o visitante escolher.

Em um parque de sites no ar, este ano, o lado do cliente nos entregou uma lista de achados com onze tags sem trava, com uma reclamação anexada e um prazo. Comparadas com um único carregamento limpo da página, três das onze eram tags de fornecedor que liam o estado de consentimento por conta própria e não faziam nada com ele, duas eram listeners de dataLayer que não gravavam cookie nem faziam chamada de rede, e seis eram vazamentos reais. Cinco dos onze achados eram higiene de configuração. Valia corrigir, mas não era disso que alguém estava reclamando.

O achado que explicava a reclamação nem estava na lista.

Como verificar se uma tag está mesmo gravando cookies

1. Comece de um perfil que não lembra de nada

   Uma janela anônima, extensões desligadas, ferramentas de desenvolvedor abertas antes de a página carregar, com Preserve log ativado. Se o perfil já guarda um registro de consentimento, a página trata você como visitante recorrente e o carregamento não prova absolutamente nada.

2. Leia o que aconteceu antes de tocar no banner

   Application, depois Cookies, para cada domínio listado. Network, filtrado para hosts que não são seus. Anote as duas listas antes de aceitar ou recusar qualquer coisa. Esse registro é o achado. Tudo o que vem depois deste passo é correspondência, não descoberta.

3. Dê a cada tag sinalizada um de três veredictos

   Vazando: gravou um cookie ou enviou uma requisição. Inerte: disparou e não fez nenhuma das duas coisas. Com trava própria: disparou, leu o estado de consentimento por conta própria e parou. Só o primeiro veredicto é um vazamento, e vale registrar os outros dois para que ninguém os levante de novo no próximo trimestre.

4. Confirme cada vazamento suspeito pausando uma coisa de cada vez

   Pause a tag, recarregue a janela anônima e procure o mesmo cookie ou a mesma requisição de novo. Se ainda estiver lá, aquela tag nunca foi a origem, e o próximo lugar para olhar é o próprio código-fonte da página: um trecho colado no head é isolado exatamente do mesmo jeito, removendo-o e recarregando.

5. Rastreie os cookies que ninguém sinalizou até o que os carregou

   Para cada cookie ou requisição da sua lista que nenhuma tag explica, leia a coluna Initiator. Uma requisição cujo iniciador é o script de outro fornecedor entrou mais adiante na cadeia, não está no seu contêiner e vai sobreviver a qualquer mudança que você fizer ali.

6. Classifique pelo que de fato saiu do navegador

   Uma requisição entre sites que carrega um identificador de publicidade é um achado de outra ordem de grandeza que um cookie próprio guardando um id de sessão. Corrija nessa ordem, e ponha a classificação na resposta, não a contagem bruta de onze.

Os passos um e dois são o método inteiro. O resto é contabilidade, e é uma contabilidade que responde à pergunta que o cliente de fato fez, que não é quantas tags estão sem trava, mas quais delas estão fazendo alguma coisa.

Por que uma auditoria do contêiner não consegue produzir esta lista

Dois motivos estruturais, e nenhum deles é falha das ferramentas.

Um contêiner conhece as próprias tags, e nada mais. Ele não sabe o que um script faz depois de carregar, e não enxerga nada colado direto no head do site, que é onde os trechos de fornecedores mais antigos e menos revisados costumam morar. Se um determinado trecho pode sequer ser movido para o contêiner é uma decisão que vale tomar script a script.

Sem trava e vazando são propriedades diferentes. Cada vez mais tags de fornecedores leem o estado do Consent Mode por conta própria e se seguram sozinhas, então uma tag pode não ter nenhuma condição no contêiner e ainda assim se comportar corretamente. O inverso também é verdade, e é pior: uma tag pode ter uma condição perfeita e ainda vazar, porque o que grava o cookie está mais adiante na cadeia. Atribuir a categoria certa a cada script é um exercício à parte, e o teste de decisão para isso está aqui.

O achado que não vai estar em lista nenhuma

Naquela auditoria, o cookie que importava foi gravado por um pixel de terceiros que nenhuma tag do contêiner referencia. O script de outro fornecedor o tinha pedido depois de carregar, uma cadeia que uma exportação do contêiner não consegue mostrar e que um scanner que lê a configuração das tags não vai reportar.

É a coluna Initiator do painel Network que encontra a origem. Siga a requisição de volta até o script que a pediu e você normalmente cai em uma ferramenta aprovada anos atrás para algo sem relação. Pausar tags não adianta nada aqui, porque a tag nunca foi a origem. Vale ler na íntegra o mecanismo por trás desse padrão, já que, depois de vê-lo uma vez, você passa a procurá-lo toda vez.

O que mandar de volta

Responda com veredictos, não com uma contagem. Seis vazando, ordenadas pelo que saiu do navegador. Cinco sem trava e inertes, com a evidência de que são inertes. Um vazamento que não estava na sua lista, com o nome do script que o carregou. Essa resposta é mais curta que a lista original e é a que permite agir.

O motivo para ser rigoroso aqui é que os dois erros custam dinheiro de verdade, em direções opostas. Travar uma tag que nunca vazou tira medição à toa. Deixar passar uma tag que está vazando deixa a reclamação sem resposta. E o teste legal é sobre o que a página fez, não sobre o que o contêiner diz: as diretrizes do EDPB sobre o escopo técnico do artigo 5(3) tratam pixels de rastreamento como parte do escopo, junto com os cookies, e é por isso que a lista de requisições importa tanto quanto a lista de cookies.

Rode o mesmo carregamento limpo de novo depois de cada correção, porque é a única coisa que comprova a correção. A sequência completa antes do lançamento está aqui, e é a mesma disciplina aplicada mais cedo. O Velo bloqueia por categoria antes de uma tag poder rodar e registra o que foi concedido no momento em que aconteceu, o que encurta bastante esse exercício. Mas não o elimina: encontrar os scripts que os seus fornecedores carregam continua sendo tarefa sua.