Et ærligt cookie-banner: samtykke der matcher det I sætter

Et banner, der ikke er et valg, koster jer det, I troede I havde købt: et samtykke I kan forsvare. Cookie-reglerne i Danmark — bekendtgørelsen, der implementerer ePrivacy — kræver et gyldigt ja, før I sætter eller læser noget der ikke er strengt nødvendigt for den tjeneste, brugeren bad om. Gyldigt betyder frit, specifikt, informeret. Et kæmpe 'Acceptér alle' og et gråt 'Indstillinger' tre klik nede, er det modsatte. I har et designproblem, I kalder compliance.

Teams køber den forkerte færdig-pakke. De sætter et CMP ind, fordi det ligner det, de andre sites har, og tror arbejdet er gjort. Arbejdet er at kende jeres tags, at lade nej slukke dem, og at lade knapperne være ærlige. Uden det er CMP'et et lag oven på det samme læk. GDPR-indlægget er kortet over strømmene. Her er det UI, der skal holde kortet.

Det er også et tillids- og SEO-spørgsmål, ikke kun et juridisk. Et cookie-wall, der spærrer artiklen, er en dårlig måde at bede om ja — og en dårlig måde at lade Google læse siden. Et banner der skubber LCP, fordi det henter et tungt vendor-script før first paint, er et performance-problem, I har kaldt 'nødvendigt'. Banneret må gerne være der. Det må ikke være den ting, der slår sitet ihjel, eller det eneste I har gjort.

Vi skriver det, fordi 'cookie banner' er blevet et produkt, I installerer før I har en sætning om hvad der må køre på nej. Et ærligt banner er kedeligt: to knapper, få kategorier, scripts der venter, og en netværksfane I tør vise en tilsynsførende. Uden den sætning har I et overlay. I har ikke samtykke.

Et ærligt cookie-banner er tre ting på én skærm: I fortæller hvad I vil sætte, I lader brugeren sige ja eller nej uden at jage, og I holder det I lovede bagefter. Afvis og accept sidder ved siden af hinanden. 'Tilpas' er tilladt som et tredje — det må ikke være den eneste vej til nej. Når valget er givet, husker I det, og I fyrer kun det, der fik ja.

Det er ikke GDPR-kortet. Kortet er politikken, cookielisten og netværket — det har vi skrevet andetsteds. Banneret er kontrollen, der skal matche kortet. Hvis kontrollen er pæn, og kortet er et læk, har I et teater-banner. Hvis kortet er ærligt, og kontrollen gemmer nej, har I et teater-samtykke. I skal have begge. Den her post er kun kontrollen.

Det er heller ikke jeres måling. First-party analytics efter samtykke er hvad I gør med et ja, eller hvordan I måler uden cookies. Banneret må ikke være det sted, I 'løser' analytics ved at kalde alt nødvendigt, eller ved at tænde Consent Mode og lade kaldet gå alligevel. Hvis målingen kræver ja, så vent. Hvis den kan køre uden cookies, så lad den køre uden at lyve i banneret.

Og det er ikke et cookie-wall. At spærre indholdet bag accept er ikke et frit valg. Brugeren kom for at læse eller købe. I må bede om ja til statistik. I må ikke holde siden som gidsel. Nødvendige cookies til kurv og login må sættes, fordi tjenesten ellers ikke virker. Resten venter. Hvis I ikke kan vise siden uden ti tags, er problemet tags — ikke at brugeren sagde nej.

Den første fejl er knapperne. Accept er stort. Afvis er 'Indstillinger', så 'Slå alt fra', så 'Gem'. Tre klik til nej, ét til ja. Det er et dark pattern, også når jura-teksten i footeren er fin. Læg de to valg på første skærm. Tilpas må følge med. Det må ikke være fælden.

Den anden fejl er at scripts ikke venter. Banneret renderer. GTM er allerede i `<head>`. Facebook, LinkedIn, et heatmap, en chat — de kører på pageview, 'fordi containeren er sat sådan op'. CMP'et har et callback, I aldrig har hængt tags op i. Så er banneret et lag. Testen er netværket før klik, og netværket efter nej. Begge skal være kedelige, undtagen det I har kaldt nødvendigt.

Den tredje fejl er at CMP'et selv er trackeren. Nogle samtykke-produkter sætter egne cookies, kalder hjem, eller viser 'partnere' i et katalog, I aldrig har læst. Banneret skal kunne forklare sig selv. Hvis vendoren kræver et ja for at vise banneret, har I købt den forkerte vendor. Nødvendigt er at huske valget. Det er ikke at profilere den, der ikke har valgt endnu.

Den fjerde fejl er kategorier, der ikke matcher tags. Banneret siger 'statistik og marketing'. I GTM ligger ti tags, hvoraf tre er chat, session replay og et A/B-værktøj, I har puttet i 'statistik'. Brugeren sagde ja til én ting. I tændte en anden. Kortlæg tag for kategori, eller skær kategorierne til det I faktisk har. En løgn i UI er stadig en løgn, når den er sat i et CMP.

Et CMP kan være rigtigt, når I har mange tags og flere sites, og I vil have ét sted at slå fra. Det er forkert, når I køber det for at undgå at kende jeres kald. Læs hvad vendoren selv sætter. Slå deres 'partnere' fra, hvis I ikke har dem. Hvis CMP'et ikke kan vise afvis ved siden af accept uden et enterprise-flag, så har I det forkerte produkt — eller I har konfigureret teater. Et lille custom banner på et site med tre tags er ofte ærligere end et katalog, I ikke vedligeholder.

Et WordPress-site dør typisk i plugin-laget. Et cache-plugin, et 'performance'-plugin, et chat-plugin, et pixel-plugin der skriver i `head` uden at spørge CMP'et. Banneret kan være pænt, og theme'et fyrer alligevel. Inventér med et cache-bypass og en kold browser. Hvis I ikke kan pege på det filter, der stopper scriptet, har I ikke gatet. I har installeret.

Et Next.js-site dør typisk i at nogen putter GA eller et chat-widget i `layout.tsx` 'midlertidigt', eller i at en tag-manager-container ligger i root fordi en kampagne skulle live i går. App Router gør det nemt at loade noget globalt. Det gør det også nemt at loade det før valget. Hold vendor-scripts ude af root. Indlæs dem i en komponent der læser samtykket. Preview-deploys er et godt sted at vise en kollega netværksfanen efter nej — før det når prod.

Hvis I allerede har GDPR-kortet og first-party-målingen på plads, og banneret stadig føles som det svage led, så er det fordi det er det. Kortet uden knapper er en PDF. Målingen uden et ærligt nej er et håb. Banneret er det, brugeren ser. Det skal kunne bære de to andre.