Cookiescan: diensten en cookies vastleggen

Voordat de banner iets te bieden heeft, moet duidelijk zijn wat er op de website eigenlijk laadt. De scanner haalt daarvoor eigen pagina's op en analyseert ze. Uit het resultaat ontstaan de dienstenlijst, de blokkeerregels en de basis van de cookieverklaring.

1. ‘Kakapo Consent’ openen en in de groep ‘Regels’ het item ‘Cookies’ kiezen.
2. Rechtsboven op ‘Nu scannen’ klikken — de uitvoering haalt de startpagina en de vier nieuwste berichten op, dus hooguit vijf adressen.
3. In de tabel per regel dienst, host, categorie en de schakelaar ‘Actief’ controleren; categorie en schakelaar slaan meteen op.
4. Ontbreekt er iets, dan met ‘Dienst toevoegen’ naam, host en categorie met de hand invullen.
5. Voor een vollediger resultaat in de kaart ‘Diepe scan’ naar ‘Diepe scan starten’ gaan.

Wat een uitvoering analyseert

• Alle adressen in src- en href-attributen van de HTML die naar een externe host verwijzen
• De Set-Cookie-headers van de respons — alleen zo worden cookies die aan de serverkant worden gezet, überhaupt zichtbaar, inclusief de gemeten looptijd
• Inline scripts van de pagina aan de hand van bekende patronen, onder andere voor Google Analytics, Google Tag Manager, Google Ads, Meta Pixel, Matomo, Hotjar, Microsoft Clarity, LinkedIn, TikTok, Plausible, HubSpot en Intercom
• Cookienamen die een script zelf via document.cookie zet
• Eigen code van de plugin wordt overgeslagen, en cookies die een respons juist verwijdert, worden niet als vondst gemeld

De diepe scan

De diepe scan heeft een eigen paginabudget (standaard 8, hoogstens 60), volgt desgewenst interne links en is via padpatronen te beperken (‘Niet crawlen’, één patroon per regel). Vastgelegd wordt elke externe host met aantal treffers, vindplaats en soort insluiting — script, link, iframe, img, source, video, audio, embed, object en form, ook bij vertraagd gezette adressen uit data-src of data-lazy-src. Gewone links blijven buiten beschouwing. Bekende trackers komen automatisch in de dienstenlijst terecht, al het overige is per stuk te ‘Toepassen’ of blijvend te ‘Negeren’.

De drie bevindingenkaarten

• ‘Gevonden cookies’: naam, looptijd, aanbieder, doel en of de naam uit een Set-Cookie-header of uit een script komt; ‘Toepassen’ legt hem aan in de cookieverklaring
• ‘Trackers in de paginabroncode’: diensten die zonder eigen scriptbestand rechtstreeks in de pagina staan, met aantal treffers en — voor zover in de code aanwezig — de container- of meet-ID
• ‘Cookies uit actieve plug-ins’: wat de meegeleverde kennisbank over de actieve plug-ins weet, met de markering ‘gezien’ als de naam in de laatste scan daadwerkelijk voorkwam

Regelmatig laten scannen

1. ‘Kakapo Consent’ openen en ‘Algemeen’ (in het Duits: „Allgemein“) kiezen.
2. In de kaart ‘Registratie & automatisering’ de ‘Automatische cookiescan’ op Dagelijks, Wekelijks of Maandelijks zetten.
3. Zo nodig een ‘Meldings-e-mail’ invullen; leeg betekent het adres van de sitebeheerder.
4. ‘Nieuwe diensten melden’ inschakelen, zodat na elke automatische uitvoering een e-mail komt zodra er eerder onbekende hosts opduiken.
5. Met ‘Nu uitvoeren’ de uitvoering meteen starten; daaronder staan de volgende en de laatste uitvoering.