Cookie-сканирование: обнаружение сервисов и cookie
Bevor das Banner etwas anzubieten hat, muss klar sein, was auf der Website überhaupt lädt. Der Scanner ruft dafür eigene Seiten ab und wertet sie aus. Aus dem Ergebnis entstehen die Dienstliste, die Blocking-Regeln und die Grundlage der Cookie-Erklärung.
- „Kakapo Consent“ öffnen und in der Gruppe „Regeln“ den Punkt „Cookies“ wählen.
- Oben rechts auf „Jetzt scannen“ klicken — der Lauf ruft die Startseite und die vier neuesten Beiträge ab, also höchstens fünf Adressen.
- In der Tabelle je Zeile Dienst, Host, Kategorie und den Schalter „Aktiv“ prüfen; Kategorie und Schalter speichern sofort.
- Fehlt etwas, mit „Dienst hinzufügen“ Name, Host und Kategorie von Hand eintragen.
- Für einen vollständigeren Befund in der Karte „Tiefen-Scan“ auf „Tiefen-Scan starten“ gehen.
Was ein Lauf auswertet
- Alle Adressen in src- und href-Auszeichnungen des HTML, die auf einen fremden Host zeigen
- Die Set-Cookie-Kopfzeilen der Antwort — nur so werden serverseitig gesetzte Cookies überhaupt sichtbar, samt gemessener Laufzeit
- Inline-Skripte der Seite anhand bekannter Muster, unter anderem für Google Analytics, Google Tag Manager, Google Ads, Meta Pixel, Matomo, Hotjar, Microsoft Clarity, LinkedIn, TikTok, Plausible, HubSpot und Intercom
- Cookie-Namen, die ein Skript über document.cookie selbst setzt
- Eigener Code des Plugins wird übersprungen, und Cookies, die eine Antwort gerade löscht, werden nicht als Fund gemeldet
Der Tiefen-Scan
Der Tiefen-Scan hat ein eigenes Seiten-Budget (Vorgabe 8, höchstens 60), folgt auf Wunsch internen Links und lässt sich über Pfadmuster einschränken („Nicht crawlen“, ein Muster je Zeile). Protokolliert wird jeder Dritt-Host mit Trefferzahl, Fundstelle und Art der Einbindung — script, link, iframe, img, source, video, audio, embed, object und form, auch bei verzögert gesetzten Adressen aus data-src oder data-lazy-src. Reine Links bleiben außen vor. Bekannte Tracker landen automatisch in der Dienstliste, alles Übrige lässt sich einzeln „Übernehmen“ oder dauerhaft „Ignorieren“.
Die drei Befund-Karten
- „Gefundene Cookies“: Name, Laufzeit, Anbieter, Zweck und ob der Name aus einer Set-Cookie-Kopfzeile oder aus einem Skript stammt; „Übernehmen“ legt ihn in der Cookie-Erklärung an
- „Tracker im Seitenquelltext“: Dienste, die ohne eigene Skriptdatei direkt in der Seite stehen, mit Trefferzahl und — soweit im Code vorhanden — der Container- oder Mess-Kennung
- „Cookies aus aktiven Plugins“: was die mitgelieferte Wissensbasis über die aktiven Plugins weiß, mit der Markierung „gesehen“, wenn der Name im letzten Scan tatsächlich vorkam
Regelmäßig scannen lassen
- „Kakapo Consent“ öffnen und „Allgemein“ wählen.
- In der Karte „Protokollierung & Automatisierung“ den „Automatischen Cookie-Scan“ auf Täglich, Wöchentlich oder Monatlich stellen.
- Bei Bedarf eine „Benachrichtigungs-E-Mail“ eintragen; leer bedeutet die Adresse des Site-Administrators.
- „Neue Dienste melden“ einschalten, damit nach jedem automatischen Lauf eine E-Mail kommt, sobald vorher unbekannte Hosts auftauchen.
- Mit „Jetzt ausführen“ den Lauf sofort anstoßen; darunter stehen der nächste und der letzte Lauf.