CMP (Consent Management Platform)

Jogi oldal

A GDPR és az elektronikus hírközlési szabályok szerint a nem szükséges sütikhez előzetes, aktív hozzájárulás kell. Az előre bepipált jelölőnégyzet nem hozzájárulás. A „tovább böngészés = beleegyezés" logika sem az.

A bírságkockázat mellett van egy közvetlenebb következmény. Hozzájárulás-kezelés nélkül a Google hirdetési termékei korlátozzák a funkciókat az EGT-ben.

Adatoldal

Rossz CMP-vel kétféleképpen veszítesz:

• Ha nem blokkol, jogsértő adatot gyűjtesz. Ez használhatatlan és kockázatos.
• Ha túl agresszívan blokkol és nincs Consent Mode, a Google Analytics 4 (GA4) adatai beszakadnak.

A Consent Mode pont ezt a két szélsőséget hidalja át. Elutasítás esetén is küld anonim, süti nélküli jelzést.

SEO és AI

Egy rosszul beállított CMP lassít. Sok megoldás render-blokkoló scriptet tesz a <head> elejére, ami rontja az LCP értéket. A teljes képernyős overlay pedig elrendezés-ugrást okoz.

A riportokban rendszeresen látunk olyan oldalt, ahol a CMP-script mérete nagyobb, mint a teljes HTML.

Vonatkozik rá

• Minden oldal, amely bármilyen analitikát, hirdetési pixelt vagy beágyazott videót használ.
• Minden webshop, ahol remarketing vagy konverziómérés fut.
• EGT-ből elérhető oldalak, akkor is, ha a cég nem EU-s.
• Beágyazott YouTube, Google Maps, chat-widget: ezek is külső sütit tesznek.

Nem vonatkozik rá

• Teljesen statikus oldal, amelyen csak a munkamenet-süti fut. Itt nincs mihez hozzájárulást kérni.
• Belső, jelszóval védett rendszerek, ahol nincs harmadik feles követés.
• Staging és fejlesztői környezetek, bár ott is érdemes éles beállítással tesztelni.

A szükséges sütikhez (kosár, munkamenet, CSRF-token) nem kell hozzájárulás. Tájékoztatás viszont kell, az adatvédelmi tájékoztatóban.

Lépések

1. Nyiss inkognitó ablakot, hogy ne legyen korábbi hozzájárulásod.
2. Töltsd be a főoldalt, és ne kattints semmire.
3. Nyisd meg a devtoolst (F12), menj az Application > Cookies fülre.
4. Nézd meg, milyen sütik keletkeztek. A _ga, _gid, _fbp, _gcl_au mérési vagy hirdetési süti.
5. Válts a Network fülre, szűrj a google-analytics, googletagmanager, facebook domainekre.
6. Fogadd el a bannert, majd nézd meg újra: most indulnak-e el a kérések.
7. Próbáld az elutasítást is. Külön gombnak kell lennie rá, első szinten.
8. Keresd meg a beállítás-módosító felületet, általában egy lábléc-link vagy lebegő ikon.

Jó jel

• Kattintás előtt csak szükséges süti van.
• Az „Elutasítom" ugyanolyan hangsúlyos, mint az „Elfogadom".
• Elfogadás után azonnal indulnak a mérőkérések.
• A döntés újratöltés után is megmarad.
• A hozzájárulás bármikor visszavonható.

Rossz jel

• _ga vagy _fbp süti kattintás nélkül.
• Csak „Elfogadom" gomb van, elutasítás nincs.
• Az elutasítás után is fut a Google Analytics 4 (GA4).
• A banner minden oldalbetöltésnél újra megjelenik.
• Az overlay nem zárható be billentyűzettel.

WordPress

1. Telepíts olyan bővítményt, amely valóban blokkol: Complianz, CookieYes vagy Real Cookie Banner.
2. A beállításokban kapcsold be a script-blokkolást és a Consent Mode v2 támogatást.
3. Ha GTM-et használsz, a mérőkódokat vedd ki a WordPress-bővítményekből. Mindent a GTM kezeljen.
4. Ellenőrizd a beágyazott videókat és térképeket. Ezeket külön kell placeholderre cserélni.

Shopify

1. A Customer Privacy API az alap. Állítsd be a Customer privacy menüpontban a régió-szabályokat.
2. Kapcsold be a cookie banner megjelenítését az EGT-re.
3. Az app-okból származó pixeleket a Customer events felületen regisztráld, hogy a consent-állapotot megkapják.
4. A témába kézzel beírt scriptek nem fognak automatikusan blokkolódni. Ezeket át kell mozgatni.

Unas

1. A süti-kezelő a Marketing menüben kapcsolható, a kategóriák itt állíthatók.
2. A saját, kézzel beillesztett kódokat a rendszer nem blokkolja automatikusan.
3. Ezeket type="text/plain" technikával vagy GTM-be mozgatással kell consent-függővé tenni.

Shoprenter

1. A beépített süti-tájékoztató önmagában nem blokkol.
2. A mérőkódokat vidd át GTM-be, és ott kösd őket consent-feltételhez.
3. A Consent Mode alapértelmezett állapotát a GTM-ben állítsd denied értékre.

Egyedi fejlesztés

1. Válassz CMP-t, vagy írj sajátot. A saját megoldás akkor jó, ha a döntést gépi olvasható formában tárolja.
2. Minden nem szükséges scriptet type="text/plain" attribútummal tölts be, és csak hozzájárulás után aktiváld.
3. Küldj Consent Mode jelzést a dataLayer-be, mielőtt a GTM betöltene.
4. A hozzájárulást naplózd: időbélyeg, verzió, kategóriák. Ez a bizonyíthatóság alapja.
5. A banner ne blokkolja a tartalom betöltését a robotok számára.

• Süti-sáv blokkolás nélkül. Szép a banner, de a mérőkódok már lefutottak, tehát semmit nem old meg.
• Nincs elutasítás gomb az első szinten. Ha az elutasítás két kattintás, a hozzájárulás nem szabad döntés.
• Előre bepipált kategóriák. A GDPR szerint az aktív cselekvés hiánya nem hozzájárulás.
• Hiányzó visszavonás. Ha a látogató nem tudja módosítani a döntését, a hozzájárulás jogilag támadható.
• CMP Consent Mode nélkül. Az elutasított látogatókról nulla adat marad, pedig anonim jelzés küldhető lenne.
• Render-blokkoló CMP-script. A <head> elejére tett szinkron script másodperceket vesz el a LCP-ből.
• Overlay a fő tartalom felett. A keresőrobotok és az AI-crawlerek nem kattintanak, így a tartalom rejtve marad.

Alapértelmezett tiltás a GTM betöltése előtt. Ez a kódrészlet a <head>-be kerül, a GTM-snippet elé:

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }

  gtag('consent', 'default', {
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied',
    'analytics_storage': 'denied',
    'functionality_storage': 'granted',
    'security_storage': 'granted',
    'wait_for_update': 500
  });
</script>

Elfogadás után a CMP frissíti az állapotot:

<script>
  gtag('consent', 'update', {
    'ad_storage': 'granted',
    'ad_user_data': 'granted',
    'ad_personalization': 'granted',
    'analytics_storage': 'granted'
  });
</script>

Script-blokkolás CMP nélkül. A böngésző a text/plain típust nem futtatja:

<script type="text/plain" data-consent="analytics"
        src="https://example.com/tracker.js"></script>

Hozzájárulás után a CMP átírja a type attribútumot text/javascript értékre, és újra beszúrja az elemet.

Sütik ellenőrzése parancssorból, kattintás nélkül:

curl -s -I -A "Mozilla/5.0" https://example.hu/ | grep -i "set-cookie"

Ez csak a szerveroldali sütiket mutatja. A JavaScriptből írt sütikhez a devtools Application füle kell.