Elleve feil, alle funnet før pluginet nådde en kundeside

Et cookie-banner som ser riktig ut og ikke gjør jobben sin, er sannsynligvis den vanligste varianten som finnes. Det er også den vanskeligste å oppdage, for alt ved den ser ferdig ut.

Cookie Consent Manager er en del av ArxCore. Før den kom i nærheten av en kundeside, ble den bygget og testet i lukkede miljøer. Det var der elleve feil ble funnet. Ikke på en produksjonsside, ikke hos en kunde, og ikke etter at noen hadde tatt den i bruk.

Rekkefølgen etterpå var like bestemt. Den første produksjonsklare versjonen gikk til mine egne nettsider. Derfra til utvalgte kunder. Først da ble den en del av ArxHost.

Det er hele grunnen til at det finnes et testmiljø. En feil som blir funnet der, koster tid. Den samme feilen på en kundeside koster tillit, og den er dyrere å få tilbake.

Hva testingen faktisk fanget

De fleste av de elleve var kjedelig rørleggerarbeid. Tre av dem var alvorlige, og de er verdt å nevne, for de er ikke spesielle for dette pluginet.

Blokkeringen sluttet å virke når en besøkende hadde godtatt tre av fire kategorier. Koden talte hvor mange samtykker som forelå, i stedet for å se på hvilke. Godtok du tre, fikk du alle fire.

«Trekk tilbake» sa at samtykket var trukket tilbake, uten at det var det. Cookien ble satt med ett sett innstillinger og forsøkt slettet med et annet, og nettleseren behandler det som to forskjellige cookies. Brukeren fikk en bekreftelse og satt igjen med akkurat det hen hadde bedt om å bli kvitt.

Og på iPhone kunne «Godta» gi en feilmelding, fordi Safari henter faner tilbake fra en mellomlagret versjon av siden når du har vært innom en annen app. Det rammet en gruppe stor nok til at den ikke kan avfeies.

Felles for alle tre: banneret så riktig ut mens det sto på. Ingenting i grensesnittet avslørte noe. Det er derfor de må testes fram, ikke oppdages.

Knappen som ikke var en feil

En ting til ble endret, og den sto ikke på feillisten. På en måte var den verre, for den var et valg.

«Kun nødvendige» var visuelt nedtonet ved siden av «Godta alle». Grå mot farget. Det er slik de fleste cookie-bannere ser ut, og det er nettopp derfor den sto slik uten at jeg tenkte over det.

Personvernrådet i EU behandler en nedtonet avslagsknapp som tegn på at samtykket ikke var fritt gitt, og Datatilsynet følger den veiledningen. Argumentet er enkelt: hvis den ene knappen er lettere å trykke på enn den andre, har den besøkende ikke egentlig valgt.

Nå har begge knappene samme vekt. Siden ser marginalt mindre pen ut. Det får være.

Slik sjekker du din egen side

Dette tar ti minutter og krever ingen verktøy du ikke allerede har.

• Åpne siden i et privat vindu og avslå alt. Gå inn i utviklerverktøyene, finn lagring, og se på cookiene. Ligger det mer der enn det strengt nødvendige, settes de uten samtykke.
• Bytt til nettverksfanen og filtrer på googletagmanager, google-analytics og facebook.net. Laster de likevel, blokkerer ikke banneret ditt.
• Se på selve banneret. Har «Kun nødvendige» samme visuelle vekt som «Godta alle»?
• Trekk tilbake samtykket, last siden på nytt, og sjekk at cookiene faktisk er borte.
• Har forsiden en YouTube-video eller et kart, se om den laster før du har samtykket. Innebygde tredjeparter er det vanligste stedet det lekker.
• Gjør til slutt det samme på en iPhone, og bytt innom en annen app underveis.

De fleste cookie-bannere er ikke laget for å lure noen. De er bare aldri testet mot det de lover.

Finner du ingenting på de ti minuttene, er de godt brukt. Finner du noe, har du noe konkret å gjøre noe med, og det er en bedre plass å stå enn å tro at det er i orden.

Vil du ha flere gjennomganger av samme type, har jeg samlet ti av dem i en liste. Den handler om noe annet enn cookies, om siden i det hele tatt gjør jobben sin, men den gås gjennom på samme måte og tar omtrent like lang tid.