Technické řešení cookies 2022

My jsme analytiku z většiny webů vyhodili, nikdo na to nekoukal. Na těch pár zbylých kolega nasazoval https://plausible.io, které není v rozporu s novými nařízeními

Fingerprinting se prohlížeče snaží detekovat a blokovat. Obecně žádná možnost jak identifikovat konkrétního uživatele bez jeho souhlasu nebude povolená bez explicitního souhlasu. Netýká se to jen cookies, ale i dalších lokálních úložišť a obskurních technik přes css, svg, visited links, favicon atd. Nejspíš se najdou loopholes, ale vždy to bude jen oddálení nevyhnutelného

Editoval Marek Bartoš (8. 12. 2021 11:21)

Děkuji všem za odpovědi. Jak ale psal kolega výše, někteří klienti vyžadují GA právě z důvodu vlastních potřeb i marketingových agentur, které GA vyžadují. Zajímalo by mě, jak to tedy elegantně vyřešit. :) Samozřejmě rovnou se plánuje i nasazení GA4.

Nenávidím odklikávání souhlasů, myslím, že to je největší zhouba současného internetu. Google Analytics bych ale rád zachoval, tak zkouším tohle řešení:

1. vypnout u Google Analytics používání cookies
2. pro anonymní identifikaci uživatele si vygenerovat fingerprint z IP adresy a údajů z prohlížeče a ten hashovat

Fingerprint generuju tímto způsobem:

<script>
	// cyrb53() je hashovací funkce
	var cyrb53 = function(f,c){ c=void 0===c?0:c;for(var a=3735928559^c,b=1103547991^c,d=0,e;d<f.length;d++)e=f.charCodeAt(d),a=Math.imul(a^e,2654435761),b=Math.imul(b^e,1597334677);a=Math.imul(a^a>>>16,2246822507)^Math.imul(b^b>>>13,3266489909);b=Math.imul(b^b>>>16,2246822507)^Math.imul(a^a>>>13,3266489909);return 4294967296*(2097151&b)+(a>>>0)};
	var clientIdHash = cyrb53([{$presenter->getHttpRequest()->getRemoteAddress()}, window.location.host, navigator.userAgent, navigator.language, screen.height, screen.width, screen.colorDepth, new Date().getTimezoneOffset()].join(';')).toString(16);
</script>

Kód pro starší analytics.js:

<script n:syntax=off>
	ga = function() {ga.q.push(arguments) }; ga.q=[]; ga.l=+new Date;
	ga('create', 'UA-XXXXX-XX', {storage: 'none', clientId: clientIdHash});
	ga('set', 'anonymizeIp', true);
	ga('send','pageview');
</script>
<script src="https://www.google-analytics.com/analytics.js" async></script>

Jak vidíte, nepoužívám běžný kód, ale svůj mod. Se standardním by použití vypadalo takto:

<script n:syntax=off>
	(function(i,s,o,g,r,a,m){i['GoogleAnalyticsObject']=r;i[r]=i[r]||function(){
	(i[r].q=i[r].q||[]).push(arguments)},i[r].l=1*new Date();a=s.createElement(o),
	m=s.getElementsByTagName(o)[0];a.async=1;a.src=g;m.parentNode.insertBefore(a,m)
	})(window,document,'script','//www.google-analytics.com/analytics.js','ga');

	ga('create', 'UA-XXXXX-XX', {storage: 'none', clientId: clientIdHash});
	ga('set', 'anonymizeIp', true);
	ga('send','pageview');
</script>

Kód pro nové GA4 a gtag:

<script n:syntax=off>
	window.dataLayer = window.dataLayer || [];
	function gtag(){dataLayer.push(arguments);}
	gtag('js', new Date());
	gtag('config', 'G-XXXXXXXXX', {client_storage: 'none', anonymize_ip: true, client_id: clientIdHash })
</script>
<script src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXX" async></script>

Zapomněl jsem napsat, že ty údaje se hashuji. Ale nejsem právník, tak nevím.

Jinak dnes vyšel článek u Martina https://www.vzhurudolu.cz/…e-lista-2022

m.brecher napsal(a):

Cookie ukládá, ale lištu nemá:

https://www.pirati.cz/
https://www.ods.cz/
http://www.zemanmilos.cz/cz/
https://www.institutvk.cz/ (Václav Klaus)

https://www.starostove-nezavisli.cz/ – lištu mají, cookie ukládají i když se souhlas neodklikne – ha ha

Pak jsem marně hledal nějakou skutečně funkční lištu ve firemních prezentacích menších firem – ani jedna, kde by se cookies defaultně neukládaly a uložily se až po odkliknutí souhlasu.

Takže já usuzuji že to není tak horké a že klient pokud lištu nemá v této chvíli neriskuje vůbec nic, ledaže by na něj měl spadeno nějaký konkrétní úředník a mstil se mu pokutou.

Ale je správné v této chvíli si udělat v problematice předběžné jasno a již nyní pomalu chystat, že po odeznění pandemického šílení nastane cookies šílenství.

Nemusí k tomu ale vůbec dojít, ono to jednu dobu vypadalo, že se půjde po majetcích nad 10 000 000 Kč a kdo zpětně neprokáže původ tak bude pokutován do výše 100% hodnoty majetku (před 8 lety). Pak přišla migrační krize a po ní pandemie, majetková zpětná přiznání už jsou zcela mimo hru.

Přijdou nové mediální problémy a na lištu se zapomene.

Lišty nevidíte, protože to platí od ledna, ne? Pro všechny klienty to připravuji. Pokud se pohybujete v konkurenčním prostředí, tak tohle fakt řešit nechcete (udání).

A nějak tedy nechápu souvislost mezi medializací čehokoliv a nařízením EU. Prostě je to daná věc, která se musí dodržovat – jinak je postih vymahatelný. Jak už jsem tu někde psal.. je úplně jedno, co si o tom kdo myslí. Ignorování je čistý hazard s penězi a reputací klienta. Implementace není zas až tak složitá a ono popravdě mi fakt nevadí, že mě weby přestanou trackovat.

Lišty nevidíte, protože to platí od ledna, ne? Pro všechny klienty to připravuji. Pokud se pohybujete v konkurenčním prostředí, tak tohle fakt řešit nechcete (udání).

Kdyby to nařízení dávalo smysl a něco by se tím řešilo, nebo kdyby alespoň to nekomplikovalo život všem tak proč to nepodpořit. Ale přínos není absolutně žádný a otravuje to úplně všechny – uživatele, vývojáře i marketéry. Udání a pokuty je asi tak jediný argument pro to – smutné.

Polki napsal(a):

Souhlas ale i nesouhlas s @mbrecher.
Nesouhlas s tím, že se to nebude řešit a je to jedno. Zvolili jsme si jako národ politiky a systém, který nás šoupla do EU. Tedy to, že jsme v EU je kolektivní rozhodnutí. No to, co si člověk sám rozhodl musí respektovat. To je jak jeden týpek co jsem ho viděl. Stál jsem na nádraží a přijel vlak on se rozhodl do vlaku nastoupit i s kolem a začal sprostě řvát na celé nádraží před dětmi, že je strojvedoucí č**** a že má zastavit tak, aby se mu dobře nastupovalo a lidi, má jezdit včas a návrháři vagónů by se měli vrátit do základní školy. Moje odpověď mu byla stejná. Ty sis zvolil jet vlakem a ty sis zvolil vzít si k tomu kolo. Za celých minimálně 40 let co žije musel vědět, jak vypadají vlaky a že jezdí pozdě a jak se jezdí na kole tedy když to kolo bral a měl dokonalý nápad jít s kolem do vlaku, tak s tímto musel počítat a tedy naštvaný měl být leda tak na sebe, že se špatně rozhodl. Nicméně musel jako každý jiný přijmout dopady svých rozhodnutí.
Stejně tak my musíme respektovat jakékoliv názory a nařízení, které vydávláda, kterou jsme si kolektivně zvolili. Pokud se nám to nelíbí zvolme někoho jiného. Pokud se nám nikdo nelíbí, nebo nevěříme ve změnu, založme vlastní stranu a naberme dost lidí abychom mohli něco změnit. Do té doby musíme dělat to, co je nařízeno.

Souhlas s tím, že toto konkrétní rozhodnutí je absolutně k ničemu. Téměř každá stránka potřebuje cookie a to k tomu, aby tam vůbec uživatel mohl být a fungovalo to. Pokud člověk nechce mít ty cookie v počítači a být podle nich trasován, tak si v každém prohlížeči může vymazat údaje o prohlížení, případně prohlížet přes anonymní režim a pak se cookie vymažou po každé návštěvě. To znamená, že klasický uživatel stejně vždy odklikne OK a paranoik vždy bude prohlížet stránky přes anonymák, kde stejně odklikne OK, protože ví, že se mu ta data stejně vymažou.
No a v případě, že se to bude dělat způsobem přes IP tak, jak popisuje David, tak je pak úplně jedno, jaký způsob se použije, protože i ten anonymní režim je člověku k ničemu, takže je i lišta bezpředmětná.

Takže u lišty se vždy odklikne OK, otravuje to uživatele a přidává vrásky a problémy vývojářům přesně jak psal Brecher. Na druhou stranu mi ale všechny logické argumenty, že toto kompletně nesmyslné pravidlo zavedl někdo, kdo je absolutně IT negramotný mi nedávají důvody k tomu, abych porušoval zákon.

Prosím, přečtěte si o tom něco. Samozřejmě cookies, které web potřebuje k funkčnosti, mít můžete. To, že uživatel nechce být trackován a má tu možnost to webu říct, je přece úplně v pohodě, ne? Nebo vám přijde ok, že uživatele můžete trasovat napříč x weby? Mě moc ne.
Vůbec nechápu ten humbuk kolem soukromí uživatelů ze strany programátorů. Fakt ne. A je jedno, jak blbě je ten zákon napsaný. Ta message z něj je snad jasná.

Mimochodem oklidknout „ok“ nemůžete. V tom je ten vtip

Editoval Václav Kraus (19. 12. 2021 21:29)

thorewi napsal(a):

Doporucuji toto reseni https://github.com/…okie-consent

A je to stále funkční? Testoval jsem to na konci roku a fungovalo to dobře, nyní mi to v konzoli hlásí:
Uncaught TypeError: Cannot read properties of undefined (reading ‚consent_modal‘)

Žádné změny publikovány nebyly. Chybu vrací externí js…

Neřešil jsi to, @thorewi ?

Kamil Valenta napsal(a):

thorewi napsal(a):

Doporucuji toto reseni https://github.com/…okie-consent

A je to stále funkční? Testoval jsem to na konci roku a fungovalo to dobře, nyní mi to v konzoli hlásí:
Uncaught TypeError: Cannot read properties of undefined (reading ‚consent_modal‘)

Žádné změny publikovány nebyly. Chybu vrací externí js…

Neřešil jsi to, @thorewi ?

Ahoj, ten package mám pod sebou já, samozřejmě to stále funkční je 😄.
Pokud máš nějaký problém, tak klidně založ issue na GH, sem na forum v podstatě nechodím a narazil jsem na to náhodou. Řekl bych, že jsi v tagu nechal Package version na latest, což stahuje poslední release, ale tvůj Template v GTM může být nekompatibilní s posledním releasem. Budu muset do README zahrnout nějakou sekci s popisem těchto věcí + aktualizací na novější releases. Nicméně aktuálně je to v podstatě alespoň popsáno v issue, kde jsme to diskutovali s @thorewi .

Polki napsal(a):

IP adresa je taky osobní údaj a pro práci s ní musíš mít souhlas klienta. Odpadá sice starost s cookie souhlasem, ale zpracování IP adresy musíš zahrnout do GDPR.

My to zatím řešíme klasickým POPUPem, který má v sobě text: ‚Prohlížením těchto stránek souhlasíte s používáním souborů cookie. Co vše a na co používáme se dočtete tady.‘ přičemž slovo ‚tady‘ je odkaz na stránku s detaily.

To je ale o 1.1.2022 bohužel nelegální řešení, protože souhlas musí být udělen aktivně a stejně tak „snadné“ musí být i odmítnutí :-(

David Grudl napsal(a):

Kód pro nové GA4 a gtag:

<script n:syntax=off>
	window.dataLayer = window.dataLayer || [];
	function gtag(){dataLayer.push(arguments);}
	gtag('js', new Date());
	gtag('config', 'G-XXXXXXXXX', {client_storage: 'none', anonymize_ip: true, client_id: clientIdHash })
</script>
<script src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXX" async></script>

Zdravím, tento kód dříve zabránil uložení cookies. Teď se ale cookies ukládají.
Volba client_storage není ani v nápovědě https://developers.google.com/…rence/config

Máte někdo jiné řešení než přechod na www.matomo.org ?

@netteman

    gtag("consent", "default", {
      ad_storage: "denied",
      analytics_storage: "denied",
      functionality_storage: "denied",
      personalization_storage: "denied",
      security_storage: "denied"
    });

(nutno zavolat před gtag('config', ...))

Zdroj: https://stackoverflow.com/…ga4/72580590#…