Hai installato Cookiebot, il banner compare, ma sai se è davvero conforme alle ultime linee guida? Lo vediamo spesso: siti con un CMP apparentemente funzionante che, sotto il cofano, caricano cookie di marketing prima del consenso, non tracciano il rifiuto, o usano uno scroll come consenso implicito. Risultato: multe salate dal Garante. Noi di Meteora Web abbiamo seguito aziende dal 2017 e ogni progetto passa per la verifica della conformità cookie. Qui ti portiamo quello che abbiamo imparato su Cookiebot, dalla configurazione reale agli errori da evitare.
Perché un CMP non è un optional
Il Regolamento Generale sulla Protezione dei Dati (GDPR) e la Direttiva ePrivacy (recepita in Italia dal Codice della Privacy) impongono che l'utente dia un consenso informato, specifico e inequivocabile prima del caricamento di cookie non strettamente necessari. Un banner che chiede “Accetta tutto” senza offrire una scelta granulare non è conforme. Da qui la necessità di una Consent Management Platform (CMP) come Cookiebot.
Cookiebot è uno dei CMP più diffusi perché offre uno scanner automatico dei cookie, categorizzazione basata su un database aggiornato e un'interfaccia per gestire i consensi con log auditabili. Ma l'installazione corretta è tutto: se lo script è posizionato male o le categorie non sono sincronizzate con i tag del sito, la compliance è solo apparente.
Come funziona Cookiebot a livello tecnico
Quando inserisci lo script di Cookiebot nel <head> del tuo sito, il CMP analizza il dominio e genera un elenco di cookie rilevati. Puoi poi assegnare ogni cookie a una categoria (Necessari, Preferenze, Statistiche, Marketing) e decidere se deve essere bloccato fino al consenso. Il banner viene visualizzato in base alla lingua del browser e l'utente può scegliere quali categorie accettare.
Cookiebot fornisce anche un ID univoco di consenso per ogni utente, conservato nei log per dimostrare la tracciabilità. In caso di controllo, potrai esportare questi log per provare che hai raccolto i consensi correttamente.
Blocco dei cookie prima del consenso
La parte più delicata. Cookiebot non blocca automaticamente i cookie di terze parti: devi configurare tu i placeholder per i servizi (Google Analytics, Facebook Pixel, YouTube, ecc.) in modo che non si carichino fino a quando l'utente non ha dato il consenso per la categoria corrispondente. Per farlo, usi l'API di Cookiebot:
// Esempio: caricare Google Analytics solo dopo consenso statistiche
if (CookieConsent && CookieConsent.consent.statistics) {
// Carica script GA
let ga = document.createElement('script');
ga.src = 'https://www.googletagmanager.com/gtag/js?id=UA-XXXXX-Y';
document.head.appendChild(ga);
}Oppure, più semplice, puoi usare i tag data-cookieconsent forniti da Cookiebot per bloccare automaticamente script di terze parti. Esempio:
<script type="text/plain" data-cookieconsent="statistics">
// Codice di Google Analytics
</script>In questo modo lo script viene eseguito solo quando l'utente accetta la categoria “statistiche”.
Gestione del consenso tramite API
Puoi accedere allo stato del consenso in tempo reale con window.CookieConsent. Ad esempio, per sapere se l'utente ha accettato i cookie di marketing:
if (CookieConsent && CookieConsent.consent.marketing) {
// Attiva pixel Facebook, script remarketing, ecc.
}Errori comuni che vediamo nei progetti dei nostri clienti
1. Categorizzazione automatica non verificata. Cookiebot scansiona il sito e assegna automaticamente i cookie a categorie. Ma se un cookie di terze parti viene classificato come “Necessario” in modo errato, rischi di caricarlo senza consenso. Controlla sempre manualmente l'elenco dei cookie scansionati e la loro categoria.
2. Blocco non attivo sui servizi incorporati. Se integri video YouTube, mappe Google Maps o widget social, questi caricano cookie anche se l'utente non ha accettato. Devi sostituire l'iframe nativo con un placeholder di Cookiebot che lo attivi solo dopo consenso. Cookiebot fornisce template per i servizi più comuni.
3. Banner non visibile su mobile o AMP. Testa sempre su dispositivi mobili e, se usi AMP, verifica che il banner sia integrato correttamente (Cookiebot ha una modalità AMP specifica).
4. Non aggiornare la cookie policy. Il CMP da solo non basta: devi avere una cookie policy dettagliata sul sito, aggiornata automaticamente con lo scanner di Cookiebot. Imposta lo scanner periodico (es. ogni 7 giorni) per catturare nuovi cookie introdotti da plugin o aggiornamenti.
5. Consenso implicito (scroll) ancora presente. Il Garante italiano ha più volte ribadito che lo scroll o la navigazione non costituiscono consenso valido. Cookiebot di default usa il consenso esplicito (click su pulsante), ma alcuni temi lo disabilitano. Verifica che il banner richieda un'azione positiva.
Alternative a Cookiebot: quando conviene cambiare?
Cookiebot è solido, ma esistono alternative come OneTrust (più enterprise, costoso), Termly (più semplice, meno funzionalità di blocco) o FancyPants (open source, personalizzabile). Scegli in base al volume di traffico e al budget. Noi, di Meteora Web, consigliamo Cookiebot per la maggior parte delle PMI perché offre un buon rapporto qualità/prezzo e una documentazione chiara.
In sintesi — cosa fare adesso
- Controlla il posizionamento dello script — deve essere nel <head> prima di qualsiasi altro script di terze parti.
- Verifica la categorizzazione — accedi al pannello di Cookiebot, esamina l'elenco dei cookie e assegna le categorie corrette.
- Configura i placeholder per tutti i servizi di terze parti (analytics, social, pubblicità).
- Attiva lo scanner periodico (imposta scansione settimanale).
- Testa il comportamento con il browser in modalità incognito e usa la console di sviluppo per vedere quali cookie vengono caricati prima del consenso.
- Aggiorna la cookie policy e collegala al CMP.
- Conserva i log dei consensi — Cookiebot li tiene per 12 mesi; verifica di avere un backup.
Se hai già una CMP ma non sei sicuro della conformità, effettua un audit con gli strumenti sviluppatore. Un sito conforme è un sito che costruisce fiducia e evita sanzioni. Per approfondire la sicurezza dei dati, leggi il nostro articolo su OpenAI Lockdown Mode.
Sponsored Protocol
