Чаму Drupal мае патрэбу ў наўмыснай архітэктуры згоды

Моцныя бакі Drupal і яго рызыкі згоды паходзяць з аднаго месца. Рэдакцыйная гнуткасць платформы, доступ на аснове роляў і структураваная мадэль кантэнту — гэта менавіта тое, што робіць яе выбарам па змаўчанні для дзяржаўных парталаў, універсітэцкіх сайтаў і глабальных карпаратыўных вэб-уладанняў — тых жа сайтаў, якія з найбольшай верагоднасцю падвяргаюцца аўдыту, маюць самыя разнастайныя інвентары староніх тэгаў, назапашаныя за гады кампанійнай працы, і маюць самую вялікую паверхню неасноўных cookie для кантролю. Тыповы сайт Drupal 10, які запускае аналітычны стэк, піксель маркетынгавай аўтаматызацыі, відэаўбудову, вэб-форму з reCAPTCHA і віджэт сацыяльнага шэрынгу, можа адправіць больш за дзясятак розных неасноўных аперацый захоўвання за адну загрузку старонкі, часта праз модулі, якія зыходны рэалізатар больш не памятае, што наладжваў.

Кожная з гэтых аперацый задзейнічае асобны гейт згоды. Па артыкуле 5(3) Дырэктывы аб электроннай прыватнасці кожны неасноўны cookie або аналагічная аперацыя захоўвання-і-доступу патрабуе папярэдняй, свабодна дадзенай, канкрэтнай, інфармаванай і недвухсэнсоўнай згоды ў EEA, Вялікабрытаніі і любой юрысдыкцыі, якая імпартавала той жа стандарт. Па GDPR паводзінскія даныя, якія генеруюцца гэтымі аперацыямі захоўвання, з'яўляюцца апрацоўкай персанальных даных, таму што камбінацыя ідэнтыфікатара cookie, IP-адраса і паводзінскага следу дастатковая, каб вылучыць асобнага чалавека. Таму пытанне адпаведнасці на сайце Drupal — не ў тым, ці ўсталёўваць банер — кожная адказная каманда ўжо гэта зрабіла — а ў тым, ці сапраўды банер прадухіляе спрацоўванне тэгаў да таго, як карыстальнік даў згоду, і ці перажывае рашэнне аб згодзе слаі кэшавання Drupal.

Ландшафт модуляў: EU Cookie Compliance, Klaro і варыянты з вендарскай інтэграцыяй

Модуль EU Cookie Compliance — contributed-модуль, які падтрымліваецца на Drupal.org пад гэтым імем — гэта гістарычны выбар па змаўчанні і найбольш шырока разгорнуты варыянт. Ён пастаўляе наладжвальны банер, падтрымлівае катэгорыі, раскрывае JavaScript-стан згоды для прывязкі кода тэмы сайта і захоўвае запісы згоды ў базе даных Drupal. Моцныя бакі — глыбокая інтэграцыя з сістэмай дазволаў і роляў Drupal, шматмоўная падтрымка праз слой перакладу Drupal і здольнасць гейтыць тэгі, рэндэрымыя Drupal, па катэгорыях на ўзроўні зборкі старонкі. Слабыя бакі ў тым, што UI банера адстае ад стандартаў дызайну, якія рэгулятары цяпер чакаюць, што меткі катэгорый па змаўчанні расплывістыя, і што ўзаемадзеянне модуля са слаямі кэшавання Drupal патрабуе відавочнай налады.

Модуль Klaro Cookie & Consent Management — больш нядаўні варыянт, які інтэгруе JavaScript-бібліятэку Klaro — менеджэр згоды з адкрытым зыходным кодам з сучасным UI банера і гранулярнымі элементамі кіравання па сэрвісах. Моцныя бакі — якасць UI, гранулярнасць па сэрвісах, а не па катэгорыях, і актыўная upstream-распрацоўка. Слабыя бакі ў тым, што модуль танчэй, чым EU Cookie Compliance, патрабуе больш намаганняў па тэмізацыі і пратальквае больш стану згоды ў кліент, дзе яго трэба ўзгадніць з серверным рэндэрынгам Drupal.

Варыянты з вендарскай інтэграцыяй — Cookiebot, OneTrust, Usercentrics і падобныя — дарэчныя, калі сайт з'яўляецца часткай уладання, якое ўжо стандартызуецца на адной з гэтых CMP на ўзроўні арганізацыі. Яны звычайна самыя моцныя варыянты па UI і аўдыт-следзе, але ўводзяць платную старонюю залежнасць і могуць патрабаваць Пагаднення аб апрацоўцы даных, якое праходзіць праз асобны закупачны трэк.

Пастка кэшавання, якая перамагае большасць рэалізацый згоды ў Drupal

Гэта праблема, якая топіць у астатнім карэктна наладжаныя сайты Drupal: Internal Page Cache і Dynamic Page Cache, працуючы як задумана, падаюць кэшаваны рэндэрынг старонкі наведвальніку, які яшчэ не бачыў банер, і кэшаваны рэндэрынг можа ўключаць тэгі скрыптоў або знешнія рэсурсы, якія банер павінен гейтыць. Выпраўленне не ў адключэнні кэшавання — гэта перамагае прычыну, па якой большасць прадпрыемстваў выбралі Drupal — а ў рэндэрынгу гейтаваных згодай тэгаў праз шлях, які слаі кэша паважаюць.

Патэрн плэйсхолдэра

Патэрн, які працуе ў продакшэне, — рэндэрыць кожны неасноўны тэг як плэйсхолдэр у кэшаваным HTML — звычайна тэг <script type="text/plain"> з атрыбутам катэгорыі або кастамны элемент, які JavaScript модуля згоды актывуе толькі на баку кліента пасля таго, як адпаведны гейт пераключыўся. Сама старонка Drupal кэшуемая, таму што плэйсхолдэр аднолькавы для кожнага наведвальніка; логіка актывацыі знаходзіцца ў JavaScript модуля згоды і працуе падчас гідратацыі супраць стану згоды кожнага наведвальніка, які захоўваецца ў браўзеры. EU Cookie Compliance падтрымлівае гэты патэрн з скрынкі; для Klaro эквівалент — механізм замены скрыптоў па сэрвісах, які прадастаўляе upstream-бібліятэка.

Слаі render-cache і varnish

Render cache Drupal і любы upstream Varnish або CDN-кэш павінны быць наладжаны вар'іраваць па стане згоды толькі калі стан згоды змяняе рэндэрымы HTML — чаго, з патэрнам плэйсхолдэра, ён не робіць. Сам банер рэндэрыцца як асобны кэшуемы блок з кантэкстам, які адрознівае «банер патрэбны» ад «банер не патрэбны», а астатняя частка старонкі рэндэрыцца ідэнтычна незалежна ад стану згоды. Гэта архітэктурны выбар, які робіць слаі кэшавання Drupal сумяшчальнымі з разгортваннем, арыентаваным на згоду. Альтэрнатыва — рэндэрынг старонкі па-рознаму для кожнага стану згоды і адключэнне кэша для карыстальнікаў, якія зрабілі выбар — гэта тое, што вырабляе паводзіны павольных-старонак-пасля-прыняцця, якія прымушаюць карыстальнікаў адхіляць банеры.

Патэрны інтэграцыі модуль за модулем

Праца па інтэграцыі на сайце Drupal у асноўным пра падключэнне стану згоды да модуляў, якія выпускаюць неасноўныя cookie або знешнія рэсурсы. Патэрн паўтараецца па экасістэме contributed-модуляў.

• Модуль Google Analytics і модуль Google Tag Manager павінны быць наладжаны рэндэрыць свае тэгі як гейтаваныя згодай плэйсхолдэры, з катэгорыяй згоды, адлюстраванай на аналітычны гейт. Абодва модулі раскрываюць хук, у які можа падключыцца модуль EU Cookie Compliance.
• Модуль Webform з reCAPTCHA — самая распаўсюджаная тонкая ўцечка: reCAPTCHA ўсталёўвае неасноўныя cookie пры загрузцы, яшчэ да таго, як карыстальнік адправіць форму. Выпраўленне — гейтыць бібліятэку reCAPTCHA за адпаведнай функцыянальнай або маркетынгавай катэгорыяй або выкарыстоўваць invisible-v3-варыянт, які адкладвае запісы cookie да адпраўкі формы.
• Відэаўбудовы модуля Media з YouTube, Vimeo або Brightcove павінны выкарыстоўваць рэжым, узмоцнены прыватнасцю, або быць абгорнуты ў плэйсхолдэр click-to-load, які адкладвае старонні запыт да актывацыі карыстальнікам. Патэрн Lite YouTube Embed — эквівалент, які прынялі некалькі тэм Drupal.
• Віджэты сацыяльнага шэрынгу ад натыўных вендараў — гэта патэрн 2010-х, які варта вывесці з абарачэння на карысць статычных спасылак шэрынгу, якія не загружаюць старонні JavaScript увогуле. Калі віджэт вендара павінен застацца, ён сядзіць за маркетынгавым гейтам.
• Drupal Commerce і любыя cookie, звязаныя з кошыкам, строга неабходныя і не патрабуюць згоды, але ідэнтыфікатары праграм лаяльнасці, cookie рэкамендацыйнага рухавіка і падзеі кошыка, прывязаныя да аналітыкі, патрабуюць адпаведнага гейта.

Валідацыя, аўдыт-след і шматмоўны вугал

Крок валідацыі на сайце Drupal — тая ж паслядоўнасць з чатырох праверак, што прымяняецца ўсюды: візіт без дзеяння павінен вырабляць нуль неасноўных cookie, візіт з адмовай павінен захоўваць гэты стан, візіт з прыняццем павінен вырабляць толькі згаджаныя тэгі, а адкліканне павінна неадкладна спыняць далейшыя спрацоўванні тэгаў і завяршаць адпаведныя cookie. На Drupal канкрэтна гэта валідацыя павінна выконвацца з цёплым кэшам старонкі — а не абходным — каб пацвердзіць, што патэрн плэйсхолдэра працуе карэктна ў рэалістычных умовах трафіку.

Аўдыт-след на Drupal выйграе ад моцных бакоў платформы. EU Cookie Compliance захоўвае запісы згоды ў базе даных з часовымі меткамі і станам катэгорый; Klaro можа быць наладжаны рабіць тое ж праз хук на баку Drupal. Любы шлях вырабляе запытвальны журнал згоды, на які можна адказаць на запыт рэгулятара. Шматмоўны вугал таксама важны: слой перакладу Drupal распаўсюджваецца на тэкст банера згоды, таму паведамленне аб канфідэнцыйнасці і меткі катэгорый павінны быць перакладзены для кожнай мовы, якую абслугоўвае сайт, а журнал згоды павінен запісваць, якую моўную версію карыстальнік сапраўды бачыў. Абараняльнае разгортванне Drupal у 2026 годзе — гэта тое, дзе выбар модуля, патэрн кэшавання, інтэграцыі па модулях і шматмоўны аўдыт-след былі разгледжаны разам — і дзе выбар Drupal як ляжачай у аснове платформы быў ператвораны з абавязацельства кэшавання ў перавагу згоды.