WordPress cookie-gennemgang: Sådan fylder temaer og plugins din side med trackere
Det skjulte cookie-problem i WordPress
De fleste ejere af WordPress‑sider er ikke klar over, hvor mange cookies deres side sætter. En frisk WordPress‑installation med et populært tema og en håndfuld almindelige plugins kan nemt sætte 15 til 30 cookies på tværs af forskellige domæner, mange af dem før den besøgende overhovedet har mulighed for at give samtykke. Det er ikke resultatet af bevidst tracking — det er den samlede effekt af temaer og plugins, der indlæser eksterne ressourcer, som kommer med deres egne cookies.
At forstå hvor disse cookies kommer fra, hvad de gør, og hvordan du kontrollerer dem, er afgørende for enhver WordPress‑side, der skal overholde GDPR, ePrivacy eller lignende regler. Denne guide gennemgår audit‑processen trin for trin.
Hvorfor WordPress‑sider samler så mange cookies
WordPress’ plugin‑arkitektur er både dets største styrke og dets største privatlivsrisiko. Hvert plugin fungerer delvist uafhængigt, og de fleste plugin‑udviklere fokuserer på funktionalitet frem for cookie‑compliance. Her er de primære kilder til cookies på en typisk WordPress‑side:
Temaer og Google Fonts
Mange WordPress‑temaer indlæser Google Fonts direkte fra fonts.googleapis.com. Når en besøgendes browser anmoder om disse skrifttyper, kan Google sætte cookies og indsamle den besøgendes IP‑adresse, browserinformation og den henvisende side. I 2022 afgjorde en tysk domstol, at indlæsning af Google Fonts fra Googles servere uden samtykke overtræder GDPR, hvilket resulterede i en bøde på 100 EUR for hver berørt besøgende. Løsningen er at hoste skrifttyper lokalt, men de fleste tema‑standarder peger stadig på Googles servere.
Page builders og analyseværktøjer
Elementor, den mest populære WordPress page builder, indlæser eksterne ressourcer, herunder skrifttyper, og kan sætte cookies til brugssporing. Nogle Elementor‑widgets indlejrer tredjepartsindhold (YouTube‑videoer, Google Maps), som sætter deres egne cookies. Selv den gratis version af Elementor kan sende anonymiserede brugsdata, medmindre det eksplicit deaktiveres i indstillingerne.
SEO‑plugins
Yoast SEO og Rank Math sætter selv få cookies, men de integrerer ofte med Google Search Console og opfordrer til at tilføje Google Analytics‑sporingskoder. De analytics‑scripts, de hjælper dig med at implementere, er en væsentlig kilde til cookies. Yoasts premium‑version kommunikerer også med Yoasts servere for SEO‑analyse, hvilket kan involvere cookies.
Jetpack og WordPress.com‑tjenester
Jetpack er en af de mest cookie‑tunge løsninger i WordPress‑økosystemet. Afhængigt af hvilke moduler der er aktive, kan Jetpack sætte cookies til:
- Side‑statistik (WordPress.com stats)
- Sociale deleknapper (indlæsning af scripts fra Facebook, Twitter, LinkedIn)
- Kommentarsystem (Gravatar‑cookies)
- Sikkerhedsfunktioner (Protect‑modul‑cookies)
- CDN‑brug (WordPress.com CDN‑cookies)
En enkelt Jetpack‑installation med standardindstillinger kan være ansvarlig for 8 til 12 cookies fra forskellige domæner.
WooCommerce og e‑handel
WooCommerce sætter flere cookies, som anses for strengt nødvendige for e‑handelsfunktionalitet:
- woocommerce_cart_hash: Hjælper WooCommerce med at vide, hvornår indholdet i kurven ændrer sig.
- woocommerce_items_in_cart: Sporer om der er varer i kurven.
- wp_woocommerce_session_*: Indeholder en unik kode for hver kundes session.
Selvom disse generelt er undtaget fra samtykkekrav som strengt nødvendige cookies, tilføjer WooCommerce‑udvidelser til betalingshåndtering, forladt kurv‑genopretning og marketingautomatisering mange flere cookies, som kræver samtykke.
Kontaktformularer og reCAPTCHA
Plugins til kontaktformularer som Contact Form 7, WPForms og Gravity Forms bruger ofte Google reCAPTCHA til spam‑beskyttelse. reCAPTCHA v2 og v3 sætter flere cookies, herunder _GRECAPTCHA, og indlæser scripts fra google.com, som kan sætte yderligere tracking‑cookies. Det betyder, at selv en simpel kontaktside kan udløse annonceringsrelaterede cookies.
Cache‑plugins
Cache‑plugins som WP Super Cache, W3 Total Cache og WP Rocket sætter deres egne cookies for at styre cache‑adfærd. Disse er typisk funktionelle cookies (for eksempel til at omgå cache for brugere, der er logget ind), men de skal stadig dokumenteres i din cookiepolitik.
Sådan laver du en cookie‑audit på din WordPress‑side
En grundig cookie‑audit indebærer at scanne din side fra den besøgendes perspektiv. Her er processen:
Trin 1: Brug browserens udviklerværktøjer
Åbn din side i Chrome, gå til DevTools > Application > Cookies, og gennemgå alle cookies, der er sat for dit domæne og tredjepartsdomæner. Gør dette i et inkognitovindue for at simulere en førstegangsbesøgende. Notér hvert cookies navn, domæne, udløb og om det er en førsteparts‑ eller tredjeparts‑cookie.
Trin 2: Brug en dedikeret cookie‑scanner
Manuel inspektion fanger cookies, der sættes ved sidelast, men overser cookies, der sættes ved interaktioner (klik på knapper, afsendelse af formularer, scroll). Dedikerede scannere som Cookiebots gratis scanner, CookieYes‑scanner eller browserudvidelser som EditThisCookie giver mere omfattende resultater. Kør scanninger på flere sider, ikke kun forsiden.
Trin 3: Kategorisér alle cookies
Gruppér de fundne cookies i standardkategorier:
- Strengt nødvendige: Sessionscookies, autentificering, sikkerhed, kurv‑funktionalitet. Disse kræver ikke samtykke.
- Funktionelle: Sprogpræferencer, tilpasning af brugergrænseflade. Samtykke kræves teknisk set, men disse er lavrisiko.
- Analytics: Google Analytics, WordPress.com stats, heatmap‑værktøjer. Samtykke er påkrævet.
- Marketing/annoncering: Google Ads, Facebook Pixel, remarketing‑cookies. Samtykke er påkrævet, og disse er højest prioriteret at blokere.
Trin 4: Kortlæg cookies til deres kilder
Identificér for hver cookie, hvilket tema eller plugin der er ansvarligt. Det er her WordPress bliver kompliceret — en enkelt side kan indlæse scripts fra 5 forskellige plugins, som hver sætter deres egne cookies. Deaktiver midlertidigt plugins ét ad gangen for at finde ud af, hvilket plugin der sætter hvilke cookies.
Almindelige cookie‑kilder og deres løsninger
Her er en hurtig reference til de mest almindelige cookie‑kilder i WordPress og hvordan du håndterer dem:
- Google Fonts: Skift til lokalt hostede skrifttyper. Plugins som OMGF eller indstillinger i dit tema kan automatisere dette.
- Google Analytics: Skal blokeres, indtil samtykke er givet. Dette håndteres af din CMP.
- YouTube‑indlejringer: Brug domænet youtube-nocookie.com i stedet for youtube.com. Det forhindrer de fleste tracking‑cookies.
- Google Maps: Indlæs kun efter samtykke, eller brug et statisk kortbillede som placeholder.
- Facebook Pixel: Skal blokeres, indtil marketing‑samtykke er givet.
- reCAPTCHA: Overvej alternativer som hCaptcha (mere privatlivsvenlig) eller honeypot‑teknikker, der ikke kræver eksterne scripts.
Opsætning af FlexyConsent WordPress‑plugin til fuld compliance
Når du har gennemgået dine cookies og forstår, hvad der skal kontrolleres, er det ligetil at implementere FlexyConsent på WordPress.
FlexyConsents WordPress‑plugin integrerer direkte i dit WordPress‑adminpanel og giver en native konfigurationsoplevelse:
- Installer fra Plugin Directory: Søg efter "FlexyConsent" i Plugins > Tilføj nyt, installer og aktiver. Ingen manuelle filuploads er nødvendige.
- Forbind din side: Indtast dit FlexyConsent‑site‑ID i plugin‑indstillingerne. Plugin’et indsætter automatisk samtykkescriptet det rigtige sted — før andre tredjeparts‑scripts.
- Konfigurér cookie‑kategorier: Kortlæg dine gennemgåede cookies til FlexyConsents samtykkekategorier. Plugin’et giver en visuel grænseflade til dette direkte i dit WordPress‑admin.
- Opsæt script‑blokering: FlexyConsent håndterer automatisk Google‑tags via Consent Mode V2. For andre scripts (Facebook Pixel, brugerdefineret tracking) tilbyder plugin’et regler for script‑blokering, der forhindrer eksekvering, indtil den relevante samtykkekategori er givet.
- Test grundigt: Brug et inkognitovindue til at kontrollere, at ikke‑nødvendige cookies er blokeret, indtil samtykke er givet, og at al funktionalitet virker korrekt efter samtykke.
Som en Google‑certificeret CMP med IAB TCF 2.3-understøttelse håndterer FlexyConsent automatisk de mest komplekse aspekter af WordPress‑cookie‑compliance. Consent Mode V2‑signaler sendes til Google‑tjenester uden yderligere tag‑konfiguration, og geo‑targeting sikrer, at besøgende fra forskellige regioner ser den passende samtykkeoplevelse.
Vigtig pointe: WordPress’ fleksibilitet har en pris for privatlivet — hvert tema og plugin kan introducere cookies, der kræver samtykke. En systematisk audit efterfulgt af korrekt CMP‑implementering er den eneste pålidelige vej til compliance. Antag ikke, at din side kun sætter de cookies, du kender til; virkeligheden er næsten altid mere kompleks end forventet.