ביקורת קוקיז ב-WordPress: איך תבניות ותוספים ממלאים את האתר שלכם במעקבים

בעיית הקוקיז הנסתרת ב-WordPress

רוב בעלי אתרי WordPress אינם מודעים לכמות הקוקיז שהאתר שלהם מגדיר. התקנה חדשה של WordPress עם תבנית פופולרית וכמה תוספים נפוצים יכולה בקלות להגדיר 15 עד 30 קוקיז על פני דומיינים שונים, רבים מהם עוד לפני שלמבקר יש בכלל אפשרות לתת הסכמה. זה לא תוצאה של מעקב מכוון — אלא האפקט המצטבר של תבניות ותוספים שטוענים משאבים חיצוניים שמגיעים יחד עם הקוקיז שלהם.

הבנה מאיפה הקוקיז האלה מגיעים, מה הם עושים, ואיך לשלוט בהם היא חיונית לכל אתר WordPress שצריך לעמוד ב-GDPR, ב-ePrivacy או בתקנות דומות. מדריך זה עובר שלב ��חר שלב על תהליך הביקורת.

למה אתרי WordPress צוברים כל כך הרבה קוקיז

ארכיטקטורת התוספים של WordPress היא גם נקודת החוזק הגדולה ביותר שלה וגם החיסרון הגדול ביותר מבחינת פרטיות. כל תוסף פועל באופן חצי-עצמאי, ורוב מפתחי התוספים מתמקדים בפונקציונליות ולא בעמידה בדרישות קוקיז. הנה מקורות הקוקיז העיקריים באתר WordPress טיפוסי:

תבניות ו-Google Fonts

תבניות רבות של WordPress טוענות Google Fonts ישירות מ-fonts.googleapis.com. כאשר הדפדפן של המבקר מבקש את הפונטים האלה, Google יכולה להגדיר קוקיז ולאסוף את כתובת ה-IP של המבקר, מידע על הדפדפן והעמוד המפנה. בשנת 2022, בית משפט גרמני קבע שטעינת Google Fonts משרתי Google ללא הסכמה מהווה הפרה של GDPR, והטיל קנס של 100 אירו על כל מבקר שנפגע. הפתרון הוא לאחסן פונטים באופן מקומי, אך ברירת המחדל של רוב התבניות עדיין מצביעה לשרתי Google.

בוני עמודים ואנליטיקס

Elementor, בונה העמודים הפופולרי ביותר ל-WordPress, טוען משאבים חיצוניים כולל פונטים ויכול להגדיר קוקיז למעקב שימוש. חלק מהווידג'טים של Elementor מטמיעים תוכן צד שלישי (סרטוני YouTube, מפות Google Maps) שמגדירים את הקוקיז שלהם. אפילו הגרסה החינמית של Elementor עשויה לשלוח נתוני שימוש מונמקים (מאנונימיים) אלא אם מבטלים זאת במפורש בהגדרות.

תוספי SEO

Yoast SEO ו-Rank Math עצמם מגדירים מעט קוקיז, אך הם לרוב משתלבים עם Google Search Console ומעודדים הוספת קודי מעקב של Google Analytics. סקריפטי האנליטיקס שהם עוזרים לכם להטמיע הם מקור מרכזי לקוקיז. הגרסה הפרימיום של Yoast גם מתקשרת עם השרתים של Yoast לצורך ניתוח SEO, מה שיכול לכלול שימוש בקוקיז.

Jetpack ושירותי WordPress.com

Jetpack הוא אחד ממגדירי הקוקיז המשמעותיים ביותר באקוסיסטם של WordPress. בהתאם לאילו מודולים פעילים, Jetpack יכול להגדיר קוקיז עבור:

• סטטיסטיקות אתר (WordPress.com stats)
• כפתורי שיתוף ברשתות חברתיות (טעינת סקריפטים מ-Facebook, Twitter, LinkedIn)
• מערכת תגובות (קוקיז של Gravatar)
• יכולות אבטחה (קוקיז של מודול Protect)
• שימוש ב-CDN (קוקיז של WordPress.com CDN)

התקנה אחת של Jetpack עם הגדרות ברירת מחדל יכולה להיות אחראית ל-8 עד 12 קוקיז מדומיינים שונים.

WooCommerce ואי-קומרס

WooCommerce מגדיר מספר קוקיז שנחשבים חיוניים לחלוטין לפונקציונליות של חנות מקוונת:

• woocommerce_cart_hash: עוזר ל-WooCommerce לדעת מתי תוכן העגלה משתנה.
• woocommerce_items_in_cart: עוקב האם יש פריטים בעגלה.
• wp_woocommerce_session_*: מכיל קוד ייחודי עבור הסשן של כל לקוח.

בעוד שקוקיז אלה בדרך כלל פטורים מדרישות הסכמה כקוקיז חיוניים, הרחבות WooCommerce לעיבוד תשלומים, שחזור עגלות נטושות ואוטומציית שיווק מוסיפות עוד הרבה קוקיז שכן דורשים הסכמה.

טפסי יצירת קשר ו-reCAPTCHA

תוספי טפסים כמו Contact Form 7, WPForms ו-Gravity Forms משתמשים לעיתים קרובות ב-Google reCAPTCHA להגנה מפני ספאם. גרסאות reCAPTCHA v2 ו-v3 מגדירות מספר קוקיז כולל _GRECAPTCHA וטוענות סקריפטים מ-google.com שיכולים להגדיר קוקיז מעקב נוספים. המשמעות היא שגם עמוד יצירת קשר פשוט יכול להפעיל קוקיז הקשורים לפרסום.

תוספי קאשינג

תוספי קאשינג כמו WP Super Cache, W3 Total Cache ו-WP Rocket מגדירים קוקיז משלהם כדי לנהל את התנהגות הקאש. אלה בדרך כלל קוקיז פונקציונליים (למשל, כדי לעקוף קאש עבור משתמשים מחוברים), אך עדיין צריך לתעד אותם במדיניות הקוקיז שלכם.

איך לבצע ביקורת קוקיז באתר ה-WordPress שלכם

ביקורת קוקיז יסודית כוללת סריקה של האתר מנקודת המבט של המבקר. כך נ��אה התהליך:

שלב 1: שימוש בכלי המפתחים של הדפדפן

פתחו את האתר שלכם ב-Chrome, עברו אל DevTools > Application > Cookies, ובדקו את כל הקוקיז שמוגדרים עבור הדומיין שלכם ודומיינים צד שלישי. עשו זאת בחלון גלישה בסתר כדי לדמות מבקר בפעם הראשונה. רשמו את שם כל קוקי, הדומיין, זמן התפוגה, והאם הוא קוקי צד ראשון או צד שלישי.

שלב 2: שימוש בסורק קוקיז ייעודי

בדיקה ידנית מאתרת קוקיז שמוגדרים בעת טעינת העמוד, אך מפספסת קוקיז שמוגדרים בעקבות אינטראקציות (לחיצה על כפתורים, שליחת טפסים, גלילה). סורקים ייעודיים כמו הסורק החינמי של Cookiebot, הסורק של CookieYes או תוספי דפדפן כמו EditThisCookie מספקים תוצאות מקיפות יותר. הריצו סריקות על מספר עמודים, לא רק על דף הבית.

שלב 3: סיווג כל קוקי

קבצו את הקוקיז שהתגלו לקטגוריות סטנדרטיות:

• חיוניים לחלוטין (Strictly Necessary): קוקיז סשן, אימות, אבטחה, פונקציונליות של עגלה. אלה אינם דורשים הסכמה.
• פונקציונליים: העדפות שפה, התאמת ממשק משתמש. מבחינה טכנית נדרשת הסכמה, אך הסיכון כאן נמוך.
• אנליטיקס: Google Analytics, סטטיסטיקות WordPress.com, כלי מפת חום. נדרשת הסכמה.
• שיווק/פרסום: Google Ads, Facebook Pixel, קוקיז רימרקטינג. נדרשת הסכמה ואלה בעלי העדיפות הגבוהה ביותר לחסימה.

שלב 4: מיפוי הקוקיז למקורות שלהם

עבור כל קוקי, זהו איזו תבנית או איזה תוסף אחראים לו. כאן WordPress נהיה מורכב — עמוד אחד יכול לטעון סקריפטים מ-5 תוספים שונים, שכל אחד מהם מגדיר את הקוקיז שלו. השביתו זמנית תוספים אחד-אחד כדי לזהות איזה תוסף מגדיר אילו קוקיז.

מקורות קוקיז נפוצים והפתרונות שלהם

להלן רפרנס מהיר למקורות הקוקיז הנפוצים ביותר ב-WordPress ואיך לטפל בה��:

• Google Fonts: עברו לפונטים המאוחסנים באופן מקומי. תוספים כמו OMGF או הגדרות התבנית שלכם יכולים לאוטומט זאת.
• Google Analytics: חייב להיות חסום עד שניתנת הסכמה. הדבר מנוהל על ידי ה-CMP שלכם.
• הטמעות YouTube: השתמשו בדומיין youtube-nocookie.com במקום youtube.com. זה מונע את רוב קוקיז המעקב.
• Google Maps: טענו רק לאחר קבלת הסכמה, או השתמשו בתמונת מפה סטטית כמצב ביניים.
• Facebook Pixel: חייב להיות חסום עד שניתנת הסכמה לשיווק.
• reCAPTCHA: שקלו חלופות כמו hCaptcha (ידידותי יותר לפרטיות) או טכניקות honeypot שאינן דורשות סקריפטים חיצוניים.

הגדרת תוסף FlexyConsent ל-WordPress לעמידה מלאה בדרישות

לאחר שביצעתם ביקורת לקוקיז ואתם מבינים מה צריך לשלוט בו, הטמעת FlexyConsent ב-WordPress היא תהליך פשוט.

תוסף ה-WordPress של FlexyConsent משתלב ישירות בלוח הניהול של WordPress, ומספק חוויית הגדרה טבעית:

1. התקנה מספריית התוספים: חפשו "FlexyConsent" תחת Plugins > Add New, התקינו והפעילו. אין צורך בהעלאת קבצים ידנית.
2. חיבור האתר שלכם: הזינו את מזהה האתר (site ID) של FlexyConsent בהגדרות התוסף. התוסף מזריק אוטומטית את סקריפט ההסכמה במיקום הנכון — לפני כל סקריפט צד שלישי אחר.
3. הגדרת קטגוריות הקוקיז: מיפוי הקוקיז שזוהו בביקורת לקטגוריות ההסכמה של FlexyConsent. התוסף מספק ממשק חזותי לכך ישירות בלוח הניהול של WordPress.
4. הגדרת חסימת סקריפטים: FlexyConsent מנהל אוטומטית תגיות ש�� Google דרך Consent Mode V2. עבור סקריפטים אחרים (Facebook Pixel, מעקב מותאם אישית), התוסף מספק כללי חסימת סקריפטים שמונעים הרצה עד שניתנת הסכמה בקטגוריה המתאימה.
5. בדיקה יסודית: השתמשו בחלון גלישה בסתר כדי לוודא שקוקיז לא חיוניים נחסמים עד שניתנת הסכמה, ושכל הפונקציונליות עובדת כראוי לאחר ההסכמה.

כיוון ש-FlexyConsent הוא CMP מוסמך על ידי Google עם תמיכה ב-IAB TCF 2.3, הוא מטפל באופן אוטומטי בהיבטים המורכבים ביותר של עמידה בדרישות קוקיז ב-WordPress. אותות Consent Mode V2 נשלחים לשירותי Google ללא צורך בהגדרת תגיות נוספת, וטירגוט גיאוגרפי מבטיח שמבקרים מאזורים שונים יראו חוויית הסכמה מתאימה.

עיקר המסר: הגמישות של WordPress מגיעה עם מחיר מבחינת פרטיות — כל תבנית ותוסף יכולים להוסיף קוקיז שדורשים הסכמה. ביקורת שיטתית ולאחריה הטמעה נכונ�� של CMP היא הדרך היחידה המהימנה לעמידה בדרישות. אל תניחו שהאתר שלכם מגדיר רק את הקוקיז שאתם מכירים; במציאות, המצב כמעט תמיד מורכב יותר ממה שנדמה.