Audit Kuki WordPress: Bagaimana Tema dan Plugin Penuhkan Laman Anda dengan Penjejak

Masalah Kuki Tersembunyi dalam WordPress

Kebanyakan pemilik laman WordPress tidak menyedari berapa banyak kuki yang ditetapkan oleh laman mereka. Pemasangan WordPress baharu dengan tema popular dan beberapa plugin biasa sahaja sudah boleh menetapkan 15 hingga 30 kuki merentasi pelbagai domain, dan banyak daripadanya diletakkan sebelum pelawat berpeluang untuk memberikan persetujuan. Ini bukan hasil penjejakan yang disengajakan — ia adalah kesan terkumpul daripada tema dan plugin yang memuatkan sumber luaran yang datang bersama kuki mereka sendiri.

Memahami dari mana kuki ini datang, apa fungsinya, dan bagaimana mengawalnya adalah penting untuk mana-mana laman WordPress yang perlu mematuhi GDPR, ePrivacy, atau peraturan serupa. Panduan ini menerangkan proses audit langkah demi langkah.

Mengapa Laman WordPress Mengumpul Begitu Banyak Kuki

Senibina plugin WordPress adalah kekuatan terbesarnya dan juga liabiliti privasi yang paling besar. Setiap plugin beroperasi secara separa bebas, dan kebanyakan pembangun plugin memberi tumpuan kepada fungsi berbanding pematuhan kuki. Berikut ialah sumber utama kuki pada laman WordPress tipikal:

Tema dan Google Fonts

Banyak tema WordPress memuatkan Google Fonts terus daripada fonts.googleapis.com. Apabila pelayar pelawat meminta fon ini, Google boleh menetapkan kuki dan mengumpul alamat IP pelawat, maklumat pelayar, dan halaman rujukan. Pada 2022, sebuah mahkamah di Jerman memutuskan bahawa memuatkan Google Fonts daripada pelayan Google tanpa persetujuan melanggar GDPR, mengakibatkan denda EUR 100 bagi setiap pelawat yang terjejas. Penyelesaiannya ialah menjadi hos fon secara setempat, tetapi kebanyakan tetapan lalai tema masih menunjuk ke pelayan Google.

Pembina Halaman dan Analitik

Elementor, pembina halaman WordPress paling popular, memuatkan sumber luaran termasuk fon dan boleh menetapkan kuki penjejakan penggunaan. Sesetengah widget Elementor membenamkan kandungan pihak ketiga (video YouTube, Google Maps) yang menetapkan kuki mereka sendiri. Malah versi percuma Elementor mungkin menghantar data penggunaan tanpa nama melainkan ia dinyahdayakan secara jelas dalam tetapan.

Plugin SEO

Yoast SEO dan Rank Math sendiri menetapkan sedikit kuki, tetapi ia sering berintegrasi dengan Google Search Console dan menggalakkan penambahan kod penjejakan Google Analytics. Skrip analitik yang mereka bantu anda laksanakan adalah sumber utama kuki. Versi premium Yoast juga berkomunikasi dengan pelayan Yoast untuk analisis SEO, yang boleh melibatkan kuki.

Jetpack dan Perkhidmatan WordPress.com

Jetpack ialah antara penetap kuki paling aktif dalam ekosistem WordPress. Bergantung pada modul yang diaktifkan, Jetpack boleh menetapkan kuki untuk:

• Statistik laman (stat WordPress.com)
• Butang perkongsian sosial (memuatkan skrip daripada Facebook, Twitter, LinkedIn)
• Sistem komen (kuki Gravatar)
• Ciri keselamatan (kuki modul Protect)
• Penggunaan CDN (kuki WordPress.com CDN)

Satu pemasangan Jetpack dengan tetapan lalai sahaja boleh bertanggungjawab untuk 8 hingga 12 kuki daripada pelbagai domain.

WooCommerce dan E-dagang

WooCommerce menetapkan beberapa kuki yang dianggap sangat perlu untuk fungsi e-dagang:

• woocommerce_cart_hash: Membantu WooCommerce mengetahui apabila kandungan troli berubah.
• woocommerce_items_in_cart: Menjejak sama ada terdapat item dalam troli.
• wp_woocommerce_session_*: Mengandungi kod unik untuk setiap sesi pelanggan.

Walaupun kuki ini biasanya dikecualikan daripada keperluan persetujuan sebagai kuki yang sangat perlu, sambungan WooCommerce untuk pemprosesan pembayaran, pemulihan troli terbengkalai, dan automasi pemasaran menambah banyak lagi kuki yang memang memerlukan persetujuan.

Borang Hubungan dan reCAPTCHA

Plugin borang hubungan seperti Contact Form 7, WPForms, dan Gravity Forms sering menggunakan Google reCAPTCHA untuk perlindungan spam. reCAPTCHA v2 dan v3 menetapkan beberapa kuki termasuk _GRECAPTCHA dan memuatkan skrip daripada google.com yang boleh menetapkan kuki penjejakan tambahan. Ini bermakna walaupun halaman hubungan yang ringkas boleh mencetuskan kuki berkaitan pengiklanan.

Plugin Cache

Plugin cache seperti WP Super Cache, W3 Total Cache, dan WP Rocket menetapkan kuki mereka sendiri untuk mengurus tingkah laku cache. Ini biasanya kuki berfungsi (contohnya, untuk memintas cache bagi pengguna yang telah log masuk), tetapi ia masih perlu didokumenkan dalam dasar kuki anda.

Cara Mengaudit Kuki pada Laman WordPress Anda

Audit kuki yang menyeluruh melibatkan pengimbasan laman anda dari perspektif pelawat. Berikut ialah prosesnya:

Langkah 1: Guna Alat Pembangun Pelayar

Buka laman anda dalam Chrome, pergi ke DevTools > Application > Cookies, dan periksa semua kuki yang ditetapkan untuk domain anda dan domain pihak ketiga. Lakukan ini dalam tetingkap inkognito untuk mensimulasikan pelawat kali pertama. Catat nama setiap kuki, domain, tempoh luput, dan sama ada ia kuki pihak pertama atau pihak ketiga.

Langkah 2: Guna Pengimbas Kuki Khusus

Pemeriksaan manual menangkap kuki yang ditetapkan semasa halaman dimuatkan, tetapi terlepas kuki yang ditetapkan melalui interaksi (klik butang, hantar borang, skrol). Pengimbas khusus seperti pengimbas percuma Cookiebot, pengimbas CookieYes, atau sambungan pelayar seperti EditThisCookie memberikan hasil yang lebih menyeluruh. Jalankan imbasan pada berbilang halaman, bukan hanya halaman utama.

Langkah 3: Kategorikan Setiap Kuki

Kumpulkan kuki yang ditemui ke dalam kategori piawai:

• Sangat Perlu (Strictly Necessary): Kuki sesi, pengesahan, keselamatan, fungsi troli. Kuki ini tidak memerlukan persetujuan.
• Fungsian: Keutamaan bahasa, penyesuaian antara muka pengguna. Secara teknikal memerlukan persetujuan tetapi berisiko rendah.
• Analitik: Google Analytics, stat WordPress.com, alat peta haba. Memerlukan persetujuan.
• Pemasaran/Pengiklanan: Google Ads, Facebook Pixel, kuki pemasaran semula. Memerlukan persetujuan dan ini adalah keutamaan tertinggi untuk disekat.

Langkah 4: Peta Kuki kepada Sumbernya

Bagi setiap kuki, kenal pasti tema atau plugin mana yang bertanggungjawab. Di sinilah WordPress menjadi rumit — satu halaman sahaja mungkin memuatkan skrip daripada 5 plugin berbeza, masing-masing menetapkan kuki mereka sendiri. Nyahaktifkan plugin buat sementara waktu satu demi satu untuk mengenal pasti plugin mana yang menetapkan kuki yang mana.

Sumber Kuki Biasa dan Penyelesaiannya

Berikut ialah rujukan pantas untuk sumber kuki WordPress yang paling biasa dan cara menanganinya:

• Google Fonts: Tukar kepada fon yang dihoskan secara setempat. Plugin seperti OMGF atau tetapan tema anda boleh mengautomatikkan perkara ini.
• Google Analytics: Mesti disekat sehingga persetujuan diberikan. Ini dikendalikan oleh CMP anda.
• Benaman YouTube: Guna domain youtube-nocookie.com dan bukannya youtube.com. Ini menghalang kebanyakan kuki penjejakan.
• Google Maps: Muatkan hanya selepas persetujuan, atau guna imej peta statik sebagai pemegang tempat.
• Facebook Pixel: Mesti disekat sehingga persetujuan pemasaran diberikan.
• reCAPTCHA: Pertimbangkan alternatif seperti hCaptcha (lebih mesra privasi) atau teknik honeypot yang tidak memerlukan skrip luaran.

Menetapkan Plugin WordPress FlexyConsent untuk Pematuhan Lengkap

Setelah anda mengaudit kuki dan memahami apa yang perlu dikawal, melaksanakan FlexyConsent pada WordPress adalah mudah.

Plugin WordPress FlexyConsent berintegrasi terus ke dalam papan pemuka admin WordPress anda, menyediakan pengalaman konfigurasi asli:

1. Pasang dari Direktori Plugin: Cari "FlexyConsent" dalam Plugins > Add New, pasang, dan aktifkan. Tiada muat naik fail manual diperlukan.
2. Sambungkan laman anda: Masukkan ID laman FlexyConsent anda dalam tetapan plugin. Plugin secara automatik menyuntik skrip persetujuan pada kedudukan yang betul — sebelum sebarang skrip pihak ketiga yang lain.
3. Konfigurasi kategori kuki: Peta kuki yang telah diaudit kepada kategori persetujuan FlexyConsent. Plugin menyediakan antara muka visual untuk ini terus dalam admin WordPress anda.
4. Tetapkan penyekatan skrip: FlexyConsent secara automatik mengurus tag Google melalui Consent Mode V2. Untuk skrip lain (Facebook Pixel, penjejakan tersuai), plugin menyediakan peraturan penyekatan skrip yang menghalang pelaksanaan sehingga kategori persetujuan yang sesuai diberikan.
5. Uji dengan teliti: Guna tetingkap inkognito untuk mengesahkan bahawa kuki bukan penting disekat sehingga persetujuan diberikan, dan semua fungsi beroperasi dengan betul selepas persetujuan.

Sebagai Google-certified CMP dengan sokongan IAB TCF 2.3, FlexyConsent mengendalikan aspek paling kompleks pematuhan kuki WordPress secara automatik. Isyarat Consent Mode V2 dihantar kepada perkhidmatan Google tanpa sebarang konfigurasi tag tambahan, dan geo-targeting memastikan pelawat dari rantau berbeza melihat pengalaman persetujuan yang sesuai.

Inti utama: Fleksibiliti WordPress datang dengan kos privasi — setiap tema dan plugin boleh memperkenalkan kuki yang memerlukan persetujuan. Audit yang sistematik diikuti pelaksanaan CMP yang betul ialah satu-satunya jalan yang boleh dipercayai ke arah pematuhan. Jangan anggap laman anda hanya menetapkan kuki yang anda tahu; realitinya hampir selalu lebih kompleks daripada yang dijangka.