Apa yang dilakukan sepanduk kuki asli Squarespace dan di mana ia berhenti

Cookie Banner asli Squarespace — boleh diakses di bawah Settings, Cookies & Visitor Data — menyokong UI sepanduk yang boleh dikonfigurasi, mendedahkan pilihan gaya persetujuan pengendali, dan berintegrasi dengan analitik dan permukaan pemasaran Squarespace sendiri. Apabila pengendali mengaktifkan sepanduk dan mengkonfigurasi tetapan data pelawat, integrasi dalaman Squarespace menghormati pilihan pelawat tanpa wayar tambahan: Squarespace Analytics berpintu pada isyarat analitik, piksel pemasaran semula Pinterest, Facebook, dan Google Ads menghormati isyarat pemasaran, dan pengumpulan data tingkah laku platform sendiri ditekan untuk pelawat yang menolak.

Apa yang tidak dilakukan sepanduk, dan di mana kegagalan pematuhan yang paling biasa berlaku di Squarespace, ialah menutup skrip pihak ketiga yang ditambah pengendali melalui Code Injection. Panel Code Injection — di bawah Settings, Advanced — membenarkan pengendali menampal HTML dan JavaScript sewenang-wenangnya ke dalam pengepala halaman, pengaki, atau lokasi setiap halaman. Skrip yang disuntik dengan cara ini berjalan sebelum sepanduk dilihat oleh pelawat, bermakna sebarang tag pihak ketiga yang ditampal ke dalam Code Injection dihidupkan tanpa mengira persetujuan. Hotjar, bekas Google Tag Manager tersuai, Facebook Pixel tambahan, widget sembang, pembekal video — apa-apa yang tidak ada dalam senarai integrasi asli Squarespace tidak akan berpintu oleh sepanduk asli kecuali pengendali membungkus skrip dalam semakan persetujuan.

Gaya persetujuan lalai: opt-in lawan tersirat

Sepanduk Squarespace menyokong kedua-dua gaya persetujuan opt-in dan tersirat, dan pilihan tersirat kekal tersedia walaupun ia telah menjadi sumber penemuan pengawal selia yang berulang terhadap tapak yang dihoskan Squarespace di seluruh EEA. Pengendali mesti memilih pilihan opt-in, mengesahkan bahawa pengumpulan data pelawat lalai kepada mati sehingga pelawat menerima, dan memastikan kemudahan tolak sekurang-kurangnya sama ketara dengan kemudahan terima dalam UI sepanduk. Tiga tetapan ini — persetujuan eksplisit, lalai mati, tolak ketara — ialah minimum yang diperlukan tapak Squarespace untuk melepasi ambang yang ditetapkan EDPB dalam garis panduan sepanduk kuki 2023 dan ditegaskan semula dalam keutamaan pasukan petugas 2026.

Permukaan Code Injection dan cara menyekatnya

Corak integrasi yang berfungsi pada Squarespace mempunyai tiga bahagian. Pertama, konfigurasikan sepanduk asli dengan betul. Kedua, kenal pasti setiap skrip dalam Code Injection dan nilai kategori persetujuan yang ia termasuk. Ketiga, bungkus setiap skrip Code Injection dalam semakan persetujuan sebelum ia dilaksanakan — sama ada dengan membaca keadaan persetujuan terdedah Squarespace pada masa jalan atau dengan memasukkan elemen skrip secara bersyarat hanya selepas sepanduk mengembalikan isyarat positif untuk kategori yang relevan.

Corak paling bersih untuk skrip yang disuntik pengepala ialah menukarnya kepada bentuk pemegang tempat: ubah atribut type daripada text/javascript kepada text/plain, tambah atribut data-category yang mengenal pasti pintu persetujuan, dan masukkan skrip bootstrap kecil yang mendengar acara perubahan persetujuan Squarespace dan menulis semula atribut type apabila kategori diberikan. Corak bootstrap adalah sama yang digunakan Webflow, Drupal, dan Cloudflare Zaraz; sumbangan Squarespace ialah objek keadaan persetujuan yang dibaca bootstrap.

Permukaan widget pihak ketiga yang sentiasa terlepas oleh pengendali Squarespace

Pengendali Squarespace sangat bergantung pada blok terbenam untuk kandungan kaya yang mendorong kebanyakan daya tarikan platform. Setiap blok ini memperkenalkan permukaan persetujuan berasingan yang tidak secara automatik berpintu pada sepanduk asli.

• Blok video — Video latar belakang YouTube dan Vimeo memuatkan skrip pihak ketiga pembekal pada setiap paparan halaman. Mod benam YouTube yang dipertingkatkan privasi dan mod benam Vimeo do-not-track adalah pilihan, tetapi corak yang lebih selamat ialah membungkus blok video dalam pemegang tempat klik-untuk-muatkan yang hanya mengambil iframe pembekal apabila pelawat mengaktifkannya secara eksplisit.
• Blok sosial — Blok Instagram, Twitter, TikTok, dan Pinterest masing-masing mengambil skrip benam pembekal dan menetapkan kuki sisi pembekal. Coraknya sama: gantikan blok langsung dengan pratonton statik yang memuatkan benam hanya pada interaksi pengguna, di belakang pintu persetujuan pemasaran.
• Borang pendaftaran surat berita — Borang terbina dalam Squarespace menyedari persetujuan, tetapi benam borang pihak ketiga Mailchimp, Klaviyo, ConvertKit, dan serupa tidak, dan pembekal borang terbenam biasanya memuatkan analitik sendiri pada paparan borang. Setiap satu mesti dibungkus dalam semakan persetujuan.
• Widget sembang — Benam sembang Drift, Intercom, Tidio, dan serupa menetapkan kuki sesi dan identiti sendiri serta memuatkan JavaScript sendiri. Mereka tergolong di belakang pintu persetujuan berfungsi sekurang-kurangnya, dan pintu pemasaran jika platform sembang berintegrasi dengan CRM yang menyebarkan data pelawat.

Squarespace Commerce dan permukaan troli

Squarespace Commerce memperkenalkan kuki yang amat diperlukan untuk keadaan troli, identiti sesi, dan daftar keluar yang tidak memerlukan persetujuan kerana ia penting untuk perkhidmatan yang diminta pelawat. Komplikasi timbul di sekitar permukaan pemasaran yang diperkenalkan Commerce: e-mel troli terbengkalai, enjin cadangan produk, integrasi Facebook Conversions API, pemasaran semula Google Ads, dan integrasi Klaviyo atau Mailchimp yang diaktifkan kebanyakan kedai. Ini bukan penting dan mesti berpintu. Sepanduk asli Squarespace mengendalikan integrasi Conversions platform sendiri; Klaviyo dan Mailchimp dan sebarang persediaan Conversions tersuai memerlukan pengecualian sisi pengendali.

Pengesahan dan postur audit untuk 2026

Penempatan Squarespace yang boleh dipertahankan pada 2026 mesti lulus empat pemeriksaan teknikal. Pertama, sesi pelayar bersih yang dilayan dari alamat IP EEA mesti menghasilkan sifar kuki bukan penting sebelum sepanduk diambil tindakan — meliputi kuki yang diurus Squarespace, skrip Code Injection, blok video dan sosial terbenam, dan sebarang widget surat berita atau sembang di halaman. Kedua, laluan tolak mesti mengekalkan keadaan itu. Ketiga, laluan terima mesti menghasilkan hanya tag yang telah dipersetujui pelawat, dan kuki dan keadaan persetujuan Squarespace mesti mengandungi rekod yang sepadan. Keempat, penarikan balik mesti segera menghentikan penembakan tag selanjutnya, tamatkan kuki yang ditetapkan semasa sesi yang dipersetujui, dan sebarkan opt-out kepada penerima pihak ketiga hilir. Soalan jejak audit adalah di mana sepanduk asli Squarespace kini menunjukkan hadnya. Sepanduk merekodkan keadaan persetujuan pelawat dalam kuki pihak pertama yang dibaca integrasi Squarespace sendiri, tetapi platform tidak mengekalkan log audit sisi pelayan yang boleh ditanya oleh pengecam pelawat atau pengecam sesi seperti yang dilakukan CMP pihak ketiga. Untuk penempatan yang beroperasi terutamanya dalam bidang kuasa dengan jangkaan jejak audit yang lebih ringan, sepanduk asli mencukupi apabila dikonfigurasi dengan betul. Untuk penempatan yang memerlukan log persetujuan yang boleh ditanya — pelaporan berbilang bidang kuasa, rekod persetujuan per vendor, integrasi dengan standard dokumentasi EDPB yang dijangka — CMP pihak ketiga yang berlapis di atas sepanduk asli adalah jawapan yang betul, dengan sepanduk asli dimatikan dan Cookiebot, OneTrust, Usercentrics, atau Iubenda dipasang melalui Code Injection sebagai gantinya. Tapak Squarespace yang telah memilih antara dua laluan secara sengaja, menutup setiap permukaan Code Injection, menangani corak widget terbenam, dan mengambil kira integrasi pemasaran khusus Commerce ialah tapak Squarespace yang telah mengubah kesederhanaan mesra pereka platform menjadi bahagian yang boleh dipertahankan daripada postur persetujuan pengendali berbanding hutang pematuhan tersembunyi.