การตรวจสอบคุกกี้บน WordPress: ธีมและปลั๊กอินเพิ่มตัวติดตามให้เว็บคุณได้อย่างไร

ปัญหาคุกกี้ที่ซ่อนอยู่ใน WordPress

เจ้าของเว็บไซต์ WordPress ส่วนใหญ่ไม่รู้เลยว่าเว็บของตัวเองตั้งค่าคุกกี้ไว้มากแค่ไหน การติดตั้ง WordPress ใหม่ๆ พร้อมธีมยอดนิยมและปลั๊กอินพื้นฐานไม่กี่ตัว สามารถตั้งค่าได้ง่ายๆ ถึง 15 ถึง 30 คุกกี้ บนหลายโดเมน โดยจำนวน���ากถูกตั้งค่าก่อนที่ผู้เยี่ยมชมจะมีโอกาสให้ความยินยอมเสียอีก นี่ไม่ใช่ผลจากการติดตามโดยเจตนา แต่เป็นผลสะสมจากธีมและปลั๊กอินที่โหลดทรัพยากรภายนอกซึ่งมาพร้อมคุกกี้ของตัวเอง

การเข้าใจว่าคุกกี้เหล่านี้มาจากไหน ทำอะไร และจะควบคุมอย่างไร เป็นสิ่งจำเป็นสำหรับทุกเว็บไซต์ WordPress ที่ต้องปฏิบัติตาม GDPR, ePrivacy หรือกฎหมายลักษณะเดียวกัน คู่มือนี้จะพาคุณไล่ตรวจสอบทีละขั้นตอน

ทำไมเว็บไซต์ WordPress ถึงสะสมคุกกี้จำนวนมาก

สถาปัตยกรรมปลั๊กอินของ WordPress เป็นทั้งจุดแข็งที่สุดและความเสี่ยงด้านคว��มเป็นส่วนตัวที่ใหญ่ที่สุดของมัน แต่ละปลั๊กอินทำงานแบบกึ่งอิสระ และนักพัฒนาปลั๊กอินส่วนใหญ่ให้ความสำคัญกับฟังก์ชันการทำงานมากกว่าการปฏิบัติตามข้อกำหนดด้านคุกกี้ แหล่งที่มาหลักของคุกกี้บนเว็บไซต์ WordPress ทั่วไปมีดังนี้:

ธีมและ Google Fonts

ธีม WordPress จำนวนมากโหลด Google Fonts โดยตรงจาก fonts.googleapis.com เมื่อเบราว์เซอร์ของผู้เยี่ยมชมร้องขอฟอนต์เหล่านี้ Google สามารถตั้งค่าคุกกี้และเก็บข้อมูล IP ของผู้เยี่ยมชม ข้อมูลเบราว์เซอร์ และหน้าที่อ้างอิงได้ ในปี 2022 ศาลเยอรมันตัดสินว่าการโหลด Google Fonts จากเซิร์ฟเวอ���์ของ Google โดยไม่ได้รับความยินยอมเป็นการละเมิด GDPR ส่งผลให้ถูกปรับ 100 ยูโรต่อผู้เยี่ยมชมที่ได้รับผลกระทบหนึ่งราย ทางออกคือโฮสต์ฟอนต์ไว้ในเซิร์ฟเวอร์ของคุณเอง แต่ค่าเริ่มต้นของธีมส่วนใหญ่ยังชี้ไปที่เซิร์ฟเวอร์ของ Google อยู่

Page Builder และเครื่องมือ Analytics

Elementor ซึ่งเป็น Page Builder ที่ได้รับความนิยมมากที่สุดบน WordPress จะโหลดทรัพยากรภายนอกรวมถึงฟอนต์ และสามารถตั้งค่าคุกกี้เพื่อติดตามการใช้งานได้ วิดเจ็ตบางตัวของ Elementor ฝังคอนเทนต์จากบุคคลที่สาม (วิดีโอ YouTube, Google Maps) ซึ่งตั้งค่าคุกกี้ของตัวเอง แม้แต่ Elementor เวอร์ชันฟรีก็อาจส่งข้อมูลการใช้งานแบบไม่ระบุตัวตน เว้นแต่จะปิดการใช้งานอย่างชัดเจนในหน้า settings

ปลั๊กอิน SEO

Yoast SEO และ Rank Math เองตั้งค่าคุกกี้ไม่มาก แต่บ่อยครั้งจะเชื่อมต่อกับ Google Search Console และสนับสนุนให้เพิ่มโค้ดติดตามของ Google Analytics สคริปต์ analytics ที่ปลั๊กอินเหล่านี้ช่วยให้คุณติดตั้งคือแหล่งคุกกี้หลัก นอกจากนี้ Yoast เวอร์ชันพรีเมียมยังสื่อสารกับเซิร์ฟเวอร์ของ Yoast เพื่อวิเคราะห์ SEO ซึ่งอาจเกี่ยวข้องกับคุกกี้ได้

Jetpack และบริการ WordPress.com

Jetpack เป็นหนึ่งในตัวตั้งค่าคุกกี้รายใหญ่ที่��ุดในระบบนิเวศของ WordPress ขึ้นอยู่กับว่าโมดูลใดถูกเปิดใช้งาน Jetpack สามารถตั้งค่าคุกกี้สำหรับ:

• สถิติของเว็บไซต์ (WordPress.com stats)
• ปุ่มแชร์โซเชียล (โหลดสคริปต์จาก Facebook, Twitter, LinkedIn)
• ระบบคอมเมนต์ (คุกกี้ของ Gravatar)
• ฟีเจอร์ด้านความปลอดภัย (คุกกี้ของโมดูล Protect)
• การใช้ CDN (คุกกี้ของ WordPress.com CDN)

การติดตั้ง Jetpack เพียงตัวเดียวด้วยค่าเริ่มต้น สามารถเป็นต้นเหตุของคุกกี้ 8 ถึง 12 ตัวจากหลายโดเมนได้

WooCommerce และอีคอมเมิร์ซ

WooCommerce ตั้งค่าคุกกี้หลายตัวที่ถือว่าเป็นคุกกี้ที่จำเป็นอย่างเคร่งครัดสำหรับการทำงานของ���ะบบอีคอมเมิร์ซ:

• woocommerce_cart_hash: ช่วยให้ WooCommerce รู้ว่าเนื้อหาในตะกร้ามีการเปลี่ยนแปลงเมื่อใด
• woocommerce_items_in_cart: ติดตามว่ามีสินค้าอยู่ในตะกร้าหรือไม่
• wp_woocommerce_session_*: มีโค้ดเฉพาะสำหรับเซสชันของลูกค้าแต่ละราย

แม้ว่าคุกกี้เหล่านี้มักได้รับการยกเว้นไม่ต้องขอความยินยอมเพราะเป็นคุกกี้ที่จำเป็นอย่างเคร่งครัด แต่ส่วนขยายของ WooCommerce สำหรับการชำระเงิน การกู้คืนตะกร้าที่ถูกทิ้ง และระบบการตลาดอัตโนมัติ มักจะเพิ่มคุกกี้อีกจำนวนมากที่ต้องได้รับความยินยอม

ฟอร์มติดต่อและ reCAPTCHA

ปลั๊กอินฟอร์มติดต่ออย่าง Contact Form 7, WPForms และ Gravity Forms มักใช้ Google reCAPTCHA เพื่อป้องกันสแปม reCAPTCHA v2 และ v3 ตั้งค่าคุกกี้หลายตัวรวมถึง _GRECAPTCHA และโหลดสคริปต์จาก google.com ซึ่งสามารถตั้งค่าคุกกี้ติดตามเพิ่มเติมได้ นั่นหมายความว่าแม้แต่หน้าฟอร์มติดต่อธรรมดาๆ ก็อาจทำให้เกิดคุกกี้ที่เกี่ยวข้องกับโฆษณาได้

ปลั๊กอินแคช

ปลั๊กอินแคชอย่าง WP Super Cache, W3 Total Cache และ WP Rocket ตั้งค่าคุกกี้ของตัวเองเพื่อจัดการพฤติกรรมของแคช โดยทั่วไปถือเป็นคุกกี้เชิงฟังก์ชัน (เช่น ใช้เพื่อข้ามแคชสำหรับผู้���ช้ที่ล็อกอิน) แต่ก็ยังจำเป็นต้องระบุไว้ในนโยบายคุกกี้ของคุณ

วิธีตรวจสอบคุกกี้บนเว็บไซต์ WordPress ของคุณ

การตรวจสอบคุกกี้อย่างละเอียดต้องสแกนเว็บไซต์จากมุมมองของผู้เยี่ยมชม ขั้นตอนมีดังนี้:

ขั้นตอนที่ 1: ใช้เครื่องมือสำหรับนักพัฒนาในเบราว์เซอร์

เปิดเว็บไซต์ของคุณใน Chrome ไปที่ DevTools > Application > Cookies แล้วตรวจสอบคุกกี้ทั้งหมดที่ถูกตั้งค่าสำหรับโดเมนของคุณและโดเมนของบุคคลที่สาม ทำในหน้าต่างไม่ระบุตัวตน (incognito) เพื่อจำลองผู้เยี่ยมชมครั้งแรก จดชื่อคุกกี้ โดเมน วันหมดอายุ และระบุว่าเป็นคุกกี้ first-party หรือ third-party

ขั้นตอนที่ 2: ใช้ตัวสแกนคุกกี้โดยเฉพาะ

การตรวจสอบด้วยตนเองจะจับคุกกี้ที่ถูกตั้งค่าตอนโหลดหน้า แต่จะพลาดคุกกี้ที่ถูกตั้งค่าจากการโต้ตอบ (คลิกปุ่ม ส่งฟอร์ม เลื่อนหน้า) ตัวสแกนเฉพาะทางอย่าง Cookiebot's free scanner, CookieYes scanner หรือส่วนขยายเบราว์เซอร์อย่าง EditThisCookie จะให้ผลลัพธ์ที่ครอบคลุมมากกว่า ให้รันการสแกนในหลายๆ หน้า ไม่ใช่แค่หน้าแรก

ขั้นตอนที่ 3: จัดหมวดหมู่คุกกี้ทุกตัว

จัดกลุ่มคุกกี้ที่ค้นพบตามหมวดหมู่มาตรฐาน:

• Strictly Necessary (จำเป็นอย่างเคร่งครั���): คุกกี้เซสชัน การยืนยันตัวตน ความปลอดภัย ฟังก์ชันตะกร้าสินค้า คุกกี้เหล่านี้ไม่ต้องขอความยินยอม
• Functional (เชิงฟังก์ชัน): การจดจำภาษา การปรับแต่งส่วนติดต่อผู้ใช้ ตามหลักแล้วต้องขอความยินยอมแต่มีความเสี่ยงต่ำ
• Analytics (วิเคราะห์): Google Analytics, WordPress.com stats, เครื่องมือ heatmap ต้องได้รับความยินยอม
• Marketing/Advertising (การตลาด/โฆษณา): Google Ads, Facebook Pixel, คุกกี้ remarketing ต้องได้รับความยินยอม และเป็นกลุ่มที่ต้องให้ความสำคัญสูงสุดในการบล็อก

ขั้นตอนที่ 4: แผนที่คุกกี้ไปยังแหล่งที่มา

สำหรับคุกกี้แต่ละตัว ให้ระบุว่ามาจากธีมหรือปลั๊กอินใด นี่คือจุดที่ WordPress ซับซ้อน — หน้าเพียงหน้าหนึ่งอาจโหลดสคริปต์จากปลั๊กอิน 5 ตัว ซึ่งแต่ละตัวตั้งค่าคุกกี้ของตัวเอง ลองปิดการใช้งานปลั๊กอินทีละตัวชั่วคราวเพื่อระบุว่าปลั๊กอินใดเป็นผู้ตั้งค่าคุกกี้ใด

แหล่งคุกกี้ที่พบบ่อยและแนวทางแก้ไข

ต่อไปนี้คือสรุปแหล่งคุกกี้ที่พบบ่อยที่สุดบน WordPress และวิธีจัดการ:

• Google Fonts: เปลี่ยนมาใช้ฟอนต์ที่โฮสต์ในเซิร์ฟเวอร์ของคุณเอง ปลั๊กอินอย่าง OMGF หรือ settings ของธีมบางตัวสามารถทำให้ขั้นตอนนี้เป็นอัตโนมัติได้
• Google Analytics: ต้องถูกบล็อกจนกว่าจะได้รับความยินยอม การจัดการส่วนนี้เป็นหน้าที่ของ CMP ของคุณ
• YouTube embeds: ใช้โดเมน youtube-nocookie.com แทน youtube.com วิธีนี้ช่วยป้องกันคุกกี้ติดตามส่วนใหญ่
• Google Maps: โหลดเฉพาะหลังจากได้รับความยินยอม หรือใช้ภาพแผนที่แบบ static เป็นตัวแทนก่อน
• Facebook Pixel: ต้องถูกบล็อกจนกว่าจะได้รับความยินยอมสำหรับหมวดการตลาด
• reCAPTCHA: พิจารณาทางเลือกอื่นอย่าง hCaptcha (เป็นมิตรต่อความเป็นส่วนตัวมากกว่า) หรือเทคนิค honeypot ที่ไม่ต้องใช้สคริปต์ภายนอก

การตั้งค่าปลั๊กอิน FlexyConsent บน WordPress เพ��่อให้สอดคล้องอย่างสมบูรณ์

เมื่อคุณตรวจสอบคุกกี้เรียบร้อยและเข้าใจแล้วว่าต้องควบคุมอะไรบ้าง การใช้งาน FlexyConsent บน WordPress จะค่อนข้างตรงไปตรงมา

ปลั๊กอิน FlexyConsent สำหรับ WordPress ผสานเข้ากับแดชบอร์ดผู้ดูแล WordPress ของคุณโดยตรง มอบ��ระสบการณ์การตั้งค่าแบบ native:

1. ติดตั้งจาก Plugin Directory: ค้นหา "FlexyConsent" ในเมนู Plugins > Add New จากนั้นติดตั้งและเปิดใช้งาน ไม่ต้องอัปโหลดไฟล์ด้วยตนเอง
2. เชื่อมต่อเว็บไซต์ของคุณ: กรอก FlexyConsent site ID ในหน้า settings ของปลั๊กอิน ปลั๊กอินจะฝังสคริปต์สำหรับการขอความยินยอมในตำแหน่งที่ถูกต้องโดยอัตโนมัติ — ก่อนสคริปต์ของบุคคลที่สามอื่นๆ ทั้งหมด
3. กำหนดหมวดหมู่คุกกี้: จับคู่คุกกี้ที่คุณตรวจสอบไว้กับหมวดหมู่ความยินยอมของ FlexyConsent ปลั๊กอินมีอินเทอร์เฟซแบบภาพให้ใช้งานได้โดยตรงในหน้า admin ของ WordPress
4. ตั้งค่าการบล็อกสคริปต์: FlexyConsent จัดการ Google tags โดยอัตโนมัติผ่าน Consent Mode V2 สำหรับสคริปต์อื่นๆ (Facebook Pixel, สคริปต์ติดตามแบบกำหนดเอง) ปลั๊กอินมี rules สำหรับบล็อกสคริปต์เพื่อป้องกันไม่ให้รันจนกว่าจะได้รับความยินยอมในหมวดที่เกี่ยวข้อง
5. ทดสอบอย่างละเอียด: ใช้หน้าต่าง incognito เพื่อตรวจสอบว่าคุกกี้ที่ไม่จำเป็นถูกบล็อกจนกว่าจะได้รับความยินยอม และตรวจสอบว่าฟังก์ชันทั้งหมดทำงานได้ถูกต้องหลังจากให้ความยินยอมแล้ว

ในฐานะ Google-certified CMP ที่รองรับ IAB TCF 2.3 FlexyConsent จะจัดการส่วนที่ซับซ้อนที่���ุดของการปฏิบัติตามข้อกำหนดคุกกี้บน WordPress ให้โดยอัตโนมัติ สัญญาณ Consent Mode V2 จะถูกส่งไปยังบริการของ Google โดยไม่ต้องตั้งค่าแท็กเพิ่มเติม และการกำหนดเป้าหมายตามภูมิภาค (geo-targeting) ช่วยให้ผู้เยี่ยมชมจากภูมิภาคต่างๆ ได้รับประสบการณ์การขอความยินยอมที่เหมาะสม

ข้อสรุปสำคัญ: ความยืดหยุ่นของ WordPress มาพร้อมต้นทุนด้านความเป็นส่วนตัว — ธีมและปลั๊กอินแต่ละตัวสามารถเพิ่มคุกกี้ที่ต้องขอความยินยอมได้ การตรวจสอบอย่างเป็นระบบตามด้วยการติดตั้ง CMP อย่างถูกต้องคือเส้นทางที่เชื่อถือได้เพียงทางเดียวสู่การปฏิบัติตามข้อกำหนด อย่าคิดว่าเว���บไซต์ของคุณตั้งค่าเฉพาะคุกกี้ที่คุณรู้จัก เพราะความเป็นจริงมักซับซ้อนกว่าที่คาดไว้เสมอ