Kiểm toán cookie trên WordPress: Cách giao diện và plugin phủ đầy trình theo dõi trên site của bạn

Vấn đề cookie ẩn trên WordPress

Hầu hết chủ sở hữu site WordPress không nhận ra site của họ đặt bao nhiêu cookie. Một cài đặt WordPress mới với một giao diện phổ biến và một vài plugin thông dụng có thể dễ dàng đặt 15 đến 30 cookie trên nhiều domain khác nhau, nhiều cookie trong số đó được đặt trước khi khách truy cập có cơ hội đồng ý. Đây không phải là kết quả của việc cố ý theo dõi — mà là hiệu ứng cộng dồn của các giao diện và plugin tải tài nguyên bên ngoài đi kèm cookie riêng của chúng.

Hiểu cookie đến từ đâu, chúng làm gì và cách kiểm soát chúng là điều thiết yếu cho bất kỳ site WordPress nào cần tuân thủ GDPR, ePrivacy hoặc các quy định tương tự. Hướng dẫn này sẽ đi qua quy trình kiểm toán từng bước.

Vì sao các site WordPress tích lũy nhiều cookie đến vậy

Kiến trúc plugin của WordPress vừa là điểm mạnh nhất vừa là rủi ro lớn nhất về quyền riêng tư. Mỗi plugin hoạt động gần như độc lập, và hầu hết nhà phát triển plugin tập trung vào chức năng hơn là tuân thủ cookie. Dưới đây là các nguồn cookie chính trên một site WordPress điển hình:

Giao diện và Google Fonts

Nhiều giao diện WordPress tải Google Fonts trực tiếp từ fonts.googleapis.com. Khi trình duyệt của khách truy cập yêu cầu các font này, Google có thể đặt cookie và thu thập địa chỉ IP của khách, thông tin trình duyệt và trang giới thiệu. Năm 2022, một tòa án Đức phán quyết rằng tải Google Fonts từ máy chủ của Google mà không có sự đồng ý là vi phạm GDPR, dẫn đến khoản phạt 100 EUR cho mỗi khách truy cập bị ảnh hưởng. Giải pháp là lưu trữ font cục bộ, nhưng hầu hết thiết lập mặc định của giao diện vẫn trỏ đến máy chủ của Google.

Trình dựng trang và công cụ phân tích

Elementor, trình dựng trang WordPress phổ biến nhất, tải các tài nguyên bên ngoài bao gồm font và có thể đặt cookie theo dõi mức độ sử dụng. Một số widget của Elementor nhúng nội dung bên thứ ba (video YouTube, Google Maps) vốn tự đặt cookie riêng. Ngay cả phiên bản miễn phí của Elementor cũng có thể gửi dữ liệu sử dụng đã ẩn danh trừ khi bạn tắt rõ ràng trong phần cài đặt.

Plugin SEO

Yoast SEO và Rank Math tự chúng đặt rất ít cookie, nhưng chúng thường tích hợp với Google Search Console và khuyến khích thêm mã theo dõi Google Analytics. Các script phân tích mà chúng giúp bạn triển khai là nguồn cookie lớn. Phiên bản trả phí của Yoast cũng giao tiếp với máy chủ của Yoast để phân tích SEO, điều này có thể liên quan đến cookie.

Jetpack và các dịch vụ WordPress.com

Jetpack là một trong những công cụ đặt cookie nhiều nhất trong hệ sinh thái WordPress. Tùy thuộc vào module nào đang bật, Jetpack có thể đặt cookie cho:

• Thống kê site (WordPress.com stats)
• Nút chia sẻ mạng xã hội (tải script từ Facebook, Twitter, LinkedIn)
• Hệ thống bình luận (cookie của Gravatar)
• Tính năng bảo mật (cookie của module Protect)
• Việc sử dụng CDN (cookie của WordPress.com CDN)

Một cài đặt Jetpack với thiết lập mặc định có thể chịu trách nhiệm cho 8 đến 12 cookie từ nhiều domain khác nhau.

WooCommerce và thương mại điện tử

WooCommerce đặt một số cookie được xem là thực sự cần thiết cho chức năng thương mại điện tử:

• woocommerce_cart_hash: Giúp WooCommerce biết khi nào nội dung giỏ hàng thay đổi.
• woocommerce_items_in_cart: Theo dõi xem trong giỏ có sản phẩm hay không.
• wp_woocommerce_session_*: Chứa mã định danh duy nhất cho phiên của mỗi khách hàng.

Mặc dù những cookie này thường được miễn yêu cầu đồng ý vì là cookie thực sự cần thiết, các tiện ích mở rộng WooCommerce cho xử lý thanh toán, khôi phục giỏ hàng bị bỏ quên và tự động hóa marketing lại thêm nhiều cookie khác cần có sự đồng ý.

Form liên hệ và reCAPTCHA

Các plugin form liên hệ như Contact Form 7, WPForms và Gravity Forms thường dùng Google reCAPTCHA để chống spam. reCAPTCHA v2 và v3 đặt nhiều cookie bao g���m _GRECAPTCHA và tải script từ google.com có thể đặt thêm cookie theo dõi. Điều này có nghĩa là ngay cả một trang liên hệ đơn giản cũng có thể kích hoạt cookie liên quan đến quảng cáo.

Plugin cache

Các plugin cache như WP Super Cache, W3 Total Cache và WP Rocket đặt cookie riêng để quản lý hành vi cache. Đây thường là cookie chức năng (ví dụ, để bỏ qua cache cho người dùng đã đăng nhập), nhưng chúng vẫn cần được ghi nhận trong chính sách cookie của bạn.

Cách kiểm toán cookie trên site WordPress của bạn

Một cuộc kiểm toán cookie kỹ lưỡng bao gồm việc quét site từ góc nhìn của khách truy cập. Quy trình như sau:

Bước 1: Dùng công cụ dành cho nhà phát triển của trình duyệt

Mở site của bạn trong Chrome, vào DevTools > Application > Cookies, và kiểm tra tất cả cookie được đặt cho domain của bạn và domain bên thứ ba. Thực hiện việc này trong cửa sổ ẩn danh để mô phỏng khách truy cập lần đầu. Ghi lại tên, domain, thời hạn, và cookie là của bên thứ nhất hay bên thứ ba.

Bước 2: Dùng c��ng cụ quét cookie chuyên dụng

Kiểm tra thủ công sẽ phát hiện cookie được đặt khi tải trang, nhưng bỏ sót cookie được đặt khi tương tác (nhấp nút, gửi form, cuộn trang). Các công cụ quét chuyên dụng như Cookiebot's free scanner, CookieYes scanner hoặc tiện ích trình duyệt như EditThisCookie cung cấp kết quả toàn diện hơn. Hãy chạy quét trên nhiều trang, không chỉ trang chủ.

Bước 3: Phân loại từng cookie

Nhóm các cookie tìm được vào các loại tiêu chuẩn:

• Thực sự cần thiết: Cookie phiên, xác thực, bảo mật, chức năng giỏ hàng. Không cần sự đồng ý.
• Chức năng: Ưu tiên ngôn ngữ, tùy chỉnh giao diện người dùng. Về mặt kỹ thuật cần sự đồng ý nhưng rủi ro thấp.
• Phân tích: Google Analytics, WordPress.com stats, công cụ heatmap. Cần sự đồng ý.
• Marketing/Quảng cáo: Google Ads, Facebook Pixel, cookie remarketing. Cần sự đồng ý và là ưu tiên cao nhất để chặn.

Bước 4: Gắn cookie với nguồn của chúng

Với mỗi cookie, hãy xác định giao diện ho��c plugin nào chịu trách nhiệm. Đây là điểm khiến WordPress trở nên phức tạp — một trang đơn lẻ có thể tải script từ 5 plugin khác nhau, mỗi plugin lại đặt cookie riêng. Tạm thời vô hiệu hóa từng plugin một để xác định plugin nào đặt cookie nào.

Các nguồn cookie phổ biến và cách xử lý

Dưới đây là bảng tham chiếu nhanh cho các nguồn cookie WordPress phổ biến nhất và cách giải quyết chúng:

• Google Fonts: Chuyển sang font lưu trữ cục bộ. Các plugin như OMGF hoặc phần cài đặt của giao diện có thể tự động hóa việc này.
• Google Analytics: Phải bị chặn cho đến khi có sự đồng ý. Việc này được xử lý bởi CMP của bạn.
• Nhúng YouTube: Dùng domain youtube-nocookie.com thay vì youtube.com. Điều này ngăn phần lớn cookie theo dõi.
• Google Maps: Chỉ tải sau khi có sự đồng ý, hoặc dùng hình ảnh bản đồ tĩnh làm placeholder.
• Facebook Pixel: Phải bị chặn cho đến khi có sự đồng ý cho mục đích marketing.
• reCAPTCHA: Cân nhắc các lựa chọn thay thế như hCaptcha (thân thiện quyền riêng tư hơn) hoặc kỹ thuật honeypot không cần script bên ngoài.

Thiết lập plugin FlexyConsent cho WordPress để tuân thủ đầy đủ

Khi bạn đã kiểm toán cookie và hiểu những gì cần kiểm soát, triển khai FlexyConsent trên WordPress khá đơn giản.

Plugin WordPress của FlexyConsent tích hợp trực tiếp vào bảng điều khiển quản trị WordPress của bạn, mang lại trải nghiệm cấu hình gốc:

1. Cài đặt từ Plugin Directory: Tìm "FlexyConsent" trong Plugins > Add New, cài đặt và kích hoạt. Không cần tải file thủ công.
2. Kết nối site của bạn: Nhập FlexyConsent site ID trong phần cài đặt plugin. Plugin sẽ tự động chèn script đồng ý vào vị trí chính xác — trước bất kỳ script bên thứ ba nào khác.
3. Cấu hình nhóm cookie: Gắn các cookie đã kiểm toán với các nhóm đồng ý của FlexyConsent. Plugin cung cấp giao diện trực quan cho việc này ngay trong phần quản trị WordPress.
4. Thiết lập chặn script: FlexyConsent tự động quản lý các thẻ Google thông qua Consent Mode V2. Với các script khác (Facebook Pixel, theo dõi tùy chỉnh), plugin cung cấp quy tắc chặn script để ngăn thực thi cho đến khi nhóm đồng ý phù hợp được cấp.
5. Kiểm tra kỹ lưỡng: Dùng cửa sổ ẩn danh để xác minh rằng cookie không thiết yếu bị chặn cho đến khi có sự đồng ý, và mọi chức năng đều hoạt động đúng sau khi đồng ý.

Là một Google-certified CMP với hỗ trợ IAB TCF 2.3, FlexyConsent tự động xử lý các khía cạnh phức tạp nhất của tuân thủ cookie trên WordPress. Tín hiệu Consent Mode V2 được gửi đến các dịch vụ của Google mà không cần cấu hình thẻ bổ sung, và tính năng nhắm mục tiêu theo khu vực đảm bảo khách truy cập từ các vùng khác nhau sẽ thấy trải nghiệm xin đồng ý phù hợp.

Điểm mấu chốt: Tính linh hoạt của WordPress đi kèm cái giá về quyền riêng tư — mỗi giao diện và plugin đều có thể đưa vào các cookie cần sự đồng ý. Một cuộc kiểm toán có hệ thống tiếp theo là triển khai CMP đúng cách là con đường đáng tin cậy duy nhất để tuân thủ. Đừng cho rằng site của bạn chỉ đặt những cookie mà bạn biết; thực tế gần như luôn phức tạp hơn nhiều so với dự đoán.