Banner cookie gốc của Squarespace làm gì và dừng ở đâu

Cookie Banner gốc của Squarespace — có thể truy cập trong Settings, Cookies & Visitor Data — hỗ trợ giao diện banner có thể cấu hình, hiển thị lựa chọn kiểu đồng ý của nhà vận hành và tích hợp với phân tích và bề mặt tiếp thị của chính Squarespace. Khi nhà vận hành kích hoạt banner và cấu hình cài đặt dữ liệu khách truy cập, các tích hợp nội bộ của Squarespace tôn trọng lựa chọn của khách truy cập mà không cần cấu hình thêm: Squarespace Analytics được kiểm soát bởi tín hiệu phân tích, các pixel tiếp thị lại của Pinterest, Facebook và Google Ads tôn trọng tín hiệu tiếp thị, và việc thu thập dữ liệu hành vi của chính nền tảng bị chặn đối với khách truy cập từ chối.

Điều mà banner không làm, và nơi xảy ra lỗi tuân thủ phổ biến nhất trên Squarespace, là chặn các tập lệnh của bên thứ ba mà nhà vận hành thêm qua Code Injection. Bảng điều khiển Code Injection — trong Settings, Advanced — cho phép nhà vận hành dán HTML và JavaScript tùy ý vào đầu trang, chân trang hoặc các vị trí theo từng trang. Các tập lệnh được tiêm theo cách này chạy trước khi banner được khách truy cập nhìn thấy, có nghĩa là bất kỳ thẻ của bên thứ ba nào được dán vào Code Injection đều kích hoạt bất kể đồng ý. Hotjar, các vùng chứa Google Tag Manager tùy chỉnh, Facebook Pixels bổ sung, tiện ích trò chuyện, nhà cung cấp video — bất cứ thứ gì không có trong danh sách tích hợp gốc của Squarespace sẽ không bị chặn bởi banner gốc trừ khi nhà vận hành bao bọc tập lệnh trong kiểm tra đồng ý.

Kiểu đồng ý mặc định: opt-in so với ngụ ý

Banner của Squarespace hỗ trợ cả kiểu đồng ý opt-in và ngụ ý, và tùy chọn ngụ ý vẫn còn khả dụng mặc dù đã là nguồn gốc của các phát hiện quy định lặp đi lặp lại đối với các trang web được lưu trữ bởi Squarespace trên toàn EEA. Nhà vận hành phải chọn tùy chọn opt-in, xác minh rằng thu thập dữ liệu khách truy cập mặc định tắt cho đến khi khách truy cập chấp nhận và đảm bảo rằng khả năng từ chối ít nhất cũng nổi bật như khả năng chấp nhận trong giao diện banner. Ba cài đặt này — đồng ý rõ ràng, mặc định tắt, từ chối nổi bật — là mức tối thiểu mà trang web Squarespace cần để vượt qua ngưỡng mà EDPB đặt ra trong hướng dẫn banner cookie năm 2023.

Bề mặt Code Injection và cách kiểm soát nó

Mẫu tích hợp hoạt động trên Squarespace có ba phần. Thứ nhất, cấu hình banner gốc đúng cách. Thứ hai, xác định mọi tập lệnh trong Code Injection và đánh giá danh mục đồng ý nào nó thuộc về. Thứ ba, bao bọc mỗi tập lệnh Code Injection trong kiểm tra đồng ý trước khi nó thực thi — bằng cách đọc trạng thái đồng ý được hiển thị của Squarespace trong thời gian chạy hoặc bằng cách chèn phần tử tập lệnh có điều kiện chỉ sau khi banner trả về tín hiệu dương cho danh mục liên quan.

Mẫu sạch nhất cho các tập lệnh được tiêm vào tiêu đề là chuyển đổi chúng sang dạng trình giữ chỗ: thay đổi thuộc tính type từ text/javascript thành text/plain, thêm thuộc tính data-category xác định cổng đồng ý và bao gồm tập lệnh bootstrap nhỏ lắng nghe sự kiện thay đổi đồng ý của Squarespace và viết lại thuộc tính type khi danh mục được cấp. Mẫu bootstrap giống với mẫu mà Webflow, Drupal và Cloudflare Zaraz sử dụng; đóng góp của Squarespace là đối tượng trạng thái đồng ý mà bootstrap đọc.

Bề mặt tiện ích của bên thứ ba mà nhà vận hành Squarespace thường bỏ qua

Các nhà vận hành Squarespace phụ thuộc nhiều vào các khối nhúng cho nội dung phong phú thúc đẩy phần lớn sức hấp dẫn của nền tảng. Mỗi khối này giới thiệu một bề mặt đồng ý riêng biệt mà banner gốc không tự động kiểm soát.

• Khối video — Video nền YouTube và Vimeo tải tập lệnh của bên thứ ba của nhà cung cấp tại mỗi lần kết xuất trang. Chế độ nhúng YouTube được cải thiện quyền riêng tư và chế độ nhúng Vimeo do-not-track là các tùy chọn, nhưng mẫu an toàn hơn là bao bọc khối video trong trình giữ chỗ nhấp để tải chỉ lấy iframe của nhà cung cấp khi khách truy cập kích hoạt nó một cách rõ ràng.
• Khối mạng xã hội — Các khối Instagram, Twitter, TikTok và Pinterest mỗi khối lấy tập lệnh nhúng của nhà cung cấp và đặt cookie phía nhà cung cấp. Mẫu giống nhau: thay thế khối trực tiếp bằng bản xem trước tĩnh chỉ tải tệp nhúng khi tương tác của người dùng, phía sau cổng đồng ý tiếp thị.
• Biểu mẫu đăng ký bản tin — Biểu mẫu tích hợp sẵn của Squarespace nhận biết đồng ý, nhưng các tệp nhúng biểu mẫu của bên thứ ba như Mailchimp, Klaviyo, ConvertKit và tương tự thì không, và nhà cung cấp biểu mẫu nhúng thường tải phân tích của riêng họ khi kết xuất biểu mẫu. Mỗi cái phải được bao bọc trong kiểm tra đồng ý.
• Tiện ích trò chuyện — Các tệp nhúng trò chuyện Drift, Intercom, Tidio và tương tự đặt cookie phiên và danh tính của riêng chúng và tải JavaScript của riêng chúng. Chúng thuộc phía sau cổng đồng ý chức năng ít nhất, và cổng tiếp thị nếu nền tảng trò chuyện tích hợp với CRM phổ biến dữ liệu khách truy cập.

Squarespace Commerce và bề mặt giỏ hàng

Squarespace Commerce giới thiệu các cookie hoàn toàn cần thiết cho trạng thái giỏ hàng, danh tính phiên và thanh toán không yêu cầu đồng ý vì chúng cần thiết cho dịch vụ mà khách truy cập đã yêu cầu. Sự phức tạp phát sinh xung quanh các bề mặt tiếp thị mà Commerce giới thiệu: email giỏ hàng bị bỏ lại, công cụ đề xuất sản phẩm, tích hợp Facebook Conversions API, tiếp thị lại Google Ads và tích hợp Klaviyo hoặc Mailchimp mà hầu hết các cửa hàng kích hoạt. Đây là những thứ không thiết yếu và phải được kiểm soát. Banner gốc của Squarespace xử lý các tích hợp Conversions của chính nền tảng; Klaviyo và Mailchimp và bất kỳ cấu hình Conversions tùy chỉnh nào đều yêu cầu kiểm soát phía nhà vận hành.

Xác thực và tư thế kiểm tra cho 2026

Triển khai Squarespace có thể bảo vệ được vào năm 2026 phải vượt qua bốn kiểm tra kỹ thuật. Thứ nhất, một phiên trình duyệt sạch được phục vụ từ địa chỉ IP EEA phải tạo ra không có cookie không thiết yếu trước khi banner được thực hiện — bao gồm các cookie do Squarespace quản lý, các tập lệnh Code Injection, các khối video và mạng xã hội nhúng và bất kỳ tiện ích bản tin hoặc trò chuyện nào trên trang. Thứ hai, đường dẫn từ chối phải duy trì trạng thái đó. Thứ ba, đường dẫn chấp nhận chỉ phải tạo ra các thẻ mà khách truy cập đã đồng ý, và các cookie và trạng thái đồng ý của Squarespace phải chứa bản ghi tương ứng. Thứ tư, việc rút lại phải ngay lập tức dừng kích hoạt thẻ thêm, hết hạn các cookie được đặt trong phiên đã đồng ý và truyền việc từ chối đến các người nhận bên thứ ba ở hạ lưu. Câu hỏi về dấu vết kiểm tra là nơi banner gốc của Squarespace hiện đang cho thấy giới hạn của nó. Banner ghi lại trạng thái đồng ý của khách truy cập trong cookie bên thứ nhất mà các tích hợp của chính Squarespace đọc, nhưng nền tảng không duy trì nhật ký kiểm tra phía máy chủ có thể truy vấn theo mã định danh khách truy cập hoặc mã định danh phiên theo cách CMP của bên thứ ba làm. Đối với các triển khai hoạt động chủ yếu ở các khu vực pháp lý có kỳ vọng dấu vết kiểm tra nhẹ hơn, banner gốc là đủ khi được cấu hình đúng cách. Đối với các triển khai cần nhật ký đồng ý có thể truy vấn — báo cáo đa khu vực pháp lý, hồ sơ đồng ý theo nhà cung cấp, tích hợp với tiêu chuẩn tài liệu dự kiến của EDPB — CMP của bên thứ ba được xếp lớp trên banner gốc là câu trả lời đúng, với banner gốc bị tắt và Cookiebot, OneTrust, Usercentrics hoặc Iubenda được cài đặt qua Code Injection thay thế. Trang web Squarespace đã chọn có chủ ý giữa hai con đường, chặn mọi bề mặt Code Injection, giải quyết mẫu tiện ích nhúng và tính đến các tích hợp tiếp thị đặc thù của Commerce là trang web Squarespace đã biến sự đơn giản thân thiện với nhà thiết kế của nền tảng thành một phần có thể bảo vệ được của tư thế đồng ý của nhà vận hành thay vì một khoản nợ tuân thủ ẩn.