Cookie e consenso

Tipi di cookie

I cookie sono piccoli file che il browser salva per sessione, preferenze o tracciamento cross-site. In UE la normativa ePrivacy e il GDPR distinguono cookie strettamente necessari al servizio richiesto da quelli per analytics o marketing, che in genere richiedono consenso informato prima dell’attivazione. Documenta nel registro trattamenti cosa imposti, durata e fornitori terzi.

Cookie tecnici

Sessione login, carrello e-commerce, scelta lingua memorizzata per funzionamento: di solito non richiedono banner se non usati per profilazione. Limita durata al necessario e non memorizzare dati sensibili in chiaro nel valore cookie.

Set-Cookie: session_id=…; Path=/; HttpOnly; Secure; SameSite=Lax; Max-Age=3600

Banner e consenso

Per analytics non anonimizzate, pixel remarketing o embed che impostano cookie di profilazione, mostra scelta granulare (accetta/rifiuta categorie) e registra la preferenza. Non pre-spuntare caselle marketing. Carica script di tracciamento solo dopo consenso se la policy lo impone — evita tag manager che sparano tutto al page load.

Attributi di sicurezza

Session cookie: HttpOnly (no lettura da JS), Secure su HTTPS, path ristretto se possibile. Evita di salvare JWT enormi in cookie se non necessario. Pulisci cookie obsoleti al logout.

Documentazione privacy

Informativa cookie allineata a banner: stessi fornitori e durate. Registro consensi con timestamp e versione policy. Revisione annuale o quando aggiungi pixel nuovo. Minimizza cookie first-party: session id sufficiente spesso senza profilazione.

Test incognito dopo rifiuto consenso: nessun cookie marketing deve apparire.

Per consolidare quanto hai letto, scegli due pagine reali del tuo sito e applica gli stessi criteri con il team: una modifica alla volta, verifica su mobile e annota nel registro interno data e responsabile. Così la lezione diventa pratica ricorrente e non un intervento una tantum prima di una campagna.

Verifica periodica

Programma ogni trimestre un controllo su pagine ad alto traffico: applica i criteri di Cookie e consenso con la stessa procedura (browser, dispositivo, rete). Registra esito e responsabile in un foglio condiviso così il team non riparte da zero.

Se hai appena cambiato tema, plugin o builder, ripeti il controllo dopo 48 ore: cache CDN e minificazione possono mascherare errori finché non scade la vecchia versione. Coinvolgi chi scrive i contenuti, non solo chi sviluppa: molti problemi nascono da campi CMS lasciati vuoti.

Confronta i risultati con una pagina concorrente solo per capire gap di chiarezza, non per copiare testi. L’obiettivo è che un visitatore capisca in pochi secondi cosa offri e come contattarti.

Errori comuni

• Analytics full prima del consenso.
• Cookie di sessione senza Secure in produzione HTTPS.
• Policy cookie non allineata a cosa il sito fa davvero.
• Durata «permanente» su cookie non essenziali.
• Third-party iframe che impostano cookie ignorati nel banner.

In pratica, integra questo controllo nella routine di qualità del sito: una pagina campione al mese per categoria (home, servizio, articolo, checkout se presente), stesso profilo browser e rete. Annota nel registro interno data verifica e esito, così al prossimo redesign sai cosa è già stato validato. Quando il team cresce, una checklist condivisa evita che ognuno interpreti i criteri in modo diverso e riduce regressioni dopo deploy frettolosi.

Quando lavori con clienti o stakeholder non tecnici, traduci ogni raccomandazione in un esempio concreto sulla loro pagina: uno screenshot prima/dopo, una URL di prova, un tempo di caricamento misurato. Così le lezioni diventano azioni nel backlog invece di slide dimenticate. Riutilizza gli stessi criteri su ambienti preview prima della produzione e registra chi ha approvato il go-live, per tracciabilità in caso di regressione SEO o accessibilità.

Tieni un elenco di URL di riferimento nel tuo progetto e riapplicalo dopo ogni modifica al tema o al CMS, così non devi ricordare a memoria ogni regola.

Segna in calendario una revisione trimestrale: venti minuti bastano per confermare che template e plugin non abbiano reintrodotto errori già corretti.

In breve

• Tecnici vs tracciamento: basi legali diverse.
• HttpOnly, Secure, SameSite su sessioni.
• Consenso prima di marketing/analytics non essenziali.
• Documentazione e policy aggiornate.