Cookiebot na WordPressie: kompletny poradnik wdrożenia

Cookiebot jest platformą CMP, czyli narzędziem do zbierania i przekazywania decyzji użytkownika dotyczących cookies oraz innych technologii śledzących. Na WordPressie najłatwiej wdrożyć go za pomocą oficjalnej wtyczki. Sam baner nie kończy jednak pracy. Jeśli Google Analytics, piksel reklamowy albo osadzony film uruchamia się wcześniej, wybór użytkownika nie jest faktycznie respektowany.

Jak powinno wyglądać gotowe wdrożenie?

Po zakończeniu prac użytkownik powinien móc zaakceptować wszystkie kategorie, odrzucić opcjonalne kategorie albo wybrać tylko część z nich. Decyzja ma wpływać na działanie serwisu od pierwszego wejścia, a nie dopiero po przeładowaniu strony.

Kompletne wdrożenie obejmuje:

• konto Cookiebot i właściwie skonfigurowaną grupę domen;
• skan domeny oraz klasyfikację wykrytych cookies i trackerów;
• baner z tekstami, językami i przyciskami zgodnymi z przyjętym modelem zgody;
• jedną, świadomie wybraną metodę osadzenia Cookiebot;
• blokowanie skryptów, pikseli, ramek i innych zasobów do czasu uzyskania wymaganej zgody;
• przekazywanie sygnałów Consent Mode v2 do tagów Google, jeśli serwis z nich korzysta;
• stronę, na której można sprawdzić i zmienić wcześniejszy wybór;
• testy techniczne po wyczyszczeniu cookies, dla odmowy, częściowej zgody i akceptacji wszystkich kategorii;
• procedurę ponownego testu po zmianie wtyczek, motywu, cache albo tagów marketingowych.

Przed rozpoczęciem warto sprawdzić także profil Cookiebot w katalogu CMP. Pozwoli to ocenić funkcje i ograniczenia platformy przed przeniesieniem konfiguracji na produkcję.

Krok 0. Zrób inwentaryzację obecnego pomiaru

Najpierw ustal, skąd obecnie trafiają do witryny skrypty. W WordPressie ten sam tag może zostać dodany przez motyw, wtyczkę analityczną, moduł WooCommerce, kreator stron, pole z kodem w nagłówku i kontener GTM. Jeśli pominiesz jedno z tych miejsc, baner może działać poprawnie, a część śledzenia nadal uruchomi się bez wymaganej zgody.

Spisz co najmniej:

• GA4, Google Ads, Floodlight i Conversion Linker;
• Meta Pixel, TikTok Pixel, LinkedIn Insight Tag i inne piksele reklamowe;
• narzędzia nagrywające sesje, czaty i testy A/B;
• filmy YouTube lub Vimeo, mapy, formularze i widżety zewnętrzne;
• wtyczki WooCommerce, płatności, marketing automation oraz programy partnerskie;
• skrypty dodane bezpośrednio w plikach motywu, przez wp_head albo wp_footer;
• cookies ustawiane przez serwer, których skrypt działający w przeglądarce może nie być w stanie zatrzymać.

Zapisz też miejsce osadzenia GTM. Jeżeli kontener jest już dodawany przez Site Kit, motyw albo inną wtyczkę, nie włączaj drugiej kopii przez Cookiebot. Przed zmianami wykonaj kopię zapasową i, jeśli to możliwe, zacznij na środowisku testowym.

Krok 1. Wybierz sposób instalacji

Cookiebot można dodać przez oficjalną wtyczkę WordPress, bezpośrednio w kodzie albo przez GTM. W jednym serwisie użyj jednej metody osadzenia banera. Dwie kopie skryptu uc.js powodują problemy z kolejnością, zapisem decyzji i automatycznym blokowaniem.

Dalsze kroki zakładają użycie oficjalnej wtyczki. Osobny wariant GTM jest opisany niżej, aby ułatwić migrację istniejącego kontenera.

Krok 2. Utwórz konto i dodaj domenę w Cookiebot

1. Utwórz konto w Cookiebot albo zaloguj się do istniejącego panelu.
2. Otwórz sekcję Domains & Aliases i wybierz Add domain.
3. Wpisz nazwę domeny bez https://, protokołu i ścieżki, na przykład example.pl.
4. Dodaj używane aliasy i warianty hosta zgodnie z architekturą serwisu.
5. Uruchom skan. Pierwsze pełne wyniki mogą pojawić się w ciągu 24 godzin.

Środowisko testowe potraktuj świadomie. Jeśli działa na osobnym hoście, na przykład staging.example.pl, sprawdź zasady planu i grup domen. Nie dodawaj produkcyjnej domeny do kilku grup tylko po to, aby uzyskać różne wersje banera. Cookiebot wskazuje, że przy konfiguracjach regionalnych domena powinna pozostać w głównej grupie.

Skonfiguruj baner przed publikacją

W panelu wybierz układ, języki, teksty i sposób prezentacji kategorii. Sprawdź osobno widok mobilny. Przycisk odrzucenia nie powinien znikać pod dodatkowym kliknięciem tylko dlatego, że taki układ poprawia współczynnik akceptacji. Treść banera ma opisywać rzeczywiste działanie serwisu.

Ustal również:

• na jakich rynkach baner ma się pojawiać;
• czy serwis wymaga jednej czy kilku konfiguracji regionalnych;
• które integracje należą do kategorii Preferences, Statistics i Marketing;
• czy witryna używa IAB TCF, co najczęściej dotyczy wydawców i reklamy programmatic;
• kto zatwierdza treść informacji oraz ustawienia domyślne.

Nie włączaj IAB TCF tylko dlatego, że opcja jest dostępna. To osobny framework z dodatkowymi dostawcami i celami przetwarzania. Powinien wynikać z modelu reklamowego serwisu.

Krok 3. Zainstaluj oficjalną wtyczkę Cookiebot

1. W panelu WordPress przejdź do Wtyczki > Dodaj nową.
2. Wyszukaj Cookiebot by Usercentrics i sprawdź, czy wydawcą jest Cookiebot.
3. Wybierz Zainstaluj, a następnie Włącz.
4. W panelu Cookiebot otwórz Implementation i skopiuj Domain Group ID. Identyfikator ma format zbliżony do 00000000-0000-0000-0000-000000000000.
5. W WordPressie otwórz ustawienia wtyczki, przejdź do ustawień ogólnych i wklej identyfikator grupy domen.
6. Zapisz ustawienia i upewnij się, że wyświetlanie banera jest włączone.
7. Wyczyść cache WordPressa oraz CDN, a stronę otwórz w prywatnym oknie przeglądarki.

Jeśli baner się nie pojawia, najpierw sprawdź identyfikator, przypisanie domeny, ustawienie wyświetlania i cache. Nie dodawaj od razu drugiego skryptu ręcznie do header.php. Taki skrót zwykle maskuje przyczynę i tworzy zduplikowane wdrożenie.

Krok 4. Wybierz automatyczne albo ręczne blokowanie

Oficjalna wtyczka umożliwia automatyczne oraz ręczne blokowanie. Tryb automatyczny jest rozsądnym punktem startowym dla typowego WordPressa. Skan Cookiebot rozpoznaje zasoby ustawiające cookies i tworzy reguły ich blokowania. Działa to dopiero po skutecznym skanie i poprawnej klasyfikacji.

W trybie automatycznym skrypt Cookiebot musi wykonać się przed zasobami, które ma zatrzymać. Narzędzia przyspieszające stronę nie powinny przenosić go do stopki, opóźniać do pierwszej interakcji ani dodawać async lub defer. Po włączeniu automatycznego blokowania sprawdź formularze, koszyk, płatności, menu, slider i edytor wizualny. Błąd w jednym z tych miejsc jest sygnałem do poprawy wyjątków albo przejścia na kontrolę ręczną dla problematycznego elementu.

Jak wygląda ręczne oznaczenie skryptu?

Skrypt statystyczny, który nie może wykonać się przed zgodą, otrzymuje typ text/plain i kategorię Cookiebot:

<script type="text/plain" data-cookieconsent="statistics">
  // Kod analityczny uruchamiany po zgodzie statystycznej
</script>

Dla zewnętrznego pliku stosujesz tę samą zasadę:

<script
  type="text/plain"
  data-cookieconsent="marketing"
  src="https://example.com/pixel.js">
</script>

W przypadku iframe, na przykład filmu, atrybut src zmienia się na data-cookieblock-src:

<iframe
  data-cookieconsent="marketing"
  data-cookieblock-src="https://www.youtube.com/embed/VIDEO_ID"
  title="Film">
</iframe>

Poprawne wartości kategorii to preferences, statistics i marketing. Skrypt niezbędny nie wymaga takiego oznaczenia. Wartość unclassified nie jest prawidłową kategorią do ręcznego blokowania.

Krok 5. Skonfiguruj Google Tag Manager

Najpierw odpowiedz na jedno pytanie: kto osadza kontener GTM? Może to robić Cookiebot albo istniejąca wtyczka czy motyw. Nie oba mechanizmy jednocześnie.

Wariant A: GTM osadzany przez wtyczkę Cookiebot

1. Sprawdź, czy w motywie, Site Kit oraz innych wtyczkach nie ma już aktywnego kontenera.
2. W ustawieniach Cookiebot otwórz kartę Google Tag Manager.
3. Włącz integrację i wpisz identyfikator w formacie GTM-XXXXXX.
4. Pole nazwy warstwy danych pozostaw puste, jeśli używasz standardowego dataLayer.
5. Zapisz zmiany, wyczyść cache i sprawdź kod strony. Identyfikator kontenera powinien wystąpić w jednym wdrożeniu.

W tym wariancie nie dodawaj osobnego tagu Cookiebot w kontenerze GTM. Baner jest już ładowany przez wtyczkę.

Wariant B: Cookiebot uruchamiany wyłącznie przez GTM

Ten wariant stosuj tylko wtedy, gdy rezygnujesz z osadzania banera przez wtyczkę. W GTM dodaj szablon Cookiebot CMP z Community Template Gallery, wpisz Domain Group ID i ustaw regułę Consent Initialization - All Pages. To reguła wcześniejsza niż zwykłe Initialization oraz All Pages.

Po publikacji otwórz źródło strony i kartę Network w narzędziach deweloperskich. Jedno żądanie do consent.cookiebot.com/uc.js jest oczekiwane. Dwie kopie oznaczają, że poprzednia metoda instalacji nadal działa.

Krok 6. Włącz i sprawdź Consent Mode v2

W oficjalnej wtyczce WordPress obsługa Google Consent Mode jest domyślnie włączona. Ustawienie znajdziesz na karcie Google Consent Mode. Nie zakładaj jednak, że aktywny przełącznik wystarcza. Trzeba jeszcze sprawdzić stan domyślny, aktualizację po decyzji oraz zachowanie tagów.

Cookiebot mapuje cztery własne kategorie na typy zgody używane przez GTM:

Consent Mode v2 obejmuje cztery sygnały, które należy obowiązkowo sprawdzić dla produktów Google: analytics_storage, ad_storage, ad_user_data i ad_personalization. Przed decyzją użytkownika powinny otrzymać stan wynikający z zatwierdzonej polityki, często denied. Po kliknięciu banera Cookiebot ma wysłać aktualizację na tej samej stronie.

Basic czy Advanced?

W trybie Advanced tagi Google mogą ładować się przed zgodą ze stanem denied i wysyłać pomiary bez cookies. W trybie Basic tag pozostaje zablokowany do czasu udzielenia wymaganej zgody. To decyzja dotycząca architektury pomiaru i przyjętego modelu prawnego, a nie kosmetyczne ustawienie w panelu.

Jeżeli nie wiesz, który wariant zastosować, przejdź przez porównanie Consent Mode Basic i Advanced. Po wdrożeniu możesz wykorzystać checklistę Consent Mode v2.

Krok 7. Ustaw zgody dla tagów w GTM

Google tag, GA4, Google Ads, Floodlight i Conversion Linker mają wbudowane kontrole zgody. W wariancie Advanced mogą działać na zwykłych regułach odsłony i dostosują zachowanie do otrzymanego stanu. Tagi innych dostawców zazwyczaj wymagają dodatkowej konfiguracji.

1. W ustawieniach kontenera GTM włącz Consent Overview.
2. Przejrzyj każdy aktywny tag, także tagi Custom HTML.
3. W Advanced Settings > Consent Settings ustaw dodatkowe wymagania dla tagów bez wbudowanej obsługi.
4. Dla narzędzia analitycznego będzie to zwykle analytics_storage, a dla piksela reklamowego ad_storage. Dobierz stan do faktycznego działania narzędzia.
5. Utwórz regułę Custom Event dla zdarzenia cookie_consent_update.
6. Tagi z dodatkowymi wymaganiami, które mają uruchomić się od razu po wyborze użytkownika, wyzwalaj tym zdarzeniem zamiast polegać wyłącznie na All Pages.

Aktualizacja stanu zgody nie powoduje ponownej oceny zwykłej reguły All Pages. Bez cookie_consent_update Meta Pixel albo inny tag zewnętrzny może zacząć działać dopiero na następnej odsłonie, mimo że użytkownik zaakceptował kategorię na bieżącej stronie.

Krok 8. Sprawdź wtyczki, iframe i kod poza GTM

GTM kontroluje tylko zasoby uruchamiane z kontenera. Nie zatrzyma automatycznie filmu dodanego w Elementorze, piksela osadzonego przez wtyczkę WooCommerce ani czatu dodanego w pliku motywu.

Dla każdego elementu ustal jedno miejsce kontroli:

• przenieś tag do GTM i skonfiguruj wymagany stan zgody;
• skorzystaj z dodatku lub integracji dostępnej we wtyczce Cookiebot;
• użyj WP Consent API, jeśli dana wtyczka faktycznie je obsługuje;
• oznacz zasób ręcznie za pomocą data-cookieconsent;
• usuń zbędny skrypt, jeśli nie ma już właściciela ani uzasadnionego zastosowania.

Sama integracja Cookiebot z WP Consent API nie sprawia, że każda wtyczka WordPress zaczyna respektować zgodę. Druga wtyczka również musi korzystać z tego API lub mieć własne połączenie z Cookiebot.

Elementy, które warto przetestować osobno

• osadzone filmy YouTube i Vimeo;
• Google Maps i inne mapy;
• reCAPTCHA, formularze oraz ochrona antyspamowa;
• czaty, systemy rezerwacji i kalendarze;
• przyciski społecznościowe i osadzone posty;
• WooCommerce: karta produktu, koszyk, checkout, bramki płatnicze i order attribution;
• narzędzia do nagrywania sesji i personalizacji;
• skrypty dodane przez kreator stron lub moduł do wstawiania kodu.

Jeśli zablokowana ramka zostawia puste miejsce, pokaż komunikat wyjaśniający, jaka zgoda jest potrzebna, oraz przycisk otwierający ponownie ustawienia. Brak filmu bez żadnego wyjaśnienia wygląda jak awaria strony.

Krok 9. Dodaj deklarację cookies i możliwość zmiany zgody

Użytkownik musi mieć prostą drogę do sprawdzenia i zmiany decyzji. Oficjalna wtyczka udostępnia blok Gutenberga Cookie Declaration.

1. Utwórz stronę, na przykład Ustawienia cookies albo Polityka cookies.
2. Dodaj blok Cookie Declaration.
3. Opublikuj stronę i sprawdź ją jako niezalogowany użytkownik.
4. Dodaj stały link w stopce serwisu.
5. Sprawdź, czy z poziomu tej strony można zmienić albo wycofać wcześniejszą zgodę.

Jeśli używany edytor nie obsługuje bloku, deklarację można osadzić skryptem z własnym Domain Group ID:

<script
  id="CookieDeclaration"
  src="https://consent.cookiebot.com/TWOJ-DOMAIN-GROUP-ID/cd.js"
  type="text/javascript">
</script>

Strona deklaracji nie zastępuje polityki prywatności. Dokumenty powinny opisywać administratora, cele, dostawców, zakres danych, okresy przechowywania, prawa użytkownika oraz sposób zmiany zgody zgodnie z faktyczną konfiguracją.

Krok 10. Przetestuj wdrożenie przed publikacją

Odbiór zacznij od nowej sesji. Wyczyść cookies i dane witryny albo użyj profilu przeglądarki, który nie odwiedzał wcześniej domeny. Wyłączenie tylko jednego cookie Cookiebot nie zawsze odtwarza stan nowego użytkownika.

Test Consent Mode w Tag Assistant

1. Uruchom sesję w Google Tag Assistant i połącz ją z serwisem.
2. W podsumowaniu wybierz najwcześniejsze zdarzenie Consent.
3. Sprawdź domyślne wartości ad_storage, ad_user_data, ad_personalization i analytics_storage.
4. W banerze wybierz określone kategorie.
5. Otwórz najnowsze zdarzenie Consent i sprawdź wartości po aktualizacji.
6. Przejrzyj kartę Tags, aby zobaczyć, które tagi wykonały się albo zostały zatrzymane przez wymagania zgody.

Powtórz test na stronie głównej, wpisie, landing page, formularzu, stronie z filmem i w całym procesie zakupowym. Sprawdź telefon oraz komputer. Dla serwisu wielojęzycznego wykonaj test w każdym języku i na każdym używanym hoście.

Kontrola cookies i żądań sieciowych

W narzędziach deweloperskich otwórz zakładki Application i Network. Przed zgodą oraz po odmowie wyszukaj nazwy znanych cookies i domeny dostawców. Zwróć uwagę także na Local Storage, Session Storage oraz IndexedDB. Lista cookies w panelu Cookiebot jest punktem odniesienia, ale nie zastępuje testu zachowania witryny.

Po zakończeniu pierwszego skanu przejrzyj pozycje Unclassified. Brak klasyfikacji nie oznacza, że cookie jest niezbędne. Ustal jego źródło i cel, a następnie przypisz właściwą kategorię. Po zmianie wtyczki lub tagu uruchom kolejny skan.

Krok 11. Zabezpiecz Cookiebot przed cache i optymalizacją

Wtyczki wydajnościowe mogą łączyć pliki, zmieniać ich kolejność, przenosić do stopki albo opóźniać do pierwszego ruchu myszą. Takie ustawienie jest szczególnie niebezpieczne przy automatycznym blokowaniu, bo tracker może zdążyć uruchomić się przed Cookiebot.

W konfiguracji cache oraz CDN:

• wyłącz opóźnianie i odraczanie skryptu Cookiebot;
• nie przenoś go do stopki;
• wyklucz wymagane adresy Cookiebot z łączenia, jeśli optymalizacja zmienia kolejność;
• po każdej zmianie wyczyść cache strony, cache obiektowy i CDN;
• sprawdź wynik jako niezalogowany użytkownik;
• porównaj kod źródłowy z drzewem DOM, ponieważ część optymalizatorów modyfikuje stronę już po stronie przeglądarki.

Nie kopiuj bez sprawdzenia długiej listy wyjątków znalezionej na forum. Zakres zależy od konkretnej wtyczki, wybranego trybu blokowania i tego, gdzie osadzony jest GTM.

Najczęstsze błędy i sposób diagnozy

Krok 12. Ustal utrzymanie po publikacji

Cookiebot nie jest wdrożeniem jednorazowym. Nowa wtyczka marketingowa, zmiana motywu albo publikacja kontenera GTM może dodać tracker bez widocznej zmiany banera.

Po publikacji ustal prosty proces:

1. wyznacz właściciela konfiguracji Cookiebot i GTM;
2. przeglądaj cykliczne raporty skanowania i klasyfikuj nowe pozycje;
3. testuj cztery scenariusze zgody po zmianach w tagach, wtyczkach, checkoutcie i cache;
4. aktualizuj deklarację cookies i dokumenty, gdy zmienia się dostawca lub cel przetwarzania;
5. zapisuj datę, zakres oraz wynik odbioru;
6. obserwuj aktualizacje oficjalnej wtyczki i po wdrożeniu nowej wersji wykonuj krótki test regresji.

Przydatnym miejscem do dalszej pracy jest hub Consent Mode i CMP, który łączy checklistę, porównanie trybów, generator oraz katalog platform.

Checklista końcowa

• Cookiebot i GTM są osadzone tylko raz.
• Właściwa domena znajduje się w głównej grupie domen.
• Pierwszy skan zakończył się, a pozycje Unclassified zostały przejrzane.
• Baner działa na komputerze, telefonie i we wszystkich językach serwisu.
• Automatyczne lub ręczne blokowanie obejmuje skrypty spoza GTM.
• Consent Mode ustawia stan domyślny przed tagami i aktualizuje go po wyborze.
• Tagi bez wbudowanej obsługi mają dodatkowe wymagania zgody.
• Zdarzenie cookie_consent_update uruchamia właściwe tagi na bieżącej stronie.
• Strona deklaracji cookies jest dostępna ze stopki.
• Użytkownik może zmienić i wycofać decyzję.
• Cache ani optymalizacja JavaScript nie zmieniają kolejności wdrożenia.
• Odbiór obejmuje brak decyzji, odmowę, częściową zgodę, pełną zgodę i zmianę wyboru.
• Dokumentacja prawna odpowiada konfiguracji technicznej.
• Jest ustalony właściciel i termin kolejnego przeglądu.