Consenso ai cookie su PrestaShop: bloccare prima della scelta

Hai messo un banner sul negozio e Google Analytics, Meta o un video YouTube si caricano comunque prima che il visitatore clicchi. Il banner informa, ma non blocca nulla: lo script si carica insieme alla pagina e la scelta arriva troppo tardi. Questa guida mostra come il modulo Consenso ai cookie GDPR neutralizza i tracker sul server, come configurarlo nel back office e quale traccia conserva di ogni decisione.

Un banner cookie blocca davvero gli script?

No. Un banner che appare non blocca nulla finché l'HTML della pagina non è stato modificato: il browser esegue gli script di terze parti prima che il visitatore scelga.

Il modulo riscrive l'HTML sul server prima dell'invio. Uno script di terze parti conserva l'indirizzo in un attributo ma non viene eseguito. Un iframe YouTube, Vimeo o Google Maps è sostituito da un blocco che nomina il servizio e propone di caricarlo. Un pixel di tracciamento perde la sorgente, e le risorse di terze parti annunciate nell'intestazione ricevono lo stesso trattamento. Quando il visitatore accetta una categoria, il browser ricrea gli elementi autorizzati nell'ordine della pagina, con gli attributi originali.

Questo blocco ha un limite preciso: le richieste che uno script già autorizzato fa da sé, le conversioni lato server e uno script valutato con eval non vengono fermati. Un gestore di tag va quindi classificato nella categoria dei tag che carica, oppure deve affidarsi a Consent Mode.

Senza JavaScript non si carica nulla di non essenziale: gli elementi neutralizzati restano inerti, anche dentro un blocco noscript. Il banner non può raccogliere una scelta senza JavaScript, quindi le categorie non essenziali restano bloccate.

Quali cookie devono attendere il consenso?

I cookie strettamente necessari al servizio richiesto possono caricarsi senza consenso. La misurazione dell'audience, la pubblicità e il remarketing e i contenuti incorporati attendono la scelta del visitatore.

Il modulo divide i servizi in quattro categorie: strettamente necessari (sempre attivi, non disattivabili), misurazione dell'audience, pubblicità e remarketing, funzionalità. Una categoria non essenziale senza servizio attivo non compare nel pannello e il suo valore viene registrato come rifiutato.

I pulsanti Accetta tutto, Rifiuta tutto e Personalizza hanno lo stesso peso visivo. Nessuna casella è preselezionata e lo scorrimento della pagina non registra mai un consenso. Il visitatore cambia scelta con la linguetta fissa, il link nel piè di pagina o lo shortcode [wpcc_preferences].

Un visitatore che invia il segnale Global Privacy Control viene trattato come se rifiutasse le categorie non essenziali, senza vedere il banner, e la riga registra il segnale. Do Not Track si attiva separatamente nelle impostazioni.

Come installare e attivare il blocco in PrestaShop?

Installa l'archivio nel gestore moduli e attiva la licenza. Poi segui le quattro fasi della procedura guidata, dalla scansione alla messa in produzione.

1. Nel gestore moduli carica l'archivio ZIP e installalo. Il modulo si aggiunge all'elenco e il menu Consenso ai cookie porta alla configurazione.
2. Apri la configurazione e inserisci la chiave di licenza. Senza licenza valida il modulo resta disattivato.
3. Procedura guidata, fase Scansione: fai clic su Scansiona ora. Vengono lette sei pagine: home, categoria, prodotto, pagina CMS, contatti e carrello.
4. Fase Servizi: ogni servizio rilevato riceve la sua categoria e la sua modalità. Un dominio sconosciuto viene collegato a un servizio, trasformato in servizio personalizzato o ignorato.
5. Fase Banner: posizione (barra in fondo, scheda al centro, pannello in un angolo), colori, logo, ordine dei pulsanti e testi per lingua. Un contrasto inferiore a 4,5:1 viene rifiutato con il valore misurato.
6. Fase Informativa e messa in produzione: rileggi il testo generato, spunta la casella di conferma, pubblica la pagina CMS, poi fai clic su Metti in produzione e conferma.

Il modulo si installa in modalità test: i visitatori ricevono la pagina invariata. L'anteprima e la pagina di controllo servono a verificare banner, cookie e servizi prima del passaggio in produzione. Il periodo prima di richiedere di nuovo il consenso (12 mesi per impostazione predefinita), la conservazione del registro e il mittente Consent Mode si regolano nella pagina di configurazione.

Come individuare gli script che si caricano prima del consenso?

Avvia una scansione: il rapporto mostra, pagina per pagina, ciò che si carica prima del consenso, ciò che è bloccato fino alla scelta e ciò che il negozio imposta da sé.

La scansione legge l'HTML ricevuto da un visitatore senza cookie sulle sei pagine rappresentative. Ogni script, iframe, pixel e risorsa viene classificato: bloccato, necessario, autorizzato o sconosciuto. Un host di terze parti che non corrisponde a nessun servizio diventa un dominio sconosciuto. Compare nella dashboard e, se gli avvisi sono attivi, in un'e-mail dopo una scansione pianificata.

La pagina Domini sconosciuti permette di collegare l'host a un servizio esistente, creare un servizio personalizzato precompilato o ignorarlo. Una scansione si avvia su richiesta o con frequenza giornaliera, settimanale o mensile.

Per vedere cosa accade in un browser reale, la pagina di controllo apre una pagina del negozio in un riquadro e confronta host e cookie prima e dopo una scelta. Indica anche ciò che non vede: cookie HttpOnly e cookie di altri domini.

Come dimostrare cosa ha accettato un visitatore?

Ogni scelta riceve un riferimento e una riga nel registro dei consensi, con la data, le categorie e le versioni del banner e dell'informativa.

La riga contiene l'azione (accetta, rifiuta, personalizza, revoca, rifiuto da segnale), la lingua, la pagina, la variante A/B, il paese rilevato quando è configurata una fonte di geolocalizzazione, e i segnali del browser. Non viene salvato alcun nome, indirizzo e-mail o identificativo cliente. L'indirizzo IP è conservato per impostazione predefinita come hash HMAC-SHA256, e puoi scegliere di troncarlo o di non salvarlo.

Le righe non vengono mai modificate. Ognuna contiene l'impronta SHA-256 della precedente, e il controllo di integrità segnala una riga cambiata o eliminata. È una prova tecnica: non è una marca temporale qualificata e non individua chi, con accesso al database, ricalcolasse tutta la catena.

Il registro si filtra per periodo, azione, origine, variante, paese, riferimento o chiave visitatore, e si esporta in CSV o JSON con i filtri attivi. Le righe più vecchie del periodo di conservazione (36 mesi per impostazione predefinita, da 6 a 120) vengono eliminate dalla manutenzione giornaliera.

Chi ha bisogno del modulo e chi può farne a meno?

Un negozio che carica uno strumento di misurazione, pubblicità o contenuti incorporati per visitatori in Europa ha bisogno del blocco prima della scelta. Un negozio senza tracker di terze parti può farne a meno.

Il modulo si rivolge ai negozi PrestaShop 1.7.8, 8.0+ e 9.0+ che usano Google Analytics, Google Tag Manager, Google Ads, Meta, TikTok, LinkedIn, oppure video e mappe incorporati. È adatto anche a un'agenzia con più negozi: ogni negozio conserva impostazioni, registro e informativa, e l'esportazione/importazione JSON duplica una configurazione senza copiare i dati.

Non è adatto a un negozio che cerca una certificazione IAB TCF, un registro dei consensi ospitato nel cloud o una copertura dei regimi fuori da UE/SEE, Regno Unito e Svizzera (CCPA/CPRA, LGPD). Un negozio senza alcun tracker di terze parti non ha nulla da bloccare; il modulo può comunque generare l'informativa cookie, ma non è il suo uso principale.

Un banner cookie basta per essere conformi al GDPR?

No. Il modulo blocca, informa e documenta, ma non certifica la conformità del negozio, non sostituisce un parere legale e non ferma ogni richiesta.

• Non può fermare le richieste che uno script già autorizzato fa da sé, le conversioni lato server o uno script valutato con eval.
• Non elimina i cookie HttpOnly né quelli di altri domini; il pannello e l'informativa lo dicono al visitatore.
• L'informativa cookie è un modello generato dal tuo inventario: devi rileggerla, adattarla e pubblicarla di nuovo quando cambiano i servizi.
• La catena SHA-256 mostra che una riga è stata modificata o rimossa senza ricalcolare la catena; non è una marca temporale qualificata.
• Consent Mode v2 è richiesto da Google per pubblicità e misurazione nel SEE e nel Regno Unito; non è un obbligo legale in sé.
• Il modulo non copre IAB TCF 2.3, CCPA/CPRA, LGPD né un registro ospitato.

La tua parte: scegliere la base giuridica, verificare i testi, tenere aggiornata l'informativa e consultare un legale sulla tua situazione. Il modulo fornisce il meccanismo e la traccia, non la validazione giuridica.

La documentazione del modulo descrive ogni schermata. Se usi Google Tag Manager o Google Ads, Google Tracking può inviare anch'esso i segnali Consent Mode: mantieni un solo emittente e il modulo di consenso ti avvisa se li inviano entrambi. Se le pagine passano da una cache server, verifica la compatibilità con Cache Pro, e per l'accessibilità del banner, l'audit EAA e WCAG aggiunge il controllo. La scheda completa è su la pagina del modulo Consenso ai cookie GDPR.