Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 1-2 h
Cookies og trackere før samtykke
Ret analyse-, marketing- og tredjepartsscripts, der aktiveres, før den besøgende har truffet et samtykkevalg.
Dækker: pre_consent_analytics_cookie, pre_consent_marketing_cookie, pre_consent_tracker
- Re-run the scan in a fresh session and confirm the finding disappears.
- Verify that no non-essential cookies are set before interaction.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 30-90 min
Mangler samtykkebanner
Gendan eller implementér et samtykkebanner i første lag, før valgfri tracking eller lagring starter.
Dækker: no_consent_banner, no_consent_banner_cmp_signals
- Clear cookies and re-open the site to confirm the banner appears immediately.
- Reject optional cookies and verify the site remains usable.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 15-60 min
Ingen afvisningsmulighed eller skjult afvisning
Gør det lige så enkelt og synligt at afvise som at acceptere ved at rette manglende, skjulte eller svækkede Reject-handlinger.
Dækker: no_reject_option, reject_suppressed, reject_below_fold
- Verify Reject is visible and clickable above the fold on both desktop and mobile.
- Click Reject and confirm optional tags do not fire.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-2 h
Cookie wall
Fjern mønstre, der blokerer adgang til indhold, indtil den besøgende accepterer valgfri tracking.
Dækker: cookie_wall
- Reject optional cookies and confirm content remains visible and usable.
- Confirm only optional processing is disabled, not the page itself.
Alvorlighed: MellemAnsvarlig: MarketingTid til rettelse: 30-120 min
Uklassificerede cookies
Klassificér ukendte cookies, dokumentér deres formål, og stop med at sende ikke-deklareret lagring i produktion.
Dækker: unclassified_cookie
- Re-run cookie inventory after categorizing the unknown entries.
- Confirm declarations and CMP category labels match the runtime cookies.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 1-2 h
Google Consent Mode-mismatch
Ret tilfælde, hvor Google-tags opfører sig, som om samtykke er givet, selv om runtime-statusen er denied.
Dækker: consent_mode_mismatch, consent_mode_default_granted, consent_mode_runtime_conflict
- Reject optional consent and confirm that Google analytics or ads requests do not fire.
- Accept consent and confirm requests start only after the consent update.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-3 h
Tredjepartsrequests før samtykke
Stop valgfrie leverandører fra at foretage netværkskald, før den besøgende har besluttet, om de må tillades.
Dækker: pre_consent_third_party_request, third_party_data_flow_before_consent
- Confirm that only essential third-party requests remain before consent.
- Accept optional consent and verify optional vendors load only afterward.
Alvorlighed: MellemAnsvarlig: UdviklingTid til rettelse: 30-90 min
Google Fonts før samtykke eller ekstern fontindlæsning
Host skrifttyper lokalt og fjern fjernkald, der eksponerer requests før opt-in.
Dækker: pre_consent_external_font, google_fonts_before_consent
- Reload the page with a clean cache and confirm no Google Fonts requests occur.
- Check multiple templates and breakpoints to ensure no remote font reference remains.
Alvorlighed: MellemAnsvarlig: UdviklingTid til rettelse: 30-120 min
Usikre tracking-cookies (Secure- eller SameSite-problemer)
Styrk cookie-attributter, så valgfrie cookies ikke leveres med svage browserstandarder for sikkerhed.
Dækker: tracking_cookie_missing_secure, tracking_cookie_missing_samesite, insecure_tracking_cookie
- Inspect cookies again after deployment and confirm attributes changed as expected.
- Test in Chrome and another major browser to catch cross-browser differences.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-3 h
Fingerprinting før samtykke
Udskyd eller erstat scripts, der undersøger browserkapaciteter, før den besøgende har truffet et samtykkevalg.
Dækker: pre_consent_fingerprinting_signal, fingerprinting_risk_before_consent
- Confirm fingerprinting-sensitive APIs no longer run before consent.
- Re-test after Accept to ensure optional vendors still work when consent is granted.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 1-2 h
Google Consent Mode registreres ikke
Implementér standardværdier og opdateringer for Consent Mode, så Google-tags får en eksplicit samtykkestatus i stedet for at køre uden signal.
Dækker: consent_mode_not_detected, consent_mode_missing
- Bekræft, at Consent Mode-standarder findes allerede ved første indlæsning før valgfrie tags.
- Bekræft, at Reject holder Googles storage-værdier i denied-tilstand.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 30-90 min
Analytics før samtykke
Forhindr analytics-værktøjer i at indlæse eller skrive til storage, før den besøgende har givet eksplicit samtykke.
Dækker: pre_consent_analytics_cookie, analytics_before_consent
- Bekræft, at ingen analytics-requests sendes før samtykke.
- Bekræft, at analytics-cookies ikke sættes, før brugeren accepterer.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 30-90 min
Marketing-cookies før samtykke
Blokér annonce- og retargeting-cookies samt scripts, indtil brugeren eksplicit har accepteret marketing.
Dækker: pre_consent_marketing_cookie, marketing_cookie_before_consent
- Bekræft, at der ikke findes marketing-cookies før samtykke.
- Bekræft, at ingen requests går til annoncenetværk, før brugeren accepterer.
Alvorlighed: HøjAnsvarlig: MarketingTid til rettelse: 30-60 min
Meta Pixel før samtykke
Forhindr Meta Pixel i at indlæse eller sende events, før den besøgende har givet det nødvendige marketingsamtykke.
Dækker: meta_pixel_before_consent, pre_consent_meta_pixel
- Bekræft, at ingen Meta-requests sendes før samtykke.
- Bekræft, at Meta-cookies fortsat mangler i denied-tilstand.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 30-60 min
GA4 før samtykke
Udskyd initialisering af Google Analytics 4, indtil der findes gyldigt analytics-samtykke, og kontrollér at Consent Mode-parametre fungerer konsekvent.
Dækker: ga4_before_consent, pre_consent_ga4
- Bekræft, at ingen GA4-kald sendes før analytics-samtykke.
- Bekræft, at `_ga`-cookies mangler før opt-in.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-2 h
GTM-tags kører før samtykke
Ret GTM-triggere, så valgfrie tags ikke kører noget som helst, før det nødvendige samtykke er på plads.
Dækker: gtm_tags_before_consent, pre_consent_gtm_fire
- Bekræft i Preview, at ingen valgfrie GTM-tags kører før samtykke.
- Bekræft, at kun essentielle tags er aktive ved første indlæsning.
Alvorlighed: HøjAnsvarlig: CMP-adminTid til rettelse: 15-45 min
Reject kun i andet lag
Vis Reject-knappen allerede i første lag i stedet for at tvinge brugeren til at åbne indstillinger eller lave ekstra klik for at afvise valgfri behandling.
Dækker: reject_in_second_layer, reject_not_first_layer
- Bekræft, at Reject findes i første lag på desktop og mobil.
- Bekræft, at Reject fra første lag blokerer valgfrie tags.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 30-90 min
Samtykkebanner vises ikke på mobil
Ret viewport-, CSS- og lazy-load-problemer, der gør, at banneret forsvinder eller ikke renderes på mobil.
Dækker: mobile_banner_missing, consent_banner_mobile
- Bekræft, at banneret vises på en rigtig mobil enhed.
- Bekræft, at brugeren kan anvende både Accept og Reject på mobil.
Alvorlighed: MellemAnsvarlig: UdviklingTid til rettelse: 30-90 min
Samtykkestatus gemmes ikke
Ret storage- og reload-adfærd, så den besøgendes valg bevares og håndhæves på tværs af sider og sessioner.
Dækker: consent_not_persisted, consent_state_lost
- Bekræft, at samme valg bevares efter reload og navigation mellem sider.
- Bekræft, at Reject fortsat står som denied ved et senere besøg.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-2 h
Tredjeparts-embeds før samtykke
Udskyd indlæsning af YouTube, kort, chat, booking og andre tredjeparts-embeds, indtil den besøgende har samtykket eller udtrykkeligt valgt at indlæse dem.
Dækker: pre_consent_embed, third_party_embed_before_consent
- Bekræft, at embedded leverandører ikke modtager requests ved første indlæsning.
- Bekræft, at embed kun indlæses efter opt-in eller click-to-load.
Alvorlighed: HøjAnsvarlig: MarketingTid til rettelse: 15-45 min
Hotjar før samtykke
Forhindr Hotjar i at indlæse session replay- eller heatmap-scripts, før den besøgende har givet analytics- eller marketingsamtykke.
Dækker: hotjar_before_consent, pre_consent_hotjar
- Bekræft, at Hotjar ikke indlæses før samtykke.
- Bekræft, at Hotjar-cookies mangler i pre-consent-tilstand.
Alvorlighed: MellemAnsvarlig: MarketingTid til rettelse: 30-120 min
Cookie-deklarationen er forældet
Tilpas den offentliggjorte cookie-deklaration til de cookies og leverandører, der faktisk observeres i runtime-evidensen.
Dækker: cookie_declaration_outdated, declaration_mismatch
- Bekræft, at hver observeret cookie fremgår af deklarationen.
- Bekræft, at fjernede leverandører ikke længere listes, hvis de ikke længere kører.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-2 h
Cookies sættes stadig efter Reject
Ret flows, hvor valgfrie cookies eller requests fortsætter, selv om den besøgende udtrykkeligt har afvist tracking.
Dækker: cookies_after_reject, reject_not_enforced
- Reject og reload: bekræft, at valgfrie cookies fortsat mangler.
- Reject og reload: bekræft, at valgfrie requests forbliver blokeret.
Alvorlighed: MellemAnsvarlig: UdviklingTid til rettelse: 30-90 min
Samtykkebanner blokeres af CSP
Opdatér Content Security Policy, så CMP-script, styles eller iframe-ressourcer kan indlæses uden unødigt at svække sikkerheden.
Dækker: cmp_blocked_by_csp, consent_banner_csp_error
- Bekræft, at CSP-fejl knyttet til CMP-assets forsvinder.
- Bekræft, at banneret renderes normalt og accepterer brugerinteraktion.
Alvorlighed: HøjAnsvarlig: UdviklingTid til rettelse: 1-3 h
Samtykkeproblemer i server-side GTM
Synkronisér routing i server-side GTM og udbredelsen af samtykke, så server-side tagging ikke omgår den besøgendes samtykkestatus.
Dækker: ssgtm_consent_issue, server_side_gtm_before_consent
- Bekræft, at valgfrie events ikke proxyes til server-side GTM før samtykke.
- Bekræft, at Accept aktiverer det ønskede eventflow, mens Reject holder det i denied-tilstand.