Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 1-2 h
Cookies en trackers vóór toestemming
Los analytics-, marketing- en third-party scripts op die actief worden voordat de bezoeker een consentkeuze heeft gemaakt.
Dekt: pre_consent_analytics_cookie, pre_consent_marketing_cookie, pre_consent_tracker
- Re-run the scan in a fresh session and confirm the finding disappears.
- Verify that no non-essential cookies are set before interaction.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 30-90 min
Geen consentbanner
Herstel of plaats een first-layer consentbanner voordat optionele tracking of opslag begint.
Dekt: no_consent_banner, no_consent_banner_cmp_signals
- Clear cookies and re-open the site to confirm the banner appears immediately.
- Reject optional cookies and verify the site remains usable.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 15-60 min
Geen afwijsoptie of afwijzing verborgen
Maak weigeren net zo eenvoudig en zichtbaar als accepteren door ontbrekende, verborgen of verzwakte Reject-acties te corrigeren.
Dekt: no_reject_option, reject_suppressed, reject_below_fold
- Verify Reject is visible and clickable above the fold on both desktop and mobile.
- Click Reject and confirm optional tags do not fire.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-2 h
Cookiewall
Verwijder patronen die toegang tot content blokkeren totdat de bezoeker optionele tracking accepteert.
Dekt: cookie_wall
- Reject optional cookies and confirm content remains visible and usable.
- Confirm only optional processing is disabled, not the page itself.
Ernst: MiddelEigenaar: MarketingTijd om te fixen: 30-120 min
Niet-geclassificeerde cookies
Classificeer onbekende cookies, documenteer hun doel en stop met het uitrollen van niet-verklaarde opslag naar productie.
Dekt: unclassified_cookie
- Re-run cookie inventory after categorizing the unknown entries.
- Confirm declarations and CMP category labels match the runtime cookies.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 1-2 h
Mismatch in Google Consent Mode
Los gevallen op waarin Google-tags zich gedragen alsof toestemming is gegeven terwijl de runtime-status denied aangeeft.
Dekt: consent_mode_mismatch, consent_mode_default_granted, consent_mode_runtime_conflict
- Reject optional consent and confirm that Google analytics or ads requests do not fire.
- Accept consent and confirm requests start only after the consent update.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-3 h
Third-party requests vóór toestemming
Voorkom dat optionele leveranciers netwerkrequests doen voordat de bezoeker heeft gekozen of hij ze toestaat.
Dekt: pre_consent_third_party_request, third_party_data_flow_before_consent
- Confirm that only essential third-party requests remain before consent.
- Accept optional consent and verify optional vendors load only afterward.
Ernst: MiddelEigenaar: DevelopmentTijd om te fixen: 30-90 min
Google Fonts vóór toestemming of externe fontlading
Host fonts lokaal en verwijder remote fontcalls die requests lekken vóór opt-in.
Dekt: pre_consent_external_font, google_fonts_before_consent
- Reload the page with a clean cache and confirm no Google Fonts requests occur.
- Check multiple templates and breakpoints to ensure no remote font reference remains.
Ernst: MiddelEigenaar: DevelopmentTijd om te fixen: 30-120 min
Onveilige trackingcookies (Secure- of SameSite-problemen)
Versterk cookie-attributen zodat optionele cookies niet met zwakke browserbeveiligingsinstellingen worden geleverd.
Dekt: tracking_cookie_missing_secure, tracking_cookie_missing_samesite, insecure_tracking_cookie
- Inspect cookies again after deployment and confirm attributes changed as expected.
- Test in Chrome and another major browser to catch cross-browser differences.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-3 h
Fingerprinting vóór toestemming
Stel scripts uit of vervang ze wanneer ze browsermogelijkheden onderzoeken voordat de bezoeker een consentkeuze heeft gemaakt.
Dekt: pre_consent_fingerprinting_signal, fingerprinting_risk_before_consent
- Confirm fingerprinting-sensitive APIs no longer run before consent.
- Re-test after Accept to ensure optional vendors still work when consent is granted.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 1-2 h
Google Consent Mode niet gedetecteerd
Implementeer Consent Mode-defaults en updates zodat Google-tags een expliciete consentstatus krijgen in plaats van zonder signaal te draaien.
Dekt: consent_mode_not_detected, consent_mode_missing
- Bevestig dat Consent Mode-defaults al bij de eerste load aanwezig zijn vóór optionele tags.
- Bevestig dat Reject Google-storage-statussen op denied houdt.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 30-90 min
Analytics vóór toestemming
Voorkom dat analytics-tools laden of opslag schrijven voordat de bezoeker expliciet toestemming heeft gegeven.
Dekt: pre_consent_analytics_cookie, analytics_before_consent
- Bevestig dat geen analytics-request vóór toestemming vertrekt.
- Bevestig dat geen analytics-cookies worden gezet totdat de gebruiker accepteert.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 30-90 min
Marketingcookies vóór toestemming
Blokkeer advertentie- en retargetingcookies en scripts totdat de gebruiker expliciet marketing heeft geaccepteerd.
Dekt: pre_consent_marketing_cookie, marketing_cookie_before_consent
- Bevestig dat er geen marketingcookies bestaan vóór toestemming.
- Bevestig dat geen requests naar advertentienetwerken vertrekken totdat de gebruiker accepteert.
Ernst: HoogEigenaar: MarketingTijd om te fixen: 30-60 min
Meta Pixel vóór toestemming
Voorkom dat Meta Pixel laadt of events verstuurt zolang de bezoeker de vereiste marketingtoestemming niet heeft gegeven.
Dekt: meta_pixel_before_consent, pre_consent_meta_pixel
- Bevestig dat geen Meta-requests vóór toestemming worden verstuurd.
- Bevestig dat Meta-cookies afwezig blijven in denied-status.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 30-60 min
GA4 vóór toestemming
Stel Google Analytics 4 uit totdat geldige analytics-toestemming bestaat en controleer dat Consent Mode-parameters consistent blijven.
Dekt: ga4_before_consent, pre_consent_ga4
- Bevestig dat geen GA4-call vóór analytics-toestemming wordt verstuurd.
- Bevestig dat `_ga`-cookies afwezig blijven vóór opt-in.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-2 h
GTM-tags die vóór toestemming afgaan
Corrigeer GTM-triggers zodat optionele tags niets uitvoeren totdat de vereiste toestemming bestaat.
Dekt: gtm_tags_before_consent, pre_consent_gtm_fire
- Bevestig in Preview dat geen optionele GTM-tag vóór toestemming afgaat.
- Bevestig dat bij de eerste load alleen essentiële tags actief blijven.
Ernst: HoogEigenaar: CMP-beheerderTijd om te fixen: 15-45 min
Reject alleen in de tweede laag
Toon Reject al in de eerste laag in plaats van gebruikers te dwingen voorkeuren te openen of extra te klikken om optionele verwerking te weigeren.
Dekt: reject_in_second_layer, reject_not_first_layer
- Bevestig dat Reject in de eerste laag aanwezig is op desktop en mobiel.
- Bevestig dat Reject vanuit de eerste laag optionele tags blokkeert.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 30-90 min
Consentbanner verschijnt niet op mobiel
Los viewport-, CSS- en lazy-load-problemen op waardoor de banner op mobiel verdwijnt of niet rendert.
Dekt: mobile_banner_missing, consent_banner_mobile
- Bevestig dat de banner op een echt mobiel apparaat verschijnt.
- Bevestig dat de gebruiker Accept en Reject op mobiel kan gebruiken.
Ernst: MiddelEigenaar: DevelopmentTijd om te fixen: 30-90 min
Consentstatus wordt niet opgeslagen
Los opslag en reload-gedrag op zodat de keuze van de bezoeker over pagina's en sessies heen wordt onthouden en toegepast.
Dekt: consent_not_persisted, consent_state_lost
- Bevestig dat dezelfde keuze na reload en cross-page navigatie blijft bestaan.
- Bevestig dat Reject denied blijft bij een volgend bezoek.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-2 h
Third-party embeds vóór toestemming
Stel YouTube, kaarten, chat, boeking en andere third-party embeds uit totdat de bezoeker heeft ingestemd of expliciet heeft gekozen ze te laden.
Dekt: pre_consent_embed, third_party_embed_before_consent
- Bevestig dat embedded providers bij de eerste load geen requests ontvangen.
- Bevestig dat de embed pas na opt-in of click-to-load laadt.
Ernst: HoogEigenaar: MarketingTijd om te fixen: 15-45 min
Hotjar vóór toestemming
Voorkom dat Hotjar session-replay- of heatmap-scripts laadt voordat de bezoeker analytics- of marketingtoestemming heeft gegeven.
Dekt: hotjar_before_consent, pre_consent_hotjar
- Bevestig dat Hotjar niet vóór toestemming laadt.
- Bevestig dat Hotjar-cookies afwezig zijn in pre-consent.
Ernst: MiddelEigenaar: MarketingTijd om te fixen: 30-120 min
Cookieverklaring verouderd
Breng je gepubliceerde cookieverklaring in lijn met de cookies en vendors die daadwerkelijk in runtime-evidence worden gezien.
Dekt: cookie_declaration_outdated, declaration_mismatch
- Bevestig dat elke geobserveerde cookie in de verklaring staat.
- Bevestig dat verwijderde vendors niet meer vermeld worden als ze niet meer draaien.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-2 h
Cookies worden nog gezet na Reject
Los flows op waarbij optionele cookies of requests doorgaan, ook al heeft de bezoeker tracking expliciet afgewezen.
Dekt: cookies_after_reject, reject_not_enforced
- Reject en reload: bevestig dat optionele cookies afwezig blijven.
- Reject en reload: bevestig dat optionele requests geblokkeerd blijven.
Ernst: MiddelEigenaar: DevelopmentTijd om te fixen: 30-90 min
Consentbanner geblokkeerd door CSP
Werk de Content Security Policy bij zodat CMP-script, styles of iframe-resources kunnen laden zonder de beveiliging onnodig te versoepelen.
Dekt: cmp_blocked_by_csp, consent_banner_csp_error
- Bevestig dat CSP-fouten voor CMP-assets verdwijnen.
- Bevestig dat de banner normaal rendert en gebruikersinput accepteert.
Ernst: HoogEigenaar: DevelopmentTijd om te fixen: 1-3 h
Consentproblemen met server-side GTM
Lijn server-side GTM-routing en consentdoorgifte op elkaar af zodat server-side tagging de consentstatus van de bezoeker niet omzeilt.
Dekt: ssgtm_consent_issue, server_side_gtm_before_consent
- Bevestig dat geen optionele events vóór toestemming naar server-side GTM worden geproxied.
- Bevestig dat Accept de bedoelde eventflow activeert en Reject die denied houdt.