Tags die afgaan vóór toestemming: zo vind en herstel je ze

Een cookiebanner betekent alleen iets als je tags op het antwoord wachten. Op veel sites doen ze dat niet: analytics en advertentiepixels sturen hun eerste hits terwijl de banner nog in beeld staat, of gaan door nadat de bezoeker op "Weigeren" klikte. Het is het toestemmingsprobleem dat onze tracking-audit het vaakst vindt, en het is een nalevingsrisico onder de AVG en de ePrivacy-regels.

Wat "vóór toestemming" betekent

Drie situaties tellen:

• Hits vóór het antwoord. Een tracker stuurt gegevens voordat de bezoeker iets koos, zonder toestemmingsstatus "denied" op de hit.
• Hits na een weigering. De bezoeker weigerde, en een tracker stuurt nog steeds hits alsof die instemde.
• Cookies na een weigering. De browser bewaart trackingcookies zoals _ga of _fbp nadat de bezoeker nee zei.

De Consent Mode van Google is de uitzondering die mag: met Consent Mode kunnen Google-tags cookieloze pings sturen met de toestemmingsstatus op denied. Dat is prima, zolang de status echt denied zegt.

Zo vind je het

De tracking-audit van Measurebase laadt je pagina's in een echte browser, noteert elke trackingrequest die hij ziet voordat de banner is beantwoord, klikt dan op de weigerknop van de banner en kijkt wat er nog gebeurt. Hij meldt de trackers bij naam, bijvoorbeeld "Voordat de cookiebanner was beantwoord, stuurden deze trackers al hits zonder toestemmingsstatus denied: Google Analytics, Meta-pixel".

Met de hand: open je site in een privévenster, open de ontwikkelaarstools van je browser op het tabblad Network, en herlaad zonder de banner aan te raken. Requests naar google-analytics.com, je tagging-subdomein, facebook.com/tr of analytics.tiktok.com op dat moment zijn hits vóór toestemming. Klik daarna op weigeren, ga een pagina verder en kijk opnieuw, ook naar de cookies onder Application.

De gebruikelijke oorzaken

1. Consent Mode-standaarden te laat ingesteld, of helemaal niet. De standaard moet denied zeggen voordat er ook maar één tag afgaat. Zet hem in een tag op de trigger Consent Initialization, of met de eigen Tag Manager-template van je toestemmingstool, nooit op All Pages.
2. Tags zonder toestemmingscontrole. Niet-Google-tags zoals de Meta-pixel lezen Consent Mode niet uit zichzelf. Geef ze een toestemmingsvereiste in de toestemmingsinstellingen van de tag, of laat ze afgaan op het event "toestemming gegeven" van je toestemmingstool in plaats van op All Pages.
3. Tags buiten Tag Manager. Een pixel die in het thema is geplakt, de eigen tracking van een plugin of een Shopify-app-pixel draait buiten je container en de toestemmingsregels daarin. Verplaats hem naar Tag Manager of zet de tracking van de app uit.
4. De banner laadt na Tag Manager. Komt het script van de toestemmingstool na de container, dan kunnen tags afgaan voordat de tool er is. Laad hem eerst, of via zijn Consent Initialization-template.
5. Een weigering die geen update stuurt. De banner moet een Consent Mode-update met denied sturen als de bezoeker weigert, niet alleen sluiten.

Server-side tags tellen ook mee

Met server-side tagging dragen de hits die je server-container bereiken de toestemmingsstatus van de bezoeker. De servertags van Google respecteren die; tags voor andere platforms, zoals de Conversions API van Meta, hebben een triggervoorwaarde of uitzondering nodig die hem controleert. Anders bereikt een bezoeker die in de browser weigerde Meta alsnog via je server.

De oplossing controleren

Draai de tracking audit opnieuw met Run audit now op de pagina Tracking audit van het domein; de bevinding verdwijnt zodra niets meer vóór het antwoord afgaat en een weigering wordt gerespecteerd. Wil je je tags testen zonder elke keer door je eigen banner te klikken, gebruik dan Auto Grant Consent, en zet het daarna weer uit.

Veelgestelde vragen

Zijn cookieloze Google-pings vóór toestemming toegestaan?

Ze horen bij de advanced mode van Consent Mode en dragen de status denied. Of dat genoeg is, is een juridische keuze voor je organisatie; basic mode, die niets verstuurt tot er toestemming is, is de strengere optie.

Maakt server-side tagging toestemming overbodig?

Nee. Toestemming gaat over wat je met de gegevens van een bezoeker doet, niet over waar de code draait. Server-side tagging geeft je er meer controle over, geen vrijstelling.