Jak sprawdzić, jakie cookies wykorzystuje Twoja strona?

Najpewniejszy sposób sprawdzenia cookies na stronie łączy automatyczny skan z ręcznym testem w przeglądarce. Skaner pomaga znaleźć technologie na wielu publicznych adresach, a Chrome DevTools pokazuje, co rzeczywiście zapisuje się w konkretnej sesji przed wyborem na banerze, po odrzuceniu i po akceptacji. Samo otwarcie listy cookies na stronie głównej nie daje pełnego wyniku.

Gotowy spis powinien odpowiadać nie tylko na pytanie „jak nazywa się cookie?”, ale także: kto je ustawia, w jakiej sytuacji, na jak długo, w jakim celu i czy zachowanie jest zgodne z konfiguracją banera oraz informacją przekazywaną użytkownikowi.

Co dokładnie trzeba sprawdzić?

Pełna inwentaryzacja obejmuje pięć warstw:

1. cookies zapisane przez własną domenę i domeny zewnętrzne;
2. skrypty, piksele i ramki, które mogą utworzyć cookie dopiero po interakcji;
3. dane w Local Storage, Session Storage i IndexedDB;
4. żądania sieciowe wysyłane przed wyborem i po zmianie zgody;
5. zgodność faktycznego działania z kategoriami banera oraz polityką cookies.

To rozróżnienie jest ważne, ponieważ strona może wysłać żądanie do zewnętrznej usługi bez utworzenia klasycznego cookie. Może też przechować identyfikator w Local Storage. Audyt ograniczony do tabeli „Cookies” nie obejmie tych mechanizmów.

Najszybszy początek: automatyczny skaner cookies

W automatycznym skanerze podajesz adres witryny i uruchamiasz analizę. W zależności od narzędzia wyniki mogą obejmować odwiedzone adresy URL, wykryte cookies, skrypty, domeny zewnętrzne oraz proponowane kategorie.

Skan jest szczególnie przydatny, gdy serwis ma wiele podstron. Robot może szybciej niż człowiek sprawdzić stronę główną, kategorie, produkty, wpisy i inne publicznie dostępne adresy. Ułatwia też porównanie wyników po instalacji wtyczki, zmianie Google Tag Managera albo dodaniu nowego piksela.

Automatyczny raport jest jednak punktem wyjścia, a nie ostatecznym dowodem. Skaner może nie dotrzeć do:

• koszyka i kolejnych etapów zamówienia;
• panelu dostępnego po zalogowaniu;
• wyników wyszukiwania generowanych na żądanie;
• filmu, mapy albo czatu uruchamianego dopiero po kliknięciu;
• wariantu strony zależnego od lokalizacji, języka lub typu użytkownika;
• technologii włączanej tylko w konkretnej kampanii.

Po skanie przejrzyj listę odwiedzonych adresów i błędów. Jeśli ważnego typu strony nie ma w raporcie, dodaj go do testu ręcznego.

Jak sprawdzić cookies w Chrome DevTools?

Chrome DevTools pozwala obejrzeć cookies dostępne w testowanej sesji wraz z domeną, ścieżką, terminem wygaśnięcia i atrybutami bezpieczeństwa. Oficjalna instrukcja Chrome prowadzi do panelu Aplikacja > Pamięć wewnętrzna > Pliki cookie. Dokumentacja Chrome DevTools.

Krok 1: przygotuj czystą sesję

Otwórz nowe okno incognito i wyłącz na czas kontroli rozszerzenia blokujące reklamy lub śledzenie. Wcześniej zapisana zgoda albo bloker może zmienić wynik niezależnie od konfiguracji strony.

Jeśli testujesz w zwykłym oknie:

1. usuń dane tylko dla sprawdzanej witryny;
2. zamknij otwarte karty z tą domeną;
3. otwórz DevTools przed ponownym załadowaniem strony;
4. nie klikaj jeszcze żadnego przycisku na banerze.

Nie loguj się do panelu klienta podczas testu pierwszej wizyty. Logowanie może utworzyć cookies sesyjne, które są prawidłowe dla tej funkcji, ale utrudnią porównanie z wizytą anonimową.

Krok 2: otwórz listę cookies

1. Wejdź na sprawdzany adres.
2. Naciśnij F12 albo Ctrl+Shift+I w Windows i Linux. Na macOS użyj Cmd+Option+I.
3. Otwórz kartę Application lub Aplikacja.
4. W sekcji Storage rozwiń Cookies.
5. Kliknij kolejno każdą widoczną domenę.

Zapisz stan przed wyborem na banerze. Następnie powtórz kontrolę po odrzuceniu oraz w osobnej czystej sesji po akceptacji.

Jak czytać kolumny w tabeli cookies?

Pole	Co oznacza	Do czego przydaje się w audycie
Name	nazwa cookie	pozwala powiązać wpis z usługą lub dokumentacją producenta
Domain	domena, do której cookie należy	pomaga ustalić, czy wpis pochodzi z własnej domeny czy usługi zewnętrznej
Path	zakres adresów, dla których cookie jest wysyłane	pokazuje, czy wpis działa w całej domenie, czy tylko w wybranej części
Expires / Max-Age	termin wygaśnięcia albo oznaczenie sesji	pozwala odróżnić cookie sesyjne od trwałego
HttpOnly	ograniczenie dostępu z JavaScript	wyjaśnia, dlaczego wpisu może nie pokazać polecenie document.cookie
Secure	wysyłanie tylko przez HTTPS	jest technicznym atrybutem bezpieczeństwa, a nie kategorią zgody
SameSite	zasady wysyłania w kontekście innych witryn	pomaga analizować zachowanie między domenami
Partition Key	klucz partycji, jeśli mechanizm jest partycjonowany	ma znaczenie przy nowszych sposobach obsługi stanu między witrynami

Nie klasyfikuj cookie jako marketingowego tylko dlatego, że jest trwałe, ani jako niezbędnego tylko dlatego, że ma flagi Secure i HttpOnly. Atrybuty techniczne opisują sposób działania, nie cel przetwarzania.

Krok 3: sprawdź żądania w zakładce Network

Otwórz kartę Network lub Sieć, włącz zachowanie logu podczas przejść między podstronami i odśwież stronę. Następnie obserwuj połączenia przed wyborem, po odrzuceniu i po akceptacji.

Dla nieznanej domeny albo cookie:

1. wybierz powiązane żądanie;
2. sprawdź adres, inicjatora, nagłówki i zakładkę Cookies;
3. poszukaj nagłówka odpowiedzi Set-Cookie;
4. ustal, który skrypt lub element strony rozpoczął połączenie;
5. porównaj moment żądania z decyzją użytkownika.

Nie każde cookie powstaje przez JavaScript. Serwer może ustawić je nagłówkiem Set-Cookie, także z flagą HttpOnly. Z tego powodu polecenie document.cookie w konsoli nie jest wystarczającą metodą kontroli.

Brak nowego cookie także nie kończy testu. Żądanie do systemu analitycznego, reklamowego, czatu lub osadzonej usługi może być ważnym elementem inwentaryzacji nawet wtedy, gdy w przeglądarce nie pojawił się klasyczny wpis.

Krok 4: sprawdź pozostałe magazyny danych

W panelu Application przejrzyj również:

• Local Storage – dane mogą pozostawać po zamknięciu i ponownym otwarciu przeglądarki;
• Session Storage – dane są powiązane z bieżącą sesją karty;
• IndexedDB – baza używana przez bardziej rozbudowane aplikacje;
• Cache Storage – zasoby zapisane przez aplikację lub service workera.

Oficjalna dokumentacja Chrome opisuje Local Storage i Session Storage jako osobne magazyny widoczne w panelu Application. Przegląd panelu Application.

Art. 399 Prawa komunikacji elektronicznej nie ogranicza się w brzmieniu do plików o nazwie „cookie”. Dotyczy przechowywania informacji lub dostępu do informacji w urządzeniu końcowym. Dlatego również inne mechanizmy pamięci mogą wymagać oceny technicznej i prawnej. Tekst Prawa komunikacji elektronicznej.

Jakie podstrony i działania objąć testem?

Nie musisz ręcznie odwiedzać każdego adresu, jeśli wiele stron działa na tym samym szablonie. Wybierz jednak reprezentanta każdego typu widoku i każdej ważnej funkcji.

Miejsce lub działanie	Co może ujawnić
strona główna	globalne skrypty, CMP, podstawową analitykę i reklamę
wpis blogowy	osadzone filmy, social media, reklamy lub narzędzia rekomendacji
formularz kontaktowy	CAPTCHA, narzędzia antyspamowe, czat i integracje formularza
wyniki wyszukiwania	skrypty uruchamiane po wpisaniu frazy lub zmianie filtrów
karta produktu	rekomendacje, recenzje, wideo, remarketing i widżety dostawców
koszyk	cookies sesyjne, zapamiętanie zawartości i narzędzia optymalizacji sprzedaży
realizacja zamówienia	płatności, zabezpieczenia, afiliacja i pomiar konwersji
logowanie i konto	cookies uwierzytelniające, bezpieczeństwo i preferencje użytkownika
mapa, film lub czat	technologie ładowane dopiero po kliknięciu albo przewinięciu

W sklepie wykonaj próbne przejście od karty produktu do zamówienia w środowisku, w którym możesz bezpiecznie przeprowadzić test. Nie składaj prawdziwego zamówienia tylko po to, by sprawdzić cookie, jeśli sklep nie ma trybu testowego.

Cztery scenariusze zgody, które trzeba porównać

Każdy scenariusz rozpocznij w nowej, czystej sesji. Inaczej zapis poprzedniej decyzji może wpłynąć na wynik.

1. Przed podjęciem decyzji

Nie klikaj banera. Zapisz cookies, inne magazyny i żądania sieciowe pojawiające się od pierwszego załadowania. To pokazuje stan domyślny.

2. Po odrzuceniu opcjonalnych kategorii

Kliknij „Odrzuć” lub pozostaw tylko technologie niezbędne. Przejdź na kolejną podstronę i odśwież widok. Sprawdź, czy decyzja została zapamiętana i czy narzędzia opcjonalne zachowują się zgodnie z konfiguracją.

3. Po akceptacji wybranych kategorii

Jeżeli baner rozdziela statystykę i marketing, zaakceptuj tylko jedną kategorię. Ustal, które cookies i żądania pojawiły się po tym wyborze. Powtórz test dla drugiej kategorii w osobnej sesji.

4. Po zmianie lub wycofaniu zgody

Najpierw zaakceptuj wszystkie kategorie, potem ponownie otwórz preferencje i wycofaj zgodę. Sprawdź zachowanie podczas kolejnych odsłon. Sama zmiana przełącznika nie dowodzi jeszcze, że nowe żądania i zapisy respektują decyzję.

Wycofanie zgody nie musi automatycznie usunąć wszystkich cookies utworzonych wcześniej. Sposób obsługi istniejących wpisów zależy od CMP, konfiguracji strony i konkretnej technologii. Ten wynik należy zapisać osobno.

Jak przygotować inwentarz cookies?

Najwygodniejszy jest arkusz, w którym każdy wiersz opisuje jeden wykryty mechanizm.

Kolumna	Co wpisać
nazwa	nazwa cookie, klucza w pamięci lub usługi
domena	domena własna albo zewnętrzna
źródło	wtyczka, moduł, GTM, kod motywu lub zewnętrzna platforma
adres i działanie	strona oraz interakcja, po której element się pojawił
termin	sesyjny albo wskazany czas wygaśnięcia
cel	faktyczna funkcja mechanizmu
proponowana kategoria	niezbędna, preferencyjna, statystyczna lub marketingowa
przed wyborem	tak / nie
po odrzuceniu	tak / nie
po akceptacji	tak / nie i dla jakiej kategorii
opisany użytkownikowi	miejsce w banerze lub polityce cookies
właściciel poprawki	osoba odpowiedzialna za wyjaśnienie albo zmianę

Do wpisu dodaj datę, środowisko, wersję strony, przeglądarkę i zastosowane ustawienia. Ten sam cookie może zachować się inaczej po aktualizacji wtyczki, zmianie kontenera GTM albo wdrożeniu innej wersji banera.

Jak ustalić, skąd pochodzi nieznane cookie?

Nazwa jest wskazówką, ale nie dowodem. Popularne prefiksy mogą sugerować dostawcę, jednak własny skrypt albo inna usługa może używać podobnej nazwy.

Postępuj w tej kolejności:

1. sprawdź domenę cookie i powiązane żądania w Network;
2. odczytaj inicjatora żądania i nazwę ładowanego skryptu;
3. przeszukaj kontener GTM, kod szablonu oraz ustawienia CMS-a;
4. porównaj wynik z listą aktywnych wtyczek, modułów i integracji;
5. sprawdź aktualną dokumentację producenta technologii;
6. na środowisku testowym wyłącz podejrzane źródło i powtórz kontrolę;
7. nie usuwaj elementu produkcyjnego, dopóki nie ustalisz jego wpływu na logowanie, koszyk, płatność lub bezpieczeństwo.

Jeżeli ten sam skrypt występuje w GTM i wtyczce, może działać podwójnie. Wtedy zobaczysz powtarzające się żądania, dwa identyfikatory albo różne zachowanie w zależności od kolejności ładowania.

Jak przypisać cookies do kategorii?

Klasyfikacja powinna wynikać z rzeczywistego celu i sposobu użycia na Twojej stronie.

• Niezbędne – są konieczne do transmisji albo funkcji wyraźnie żądanej przez użytkownika, na przykład utrzymania logowania, zabezpieczenia formularza lub koszyka. Zakres wyjątku wymaga oceny konkretnego mechanizmu.
• Preferencyjne – zapamiętują dodatkowe ustawienia, takie jak wybrany język, region lub wygląd.
• Statystyczne – wspierają pomiar korzystania ze strony i analizę zachowania.
• Marketingowe – służą reklamie, remarketingowi, profilowaniu albo pomiarowi działań reklamowych.

Nie ma uniwersalnej poprawnej liczby cookies. Pięć źle opisanych i nieprawidłowo uruchamianych mechanizmów może być większym problemem niż dwadzieścia wpisów o jasno ustalonych funkcjach.

Nie polegaj bezkrytycznie na automatycznej klasyfikacji. Sprawdź dokumentację, konfigurację konta oraz to, jak dana usługa jest wykorzystywana. To samo narzędzie może mieć inne ustawienia i cele w dwóch firmach.

Jak porównać wynik z banerem i polityką cookies?

Po zakończeniu inwentaryzacji odpowiedz na sześć pytań:

1. Czy każda wykryta technologia ma ustalone źródło i cel?
2. Czy kategoria na banerze odpowiada rzeczywistemu działaniu?
3. Czy mechanizm uruchamia się w odpowiednim scenariuszu zgody?
4. Czy użytkownik otrzymuje informację o celu i może zmienić wybór?
5. Czy polityka cookies opisuje aktualne technologie i okresy działania?
6. Czy na stronie pozostały nieużywane skrypty po dawnych kampaniach lub wtyczkach?

W Polsce art. 399 PKE co do zasady wymaga uprzedniej, jednoznacznej i zrozumiałej informacji oraz zgody na przechowywanie informacji lub uzyskiwanie do niej dostępu w urządzeniu użytkownika. Przepis przewiduje wyjątki dla działań koniecznych do transmisji albo dostarczenia usługi żądanej przez użytkownika. Ocena, czy konkretny mechanizm mieści się w wyjątku, może wymagać weryfikacji prawnej.

Skaner, CMP ani tabela nazw nie stanowią samodzielnej gwarancji zgodności. Pokazują stan techniczny, który trzeba zestawić z rzeczywistymi celami, treścią informacji i procesami organizacji.

Najczęstsze błędy przy sprawdzaniu cookies

Kontrola tylko strony głównej

Piksel konwersji może działać dopiero na stronie podziękowania, a system płatności dopiero w zamówieniu. Testuj typy widoków, nie tylko jeden adres.

Test w starej sesji

Wcześniejsza zgoda, logowanie lub zapisane preferencje mogą ukryć baner i zmienić kolejność uruchamiania technologii. Każdy wariant rozpocznij od czystego stanu.

Oparcie się wyłącznie na document.cookie

Polecenie nie pokaże cookies HttpOnly ani innych magazynów danych. Korzystaj z Application i Network.

Przyjęcie raportu skanera bez weryfikacji

Robot nie zawsze uruchomi interakcje albo wejdzie do widoków zamkniętych. Sprawdź jego zakres i uzupełnij luki ręcznie.

Uznanie domeny zewnętrznej za automatyczny problem

Zewnętrzna domena wymaga identyfikacji, ale sama jej obecność nie rozstrzyga celu ani podstawy działania. Tak samo własna domena nie oznacza automatycznie cookie niezbędnego.

Aktualizacja polityki bez poprawienia konfiguracji

Dopisanie nazwy cookie do dokumentu nie naprawi skryptu działającego w niewłaściwym momencie. Najpierw ustal zachowanie, następnie popraw mechanizm i powtórz test, a na końcu zsynchronizuj informacje dla użytkownika.

Jak często sprawdzać cookies na stronie?

Nie ma jednego terminu odpowiedniego dla każdego serwisu. Wykonaj nowy skan i test co najmniej po:

• instalacji lub większej aktualizacji wtyczki albo modułu;
• zmianie CMP, banera lub reguł blokowania;
• publikacji nowej wersji kontenera GTM;
• dodaniu GA4, piksela reklamowego, czatu, mapy lub filmu;
• zmianie płatności, formularza, logowania albo procesu zamówienia;
• migracji CMS-a, motywu lub platformy sklepowej;
• wykryciu rozbieżności między raportem a polityką cookies.

Dla często zmienianego sklepu przydatny jest cykliczny skan oraz rejestr nowych tagów. Stabilna strona firmowa może być kontrolowana po zmianach i w ramach okresowego przeglądu ustalonego przez organizację.

Najczęstsze pytania

Czy przeglądarka pokaże wszystkie cookies strony?

Pokaże cookies zaobserwowane w konkretnej sesji i kontekście. Nie pokaże automatycznie elementów uruchamianych na nieodwiedzonych podstronach, po logowaniu, w innym regionie albo po interakcji, której nie wykonano. Dlatego potrzebujesz kilku scenariuszy i uzupełniającego skanu.

Czy brak cookies oznacza brak śledzenia?

Nie. Strona może wysyłać żądania sieciowe albo korzystać z Local Storage, Session Storage, IndexedDB i innych mechanizmów. Brak klasycznego cookie jest tylko jednym wynikiem testu.

Jak sprawdzić cookies na WordPressie?

Zacznij od listy aktywnych wtyczek, kodów dodanych przez motyw i kontenera GTM. Następnie uruchom skan oraz przeprowadź test w DevTools. Wtyczka CookieStart do WordPressa umożliwia uruchamianie skanów, przeglądanie wykrytych cookies i skryptów oraz zmianę ich kategorii. Wyniki nadal trzeba zweryfikować dla kluczowych widoków i scenariuszy zgody.

Czy każde cookie wymaga zgody?

Nie należy przyjmować takiego uproszczenia. PKE przewiduje wyjątki między innymi dla przechowywania lub dostępu koniecznego do transmisji albo usługi żądanej przez użytkownika. Zakwalifikowanie konkretnej technologii jako koniecznej wymaga analizy jej faktycznej funkcji, a w razie wątpliwości konsultacji prawnej.

Co zrobić po znalezieniu nieznanego cookie?

Nie usuwaj go w ciemno. Ustal domenę, inicjator, źródło w kodzie lub CMS-ie, cel i moment utworzenia. Dopiero później zdecyduj, czy poprawić kategorię, sposób uruchamiania, opis dla użytkownika, czy całkowicie usunąć zbędną integrację. Po zmianie powtórz test w czystej sesji.

Jeśli chcesz zacząć od automatycznej inwentaryzacji adresów, skryptów i cookies, zeskanuj swoją stronę w CookieStart.