ПРИВАТНІСТЬ ТА CONSENT UA · 5 ВЕРЕСНЯ 2026

Приватність та cookie-сигнали: що бачать публічні краулери

Пошуковий бот і публічний аудит не читають файли cookie й не заходять в акаунт. Але вони бачать HTTP-заголовки, розмітку cookie-банера, зовнішні ресурси та посилання на Privacy Policy. Ці публічні сигнали можна перевіряти систематично й відтворювано.

Що таке публічний сигнал конфіденційності?

Публічний сигнал — це те, що спостерігається без автентифікації:

HTTP-заголовки відповіді сервера (Content-Security-Policy, X-Frame-Options, Permissions-Policy)
Наявність та структура cookie-банера або consent-елемента
Посилання на /privacy або /privacy-policy у підвалі
Зовнішні скрипти та запити до третіх сторін у вихідному HTML

Cookie consent: що перевіряти

Краулер без JavaScript та без логіна бачить те, що є у вихідному HTML. Для consent-перевірки важливі:

Чи присутній consent-елемент у HTML — шукайте role="dialog", класи cookie-banner, consent-manager або схожі.
Чи є посилання на Cookie Policy або Privacy Policy — мають бути в межах видимого DOM без JavaScript.
Чи завантажуються аналітичні скрипти до надання згоди — якщо <script src="https://www.googletagmanager.com/..."> є в <head> без умовного завантаження, це сигнал порушення.

HTTP/2 200 OK Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-abc123' X-Frame-Options: DENY X-Content-Type-Options: nosniff Permissions-Policy: camera=(), microphone=(), geolocation=()

Заголовки безпеки як сигнал довіри

Ключові HTTP-заголовки безпеки та їх ролі
Заголовок	Захист	Типовий стан
`Content-Security-Policy`	Обмежує джерела скриптів та стилів	часто відсутній
`X-Frame-Options`	Захист від clickjacking	зазвичай є
`X-Content-Type-Options`	Заборона MIME-sniffing	зазвичай є
`Permissions-Policy`	Контроль API браузера	рідко встановлений
`Referrer-Policy`	Обмеження витоку URL	часто відсутній

Поширеність сигналів на публічних сайтах

Діаграма ілюструє типовий стан публічних сайтів малого та середнього бізнесу на основі відкритих досліджень.

Ілюстративні дані на основі публічних досліджень. Відсотки відображають наявність сигналу, а не повну відповідність вимогам.

Треті сторони у вихідному HTML

Перелічте всі зовнішні домени, з яких завантажуються ресурси (<script src>, <link href>, <img src>) у вихідному HTML без JavaScript. Для кожного домену вкажіть:

Чи є посилання на його Privacy Policy
Чи завантаження відбувається умовно (після згоди) або безумовно
Чи домен є відомим постачальником аналітики або реклами

Що FluxRadar перевіряє

FluxRadar перевіряє публічні сигнали конфіденційності без автентифікації: HTTP-заголовки безпеки, наявність посилань на Cookie Policy та Privacy Policy у DOM, сторонні ресурси у вихідному HTML та відповідність robots.txt. Запустити перевірку →