5 דקות קריאה
העוגייה נכתבה לפני שהמבקר הספיק להסכים
ב-85 אחוז מהאתרים שסרקנו כלי מעקב כתבו עוגיות עוד לפני שמישהו נגע בבאנר.
הדפוס זהה כמעט בכל אתר: מנהל התגיות נטען בראש הדף, הוא מפעיל את סקריפטי המדידה, ואלה כותבים עוגיות מזהה תוך שברירי שנייה. באנר ההסכמה נטען אחריהם, לרוב כרכיב שמצויר בצד הלקוח, ומופיע כשהמעקב כבר רץ. הלחיצה על אשר או על דחה משנה מה יקרה מכאן והלאה, לא מה שכבר נכתב.
זה קורה בלי כוונה רעה. סדר הטעינה נקבע פעם אחת כשהאתר נבנה, הבאנר הותקן מאוחר יותר כמוצר נפרד, ואף אחד לא בדק את הרצף בפועל. באתר שנראה תקין לגמרי, בדיקה של מה קיים ב-document.cookie לפני כל אינטראקציה מגלה תמונה אחרת.
ההקשר הישראלי השתנה: תיקון 13 לחוק הגנת הפרטיות הרחיב מהותית את סמכויות האכיפה והעלה את החשיפה הכספית. גם בלי להיכנס לשאלה המשפטית המדויקת לגבי כל סוג עוגייה, הפער בין מה שהבאנר מבטיח למה שהאתר עושה הוא בדיוק סוג הפער שקשה להסביר בדיעבד.
שתי בדיקות נלוות עולות באותה תדירות. עוגיות בלי הדגל Secure, שנשלחות גם בחיבור לא מוצפן. ועוגיות הפעלה בלי HttpOnly, שכל סקריפט בדף - כולל סקריפט צד שלישי שנפרץ - יכול לקרוא. שתיהן מתוקנות בשורה אחת בהגדרת השרת, ושתיהן נשארות פתוחות שנים.
הסורק בודק מה נכתב לפני כל אינטראקציה, מאיזה מקור, ואילו דגלים הוגדרו - ומחזיר את רשימת העוגיות עצמה, כדי שאפשר יהיה להראות אותה למי שהתקין את הכלי.