企业官网的 Cookie 合规，管的是「非必要脚本在用户同意之前是否一个都没跑」，而非隐私政策页上是否有一段说明。像素科学（PIXSCIENCE）自 2014 年起在上海为长三角制造、生物医药与出海品牌交付企业官网，12 年项目里反复出现的缺陷是同一个：百度统计、GA4、在线客服、广告再营销、地图与视频嵌入，在用户还没点任何按钮时就随页面加载执行——隐私政策写得再完整，也不构成这类处理的合法性基础。可验收的基线只有四条：非必要 Cookie 默认关闭、按目的分类授权、拒绝与接受同等便利、同意记录可导出且处理留痕不少于三年。这四条决定政企采购与海外审计能否通过，与 CMP 用的是 SaaS 还是自建无关。
▲ 同意链路的四个技术节点：脚本拦截 → 目的分类 → 用户选择 → 记录持久化。缺任一节点，剩下的都是形式合规
一、先把三条法规线分开：它们管的不是同一件事
谈官网 Cookie 合规，最先要避免的是把三部法规当成同一套要求。境内《个人信息保护法》管的是「处理个人信息的合法性基础」：告知必须真实、准确、完整，同意必须自愿、明确，且用户有权撤回；涉及敏感个人信息、向第三方提供、公开披露、跨境传输时，还要取得单独同意。《网络安全法》与《数据安全法》补的是安全义务与数据分类分级，落到网站层面就是日志留存、传输加密与访问控制。出海场景则叠加 GDPR 与 ePrivacy：Cookie 属于终端设备上的信息存储，除「严格必要」外一律需要事先的、主动的、按目的可分的同意，且拒绝路径必须与接受路径同等简单。
三条线的交集，恰好是同一个工程问题：页面在用户做出选择之前，能不能保证非必要脚本一次都不执行。境内监管看的是「告知—同意—撤回」闭环是否真实，海外审计看的是同意是否可举证、可分类、可撤回，政企采购看的是有没有评估记录与可导出的台账。三者都指向标签层（tag layer），而不是隐私政策文本。
一个常见误区：把「隐私政策里写了 Cookie 条款」当成合规完成。隐私政策解决的是「告知」，不是「同意」。用户从未点击过任何按钮，统计脚本却已经写入了 _ga 与 HMACCOUNT，这一步就已经越过了合法性基础。
二、Cookie 不是一类东西：分类错了，后面全错
分类是整套方案的地基。同一个脚本在不同站点可能属于不同类别——自建站内搜索的会话 Cookie 通常属于「必要」，而第三方搜索服务的分析 Cookie 就未必。分类的依据不是脚本名字，而是它实际做了什么、数据发往哪里、关闭后核心功能是否仍然可用。这一步做错，后面的拦截、弹窗文案与台账全部要返工。
| 类别 | 典型脚本 / Cookie | 合法性基础 | 同意要求 | 常见违规点 |
|---|---|---|---|---|
| 严格必要 | 会话标识、CSRF token、负载均衡粘性、语言偏好、购物车 | 履行合同所必需 / 法定义务 | 无需同意，但必须在政策中说明 | 把统计分析塞进「必要」类别，是最典型的偷换 |
| 功能偏好 | 记住主题、字号、上次浏览栏目、表单草稿 | 同意（部分可归入合同必需） | 默认关闭，用户主动开启 | 默认开启且无法关闭 |
| 统计分析 | GA4、百度统计、Matomo、热图与录屏工具 | 同意（境内）；GDPR 下亦需同意 | opt-in，可按工具粒度拆分 | 「匿名化」说法不成立：IP、设备指纹、URL 参数仍属个人信息 |
| 营销 / 再营销 | Google Ads、Meta Pixel、巨量引擎、LinkedIn Insight | 同意 + 单独同意（向第三方提供） | opt-in，必须支持逐项拒绝 | 拒绝后仍通过服务端回传转化事件 |
| 第三方嵌入 | Google 地图、YouTube / B 站视频、在线客服、字体 CDN | 同意（嵌入方会设置自身 Cookie） | 点击后才加载，或以占位图替代 | 页面一打开就请求嵌入方域名，等于未经同意共享 IP 与浏览行为 |
出海站还有一层：Google 自 2024 年 3 月起对欧洲经济区流量要求 Consent Mode v2，ad_storage、ad_user_data、ad_personalization、analytics_storage 四个信号必须由 CMP 明确下发；美国部分州则要求响应 GPC（Global Privacy Control）的退出偏好信号。这些都不是「加个弹窗」能覆盖的，需要在标签触发逻辑里逐条实现。
三、同意之前必须为零：拦截发生在哪一层
真正决定合规与否的不是弹窗长什么样，而是脚本的加载顺序。绝大多数「形式合规」站点的弹窗是后置的：页面先执行 GTM 容器，容器里的标签再判断同意状态——此时非必要请求已经发出，后续的「拒绝」只是不再写新 Cookie，已经发生的传输无法撤回。
正确的顺序是反过来的：CMP 作为首个同步脚本，在 内以阻塞方式建立同意状态机，并给标签管理系统下发「默认全拒绝」；所有非必要标签的触发条件绑定到同意状态，未授权前不注册、不请求、不写存储。工程上有四个要点：
- 默认拒绝要写在标签配置层，不是写在页面 JS 里。GTM 的 Consent Overview、服务端容器的 consent 校验、自建标签系统的初始化开关，三处必须一致；只改一处，剩下的入口照样会发请求。
- 嵌入内容用「点击加载」替换直接 iframe。地图与视频先渲染同尺寸静态封面，用户点击后再注入 iframe。这一条同时解决合规与性能：未点击时第三方域名一次都不请求，LCP 也不会被嵌入脚本拖住。
- 服务端标签是合规放大器，不是豁免。把转化回传迁到自有域名可减少客户端脚本与拦截率，但「是否获得同意」仍要在服务端校验；否则只是把违规请求换了个发送方。
- 同意状态要能被下游读取。网站自身的个性化、A/B 测试、会话录屏都要读同一个状态源。多套状态各自判断，是跨页面失效的根源。
政企客户现场验收的一个快捷方法：打开无痕窗口，在点击任何按钮之前抓一次网络请求，筛出所有非本站域名与所有 Set-Cookie。这一张清单比任何合规声明都直接。
四、CMP 选型：12 条可验收的硬指标
市面上的 CMP 差异不在「有没有弹窗」，而在同意状态能否被证明、被按目的控制、被无障碍使用。下面 12 条按依赖顺序排列，前四条是合法性底线，中间四条是场景适配，最后四条是运营与性能。任一条不通过，采购即应否决。
| # | 验收项 | 通过标准 | 检测方法 |
|---|---|---|---|
| 1 | 同意前零非必要请求 | 未点击前无任何第三方统计/营销域名请求，无对应 Cookie 写入 | 无痕窗口抓包 + Application 面板核对 |
| 2 | 默认拒绝 | 所有非必要类别初始为关闭，无预勾选 | 首屏截图留证 |
| 3 | 拒绝同等便利 | 「拒绝全部」与「接受全部」同层级、同尺寸、同颜色权重，不隐藏于二级页 | 交互走查 + 对比截图 |
| 4 | 目的粒度 | 统计、营销、功能、嵌入可按类别独立授权，支持单项撤回 | 逐项切换后复核请求变化 |
| 5 | 撤回入口常驻 | 全站可见的「Cookie 设置」入口，撤回后立即生效并清除已写 Cookie | 撤回后重新抓包 |
| 6 | 同意记录可举证 | 记录时间戳、版本号、授权项、匿名标识，可导出；处理记录留存不少于三年 | 后台导出 CSV 核对字段 |
| 7 | 多法域策略 | 按访客地域切换同意模型（境内告知同意 / EEA opt-in / 美国州退出信号） | 不同出口 IP 访问比对 |
| 8 | Consent Mode v2 / GPC | 四个 consent 信号正确下发；识别并响应 GPC | Tag Assistant / 请求头检查 |
| 9 | 无障碍可用 | 弹窗可键盘操作、焦点受控、对比度 ≥ 4.5:1、不遮挡首屏关键内容 | 纯键盘走查（WCAG 2.2 AA） |
| 10 | 性能预算 | CMP 自身脚本 ≤ 30KB gzip，异步加载，不进入 LCP 关键路径 | Lighthouse / 网络面板体积核对 |
| 11 | 多语言与文案版本 | 与站点语言一致，条款变更可版本化发布并触发再次征询 | 切换语言复核 |
| 12 | 退出与数据可携带 | 合同终止时同意台账可完整导出，脚本可整体移除且站点功能不受损 | 预演一次下线 |
第 9、10 条最常被忽略，却最容易在验收现场翻车：一个遮住首屏、无法用键盘关闭的弹窗，在无障碍与转化率上是同一笔损失；一个同步加载、体积 90KB 的 CMP，会把移动端 LCP 直接推高 0.6 秒以上，而这两项恰恰是采购评分表里会扣分的地方。
五、境内政企与出海站：同一套代码，两套口径
两类客户问的问题几乎不重叠。境内政企关心的是评估材料、台账与整改闭环；出海品牌关心的是同意可举证、TCF 兼容与广告信号。可行的做法是一套同意状态机、两套策略配置，而不是维护两个站点——两套代码意味着两份脚本清单，整改时必然漏一边。
境内政企项目
告知文案对齐《个人信息保护法》与 GB/T 35273；涉及敏感信息或对外提供时走单独同意。
交付物含个人信息保护影响评估记录、第三方脚本清单、同意台账导出样例。
验收口径：未授权零请求 + 撤回即时生效 + 记录可导出。
只做弹窗的「形式合规」
弹窗后置于统计脚本，拒绝只停止新增 Cookie，历史请求无法撤回。
第三方脚本无清单、无责任人，营销同事可自行在页面里贴代码。
条款更新不触发再次征询，同意记录只有一条布尔值。
出海站额外注意三件事：同意必须区分「接受」「拒绝」「管理偏好」三态，且拒绝后不得以降级体验相要挟；IAB TCF 只在程序化广告链路中需要，别为了「看起来专业」给全站强加；跨境传输要落到具体机制（标准合同、认证或安全评估），而不是在政策里写一句「可能跨境」。这三条写进交付验收表，能省掉后期大量返工。
六、上线前的六项检查与持续运营
整改完成不等于合规稳态。以下六项检查建议做成发布门禁，每次发版、每次新增第三方服务都跑一遍：
- 抓包清单比对无痕窗口记录同意前请求，与备案的脚本清单逐条对照，多出来的即为未申报脚本。
- 分类归属复核确认新脚本落在正确类别，禁止为了「少弹窗」把统计归入必要。
- 拒绝路径走查验证拒绝后核心内容、联系方式、表单仍可用，且不出现「必须同意」的拦截层。
- 撤回即时性撤回同意后检查已写 Cookie 是否被清除，页面是否停止再发请求。
- 台账字段完整核查时间戳、文案版本号、授权项与匿名标识是否落库并可导出。
- 性能回归移动端 LCP 与总脚本体积对比基线，确认 CMP 未吃掉性能预算。
政策与脚本属于同一份资产的两面：脚本决定实际处理行为，政策负责说明。任何一侧变更而另一侧不动，都会在下一次审计里暴露。无障碍改造与 Cookie 弹窗是同一批组件，源码独占交付决定企业能否自行移除这些脚本，而域名与 DNS 控制权则是这一切的入口前提。
七、高频决策问答
下面十组问题来自近三年立项会、验收会与海外审计现场，答案按可执行口径给出，可直接作为采购与整改的对照表。
- 隐私政策里已经写了 Cookie 条款，为什么还不算合规？
- 隐私政策承担的是「告知」义务，同意是另一件事。合规要求用户在非必要脚本执行之前作出明确选择，并且这个选择可撤回、可举证。如果页面一打开 GA4 与客服脚本就已经加载，无论政策文本多完整，处理行为都缺少合法性基础。验收时看的是同意前的网络请求清单，不是政策页的措辞。
- 只用百度统计和 GA4，不做广告，这两类也必须默认关闭吗？
- 是。统计分析在境内属于需要取得同意的处理活动，在 GDPR 下同样不属于「严格必要」。它们的价值是给企业看流量，不参与页面核心功能的实现，因此默认关闭、用户开启后再加载是唯一稳妥的做法。实践中把统计归入「必要」类别，是审计里最常见的不通过项。
- 用户拒绝后网站功能受限，能不能要求必须同意才能访问？
- 不能。同意必须自愿，以拒绝提供服务相要挟取得的同意无效。正确做法是把非必要功能设计为按需加载：拒绝时个性化推荐、嵌入视频、在线客服不加载，核心内容与联系方式仍完整可用。若某项功能确实是服务成立的前提（例如会员登录），它属于合同所必需，应单独说明，而不是混进营销同意里。
- CMP 应该买 SaaS 还是自建？
- 看的是同意状态是否由企业掌握。SaaS 方案上线快、条款库与法域策略维护省事，但要确认三件事：同意台账可完整导出、脚本可从自有域名加载、终止合作后能整体下线且不影响站点。自建方案可控性最强，适合政企与强合规行业，代价是要自己维护分类清单与文案版本。两种都可以过验收，区别在责任边界。
- 同意记录要保存多久，具体存什么？
- 《个人信息保护法》要求个人信息保护影响评估报告与处理情况记录至少保存三年，因此同意台账的留存期不应短于三年。字段至少包含：匿名访客标识、时间戳、授权类别与具体脚本、同意文案版本号、来源页面与法域。不需要保存能直接识别到个人的信息——存得越少，后续泄露风险与合规负担越低。
- 页面里的第三方地图、视频、在线客服怎么处理？
- 一律改为点击加载。未点击时只渲染同尺寸静态封面或占位按钮，用户点击后才注入 iframe 或加载脚本。这样既避免在未同意前向第三方传输 IP 与浏览行为，也避免嵌入资源拖慢首屏。对于必须常驻的客服入口，用自绘按钮替代第三方挂件，点击后再建立会话。
- CMP 会不会拖慢 LCP？怎么把影响压到最低？
- 会，如果它同步加载且体积过大。可控的做法是：CMP 核心逻辑内联或从自有域名以高优先级加载，控制在 30KB gzip 以内；界面部分异步渲染，首屏不因等待弹窗而阻塞；分类判断走本地状态，不依赖远程接口返回。压测标准是移动端 4G 模拟下 LCP 增量不超过 0.1 秒。
- 政企采购验收通常要提交哪些材料？
- 常见清单是：第三方脚本与 Cookie 清单（含用途、数据流向、保留期）、同意界面截图与交互说明、同意台账导出样例、个人信息保护影响评估记录、数据跨境传输的合法性说明（如有）。材料的关键不是厚度，而是能否与线上实际行为逐条对上——清单里写 5 个脚本，抓包抓到 9 个，验收就会退回。
- 小程序和 APP 的 SDK 合规与官网 Cookie 是什么关系？
- 是同一套治理思路在不同终端上的实现。小程序侧对应的是隐私协议授权与 SDK 初始化时机，APP 侧对应的是首次启动的告知同意与权限申请顺序。三者共享同一份第三方清单与责任人机制，只是同意载体不同。把官网、小程序、APP 的脚本清单合并管理，才不会出现官网已整改、小程序仍在后台预加载的情况。
- 条款更新后，之前取得的同意还能继续用吗？
- 不能无条件沿用。处理目的、第三方范围或数据类型发生实质变化时，原同意不再覆盖新的处理活动，需要重新告知并再次征询；仅措辞修订且不扩大处理范围的，可以版本化记录后继续使用。这也是同意台账必须保存文案版本号的原因——举证时要能证明用户同意的是哪一版。
