Cookie и согласия по 152-ФЗ: категории, блокировка скриптов и журнал согласий

Строка «Мы используем cookies» в подвале и окно с единственной кнопкой «Принять» долгое время считались достаточными. В описании одного из модулей прямо сказано, что сейчас Роскомнадзор и суды считают такую формулировку недостаточной: она сообщает о cookies, но не фиксирует согласие посетителя. Разница принципиальная. Если на сайте стоит Яндекс.Метрика, пиксель соцсети или онлайн-чат, сайт обрабатывает данные с первой секунды визита — и вопрос уже не в том, «есть ли баннер», а в том, что именно этот баннер делает: разделяет ли категории, блокирует ли скрипты до выбора, хранит ли доказательство. Эта статья — про техническую часть: как настроить согласие так, чтобы оно было собрано корректно, и какие модули рынка это закрывают.

Что именно требует закон и что из этого решает модуль

Полезно сразу развести зоны ответственности, иначе можно купить куки-баннер в надежде закрыть юридический вопрос — а он не закрывается на уровне кода.

Техническая часть, которую закрывает модуль: показать уведомление, дать выбрать категории, не запускать сторонние сервисы до согласия, сохранить запись о решении, дать возможность решение изменить и отозвать.

Часть владельца сайта, которую модуль не заменит: в описании Dwstroy: Уведомление о cookie прямо перечислено — вписать в политику реквизиты оператора и перечень обрабатываемых данных, подать уведомление в Роскомнадзор об обработке персональных данных, а если используются иностранные сервисы (например, Google Analytics) — подать уведомление о трансграничной передаче (ст. 12).

То же честно предупреждают другие разработчики. YasnoCore Privacy Control: журнал связывает действие с аккаунтом Битрикс, но не удостоверяет личность человека и не является юридическим доказательством согласия; документы, основания обработки и организационные меры определяет оператор сайта. Артекс: Управление cookie и согласиями: модуль предоставляет технические инструменты для фиксации согласий, а состав сохраняемых данных, сроки хранения и порядок доступа должны быть настроены администратором с учётом применимых требований. Cookie Consent даёт чек-лист соответствия с отметкой того, что модуль закрыть не может — в описании названы уведомление в Роскомнадзор и трансграничная передача.

Это не отговорка разработчиков, а трезвая рамка. Из неё следует практическое правило: не выбирайте модуль только по внешнему виду баннера. Смотрите на три технические вещи — категории, блокировка до согласия, журнал.

Каким должно быть согласие: разбор по пунктам

В описании Модуль согласия с cookies требования ст. 9 152-ФЗ переведены в конкретный список. Это удобный чек-лист, по которому стоит проверять любой баннер, свой или чужой.

• Конкретное и информированное. Посетитель понимает, какие данные собираются и зачем.
• Сознательное и однозначное. Согласие даётся нажатием кнопки; прокрутка, закрытие окна или молчание согласием не считаются.
• Отказ не сложнее согласия. Отказаться должно быть так же просто, как согласиться.
• Никаких предзаполненных галочек. Посетитель включает их сам.
• Доступ к сайту не зависит от согласия на аналитику и рекламу. Иначе отказ теряет смысл.

Как это выглядит в реализациях. Модуль согласия с cookies: при первом визите в углу появляется окно с тремя кнопками, отказаться можно одним нажатием; кнопка «Настроить» открывает окно с переключателями, где обязательные cookies включены всегда, а аналитические и маркетинговые выключены, пока посетитель сам их не включит. Cookie Consent формулирует это как «три равнозначные кнопки: «Принять все», «Только необходимые», «Сохранить выбор»», с прямой оговоркой — предзаполненных согласий нет. Dwstroy: Уведомление о cookie добавляет важную деталь: крестик закрывает баннер, но согласием не считается; а согласие даётся отдельным действием в баннере, а не принимается вместе с пользовательским соглашением или офертой — как требует редакция 156-ФЗ с 1 сентября 2025 года.

Категории cookie: какие вообще нужны категории

Категории — не украшение интерфейса, а механизм разделения согласий: согласие на аналитику не означает согласия на рекламу.

Различия в наборах по умолчанию стоит учитывать при выборе, потому что под свой сервис иногда нужна отдельная категория.

Отдельно про обязательные: в Cookie Consent категория «необходимые» прямо не отключается. В Модуле согласия с cookies объяснено, почему: технически необходимые cookies отвечают за сессию, корзину, авторизацию и защиту форм, и без них сайт не откроет корзину и не пустит в личный кабинет.

Практический совет: посмотрите на свой стек сервисов до настройки. Если у вас коллтрекинг и онлайн-чат — вам нужна как минимум отдельная категория для чата, иначе вы либо запишете его в маркетинг (и потеряете статистику у отказавшихся от маркетинга), либо не заблокируете его вовсе.

Главное техническое требование: блокировка до согласия

Здесь проходит водораздел между «баннером» и «системой согласий». Если счётчик загружается при загрузке страницы и условно «ждёт разрешения», данные он уже отправил.

В описании Cookie Consent эта мысль сформулирована точнее всего: скрипты аналитики, маркетинга и онлайн-сервисов не добавляются на страницу до получения согласия; счётчики не загружаются заранее и не находятся в ожидании разрешения — до согласия соответствующие скрипты физически отсутствуют в HTML-странице, поэтому браузер не выполняет запросы к внешним сервисам.

У BUSSOL Consent Manager блокировка реализована шире по типам ресурсов: не только script и iframe, но и img, link, object, embed, source, плюс дополнительное клиентское наблюдение за динамически создаваемыми элементами и контроль динамических обращений через Fetch API, XMLHttpRequest и sendBeacon в тех сценариях, где это применимо. Это существенно, если рекламный пиксель создаётся из JS, а не прописан в шаблоне.

Менее глубокий уровень у остальных: Dwstroy: Уведомление о cookie — счётчики не запускаются, пока посетитель не согласился, и запускаются после согласия без перезагрузки страницы; YasnoCore Privacy Control — опциональное блокирование известных систем аналитики до выбора посетителя; Артекс: Управление cookie и согласиями — блокировка HTML и JavaScript-скриптов до получения согласия; Сookie (куки) по 152-ФЗ (2026) — клиентская и серверная блокировка необязательных cookie.

При проверке спрашивайте конкретное: откройте исходный код страницы до согласия и поищите идентификатор счётчика. Если он там есть — скрипт загружается, каким бы красивым ни был баннер.

Сканер сайта: как узнать, что вообще подключено

Типичная ситуация: сайтом занимались три подрядчика за пять лет, и никто уже не помнит, какие пиксели и виджеты остались в шаблоне.

Для этого в BUSSOL Consent Manager есть встроенный сканер: он обходит страницы проекта и помогает обнаружить подключённые сторонние сервисы и ресурсы. В описании перечислено, что выявляется: Яндекс.Метрика, Google Analytics, Google Tag Manager, VK Pixel и другие рекламные пиксели, YouTube, Rutube, Vimeo, Jivo, Calltouch, Roistat, reCAPTCHA, Яндекс.Карты, сторонние iframe, внешние JavaScript и подключённые сторонние ресурсы. Результаты видны в админке и используются для настройки правил блокировки и категорий. Отдельно подчёркнуто: содержимое сайта при сканировании не требуется передавать во внешний SaaS-сервис.

У Cookie Consent есть похожая, но более узкая функция — сканер старых страниц, который находит документы прежних редакций и помогает настроить перенаправления. И у Dwstroy: Уведомление о cookie — подсказка о старом баннере: если в шаблоне остался баннер cookie, вставленный вручную, в настройках появится предупреждение, на какой странице он найден и как его убрать.

Разница важная: сканер сервисов помогает не пропустить счётчик, сканер документов — не оставить на сайте устаревшую политику. Обе задачи реальны, но это разные инструменты, и фраза «есть сканер» без уточнения ничего не значит.

Журнал согласий: что в нём должно быть

Журнал — то, что показывают, когда спрашивают «на каком основании сайт собирает данные».

Минимальный состав по описаниям: дата и время, выбранное решение, состояние категорий, версия политики. Далее начинаются различия.

• Dwstroy: Уведомление о cookie — журнал обезличенный, без IP: дата, страница, ответ, выбранные категории, версия согласия. Позиция заявлена явно: IP-адреса и другие лишние сведения не записываются. Есть статистика с графиком по дням и долей согласий по категориям, выгрузка в Excel, автоматическое удаление старых записей и защита журнала от накрутки.
• Cookie Consent — дата, набор категорий, версия политики, действие. IP хранится в виде хеша SHA-256 с солью, которая создаётся при установке; срок хранения задаётся в настройках, суточный агент удаляет записи старше срока.
• Артекс: Управление cookie и согласиями — дата и время, сайт, решение, состояние категорий, версия политики, идентификатор посетителя, идентификатор запроса, IP или его хэш в соответствии с настройками, URL страницы, источник перехода, User-Agent, срок хранения записи. Для защиты от незаметного изменения записей используется проверка целостности журнала; доступ и экспорт ограничены правами пользователей админпанели; экспорт в CSV.
• BUSSOL Consent Manager — дата и время, сайт, URL, выбранные категории, версия политики, цифровой отпечаток редакции, пользователь Битрикс, User-Agent, IP либо его защищённое представление, изменение или отзыв согласия. Для защиты истории может использоваться HMAC-цепочка — она позволяет обнаруживать нарушение последовательности записей. Режим работы с IP выбирается: не сохранять, маскировать, хранить хэш или полный IP. Есть аналитика согласий за 7, 30 и 90 дней по сценариям «приняли всё», «отказались», «выбрали часть», «изменили решение», «отозвали».
• YasnoCore Privacy Control — принципиально иначе: журнал ведётся по пользователям, вошедшим в учётную запись Битрикс (время, выбранные категории, версия политики, адрес страницы). У гостя выбор cookie сохраняется только в браузере, и модуль не отправляет действия гостя в журнал. Содержимое форм в журнал не попадает, вместо исходных идентификаторов используются защищённые хэши. Новые клиентские события хранятся до семи суток.

Обратите внимание на последний пункт: если вам нужен журнал именно по анонимным посетителям, а не по авторизованным, YasnoCore Privacy Control в описанной конфигурации этого не даёт — там журнал привязан к аккаунту. Это не дефект, а другой подход, но выбрать его «вслепую» легко.

Версия политики: почему согласие протухает

Согласие привязано к редакции документа, а не к сайту вообще. Если текст политики изменился, старое согласие относилось к другой редакции.

Разные модули решают это по-разному. Cookie Consent повышает версию политики автоматически, как только изменились реквизиты компании, набор сервисов или тексты документов, — после этого согласие запрашивается заново. Dwstroy: Уведомление о cookie даёт кнопку «Спросить всех заново», которая заново показывает баннер всем, кто ответил раньше; журнал сохраняет, на какую версию дано согласие. BUSSOL Consent Manager хранит редакции политики и цифровой отпечаток каждой версии, чтобы запись журнала однозначно связывалась с тем текстом, который пользователь видел. У Сookie (куки) по 152-ФЗ (2026) и Артекс: Управление cookie и согласиями в описаниях упомянуты версия политики и срок действия согласия как настройки.

Практика: любое изменение перечня сервисов должно сопровождаться повышением версии. Если вы добавили пиксель, а версия политики не изменилась, формально согласия на новый сервис у вас нет.

Отзыв согласия и удаление cookie

Право отозвать согласие — не формальность, и «отзыв» должен что-то менять.

BUSSOL Consent Manager не только перестаёт запускать сервисы, но и может удалять связанные cookie при отзыве: поддерживаются точные имена cookie, маски и пользовательские правила. Оговорка в описании честная — удалить те cookie, которые возможно удалить средствами браузера. Есть и центр управления согласием: пользователь видит текущие разрешения, меняет категории, разрешает отдельные сервисы, отключает ранее разрешённые, отзывает согласие и сохраняет новый выбор.

У BUSSOL Consent Manager отдельно проработана доступность интерфейса: управление с клавиатуры, корректная работа фокуса, ARIA-атрибуты, поддержка screen reader, управление клавишей Esc, восстановление фокуса после закрытия. У Cookie Consent отзыв доступен кнопкой «Настройки cookie», в том числе с клавиатуры.

Это не мелочь: если кнопка «Отказаться» недоступна с клавиатуры или спрятана за пять кликов, требование «отказаться так же просто, как согласиться» выполняется формально.

Счётчики конкретно: Метрика, GA, GTM, пиксели

Список поддерживаемых сервисов — практический критерий: для нестандартного сервиса придётся настраивать свои правила, а это время и риск ошибки.

• Cookie Consent: Яндекс.Метрика (несколько счётчиков), Google Analytics и Google Tag Manager, Rating Mail.ru / Top.Mail.Ru, VK Pixel и VK Реклама, Facebook Pixel / Meta, коллтрекинг Mango Office, онлайн-чат Битрикс24 и произвольный виджет чата. Отдельная деталь: в баннер и юридические тексты попадают только те сервисы, идентификаторы которых заполнены в настройках.
• BUSSOL Consent Manager: Яндекс.Метрика, Google Analytics, Google Tag Manager и другие подключаемые системы, для нестандартных — собственные правила. Плюс поддержка Google Consent Mode v2 с параметрами analytics_storage, ad_storage, ad_user_data, ad_personalization; состояние согласия обновляется после изменения пользователем выбранных категорий.
• Dwstroy: Уведомление о cookie: Яндекс Метрика, Google Analytics и Tag Manager, пиксель VK, статистика Битрикса и любые свои скрипты.

Если у вас зарубежная реклама и требуется Consent Mode — круг сразу сужается до решений, где он заявлен. Если весь стек российский, этот пункт не должен влиять на выбор.

Композит, готовые шаблоны и многосайтовость

Три технические ловушки, из-за которых модуль «вроде стоит, но не работает».

Композит. Пользовательское состояние согласия не должно попадать в статический кеш страницы. В BUSSOL Consent Manager указано, что конфигурация и состояние обрабатываются отдельно от кешируемого HTML, а работа с композитом протестирована на Аспро, INTEC и Сотбит Розница. Модуль согласия с cookies и Dwstroy: Уведомление о cookie также заявляют поддержку композитного режима.

Готовые шаблоны и CSS-конфликты. У BUSSOL Consent Manager интерфейс изолирован от стилей шаблона: для элементов используются собственные уникальные селекторы, что снижает риск конфликтов с Bootstrap, CSS готовых решений, пользовательскими стилями и глобальными селекторами. Модуль согласия с cookies встаёт на готовые шаблоны (Аспро, Сотбит, Intec и другие) и на индивидуальный дизайн, написан на нативном JavaScript без сторонних библиотек.

Многосайтовость. Отдельные настройки для каждого сайта заявлены у Артекс: Управление cookie и согласиями, BUSSOL Consent Manager (тексты, категории, правила, политики, сроки хранения, сервисы, URL-условия, региональные режимы), YasnoCore Privacy Control, Сookie (куки) по 152-ФЗ (2026) и Dwstroy: Уведомление о cookie (выбор сайта выделен вверху, по умолчанию открывается основной сайт). В Модуле согласия с cookies многосайтовость указана в технических характеристиках.

Согласия в формах и заказах — не только cookie

Cookie — половина задачи. Вторая половина — формы: обратный звонок, подписка, оформление заказа. Там согласие нужно отдельным чекбоксом.

• Cookie Consent: чекбокс согласия добавляется на страницу оформления заказа и в выбранные веб-формы сайта без правки шаблонов.
• YasnoCore Privacy Control: обязательный чекбокс в формах с email, телефоном, именем или сообщением, отдельные формы можно исключить.
• BUSSOL Consent Manager: вывод согласия для выбранных форм и связь со штатным механизмом пользовательских соглашений 1С-Битрикс — работа с cookie, формами обратной связи и обработкой персональных данных централизуется.

Интеграция со штатными соглашениями Битрикс есть у нескольких решений. В Dwstroy: Уведомление о cookie ссылка на политику может открывать текст из визуального редактора или из соглашения Битрикс (раздел «Настройки продукта → Соглашения»), а в Модуле согласия с cookies журнал хранится в стандартном разделе 1С-Битрикс «Соглашения» — отдельную систему осваивать не придётся.

Готовые юридические тексты: оферта, политика, согласия

Тексты — та часть, где чаще всего остаются «рыбные» абзацы с чужого сайта. Модули помогают, но по-разному.

Cookie Consent: кнопка «Создать страницы» генерирует политику использования cookie, политику конфиденциальности, согласие на обработку персональных данных и согласие на рекламную рассылку, подставляет реквизиты организации и прописывает адреса страниц в настройки. Для интернет-магазина дополнительно создаются публичная оферта, условия оплаты, условия доставки и гарантийные обязательства. Над документами можно вывести свою оговорку, обёртку страницы задать CSS-классом шаблона. Важная деталь: при удалении модуля созданные страницы не стираются — это содержимое сайта, а не файлы модуля.

Dwstroy: Уведомление о cookie: готовый текст «Политики использования файлов cookie» по 152-ФЗ в строгом оформлении — остаётся вписать реквизиты и контакты.

BUSSOL Consent Manager: генератор политики, который готовит текст с учётом настроенных категорий, используемых сервисов, целей обработки, сроков и параметров сайта, — с прямой оговоркой, что он ускоряет подготовку документации и не заменяет юридическую проверку.

Cookie Consent дополнительно даёт заготовку текста уведомления в Роскомнадзор.

Установка и первое включение: три подхода

Сколько работы потребуется после покупки — критерий, который часто недооценивают.

• Автоматическое подключение. BUSSOL Consent Manager автоматически подключается на публичных страницах после установки и включения: не требуется добавлять IncludeComponent, менять шаблон, править header.php или footer.php, вручную подключать JS и CSS. В админке есть режим диагностики: включён ли модуль, активно ли автоподключение, найден ли виджет, загружается ли JavaScript, получена ли конфигурация, нужен ли ручной компонент (не требуется).
• Вставка через событие ядра. У Cookie Consent баннер добавляется перед закрывающим тегом body через событие ядра; отдельная настройка шаблона не требуется.
• Сам баннер на всех страницах. Dwstroy: Уведомление о cookie и Модуль согласия с cookies после установки сразу показывают баннер без правки шаблона.

Там, где настройка визуальная, оцените, насколько удобно подгонять вид. Dwstroy: Уведомление о cookie: живой предпросмотр с переключением «Компьютер / Телефон», 13 готовых видов оформления, четыре расположения (по центру, полоса снизу, снизу слева, снизу справа), подстановки срока хранения и названия сайта в текст, список страниц с маской для исключения, режим тестирования, когда баннер видит только выбранный пользователь и ответ не запоминается. Модуль согласия с cookies: положение на экране, размер шрифта, отступы, скругление углов, прозрачность и восемь цветовых параметров, задержка показа в секундах.

Режим тестирования стоит выделить отдельно: он позволяет настраивать всё на рабочем сайте, не показывая баннер посетителям. При внедрении на живом проекте без него приходится либо рисковать, либо гонять всё на стенде, где нет реального трафика.

URL-правила и региональные сценарии

Иногда баннер не нужен или нужен не везде. У BUSSOL Consent Manager есть URL-правила: показывать модуль только на определённых разделах, исключить отдельные URL, применять специальные правила к лендингам, использовать различные политики для отдельных разделов. Там же — региональные режимы: разные правила поведения в зависимости от конфигурации сайта или региона, например для российских и международных проектов.

У Сookie (куки) по 152-ФЗ (2026) проще: исключение отдельных страниц из показа баннера, срок хранения cookie согласия, изменение имени cookie согласия, разграничение прав доступа к модулю и режим отладки.

Осторожно с исключениями: страница, выведенная из-под баннера, всё равно может запускать счётчики. Исключение должно означать «здесь нечего согласовывать», а не «здесь мы решили не спрашивать».

Типичные ошибки, за которые предъявляют претензии

• Счётчик загружается до нажатия «Принять». Проверяется исходным кодом страницы, а не скриншотом баннера.
• Единственная кнопка «Принять». Отказ должен быть не сложнее согласия.
• Закрытие окна или прокрутка считается согласием. В описаниях прямо сказано: не считается.
• Предзаполненные галочки. Аналитика и маркетинг должны быть выключены до действия пользователя.
• Сайт не работает без согласия. Доступ не должен зависеть от согласия на аналитику и рекламу.
• Нет журнала. Согласие нечем подтвердить — а журнал не является «дополнительной функцией».
• Версия политики не менялась после добавления сервиса. Старое согласие относится к другой редакции.
• Остался старый баннер в шаблоне. Два баннера или висящий фрагмент — частая находка; в Dwstroy: Уведомление о cookie для этого есть автоматическая подсказка.
• Согласие слито с офертой или пользовательским соглашением. Нужно отдельное действие.
• Состояние согласия попало в композитный кеш. Тогда чужой выбор виден другим посетителям.
• Модуль поставили и на этом остановились. Уведомление в Роскомнадзор и политика остаются на владельце.
• Журнал ведётся «на всякий случай» со всеми данными. Нужно определить состав, сроки хранения и доступ — а не копить IP бессрочно.

Чек-лист настройки

1. Выпишите все сторонние сервисы: аналитика, реклама, коллтрекинг, чаты, карты, видео, капча. Если не помните — начните со сканера сайта.
2. Определите категории под свой стек, а не по умолчанию. Обязательные не отключаются, остальные — по выбору пользователя.
3. Проверьте блокировку: до согласия идентификатора счётчика в HTML быть не должно.
4. Настройте внешний вид и тексты, подставьте ссылку на политику.
5. Разведите согласие с cookie и согласие в формах и на оформлении заказа.
6. Включите журнал: состав записи, срок хранения, режим работы с IP, права доступа к журналу и экспорту.
7. Задайте срок действия согласия и порядок повышения версии политики при изменении сервисов.
8. Проверьте отзыв согласия: меняется ли поведение сервисов, удаляются ли cookie.
9. Проверьте композит: выбор одного посетителя не должен попадать в кеш другого.
10. Проверьте интерфейс с клавиатуры и на мобильном.
11. Проверьте многосайтовость, если сайтов несколько: настройки для каждого сайта отдельно.
12. Пройдитесь по чек-листу самого модуля — что остаётся на владельце сайта.
13. После изменений — проверка публичной части и сброс кеша.

Краткий ориентир по выбору

Все семь решений закрывают базовый сценарий «баннер + категории». Разница — в глубине.

• Нужен максимум контроля и сложный стек сервисов: BUSSOL Consent Manager — сканер сайта, менеджер сервисов, блокировка многих типов ресурсов, произвольные категории, Consent Mode v2, удаление cookie при отзыве, журнал с HMAC-цепочкой и аналитика согласий.
• Важна честная блокировка «скриптов нет в HTML» и готовые юридические страницы: Cookie Consent — четыре категории, хеш IP, автоматический подъём версии политики, генерация документов для магазина.
• Нужна быстрая настройка на живом сайте и обезличенный журнал: Dwstroy: Уведомление о cookie — живой предпросмотр, режим тестирования, журнал без IP, выгрузка в Excel.
• Основная боль — баллы Роскомнадзора и понятный журнал в разделе «Соглашения»: Модуль согласия с cookies.
• Нужен минимальный, но корректный набор с клиентской и серверной блокировкой: Сookie (куки) по 152-ФЗ (2026).
• Нужны cookie и согласия в формах на одном сервере без внешнего SaaS, с индивидуальными настройками по сайтам: YasnoCore Privacy Control (с учётом того, что журнал привязан к авторизованным пользователям).
• Нужно разделение на четыре категории с русским и английским интерфейсом и экспортом журнала: Артекс: Управление cookie и согласиями.

Итог

Требование к согласию на cookie проверяется не внешним видом баннера, а тремя техническими фактами: скрипты до согласия не загружаются, согласие разделено по категориям, решение зафиксировано в журнале с версией политики. Всё остальное — оформление, предпросмотр, генерация текстов, аналитика — определяет удобство работы, но не суть. Начинайте не с выбора модуля, а с инвентаризации сервисов и категорий: если вы не знаете, какие счётчики поселились в шаблоне, любой баннер будет охранять не ту дверь. А после установки проверьте публичную часть в исходном коде и сбросьте кеш — включая композитные копии страниц.