多站点 GDPR 与 CIPA 审计：在10个活动网站上修复合规性

Source: Dev.to

Overview

大多数团队认为只要能看到同意横幅就已经合规。
本案例研究展示了这种假设为何危险——尤其是在管理多个共享追踪基础设施的域名时。

一家总部位于法国的活动公司运营 10 个高流量网站，在收到多次 GDPR‑FR、GDPR、CCPA，甚至 CIPA 通知后求助。

• 他们有 CMP。
• 他们有 Google Tag Manager。
• 他们以为已经覆盖。
• 实际并未。

What Actually Went Wrong

在所有 10 个站点中，我们发现了相同的问题：

• 追踪器在获取同意前就已触发
  • Tag Manager 脚本在 CMP 初始化之前加载
  • 基于地理位置的同意规则从未生效
  • 会话回放工具对美国流量仍然激活
  • 克隆页面继承了破损的追踪逻辑

从浏览器的角度来看，同意根本不存在。

Why the CMP Failed (Dev Perspective)

• CMP 的 UI 看起来正常，但执行顺序被打乱。
• 脚本在 CMP 生命周期开始前毫秒级注入。
• GTM 中的自定义 HTML 标签完全绕过了同意检查。
• 移动端用户被自动接受。
• 仪表盘显示 “合规”，但网络面板显示相反。

How We Audited 10 Sites Without Breaking Anything

我们没有对页面进行全量扫描，而是聚焦 运行时行为：

• 捕获页面加载的 HAR 日志
• 跟踪脚本执行顺序
• 识别同意前的负载
• 绘制跨域同步调用图谱
• 按法律风险对追踪器进行分类

这种方法有效，因为浏览器不会说谎。

Fixing Compliance Without Killing Analytics

目标不是删除追踪，而是对其进行控制。

我们：

• 强制 CMP 首先加载
• 默认阻止所有供应商
• 重建 GTM 的触发规则
• 将 EU 与 US 流量分段处理
• 移除遗留脚本

结果：实现了干净的同意执行并保持了分析功能。

Results (In 4 Weeks)

• 100 % 消除同意前的追踪
• 发现并标记了 18 + 个隐藏供应商
• 完全符合 GDPR‑FR 与 CIPA 要求
• 修复后未再收到新通知

更重要的是，团队终于看清了其技术栈的实际行为。

The Takeaway

合规失败往往不是出于恶意。
它们来源于 不可见的行为。

如果你管理多个站点，不要盲目信任仪表盘——相信网络面板。

Full case study: