Auto-Blocking und Taggen

Was automatisch angehalten wird

Im Modus data-blockingmode="auto" vergleicht das Widget jede Skript- und iframe-Adresse mit einer Liste von über 130 Diensten (rund 390 Domains, laufend erweitert). Angehalten werden, bis die passende Kategorie eingewilligt ist:

• Skripte im Quelltext (<script src="…">) nach dem Snippet, zum Beispiel Google Analytics, Tag Manager, Meta Pixel, LinkedIn Insight, TikTok, Microsoft Clarity, Hotjar, HubSpot.
• Dynamisch erzeugte Skripte, wie sie Tag Manager und Loader nachladen.
• iframes von YouTube, Vimeo, Google Maps, Spotify und anderen: Sie bekommen einen Platzhalter mit Anbietername und den Knöpfen «Inhalt laden» und «Immer laden».

Voraussetzung: Das Snippet steht synchron ganz oben im Head. Alles, was vor dem Snippet lädt, kann nicht angehalten werden.

Was Sie selbst markieren müssen

• Inline-Skripte (Code direkt in der Seite, etwa der fbq('init')-Block): Sie laufen, bevor irgendein Beobachter eingreifen kann. Kein Consent-Tool kann sie nachträglich anhalten; wer das behauptet, meint das Nachladen des externen Teils.
• Tracking-Pixel als Bild (<img src="…">): Der Browser lädt Bilder schon beim Vorlesen des Quelltexts. Pixel gehören in ein markiertes Skript.
• Unbekannte Dienste, die nicht in der Liste stehen. Melden Sie uns fehlende Dienste, wir nehmen sie auf.
• Plattform-eigene Einbindungen (Wix-Marketing-Integrationen, Shopify-Pixel-Sandbox, Squarespace-Analytics): Sie laufen ausserhalb Ihres Head-Codes. Tragen Sie Analytics dort ein, wo es nach dem Snippet lädt (Head-Code, Tag Manager).

So markieren Sie

<script type="text/plain" data-consent-category="marketing">
  !function(f,b,e,v,n,t,s){ /* Meta Pixel */ }(window, document, 'script', 'https://connect.facebook.net/en_US/fbevents.js');
  fbq('init', '1234567890'); fbq('track', 'PageView');
</script>

<script type="text/plain" data-consent-category="analytics"
        data-src="https://cdn.example.com/tracker.js" async></script>

Das Widget aktiviert markierte Skripte, sobald die Kategorie eingewilligt ist, und hält sie beim Widerruf wieder an (nach einem Widerruf lädt die Seite neu und löscht bekannte Tracking-Cookies).

Der Scanner zeigt, was fehlt

Im Dashboard unter Scanner ruft now4it bis zu zehn Seiten Ihrer Website ab und meldet:

• erkannte Dienste mit Kategorie, zum Übernehmen in die Cookie-Tabelle,
• ungeschützte Tracker: Skripte ohne Markierung, die vom Auto-Blocking nicht erfasst werden (Inline, Pixel, vor dem Snippet),
• ob das Snippet vorhanden, synchron und vor den Trackern steht.

Der Scanner liest den Quelltext, ohne Skripte auszuführen. Cookies, die erst nach einem Klick oder Login entstehen, sieht er nicht. Ab dem Plan Pro prüft der Monitor täglich oder wöchentlich und schickt eine Mail, wenn ein neues ungeschütztes Skript auftaucht.

Im Browser prüfen

1. Privates Fenster, Seite mit ?n4c_debug=1 laden, Konsole (F12) öffnen.
2. Zeilen «blocked script …» und «blocked iframe …» zeigen, was angehalten wurde. Fehlt ein Dienst, den Sie erwarten: markieren oder melden.
3. Tab «Netzwerk»: Vor der Entscheidung dürfen keine Anfragen an google-analytics.com, facebook.net und Co. erscheinen.
4. «Alle akzeptieren»: Konsole zeigt «activated script», die Anfragen erscheinen.
5. «Nur notwendige» nach vorheriger Zustimmung: Die Seite lädt neu, Tracking-Cookies wie _ga und _fbp sind weg.

Google Consent Mode und Tag Manager

Das Widget setzt beim Laden alle sieben Consent-Mode-Signale auf «verweigert» (wait_for_update: 500) und aktualisiert sie nach der Entscheidung: analytics_storage für Statistik, ad_storage, ad_user_data und ad_personalization für Marketing, functionality_storage und personalization_storage für Funktional. Microsoft UET erhält das Marketing-Signal ebenfalls.

Für Tags im Tag Manager gibt es zwei Wege:

• Consent Mode (empfohlen für Google-Tags): Tags mit «Einwilligungsprüfung» laufen von selbst erst nach der Zustimmung.
• dataLayer-Ereignis für alle anderen Tags: Das Widget sendet now4it_consent mit dem Objekt now4it_consent.categories. Trigger «Benutzerdefiniertes Ereignis» auf now4it_consent mit Bedingung now4it_consent.categories.marketing gleich true.

Wichtig: Der Tag Manager selbst gilt als Statistik-Dienst und wird angehalten, bis Statistik erlaubt ist. Wollen Sie den Container immer laden und nur die Tags steuern, markieren Sie ihn als necessary: <script data-consent-category="necessary" src="https://www.googletagmanager.com/gtm.js?id=GTM-XXXX">. Dann verantworten Sie die Einwilligungsprüfung im Container.

JS-API und Ereignisse

// Aktuelle Entscheidung (null, solange keine vorliegt)
window.now4itConsent.state();   // { categories: {...}, action, visitorId, ts, expires }

// Reagieren, wenn sich die Entscheidung aendert
window.now4itConsent.on(function (detail) {
  if (detail.categories.analytics) { /* eigenen Tracker starten */ }
});
document.addEventListener("now4it:consent", function (ev) { console.log(ev.detail); });

// Banner oeffnen, Entscheidung setzen, widerrufen
window.now4itConsent.open();
window.now4itConsent.save({ analytics: true, marketing: false });
window.now4itConsent.withdraw();

Schweiz, EU und Browser-Signale

Unter Verhalten legen Sie den Modus je Region fest: Opt-in (nichts läuft vor der Zustimmung), Opt-out (läuft, bis abgelehnt wird; nach Schweizer Recht für risikoarme Dienste möglich, Art. 45c FMG), nur Hinweis oder kein Banner. Der Assistent stellt eine Empfehlung nach der EDÖB-Logik ein. Sendet ein Browser das Signal Global Privacy Control, wählt das Widget im Opt-in-Modus automatisch «nur notwendige» und protokolliert das als Entscheidung.

Safari löscht per Skript gespeicherte Daten nach sieben Tagen ohne Besuch der Website; Besucher sehen den Banner dann erneut. Das betrifft jeden Consent-Banner gleichermassen und ist kein Fehler Ihrer Einbindung.