Документация

01О плагине

Nymbl Cookie Sentinel — плагин для WordPress, который управляет согласием посетителей на использование cookie: показывает баннер, ведёт настройки по категориям, блокирует аналитику и рекламу до получения согласия и хранит выбор посетителя.

Плагин создан для сайтов, работающих по законодательству Республики Беларусь (Закон № 99-З, НЦЗПД, cpd.by) и Российской Федерации (152-ФЗ, Роскомнадзор): гранулярное согласие, реестр cookie, прозрачность обработки.

• Баннер согласия — не блокирует контент, адаптивен, три действия: «Принять все», «Отклонить все», «Настроить».
• Модальное окно настроек — четыре категории с переключателями и списком конкретных cookie; список раскрывается кнопкой «Показать cookie (N)», чтобы окно оставалось компактным.
• Блокировка до согласия — счётчики и реклама не загружаются; после выбора категорий скрипты активируются без перезагрузки страницы.
• Вкладка «Интеграции» — 7 служб подключаются по идентификатору, без вставки кода: официальный сниппет плагин генерирует сам.
• Реестр cookie — таблица с названиями, целями, сроками хранения, доменами и третьими лицами; шаблоны сервисов, импорт CSV, массовые операции.
• Вкладка «Соответствие» — чек-лист из 7 проверок с подсказками, что именно исправить.
• Виджет повторного доступа — иконка в углу экрана появляется после того, как посетитель сделал выбор, и открывает настройки в один клик.
• Лёгкость — JS 18 КБ (5,6 КБ gzip), CSS 14 КБ (3,8 КБ gzip), без jQuery и внешних CDN.

02Установка

1. Скачайте плагин из официального репозитория WordPress.
2. Установите. В админке откройте Плагины → Добавить новый, найдите «Nymbl Cookie Sentinel» — или загрузите ZIP-архив кнопкой «Загрузить плагин».
3. Активируйте. После активации в меню появится раздел «Cookie Consent», а баннер сразу начнёт показываться новым посетителям.
4. Настройте. Пройдите по вкладкам «Общие настройки» → «Cookie» → «Интеграции» → «Соответствие» (быстрый порядок — в следующем разделе).

03Быстрый старт

Минимальный порядок действий, чтобы плагин приносил пользу сразу:

1. Укажите ссылки на политики — «Общие настройки» → поля «Страница политики cookie» и «Страница политики конфиденциальности».
2. Проверьте текст баннера. В описании можно использовать плейсхолдеры {policy} и {privacy} — ссылки встраиваются прямо в предложение.
3. Заполните реестр cookie — вкладка «Cookie»: примените шаблоны сервисов и добавьте собственные записи.
4. Подключите счётчики — вкладка «Интеграции»: выберите службу и введите только её идентификатор.
5. Пройдите чек-лист — вкладка «Соответствие» покажет, что осталось заполнить.

04Вкладка «Общие настройки»

Здесь задаётся всё, что видит посетитель:

05Категории cookie

Гранулярность — ключевое требование регуляторов: посетитель сам решает, какие категории разрешить. В плагине их четыре:

06Реестр cookie

Законы требуют открыто рассказывать, какие cookie использует сайт. Вкладка «Cookie» — это реестр, который виден посетителям в окне настроек и закрывает требование прозрачности.

Поля записи

Как заполнить реестр

1. Откройте вкладку «Cookie» и в блоке «Шаблоны сервисов» выберите нужный шаблон — например, «Яндекс.Метрика» — и нажмите «Добавить шаблон».
2. Добавьте собственные cookie кнопкой «Добавить cookie»: название, описание, категория, срок хранения.
3. Сохраните — записи сразу появятся в окне настроек у посетителей. Массово включайте, выключайте и удаляйте записи через «Массовые действия», ищите — строкой поиска.

Шаблоны: WordPress, WooCommerce, Яндекс.Метрика, Google Analytics 4, Matomo, Facebook Pixel. При активации плагина шаблон WordPress добавляется автоматически, если таблица пуста. Шаблоны только добавляют записи и не перезаписывают ваши.

Импорт из CSV: разделитель ;, кодировка UTF-8, файл до 512 КБ и до 500 строк. Колонки: name;description;category;duration_value;duration_unit;domain;third_party;third_party_name. Строка заголовка распознаётся и пропускается.

07Блокировка скриптов

Главный принцип: до согласия аналитика и реклама не загружаются вообще — сайт работает как обычно, просто без невидимых счётчиков. После выбора категорий скрипты подхватываются динамически, без перезагрузки страницы.

Способ 1 — вкладка «Интеграции»

Подключение счётчика без вставки кода: выберите службу, укажите её идентификатор (номер счётчика, Measurement ID, Container ID, Pixel ID или URL Matomo) и категорию. Плагин сам сгенерирует официальный код счётчика, выведет его заблокированным и активирует после согласия. Идентификатор проверяется строгим форматом, произвольный код не принимается и не хранится.

Способ 2 — data-атрибут в теме

Замените у скрипта тип на text/plain и добавьте атрибут категории:

<!-- счётчик не выполнится, пока нет согласия -->
<script type="text/plain"
      data-cookiecategory="statistics"
      src="https://mc.yandex.ru/metrika/tag.js"></script>

Плагин найдёт такие скрипты, проверит согласие и, если категория разрешена, вернёт text/javascript — счётчик запустится на текущем визите. Работает и для инлайн-скриптов, а не только для файлов с src.

Способ 3 — автоблокировка известных счётчиков

Если Яндекс.Метрика или Google Analytics подключены другой темой либо плагином через стандартную систему скриптов WordPress, плагин распознаёт их по именам обработчиков: yandex-metrika, ym, ga, google-analytics, gtag, google-gtag, analytics. Такие скрипты блокируются до согласия на категорию «statistics». Список расширяется фильтром nymcs_blocked_script_handles.

Что происходит при разных действиях

08Хранение согласия

• Основное хранилище — localStorage, ключ nymcs_consent. Внутри JSON: выбранные категории, timestamp и версия согласия.
• Резерв — cookie nymcs_consent сроком 12 месяцев (путь /, SameSite=Lax), если localStorage недоступен.
• Серверная проверка — значение cookie ограничено 2 КБ и глубиной JSON 4, категории сверяются с белым списком, а согласие старой версии не принимается. В PHP используйте nymcs_is_category_allowed( 'statistics' ).
• Автоверсионирование — версия увеличивается при изменении текстов баннера, ссылки на политику cookie, реестра cookie и интеграций. Все посетители видят баннер повторно.
• Виджет — иконка в углу показывает окно настроек; посетитель может изменить выбор или отозвать согласие в любой момент.

JS-API и событие

// проверка категории в своём коде
window.NYMCS.isAllowed('statistics');

// открыть настройки и отозвать согласие
window.NYMCS.openSettings();
window.NYMCS.revoke();

// реакция на изменение согласия
document.addEventListener('nymcs:consent-updated', function (e) {
    console.log(e.detail.categories, e.detail.version);
});

09Вкладка «Интеграции»

Счётчики подключаются формой: служба → идентификатор → категория → размещение → приоритет. Код не вставляется вручную: плагин генерирует официальный сниппет службы при выводе страницы, не сохраняя его в базе, и печатает тег заблокированным (type="text/plain") до согласия на соответствующую категорию.

Для каждой интеграции задаются место вывода (head, body, footer), приоритет загрузки и переключатель «Включена». Рядом с полями выводится правовая справка по службе: домены, к которым обращается счётчик, какие данные он получает и ссылки на условия использования и политику конфиденциальности сервиса.

10Кэш, мультисайт и удаление

• Разметка выводится скрытой, показом управляет JavaScript, поэтому кэширование страниц не ломает логику согласия.
• Автоочистка кэша. При сохранении настроек, изменении реестра cookie, интеграций и версии согласия плагин очищает кэш: LiteSpeed Cache, WP Rocket, W3 Total Cache, WP Super Cache, WP Fastest Cache, Autoptimize, Hummingbird, Breeze, SiteGround Optimizer, Cache Enabler.
• Своя очистка. Для Varnish, nginx, Cloudflare и других слоёв подпишитесь на действие nymcs_clear_cache — оно срабатывает перед каждым сбросом кэша.
• Мультисайт. Активация в сети настраивает все сайты, а новые сайты подхватываются автоматически. Настройки и реестр cookie у каждого сайта свои.
• Удаление. При удалении плагина через админку WordPress удаляются настройки, версия согласия, кэш реестра и таблица cookie текущего сайта. В мультисайте проверьте таблицы остальных сайтов сети.

11Для разработчиков

Фильтры и действия

// Проверка: разрешена ли категория (PHP)
$allowed = apply_filters('nymcs_is_category_allowed', $allowed, $category);

// Добавить cookie в реестр программно
add_filter('nymcs_register_cookie', function ($cookies) {
    $cookies[] = ['name' => 'my_cookie', 'category' => 'functional'];
    return $cookies;
});

// Расширить список автоблокируемых обработчиков
add_filter('nymcs_blocked_script_handles', function ($handles) {
    $handles[] = 'my-analytics';
    return $handles;
});

// После обновления согласия (каждый запрос с согласием)
add_action('nymcs_after_consent_updated', function ($categories, $version) {
    // своя логика; при необходимости дедуплицируйте сами
}, 10, 2);

// Своя очистка кэша (CDN, Varnish, nginx)
add_action('nymcs_clear_cache', function () {
    // очистка на стороне хостинга
});

Хелперы и данные

• nymcs_is_category_allowed( 'statistics' ) — серверная проверка согласия на категорию.
• Фильтр nymcs_categories_meta — метаданные категорий, передаваемые в JS-конфиг.
• window.NYMCS_CONFIG — конфигурация баннера: версия, позиция, тема, метки, категории, срок хранения согласия.
• Атрибуты разметки: data-cookiecategory, data-nymcs-action, data-nymcs-script, data-nymcs-blocked-handle.

Безопасность

• Все входные данные проходят sanitize / escape, вывод экранируется.
• AJAX-запросы защищены nonce-проверкой, действия в админке — проверкой прав и nonce.
• Запросы к базе — только через $wpdb->prepare.
• Произвольный код не принимается и не хранится; идентификаторы служб валидируются строгими форматами при сохранении и при чтении.
• Ни одного запроса к сторонним сервисам без согласия; стили CSP-friendly.

12Соответствие законам

Беларусь: Закон от 7 мая 2021 г. № 99-З «О защите персональных данных», Указ Президента РБ от 28 октября 2021 г. № 422, требования НЦЗПД (cpd.by) — категоризация cookie, гранулярное согласие, прозрачность, отказ от «тёмных паттернов».

Россия: 152-ФЗ «О персональных данных», постановления Правительства РФ № 1119 (меры защиты) и № 687, приказ ФСТЭК России № 21, уведомление Роскомнадзора по ст. 22 152-ФЗ, приказ РКН № 179 (подтверждение уничтожения данных), ответственность по ст. 13.11 КоАП.

Чек-лист перед запуском — встроен в админку

• Указаны все cookie сайта (не менее пяти записей в реестре).
• Указаны сроки хранения каждой cookie.
• Есть ссылка на политику в отношении cookie.
• Работает кнопка «Отклонить все».
• Необходимые cookie нельзя отключить.
• Предусмотрено повторное согласие при изменении реестра.
• Аналитика и реклама не загружаются до согласия.

13Решение проблем