تشريح فحص متجر إلكتروني في الشرق الأوسط وشمال أفريقيا
ما نجده عادةً في متجر أزياء سعودي نموذجي
هذا فحص تمثيلي: صورة مركّبة لما يكشفه الفحص الأول عادةً في متجر أزياء سعودي متوسّط الحجم، وليس متجرًا بعينه. لا ننسبه إلى تاجر محدّد لأنّنا لا نذكر اسم عميل في دراسات الحالة إلا بموافقته الصريحة. النتائج أنماط حقيقية نراها فعلًا، أمّا الأرقام المحدّدة فنطاق تمثيلي واقعي.
نقطة البداية
يعمل المتجر على سلة، ويستقبل نحو 50 ألف زيارة شهريًا، نحو 85% منها من السعودية ونحو 60% من الجوال. يشحن إلى دول الخليج ومصر، ويتيح عند الدفع Mada و Tabby و Tamara و Apple Pay. أمّا الموافقة فيتولّاها شريط Cookiebot ثبّته مطوّر قبل 11 شهرًا ولم يعد إليه أحد منذ ذلك الحين. وفي جانب التسويق: Meta Pixel و TikTok Pixel و Google Ads و GA4 و Hotjar.
ينتهي الفحص في نحو 12 ثانية عبر AI Radar (متصفّح Chromium دون واجهة يديره Puppeteer). وهذا ما يكشفه.
النتائج
Meta Pixel يعمل قبل الموافقة
يُنشأ ملف تعريف الارتباط _fbp فور تحميل الصفحة، قبل أن يظهر شريط الموافقة. أي أنّ الزوّار الخاضعين لـGDPR أو PDPL يُتتبَّعون دون أساس نظامي. ووضع موافقة Google (Consent Mode v2) غير مربوط، فتبدأ ad_storage بالقيمة "granted" بدل "denied".
TikTok Pixel يعمل قبل الموافقة
يُنشأ ملف تعريف الارتباط _ttp فور تحميل الصفحة. المشكلة نفسها التي رأيناها مع Meta: لا بوّابة موافقة، ولا إشارة Consent Mode.
ملف تعريف ارتباط Tabby للإسناد بلا تصنيف
رصد الفحص ملف تعريف الارتباط tabby_session، ولا يصنّفه بيان ملفات تعريف الارتباط الحالي (الذي أنشأه Cookiebot). فيرى الزائر في لوحة التفضيلات "ملف تعريف ارتباط غير معروف"، وهي تجربة تهزّ ثقته، وثغرة في الامتثال أيضًا.
6 ملفات تعريف ارتباط تحليلية بلا فئة موافقة
تعمل على المتجر _ga و_ga_* و_gid و_gat، ومعها Hotjar و Microsoft Clarity. وكلّها تُبلغ بأنّ حالة الموافقة "granted" أيًّا كان اختيار الزائر.
بيان ملفات تعريف الارتباط بالإنجليزية فقط
معظم زوّار المتجر يتحدّثون العربية، وصفحة السياسة موجودة لكنّها ليست بلغتين. لا يُعدّ ذلك مخالفة تُلاحَق حتى الآن، لكنّه قصور حقيقي في جودة المتجر.
ماذا يتغيّر يوم التثبيت
يُثبَّت تطبيق سلة في أقلّ من 5 دقائق، ويعمل الشريط على واجهة المتجر فورًا. وتسري التغييرات التالية في اليوم نفسه:
1. حجر النصوص البرمجيّة لأدوات التتبّع وطلبات الشبكة كلّها
يعترض شريطنا إدراج وسوم <script> عبر MutationObserver، ويمرّر fetch و XHR عبر وسيط. فتبقى Meta و TikTok و GA و Hotjar و Clarity كلّها محجوبة حتى يوافق الزائر. عند القبول يُعاد تشغيل ما حُجز، وعند الرفض يبقى محجوبًا.
2. ربط Google Consent Mode v2 تلقائيًا
عند تحميل الصفحة يضبط GCM v2 كلًّا من analytics_storage و ad_storage و ad_user_data و ad_personalization على "denied"، ولا يحوّلها إلى "granted" إلا بموافقة صريحة. ويحتفظ Google Ads و GA4 بالإشارات القادمة من الزوّار الموافقين، دون حلول ترقيعية.
3. تصنيف ملفات تعريف الارتباط الخاصة بالمنطقة تصنيفًا صحيحًا
يضمّ مصنّفنا 124 نمطًا لملفات تعريف الارتباط، منها 37 بُنيت لمنطقتنا: منصّات التجارة الإلكترونية وبوّابات الدفع وشركات الشحن فيها، إلى جانب أدوات التتبّع العالمية. فيظهر بيان ملفات تعريف الارتباط بأسماء المزوّدين وفئاتها، بالعربية والإنجليزية معًا.
4. اكتشاف النظام المنطبق تلقائيًا
تحدّد ترويسة CF-IPCountry النظام الذي ينطبق على كل زائر (PDPL، أو PDPA الإماراتي، أو أنظمة دول الخليج، أو GDPR، أو CCPA). فيتكيّف نصّ الشريط وفئاته ومنطق الموافقة مع كل زائر، بدل الاعتماد على إعدادات افتراضية مبنية على التخمين.
ما لا ندّعيه عن قصد
لا ندّعي أنّ إصلاح الموافقة يرفع معدّل التحويل بنسبة محدّدة. ففي الواقع متغيّرات كثيرة أخرى: ميزانية التاجر الإعلانية، وتبديل التصاميم الإعلانية، والمواسم، والتسعير، وكلّها تحرّك التحويل أكثر مما يحرّكه شريط موافقة. ما تستعيده بنية موافقة سليمة بثبات هو الإشارات التي تحتاجها المنصّة الإعلانية لتحسين حملاتها، وأثرها يتراكم مع الوقت. ولا نعد برقم محدّد لأنّ ضمانه ليس بيدنا.
ما ندّعيه، ونستطيع إثباته لكل حدث على حدة في سجلّ التدقيق: أيّ قاعدة توجيه انطبقت، وأيّ المنصّات استقبلت الحدث، وما كانت حالة الموافقة. هذا هو الدليل على الامتثال، وهذا ما يفعله المنتج.
ما الذي سيكشفه الفحص في موقعك؟
فحص مجاني دون تسجيل، والنتائج خلال 60 ثانية تقريبًا.