Cosa succede esattamente quando clicchi su «Accetta tutti i cookie»?

Dopo «Accetta tutti» la CMP registra il consenso, aggiorna i vendor e sblocca script e cookie. Ecco cosa osservare in DevTools, passo passo.

Per molti il banner dei cookie è solo un ostacolo tra sé e l’articolo. Il clic su «Accetta tutti» sembra chiudere un popup. In realtà è un interruttore tecnico: autorizzi una piattaforma (la CMP) a scrivere lo stato di consenso nel browser e a segnalarlo a fornitori terzi, sbloccando script che prima restavano in attesa.

Qui non faccio l’avvocato né ti dico “rifiuta sempre”. Faccio un replay tecnico di quel clic: cosa è già caricato prima, come leggere la vendor list, cosa osservare in DevTools e cosa cambia con i ping “senza cookie” di alcune piattaforme. Alla fine saprai distinguere cookie necessari da profilazione e verificare da solo il comportamento di un sito — sul PC Windows (percorso principale), su macOS/Linux e, in sintesi, anche dal telefono.

ℹ️ Nota / Prerequisito operativo
Ti serve un browser aggiornato (Chrome, Edge, Firefox o Safari) e la voglia di aprire gli Strumenti per sviluppatori. Usa sempre una finestra in incognito / InPrivate per i test: così parti senza cookie vecchi e senza sessioni già loggate. I path UI descritti riflettono i browser comuni nel 2026; etichette minori possono cambiare, la logica no.

Prima del clic: cosa è già caricato

Domanda tipica: «Se il banner chiede il permesso, come fa a essere già lì?»

Il banner stesso è JavaScript (OneTrust, Cookiebot, Iubenda, Google Funding Choices, soluzioni custom…). Quello script di bootstrap deve partire presto: legge se hai già una preferenza salvata; se no, mostra la UI e, in un’implementazione corretta, tiene “in gabbia” analytics e ads finché non scegli.

ℹ️ Nota
Caricare il motore della CMP non equivale a caricare Meta Pixel o Google Ads. Nella fase iniziale il compito tipico è: mostrare il banner e bloccare (o non avviare) gli altri tag fino al consenso.

In Incognito, nella scheda Network, all’apertura vedi di solito HTML, CSS, font, immagini e lo script della CMP. Finché non tocchi Accetta / Rifiuta / Personalizza, non dovresti vedere l’esplosione di richieste verso google-analytics.com, facebook.com/tr/, ad exchange e simili — se il sito è configurato bene. Molti siti non lo sono: è proprio per questo che serve ispezionare, non fidarsi del testo del banner.

La timeline del clic «Accetta tutti»

Nei secondi dopo il tasto, la sequenza tipica è questa (ordini e dettagli variano per CMP, ma la catena è ricorrente):

1. Evento UI — un listener JavaScript registra il clic su «Accetta tutti» (o equivalente).
2. Stato locale — la CMP scrive la scelta nel browser: cookie di prima parte (euconsent-v2, CookieConsent, OptanonConsent, nomi custom…) e/o localStorage / sessionStorage. Dentro c’è una rappresentazione delle finalità e dei vendor accettati (spesso una TC String o un JSON compresso).
3. API di consenso — aggiorna le API globali: framework IAB TCF (__tcfapi e simili) e/o Google Consent Mode (stati tipo analytics_storage / ad_storage da denied verso granted).
4. Sblocco tag — Google Tag Manager o loader equivalenti, in ascolto, iniettano gli script che aspettavano il “verde”.
5. Esecuzione — quegli script raccolgono segnali (URL, referrer, dimensioni viewport, ID tecnici…) e, dove consentito, impostano cookie propri e chiamano i loro endpoint.

Non è magia legale: è stato → segnale → esecuzione. Se uno dei tre pezzi manca (CMP che non blocca, GTM che ignora il consenso, script hard-coded fuori dal tag manager), vedrai tracker prima del clic. Anche quello si misura in Network.

Glossario operativo: CMP, TCF, vendor list

Vendor list: chi è invitato al banchetto

In Personalizza / Gestisci preferenze trovi spesso «Elenco fornitori» / Vendor list. Non è solo legale: alimenta la stringa di consenso. Un vendor su ON può significare:

1. se il sito carica uno script di quel vendor, è autorizzato a partire (nel modello TCF / CMP);
2. nelle aste programmatiche, la stringa viaggia verso i partner: chi è coperto dal consenso può partecipare con profilazione, chi no resta fuori (in teoria).

⚠️ Attenzione — Lista lunga ≠ 400 cookie sul disco
«Accetta tutti» autorizza il segnale verso i vendor elencati e coinvolti. Non significa che il browser scarichi fisicamente un cookie per ciascuno dei 300–800 nomi in lista. Molti non compariranno mai su quel caricamento di pagina. Conta cosa vedi in Network e in Cookies dopo il clic, non la lunghezza dell’elenco.

Laboratorio: Windows + Chrome / Edge (percorso principale)

Obiettivo: catturare il momento in cui il consenso sblocca richieste e cookie.

1. Apri Chrome o Edge.
2. Ctrl+Maiusc+N (finestra InPrivate / Incognito).
3. Vai su un sito con banner complesso (testata, e‑commerce). Non cliccare ancora sul banner.
4. F12 (o tasto destro → Ispeziona) → DevTools.
5. Scheda Application (o Applicazione): sotto Storage → Cookies → dominio del sito. Annota cosa c’è già (spesso poco: bilanciamento, sessione tecnica, cookie CMP “di controllo”).
6. Scheda Network (Rete).
7. Spunta Preserve log (Conserva log). Senza questa spunta, un refresh dopo «Accetta» ti fa perdere il picco di richieste del clic.
8. (Opzionale ma utile) Filtra per Doc / JS / Fetch/XHR dopo il test, o cerca sottostringhe collect, tr/, doubleclick.
9. Torna alla pagina e clicca «Accetta tutti».

Cosa aspettarti

• In Network: raffica di richieste verso analytics, pixel, ad tech. Conta le righe nuove rispetto a prima del clic.
• In Application → Cookies: compaiono voci tipiche (_ga, _fbp, ID lunghi) più il cookie della CMP con la scelta.
• Se non vedi quasi nulla cambiare: o il sito era già “aperto” senza consenso (implementazione debole), o un blocco del browser/estensione ferma i tracker, o stavi già con consenso salvato (per questo serve Incognito).

Checklist rapida post-clic (Windows)

1. Network: Preserve log attivo?
2. Comparsi host tipo google-analytics.com, googletagmanager.com, facebook.com, doubleclick.net?
3. Cookies: aumentati rispetto allo screenshot mentale di prima?
4. C’è un cookie CMP (euconsent-v2, CookieConsent, …)? Aprilo e guarda se il Value è una stringa lunga (spesso TC String).

macOS (Safari) e Linux (Firefox)

La logica è la stessa; cambiano i nomi delle schede.

macOS — Safari

1. Abilita il menu Sviluppo: Safari → Impostazioni → Avanzate → Mostra funzionalità per sviluppatori (testo simile a seconda della versione).
2. Sviluppo → Mostra Inspector web (scorciatoia tipica: Opzione+Comando+I).
3. Spazio di archiviazione (Storage) → Cookie.
4. Rete — attiva l’equivalente di “conserva log” / non svuotare al reload.
5. Incognito Safari (finestra privata) → sito → ispeziona → Accetta → confronta.

Linux (o Firefox ovunque)

1. F12 o Ctrl+Maiusc+I.
2. Archiviazione → Cookie.
3. Rete → ingranaggio → Conserva log.
4. Stesso protocollo Incognito → prima/dopo Accetta.

Su Chrome/Edge anche su macOS e Linux puoi ripetere alla lettera il laboratorio Windows: DevTools è quasi identico.

Cosa parte davvero (segnali tipici)

Dopo il verde, su molti siti commerciali compaiono categorie ricorrenti (non tutte insieme, non su ogni sito):

Un blog minimale può limitarsi a poco più della CMP e di analytics; una testata o un e‑commerce spesso espone lo stack completo. Per i cookie di sessione applicativa (login) il discorso è un altro pezzo: cookie di sessione sicuri (lettura opzionale, focus flag HttpOnly/Secure/SameSite).

Approfondimento: Consent Mode e ping “senza cookie”

Su siti con tag Google moderni, rifiutare o non aver ancora scelto non sempre significa “zero byte verso Google”. Con Consent Mode (v2 in molti setup UE), i tag possono restare in modalità ristretta e inviare ping con meno identificatori: niente (o meno) storage cookie classico, ma comunque segnali aggregati/tecnici usati per modelli e misura.

Cosa osservare in pratica:

1. Prima di accettare, in Network filtra per google / g/collect / pagead.
2. Se vedi richieste anche con consenso negato o assente, apri la riga → Payload / Query string.
3. Cerca parametri di stato consenso (nelle implementazioni Google compaiono spesso indicatori tipo gcs=… / flag di storage). Non memorizzare a memoria ogni codice: conta capire che esiste traffico anche “denied”, diverso da quello post-«Accetta».
4. Dopo «Accetta tutti», ripeti: di solito aumentano cookie _ga / segnali ads e i payload si arricchiscono.

⚠️ Attenzione
Questo non è un verdetto legale su cosa sia “lecito”. È un fatto tecnico: consenso negato ≠ necessariamente silenzio di rete. Se il tuo obiettivo è ridurre al minimo le chiamate, servono anche protezioni lato browser/estensioni, non solo il pulsante Rifiuta.

Approfondimento: leggere la stringa di consenso (TC String)

Il cookie o la chiave tipo euconsent-v2 (nomi variano) spesso contiene la TC String: una sequenza lunga, URL-safe, che codifica finalità e vendor.

Cosa fare (senza fidarti del marketing del banner)

1. DevTools → Application → Cookies (o Local Storage).
2. Copia il Value della voce CMP (solo su un sito di test; non condividere stringhe con dati che non vuoi esporre).
3. Usa un decoder TC String pubblico affidabile (cerca “IAB TCF decoder”: ne esistono diversi open; verifica che operino in locale nel browser quando possibile).
4. Nel risultato cerca: finalità accettate, lista vendor ID, data/CMP id se esposti.

Cosa ti dice: se «Accetta tutti» ha davvero acceso un pacchetto ampio di purposes/vendor, o se un “Rifiuta” ha lasciato stringhe inconsistenti (successo: capita su CMP mal configurate).

Cosa non ti dice da sola: se ogni vendor della lista ha scaricato uno script in quel pageview. Per quello torni a Network.

Falsi miti: cosa il clic non fa

• Non cancella il passato. Accettare oggi non “sanifica” tracking già avvenuto ieri.
• Non è un contratto che azzera i diritti. È un’azione tecnica sul browser; i diritti privacy restano un tema legale separato.
• Non scavalca i blocchi del browser. Safari (ITP), Brave, Firefox strict, uBlock & co. possono far fallire chiamate anche dopo «Accetta». Il consenso del sito non spegne il filtro del client.
• Non implica che tu abbia letto 400 schede vendor. Tecnicamente autorizzi un pacchetto; cognitivamente nessuno le legge tutte — ecco perché l’ispezione Network è più onesta del feeling del bottone.

Revocare il consenso e ripulire (sito per sito)

1. Nel footer cerca Gestisci cookie / preferenze e passa a Rifiuta o togli le finalità. Così aggiorni la stringa per il futuro.
2. Revocare non cancella da solo i cookie già scritti (_ga, _fbp, …): restano fino a scadenza o cancellazione manuale.

Windows — Chrome / Edge (pulizia mirata)

1. Icona a sinistra/destra della barra indirizzi (tunable / lucchetto) → Cookie e dati del sito → gestisci / elimina dati di quel sito.
2. Oppure DevTools → Application → Storage → Clear site data (attenzione: può scollegarti dal login su quel dominio).
3. Hard refresh: Ctrl+F5.

macOS — Safari

Impostazioni → Privacy / Siti web → gestione dati, oppure dalle voci Storage dell’Inspector sul dominio.

Firefox

Impostazioni → Privacy → Cookie → gestisci dati → cerca il dominio → Rimuovi.

Poi riapri in Incognito e verifica che il banner ricompaia e che Network sia di nuovo “quieto” prima del clic.

Sul telefono (Android / iOS)

DevTools completi sul telefono sono scomodi. In pratica:

• usa il PC per l’analisi seria;
• sul telefono limita i danni con browser che riducono il tracking (opzioni privacy Safari, Chrome “Blocca cookie di terze parti” dove disponibile, Firefox Focus, ecc.);
• per revocare: stesse voci “Gestisci cookie” nel sito, poi cancella dati del sito dalle impostazioni del browser mobile.

La timeline CMP → consenso → script è la stessa; cambia solo quanto è facile vederla.

Errori comuni nell’analisi

1. Testare da loggato — i cookie session / auth non sono marketing. Usa Incognito.
2. Dimenticare Preserve log — perdi il picco del clic se la pagina ricarica.
3. Credere che la X sia sempre “rifiuta” — dipende dalla CMP. Misura in Network.
4. Guardare solo i cookie del dominio principale — i tracker stanno spesso sotto host terzi nella stessa sezione Cookies.
5. Un solo sito come verità assoluta — ripeti su due siti: uno “bravo”, uno rumoroso; impari a vedere la differenza.

Domande Frequenti (FAQ)

Accettare tutti i cookie significa che solo quel sito legge i miei dati?

No. Autorizzi anche fornitori terzi (vendor / tag) a operare attraverso quella pagina. Parte del traffico esce verso i loro endpoint, non solo verso il server del sito.

Cos’è una CMP e perché ce l’hanno quasi tutti?

È il software del banner: UI, registro della scelta, integrazione con standard tipo TCF e con i tag. Per l’editore è più semplice adottare una CMP pronta che riscrivere da zero blocco script + compliance verso gli stack ads.

Cos’è la vendor list?

L’elenco dei partner tecnologici/pubblicitari dichiarati. «Accetta tutti» allarga il consenso a quel pacchetto; non implica un cookie fisico per ogni riga della lista in ogni visita.

Perché in Network compaiono decine di domini nuovi dopo «Accetta tutti»?

Perché il consenso ha sbloccato il contenitore di tag (spesso GTM) o script equivalenti: analytics, pixel, ad exchange partono insieme e ciascun vendor fa le sue richieste.

Posso revocare senza cancellare tutta la cronologia?

Sì. Aggiorna le preferenze cookie del sito e cancella solo i dati di quel dominio (lucchetto nella barra indirizzi o Storage → Clear sul sito). Non serve azzerare tutto il browser.

Se rifiuto, perché vedo ancora chiamate a Google?

Con Consent Mode (e setup simili) possono restare ping limitati senza lo stesso uso di cookie. Controlla i payload prima/dopo; se vuoi meno richieste in assoluto, combina rifiuto + protezioni del browser.

«Accetta tutti» tippa Safari o Brave?

No. Il sito può sbloccare JS e tentare chiamate; le protezioni del browser possono comunque bloccarle. Verifica sempre nel client che usi davvero.

Conclusioni

«Accetta tutti» non è la chiusura di un cartello: è la scrittura di uno stato e l’accensione di una catena (CMP → API di consenso → tag → richieste e cookie). Con Incognito, Preserve log e due schede (Network + Cookies) vedi il prima/dopo senza fidarti del marketing del banner; con uno sguardo a Consent Mode e alla TC String capisci anche i casi in cui “rifiuta” non equivale al silenzio totale.

Il passo successivo, sul piano personale, è scegliere con criterio (accetta se ti serve il servizio, rifiuta se stai solo di passaggio) e tenere il browser capace di dire l’ultima parola sulle terze parti. Se il banner ti spinge verso «Accetta» con bottoni sbilanciati, «X» ambigue o labirinti di preferenze, il pezzo sui dark pattern nei banner cookie ti dà una checklist rapida. Sul piano tecnico, se sviluppi siti, il twin di questo pezzo è assicurarsi che gli script partano dopo il consenso — e che i cookie di sessione abbiano i flag giusti, come nell’approfondimento già citato sui cookie di sessione sicuri.