Cách thêm đồng ý cookie vào website

Để thêm đồng ý cookie, trước hết hãy liệt kê những gì website của bạn lưu trong trình duyệt của khách truy cập và phân loại thành thiết yếu và tùy chọn. Sau đó thêm một banner — từ một nền tảng quản lý đồng ý (CMP) hoặc tự xây dựng — chặn các script tùy chọn như analytics và pixel quảng cáo cho đến khi khách truy cập chấp nhận, đưa ra nút "Từ chối" dễ bấm như nút "Chấp nhận", ghi nhớ lựa chọn và cho phép người dùng thay đổi sau này. Một banner chỉ hiện ra mà không chặn bất cứ thứ gì thì không làm được việc của nó.

Hướng dẫn này là thông tin chung về cách các banner đồng ý hoạt động về mặt kỹ thuật, không phải tư vấn pháp lý. Quy định về quyền riêng tư khác nhau theo quốc gia và thay đổi theo thời gian; hãy kiểm tra các quy định áp dụng cho khách truy cập của bạn, hoặc hỏi chuyên gia tư vấn.

Những gì cần đồng ý (nói một cách tổng quát)

Các quy định về cookie thường bao gồm cookie và các công nghệ tương tự: localStorage, pixel theo dõi, nhận dạng thiết bị bằng dấu vân tay. Cách phân chia thông thường, dựa trên hướng dẫn của EU và Anh:

Một số điểm cụ thể dễ bị hiểu sai:

• EU và Anh áp dụng mô hình opt-in: cookie không thiết yếu chờ đến khi khách truy cập đồng ý. Hướng dẫn từ các cơ quan quản lý như ICO của Anh cho biết sự đồng ý phải là một hành động tích cực rõ ràng, và người dùng phải có thể bật hoặc tắt cookie không thiết yếu một cách dễ dàng.
• Anh đã thay đổi năm 2025. Đạo luật Dữ liệu (Sử dụng và Truy cập) 2025 cho phép một số cookie được đặt mà không cần đồng ý, bao gồm analytics chỉ dùng để cải thiện website của bạn và tạo ra thống kê tổng hợp không thể nhận dạng người — kèm nghĩa vụ thông báo rõ ràng cho người dùng. Hãy đọc hướng dẫn hiện hành của ICO trước khi dựa vào nó.
• Một số bang của Mỹ áp dụng mô hình opt-out đối với việc "bán" hoặc "chia sẻ" dữ liệu cá nhân cho quảng cáo nhắm mục tiêu, và một số yêu cầu bạn tôn trọng tín hiệu Global Privacy Control ở cấp trình duyệt.
• Quảng cáo Google: tính đến tháng 9 năm 2026, Google yêu cầu các nhà xuất bản dùng AdSense, Ad Manager hoặc AdMob phải sử dụng một nền tảng quản lý đồng ý (CMP) được Google chứng nhận và tích hợp với Khung Minh bạch và Đồng ý (TCF) của IAB khi phục vụ quảng cáo tại EEA, Anh và Thụy Sĩ.

Lựa chọn: CMP, thư viện hay tự làm

Lựa chọn cuối cùng thường bị đánh giá thấp. Nếu bạn chỉ muốn đếm lượt truy cập, một công cụ analytics không dùng cookie có thể loại bỏ nhu cầu về banner ở nhiều nơi — hãy kiểm tra tài liệu của nó và quy định địa phương của bạn.

Nếu bạn chạy quảng cáo Google ở châu Âu, một CMP được chứng nhận là lựa chọn thực tế. Với website doanh nghiệp nhỏ chỉ có analytics, một banner tự làm được xây dựng tốt hoặc một thư viện thường là đủ.

Banner hoạt động bên trong như thế nào

Phần mọi người hay bỏ qua là chặn. Một cấu hình đúng sẽ:

1. Trước khi có bất kỳ lựa chọn nào, chỉ các cookie và script thiết yếu được chạy. Analytics, pixel và nhúng không được tải chút nào (hoặc, với thẻ Google, được tải với trạng thái đồng ý là bị từ chối).
2. Banner hiển thị các lựa chọn rõ ràng ở lớp đầu tiên: Chấp nhận tất cả, Từ chối tất cả, và cách chọn theo từng danh mục.
3. Khi có lựa chọn, website lưu nó — thường trong cookie bên thứ nhất hoặc localStorage — kèm phiên bản và ngày, rồi chỉ tải các danh mục đã được chấp nhận.
4. Ở các lần truy cập sau, lựa chọn đã lưu được đọc trước khi bất kỳ thứ gì tùy chọn được tải.
5. Liên kết "Cài đặt cookie", thường ở chân trang, mở lại các lựa chọn bất cứ lúc nào. Rút lại sự đồng ý phải dễ dàng như đưa ra nó.
6. Nếu bạn thay đổi những gì mình dùng, hãy tăng số phiên bản để mọi người được hỏi lại.

Google consent mode

Với Google Analytics và Google Ads, consent mode của Google kết nối các thẻ với banner. Tính đến tháng 9 năm 2026, tài liệu của Google mô tả bốn loại đồng ý chính: ad_storage, analytics_storage, ad_user_data và ad_personalization. Bạn đặt mặc định trước khi thẻ Google được tải, rồi gửi cập nhật khi khách truy cập lựa chọn:

gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied'
});
// sau đó, khi khách truy cập chỉ chấp nhận analytics:
gtag('consent', 'update', { analytics_storage: 'granted' });

Google mô tả cách triển khai cơ bản, nơi các thẻ không được tải cho đến khi có đồng ý, và cách triển khai nâng cao, nơi các thẻ được tải với đồng ý bị từ chối và gửi tín hiệu không dùng cookie. Cách cơ bản dễ hiểu hơn. Với lưu lượng từ EEA, Google kỳ vọng các tín hiệu ad_user_data và ad_personalization được gửi đi. Xem cách thiết lập Google Analytics để biết về chính thẻ đó.

Các prompt hiệu quả

Thêm banner đồng ý cookie. Các danh mục: thiết yếu (luôn bật), analytics (Google Analytics 4) và tiếp thị (pixel Meta). Không có gì thuộc analytics hoặc tiếp thị được tải trước khi có đồng ý. Màn hình đầu tiên: "Chấp nhận tất cả", "Từ chối tất cả" và "Tùy chỉnh", với độ nổi bật ngang nhau. Lưu lựa chọn kèm số phiên bản và ngày trong cookie bên thứ nhất trong 6 tháng, chỉ tải các danh mục được chấp nhận, và thêm liên kết "Cài đặt cookie" ở chân trang để mở lại banner. Dùng Google consent mode với cả bốn loại được đặt mặc định là bị từ chối.

Liệt kê mọi cookie, khóa localStorage và script bên thứ ba mà website này dùng, trang nào tải chúng, và chúng có thiết yếu tuyệt đối hay không. Xuất ra một bảng tôi có thể dùng cho chính sách cookie.

Các video YouTube nhúng trên /about đang tải trước khi có đồng ý. Thay chúng bằng ảnh thu nhỏ và nút phát, chỉ tải video sau khi khách truy cập bấm, và hiển thị ghi chú rằng YouTube có thể đặt cookie.

Từng bước

1. Kiểm tra những gì website của bạn đặt: mở DevTools → Application → Cookies và Local Storage khi truy cập lần đầu, và kiểm tra tab Network để tìm các yêu cầu bên thứ ba. Bao gồm cả các nhúng và widget chat.
2. Phân loại từng mục: thiết yếu, tùy chọn cá nhân, analytics, tiếp thị. Xóa bất cứ thứ gì bạn không dùng.
3. Quyết định cách làm: CMP, thư viện hay tự làm, dựa trên bảng ở trên.
4. Triển khai chặn để các script tùy chọn chỉ tải sau khi có đồng ý. Với thẻ Google, thêm các mặc định consent mode trước thẻ.
5. Xây dựng banner với các nút Chấp nhận và Từ chối ngang nhau, lựa chọn theo danh mục và liên kết cài đặt.
6. Viết chính sách cookie (thường là một phần của chính sách quyền riêng tư) liệt kê những gì bạn dùng và lý do; xem cách viết điều khoản dịch vụ và chính sách quyền riêng tư.
7. Kiểm tra trong cửa sổ riêng tư: trước khi chọn, không có cookie hay yêu cầu tùy chọn nào; sau khi từ chối, vẫn không có; sau khi chấp nhận, các cookie đúng xuất hiện; sau khi đổi ý, chúng dừng lại.
8. Kiểm tra lại mỗi khi bạn thêm một công cụ mới.

Những lỗi thường gặp

• Banner không chặn gì cả. Script chạy khi trang tải trong khi banner lịch sự hỏi ý kiến.
• Chấp nhận là nút lớn, Từ chối bị giấu trong màn hình thứ hai hoặc một liên kết xám nhạt.
• Các danh mục được tick sẵn hoặc công tắc "lợi ích hợp pháp" được bật sẵn theo mặc định.
• Không có cách đổi ý sau lựa chọn đầu tiên.
• Quên các nhúng: YouTube, bản đồ, nguồn mạng xã hội và widget chat cũng có thể đặt cookie.
• Hỏi lại ở mỗi lần tải trang vì lựa chọn không được lưu đúng cách.
• Banner che nội dung trang trên điện thoại, hoặc giữ focus bàn phím không cho thoát. Hãy làm banner dễ tiếp cận và đủ nhỏ để có thể lướt qua.
• Sao chép chính sách của website khác mô tả các cookie bạn không dùng.

Danh sách kiểm tra đồng ý

• Mọi cookie, khóa lưu trữ và script bên thứ ba được liệt kê và phân loại
• Các script tùy chọn bị chặn cho đến khi có đồng ý (đã kiểm tra trong DevTools)
• Chấp nhận và Từ chối dễ dàng như nhau ở lớp đầu tiên
• Có lựa chọn theo danh mục; không có gì tùy chọn được chọn sẵn
• Lựa chọn được lưu kèm phiên bản và ngày; được hỏi lại sau mỗi thay đổi
• Liên kết "Cài đặt cookie" có ở mọi trang
• Mặc định consent mode của Google được đặt trước các thẻ Google, nếu có dùng
• Chính sách cookie hoặc quyền riêng tư khớp với những gì website thực sự làm
• Quy định cho quốc gia của khách truy cập được kiểm tra theo hướng dẫn hiện hành hoặc qua chuyên gia tư vấn

Để hiểu thêm nền tảng, hãy đọc cookie là gì và GDPR là gì.

Đồng ý cookie trên Mythex

Mythex không tự thêm banner đồng ý hay analytics vào ứng dụng của bạn — cả hai đều là thứ bạn yêu cầu, nên bạn quyết định những gì được tải. Chạy prompt kiểm tra trước, rồi prompt banner với các danh mục thực của bạn, và kiểm tra trong Preview với DevTools mở trước khi xuất bản. Nếu bạn dùng CMP được lưu trữ, nó sẽ cung cấp cho bạn một script và một ID; ID này là công khai và có thể đặt trong mã frontend, còn mọi thứ bí mật thì thuộc về cài đặt dự án (biến môi trường và bí mật). Xuất bản lại sau khi thay đổi để website đang chạy dùng banner mới.

Câu hỏi thường gặp