Hvem har ansvaret for cookie-samtykke på en side byrået har laget?

Kunden er behandlingsansvarlig, så det juridiske ansvaret ligger hos dem. I praksis stoler de på at byrået setter det opp riktig, og en side som lekker data før samtykke fra første dag, sier noe om den som bygde den. Avtal skriftlig hvem som holder det i orden etter lansering.

Trenger vi databehandleravtale med alle kunder?

Dere trenger en når byrået behandler personopplysninger på vegne av kunden, for eksempel ved å drifte siden, håndtere skjemainnsendinger eller ha administratortilgang til kundedata. Leverer dere bare koden og aldri rører den publiserte siden eller dataene, er det ikke sikkert. Er du i tvil, ha en.

Hva glemmer byråer oftest ved lansering?

Den klassiske er noindex-taggen fra testmiljøet som blir liggende i produksjon. På den juridiske siden er det analyse- eller markedsføringstagger som ble limt inn i head under utviklingen og nå kjører før noen har samtykket.

Finnes det en versjon av sjekklisten jeg kan kopiere?

Kopier listene rett fra denne siden inn i prosjektverktøyet ditt. Hvert punkt er skrevet slik at det kan krysses av for seg.

Sjekkliste før lansering: 44 ting å sjekke før en kundeside går live

Alle byråer har lansert en side som fortsatt sa noindex en uke senere. Eller en der kontaktskjemaet sendte e-postene ut i intet, eller der alle de gamle adressene ble til 404. Ingenting av dette er vanskelig. Det er bare lett å glemme på lanseringsdagen, når kunden venter og alle vil se siden live.

Dette er sjekklisten vi ville hatt den dagen. Den er skrevet for byråer og frilansere som lager nettsider for kunder i Norge og EU, og tar derfor med den juridiske delen de fleste lanseringslister utelater.

Teknisk grunnarbeid

HTTPS virker på alle sider, og http og domenet uten www sender videre til én fast adresse (med eller uten www, velg én).
noindex-taggen fra testmiljøet og eventuelt passordvern er fjernet i produksjon.
robots.txt tillater indeksering og peker til sitemap.
Det finnes en XML-sitemap som bare lister ekte, indekserbare sider.
Gamle adresser fra forrige nettside sender videre (301) til de nye.
Det finnes en egen 404-side som sender folk et sted som gir mening.
Alle lenker i meny og footer virker, og det er ingen plassholderlenker igjen (href="#").
Alle skjemaer er sendt inn én gang i produksjon, og e-posten kom fram dit kunden forventer.
Skjemaene har beskyttelse mot spam.
Sikkerhetskopiering kjører, og noen har testet å gjenopprette en.
Oppetidsovervåking er satt opp, og varselet går til en person, ikke en innboks ingen leser.
DNS er dokumentert: hvem som styrer domenet, og hvor det peker.

SEO

Hver side har sin egen tittel og metabeskrivelse.
Hver side har nøyaktig én H1.
Open Graph-tittel, -beskrivelse og -bilde er satt, og en delt lenke vises riktig.
Canonical-taggene peker til riktig adresse.
Språk og hreflang er satt hvis siden har flere språk.
Siden er verifisert i Google Search Console, og sitemap er sendt inn.
Bildene har beskrivende filnavn og alt-tekst.

Ytelse

Bildene er komprimert og leveres i moderne format, i den størrelsen de vises.
Core Web Vitals er godkjent på mobil i PageSpeed Insights.
Mellomlagring (caching) er satt opp for statiske filer.
Fontene ligger på eget domene i stedet for å hentes fra en tredjepart. Det er raskere, og du unngår å sende hver besøkendes IP-adresse til Google Fonts.
Ingen rester fra byggeperioden: testpiksler, varmekart ingen ser på, chat-widgets fra demoen.

Universell utforming

Tekstkontrasten oppfyller WCAG AA (4,5:1 for vanlig tekst).
Alle skjemafelt har en etikett, og feilmeldinger sier hva som er galt.
Siden kan brukes med bare tastatur, med synlig fokusmarkering.
Tilgjengelighetstesten i Lighthouse har ingen alvorlige funn.

Dette er ikke bare god praksis. Forskriften om universell utforming stiller krav til nettsider rettet mot allmennheten, også fra private virksomheter, og i EU har European Accessibility Act gjeldt for mange nettjenester, blant annet de fleste nettbutikker, siden juni 2025.

Den juridiske delen de fleste sjekklister hopper over

Her kan en side som ser ferdig ut, fortsatt være et problem for kunden. I Norge og EU krever cookies til analyse og markedsføring samtykke før de settes, og det er rekkefølgen tilsynsmyndighetene sjekker.

Ingen analyse- eller annonsetagger kjører før den besøkende har sagt ja. Åpne siden i et privat vindu, ikke rør banneret, og se hva som starter. Den gratis GDPR-skanningen vår gjør akkurat det på rundt ti sekunder.
Banneret lar besøkende avvise like lett som de godtar.
YouTube-videoer, kart og annet innebygd innhold venter også på samtykke, eller viser en plassholder.
Det finnes en cookie-erklæring som lister cookiene siden faktisk setter. En generator for cookie-erklæring kan skrive den ut fra en skanning.
Det finnes en personvernerklæring som beskriver denne kundens behandling, ikke en mal fra en annen side.
Besøkende kan endre eller trekke samtykket senere, for eksempel via en lenke i footeren.
Hvis byrået drifter eller vedlikeholder siden og har tilgang til personopplysninger der (skjemainnsendinger, brukerkontoer, ordredata), har dere og kunden en databehandleravtale.

Det er også samtykkedelen som glir ut etter lansering. Noen i markedsavdelingen legger inn en ny piksel et halvt år senere, og banneret får aldri vite om det. Har du ansvar for mange kundesider, lønner det seg å håndtere samtykke ett sted i stedet for ett verktøy per kunde. Vi har skrevet om hvordan det fungerer i cookie-samtykke for byråer.

Analyse

Analyseverktøyet er installert på produksjonsdomenet, ikke bare i testmiljøet, og laster først etter samtykke.
Konverteringene kunden bryr seg om (skjema sendt, kjøp, booking) spores som hendelser.
Byråets egne besøk er filtrert bort, hvis verktøyet støtter det.
Hvis kunden bruker Google Ads, er Consent Mode v2 satt opp. Signalene kan du sjekke med en Consent Mode v2-sjekker.

Overlevering til kunden

Kunden eier domenet, hostingkontoen og analysekontoen, og byrået har tilgang, ikke omvendt.
Innlogginger deles gjennom en passordbehandler, ikke på e-post.
Kunden har en kort veiledning i å redigere innhold.
Det står skriftlig hvem som har ansvar for oppdateringer, sikkerhetsfikser og for å holde cookie-erklæringen oppdatert når nye verktøy legges til.
Vedlikeholdsavtalen, hvis det finnes en, sier hva som er inkludert og hvor raskt dere svarer.

Ta de raske sjekkene til slutt

Det meste på denne listen gjøres én gang. Noen ting lønner seg å sjekke igjen selve lanseringsdagen, fordi de endrer seg når siden flyttes fra testmiljø til produksjon: noindex-taggen, e-postene fra skjemaene, og hva som laster før samtykke. Det siste tar ti sekunder med GDPR-skanningen, og lenken til rapporten kan du sende rett til kunden.