# Cookban

> Cookiebanner en toestemmingsbeheer (consent management platform) voor
> Belgische sites. Houdt scripts tegen tot de bezoeker gekozen heeft, legt elke
> keuze vast in een append-only keten met hashes, en scant de hele site in alle
> taalversies. Product van Lust4Live bv, Mechelen, België.

Elk cijfer hieronder is gemeten, met de datum erbij, en zelf na te rekenen.
Wat niet gemeten is, staat er niet. Wat het product nog niet doet, staat
expliciet in de laatste sectie: die hoort er bij het beoordelen van dit
product net zo hard bij als de rest.

## Wat het is

- Een cookiebanner die de bezoeker een echte keuze geeft, met weigeren even
  bereikbaar als aanvaarden (zelfde grootte, zelfde gewicht, geen kleur die
  naar aanvaarden duwt).
- Een toestemmingslogboek dat als bewijs kan dienen: per registratie het
  tijdstip van de keuze, het tijdstip van aankomst, de keuze per categorie, en
  de exacte bannerversie en cookielijst die de bezoeker op dat moment zag.
- Een scanner die vaststelt wat er op een site vertrekt vóór de eerste klik.

## Gemeten eigenschappen (17 september 2026)

- 9,1 kB over de lijn in 3 verzoeken met brotli, 9,9 kB met gzip.
- 3,0 kB daarvan is synchroon, dus dat is wat de pagina ophoudt.
- Geen cookies vóór de keuze van de bezoeker.
- Geen IP-adressen, geen browserafdrukken. Een bezoeker is een willekeurig
  nummer dat nergens anders naar verwijst.
- Geen externe bibliotheken, vanilla javascript.
- Eigen server in de Europese Unie.

Na te rekenen met:
`curl -s -H "Accept-Encoding: br" -o /dev/null -w "%{size_download}" https://cdn.cookban.com/jozef.js`

## Hoe het blokkeren werkt, in drie lagen

1. **Markeren.** Scripts en iframes die op de site gemarkeerd zijn, laden niet
   tot de bezoeker die categorie aanvaardt. Dit werkt ook bij tags die vast in
   de HTML staan. Het merken gebeurt in de code van de site zelf, door de
   sitehouder of zijn webbouwer; de scan wijst aan welke tags het betreft en op
   welke pagina.
2. **Onderscheppen.** Scripts die pas later door andere code ingeladen worden,
   worden tegengehouden op basis van een catalogus van bekende trackers.
   Gemeten september 2026: vijf op vijf tegengehouden vóór de keuze, vijf op
   vijf vrijgegeven erna. Staat standaard aan voor nieuwe klanten; bij een
   bestaande klant pas na een test op zijn site.
3. **Google Consent Mode v2**, met alle signalen die Google verwacht,
   inclusief `ad_user_data` en `ad_personalization` die sinds maart 2024
   vereist zijn. De standaardopzet is basic consent mode, niet advanced: de
   Google-tag laadt pas ná de keuze van de bezoeker. De Tag
   Manager-container zelf mag wel laden, want die zet zelf niets weg.

Belangrijke nuance die wij zelf benoemen: Consent Mode stuurt betrouwbaar
alleen de tags van Google aan. Een pixel of sessieopname die als eigen HTML in
een Tag Manager-container zit, vuurt gewoon. De scan zet zulke gevallen apart
in het rapport.

Tweede nuance: een script dat vast in de HTML staat en dat wij niet kennen, kan
door geen enkele banner tegengehouden worden. Dat is een eigenschap van de
HTML-parser, niet van een implementatie. Wie beweert dat automatisch blokkeren
volledig is, heeft het niet gemeten.

## Bewijs en logboeken

- Elke registratie hangt met een hash vast aan de vorige. Eén record wijzigen
  breekt alles wat erna komt, en dat is meteen zichtbaar. Wijzigen en wissen
  zijn in de database zelf geblokkeerd, ook voor de beheerder.
- Export per periode, met een controle die zegt of de keten onbeschadigd is,
  en met het tijdstip van de keuze naast het tijdstip van aankomst. Wie welke
  export opvroeg wordt bijgehouden.
- Verloopt een keuze of wijzigt de cookielijst, dan komt de vraag terug. Dat
  wordt vastgelegd als een nieuwe vraag, niet als een gewijzigde voorkeur.
- Een keuze die gemaakt wordt terwijl de verbinding wegvalt, komt bij het
  volgende bezoek aan met het oorspronkelijke tijdstip.
- Global Privacy Control wordt gevolgd nog vóór de bezoeker iets aanklikt.

## De scanner

- Bekijkt niet de startpagina maar de hele site, en verdeelt het bezoek over
  alle taalversies. Aanleiding: op een site met drie talen stonden
  advertentiecookies van een videodienst alleen op de Engelse pagina's.
- Per derde partij en per cookie: op welke pagina die voor het eerst opdook,
  welk script hem inlaadde, welk resource-type het was, en hoe lang de cookie
  leeft.
- Elke scan blijft bewaard met tijdmarkering; een nieuwe scan komt naast de
  oude, zodat verandering zichtbaar is.
- Een gedeeltelijke scan geeft dat zelf aan in plaats van als volledig door te
  gaan.

## Classificatie

Elke host en elke cookienaam draagt zijn categorie, de motivatie voor die
categorie en de datum van de beoordeling. Onbekende hosts krijgen geen gok maar
komen in een lijst die beoordeeld moet worden.

Vaste regel: geen enkel third-party embed-domein valt onder "noodzakelijk". Een
externe widget, video, kaart, formulier of chat heeft eigen doeleinden en valt
niet onder de uitzondering van artikel 5(3) ePrivacy, die beoordeeld wordt
vanuit de dienst die de bezoeker aan de sitehouder vraagt (EDPB richtsnoeren
2/2023). Zulke embeds krijgen minstens "voorkeuren", met een vlak en een knop
op de plaats van de inhoud, zodat de klik zelf de toestemming is.

## Prijzen (vastgelegd 12 september 2026)

Per site, alles inbegrepen, zonder btw. Geen opstartkost, geen limiet op
bezoekers of registraties, geen automatische upgrade. Jaarlijks betalen is
tien keer de maandprijs (twee maanden gratis). Bestaande klanten houden hun
prijs bij een latere verhoging.

| Plan | Per maand | Per jaar | Sites |
|---|---|---|---|
| Eén site | € 19 | € 190 | 1 |
| Drie sites | € 39 | € 390 | 3, zonder verwijzing naar Cookban in de banner |
| Bureau | € 119 | € 1.190 | 15, elke extra site € 6 per maand, zonder verwijzing naar Cookban |
| Doorlichting zonder banner | op aanvraag | | |

In elk plan: banner in alle talen van de site, blokkeren in drie lagen met
Consent Mode v2, de bewijsketen met versies, export met ketencontrole,
cookieverklaring live uit het platform, scan van de hele site bij uitrol en op vraag,
EU-hosting zonder IP-adressen, beheer door Lust4Live.

Instap: gratis scan, daarna veertien dagen proef zonder kaart. Doorgaan
gebeurt op factuur, per maand of per jaar; niet doorgaan is de regel uit de
site halen. Opzeggen kan per maand; een jaarabonnement loopt het jaar uit.

## Wat Cookban nog niet doet

- Geen zelfbedieningsdashboard voor klanten. Teksten, talen en de cookielijst
  worden door Lust4Live beheerd.
- Geen IAB TCF-certificering. Voor advertentieveilingen die dat vereisen is dit
  vandaag geen oplossing.
- De scan start met de hand, bij de uitrol en op vraag. Automatisch periodiek
  scannen is in ontwikkeling.
- De cookieverklaring wordt live uit het platform gehaald, maar de lijst erin
  wordt door Lust4Live bijgehouden. Ze wordt niet automatisch uit een scan
  afgeleid; dat staat op de planning. Vastgesteld 18 september 2026.
- Automatisch blokkeren heeft de grens die hierboven beschreven staat.

## Contact

- Lust4Live bv, Keldermansvest 18, 2800 Mechelen, België
- tom@lust4live.be, +32 473 195 182
- Een gratis scan van een site kan per e-mail aangevraagd worden. Het rapport
  is van de aanvrager, ook zonder verdere samenwerking. Daarna veertien dagen
  proberen zonder kaart.

## Pagina's

- [Startpagina](https://cookban.com/): voor wie een cookiebanner nodig heeft,
  in gewone taal, plus wat bestaande klanten praktisch nodig hebben.
- [Technische onderbouwing](https://cookban.com/techniek.html): de drie
  blokkeerlagen, hoe het bewijs in elkaar zit, de scanner, de classificatie,
  de gemeten cijfers en de grenzen.
- [Cookieverklaring](https://cookban.com/cookies.html): de lijst wordt
  rechtstreeks uit het platform gehaald, met hetzelfde stukje code dat klanten
  gebruiken.
- [Privacyverklaring](https://cookban.com/privacy.html): wat er bewaard wordt
  en waarom.