8 september 2026

Checklistan inför lansering som alla delar saknar två saker

Det cirkulerar en checklista: tjugo saker att gå igenom innan en webbplats lanseras. Det mesta motsvarar väl vad Google självt efterfrågar. Den är också skriven ur ett amerikanskt perspektiv, och två av de saker som den behandlar som enskilda kryssrutor är i EU separata rättsliga skyldigheter. Om du lanserar på en europeisk marknad är det just de två som kan få konsekvenser för dig i efterhand.

Här är listan, så som den brukar spridas: integritetspolicy, villkor, en tydlig uppmaning, vanliga frågor, robots.txt, sitemap.xml, en anpassad 404-sida, alt-text, analysverktyg, metatitlar och metabeskrivningar, bilder för delning i sociala medier, en favicon, kanoniska URL:er, samtycke till kakor, en mobilversion, tillgänglighet, fungerande formulär, inga brutna länkar, hyfsad prestanda.

Det är en bra lista. Det mesta motsvarar tydligt det som Google självt efterfrågar i Search Essentials, och om du bockar av alla tjugo ligger du före de flesta webbplatser som lanserades förra veckan.

De två som är värda att titta närmare på är tillgänglighet och samtycke till kakor. Båda står som en enda rad i listan. I EU är ingen av dem en enda sak.

1. ”Tillgänglighet” är inte en enda kryssruta. Det är en standard och en offentlig redogörelse.

Listan har en rad om tillgänglighet. I EU omfattar den raden två olika skyldigheter.

Den första gäller själva innehållet. European Accessibility Act gäller för produkter och tjänster som släpps ut på marknaden från och med den 28 juni 2025. Direktivet anger ingen teknisk standard, och hittills har ingen hänvisning offentliggjorts inom ramen för det i Europeiska unionens officiella tidning. Det som används är EN 301 549, en europeisk standard för tillgänglig IKT: version 3.2.1 omfattar WCAG 2.1 nivå AA, och version 4.1.1, som publicerades i september 2026, omfattar WCAG 2.2 nivå AA. Det är den del som de flesta tänker på: kontrast, tangentbordsåtkomst, etiketter och fokusordning.

Den andra skyldigheten är ett dokument. Du publicerar en tillgänglighetsredogörelse som beskriver hur din webbplats uppfyller dessa krav, var den inte gör det och hur någon kan kontakta dig om personen stöter på ett hinder. Det är en separat, offentlig sida, och den skapas inte genom att du korrigerar dina kontrastförhållanden. En webbplats kan klara varje automatiserad kontroll och ändå sakna den.

Det är detta som förvånar människor, eftersom ”tillgänglighet” låter som en teknisk uppgift medan redogörelsen är en skriftlig sådan.

2. ”Samtycke till kakor” är inte samma sak som en kakbanner.

I listan står det samtycke till kakor, och de flesta team tolkar det som ”lägg till en banner”. En banner är den enkla delen.

Enligt ePrivacy-reglerna i kombination med GDPR måste samtycke vara ett verkligt val. Tre saker följer av detta, och de är inte samma sak.

Den första handlar om tidpunkt, inte design, och det är den som de flesta webbplatser missar. Icke nödvändiga kakor och spårare får inte placeras på en besökares enhet eller läsas från den innan besökaren säger ja. Den 7 december 2020 ålade den franska tillsynsmyndigheten Google böter på 100 miljoner euro och Amazon på 35 miljoner enbart av det skälet, med ytterligare 100 000 euro per dag om problemet inte hade åtgärdats inom tre månader. I beslutet om Google anges exakt vad inspektörerna såg när de kom till sidan: sju kakor ”placerades på deras terminalutrustning, innan de vidtog någon åtgärd”, placerades på enheten innan användaren gjorde någonting. En samtyckesbanner som visas när ditt analysverktyg redan har laddats innebär samma iakttagelse. Två begränsningar som är bra att känna till: strikt nödvändiga kakor är undantagna, och regeln gäller läsning från eller skrivning till enheten, oavsett om det som läses är personuppgifter eller inte. Att fortsätta skrolla är inte heller ett val.

Den andra är också avgjord och har lett till sanktioner. Den 31 december 2021 påförde samma tillsynsmyndighet Google en sanktionsavgift på 150 miljoner euro och Facebook Ireland en sanktionsavgift på 60 miljoner euro för en enda detalj i utformningen: det krävdes ett klick för att godkänna cookies, men flera för att avvisa dem. Beslutet uttrycker det tydligt (Facebook, SAN-2021-024): ”il doit être aussi facile de refuser les cookies que de les accepter”, det måste vara lika enkelt att avvisa cookies som att godkänna dem. Båda besluten förenades med ett ytterligare vite på 100 000 euro per dag om banners inte hade åtgärdats inom tre månader.

Den tredje är snävare än vad många ofta hävdar. Europeiska dataskyddsstyrelsen, som skrev tillsammans med arton nationella tillsynsmyndigheter i januari 2023, säger visserligen att en banner utan möjlighet att avvisa på den första nivån utgör en överträdelse, och att en möjlighet att avvisa som döljs bakom en otydlig länk eller visas med text som i praktiken är oläslig är vilseledande. Den går däremot inte så långt som att föreskriva att knappen för att avvisa måste ha samma storlek eller färg som knappen för att godkänna. Du kan alltså förlita dig på följande gränsdragning: ett alternativ för att avvisa på den första skärmen, på samma nivå och utan att döljas visuellt. Att matcha pixel för pixel är god praxis, inte en publicerad EU-regel.

Det finns en enklare version av samma problem som är värd att kontrollera först: om du över huvud taget behöver bannern. Om dina analysverktyg inte placerar cookies och inte spårar personer mellan webbplatser behöver du kanske inte samtycke för dem. Färre saker som måste bli rätt är vanligtvis den bättre lösningen.

Vad vi skulle lägga till i listan

Fyra punkter, numrerade 21 till 24 i samma stil som de ursprungliga tjugo. De första tre gäller för alla lanseringar i EU. Den fjärde gäller endast om din webbplats använder AI, och därför står den åtskild från de två skyldigheterna ovan.

• En publicerad tillgänglighetsredogörelse, inte bara tillgängligt innehåll.
• Ingenting aktiveras före valet, inte bara en banner ovanpå skript som redan har körts.
• Lika lätt att avvisa som att godkänna, inte bara en cookie-banner.
• Tala om när det är AI, om din webbplats använder AI i någon form. Sedan den 2 augusti 2026 ska du göra det enligt AI-förordningen, och det är ett eget ämne.

En uppriktig kommentar om att kontrollera detta

Automatiserade verktyg, inklusive våra, hittar det maskintestbara lagret. Vårt skanningsverktyg testar 34 av de 55 framgångskriterierna i WCAG på nivå AA maskinellt, helt eller delvis. Det är ett verkligt och användbart lager, men det är inte hela bilden: bedömningar, flöden med skärmläsare och verkliga användarvägar kräver en människa. Ingen kan lova dig att en webbplats uppnår överensstämmelse utifrån en skanning, och den som gör det berättar något om sin försäljningsprocess snarare än om sin produkt.

Det en skanning är bra på är att visa dig var du ska börja och ge dig något konkret att lämna över till den som ska utföra arbetet.

Korrekt per den 8 september 2026. Den rättsliga grunden för reglerna om kakor håller på att förändras: förslaget till ePrivacy-förordning drogs tillbaka i februari 2025 och ett senare förslag skulle flytta reglerna om kakor till GDPR-ramverket, så det är värt att kontrollera detta på nytt i stället för att arkivera det. Wexlo skannar webbplatser för tillgänglighet och är öppet med vad automatiserad testning kan och inte kan upptäcka. Den här artikeln är information, inte juridisk rådgivning.