Consentimiento de cookies desde Claude Code,
un comando y un prompt

Claude Code puede escribir la app, pero no puede hacerla conforme sin herramientas, y un banner cosmético que se invente por su cuenta no bloquea nada.

La norma es la misma en toda la UE y en el Reino Unido: nada más allá de lo estrictamente necesario puede almacenarse en el dispositivo de un visitante ni leerse de él antes de que haya dado su consentimiento. Es el artículo 5(3) de la Directiva ePrivacy, y ese consentimiento debe cumplir la definición del RGPD: libre, específico, informado e inequívoco, con un rechazo tan fácil como la aceptación. El Reino Unido mantiene la misma norma en PECR, con exenciones limitadas para estadísticas de bajo riesgo desde el 5 de febrero de 2026. California y las demás leyes estatales de EE. UU. funcionan al revés: sin opt-in, pero con un enlace de opt-out y soporte para la señal Global Privacy Control.

De ahí se derivan tres cosas para un sitio web. Los scripts de analítica, publicidad y redes sociales tienen que esperar una decisión. La decisión tiene que registrarse de forma que puedas demostrarla después, porque el artículo 7(1) pone la carga de la prueba sobre ti. Y retirar el consentimiento tiene que ser tan fácil como darlo, lo que exige un control que vuelva a abrir el banner en cada página. Un banner que muestra dos botones y carga Google Analytics de todos modos suspende la primera prueba, y ese es justo el fallo que las autoridades están sancionando, desde las decisiones de la CNIL contra Google y SHEIN hasta las inspecciones de las autoridades neerlandesa y belga.

Claude Code trabaja en tu repositorio y puede ejecutar tanto la CLI de CookieCrumbs como el servidor MCP, lo que lo convierte en la configuración de agente más completa. Con el servidor registrado, escanea el sitio, lee los hallazgos, clasifica cada proveedor, configura los enlaces de aviso legal y privacidad, ejecuta el lint legal y publica. Con la CLI, también ejecuta npx cookiecrumbs init en el repositorio, hace commit de cookiecrumbs.config.ts y abre la pull request con la etiqueta en el archivo correcto para tu framework.

Cada escritura pasa por la misma puerta de dos pasos: una propuesta con un diff y el lint, y luego una confirmación. Claude Code te muestra el diff antes de confirmar, igual que te muestra las ediciones de archivos, y el registro de auditoría anota cada escritura confirmada como «vía MCP» con el nombre del token. Los tokens nunca tienen permisos de facturación ni de equipo, pida lo que pida el agente.

El resultado es una configuración repetible y revisable: el banner es un archivo en git, el escaneo es una puerta en CI y el registro de consentimiento está grabando en Fráncfort. Cuando un cambio posterior añade un rastreador, cookiecrumbs scan --fail-on-unknown hace fallar la build y Claude Code puede clasificar el nuevo proveedor en la misma sesión.

Pídele al agente que active el Consent Mode avanzado y pondrá el flag en la configuración; el runtime hace el resto antes de que cargue cualquier etiqueta de Google.

Google Consent Mode v2 es la capa de señales entre el banner y las etiquetas de Google. Antes de que se ejecute cualquier etiqueta, siete señales (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) se fijan en «denied» para los visitantes del EEE, el Reino Unido y Suiza. En cuanto alguien elige, el runtime las actualiza y las etiquetas de Google se ajustan. Desde el 15 de junio de 2026 Google usa ad_storage como señal determinante para los datos de Ads, así que acertar con el valor por defecto importa más que antes.

CookieCrumbs fija los valores por defecto de forma síncrona, antes que cualquier gestor de etiquetas, los actualiza con cada decisión e incluye una plantilla de Google Tag Manager para que los activadores de consentimiento existan sin listeners escritos a mano. En modo avanzado, los pings sin cookies de Google mantienen las conversiones modeladas para los visitantes que dijeron que no. Lo que no hace es fingir ser una CMP certificada por Google: para AdSense, Ad Manager o AdMob en el EEE sigues necesitando una con IAB TCF, y CookieCrumbs hoy no lo es.