Le consentement cookies depuis Claude Code,
une commande et un prompt

Claude Code peut écrire l’app, mais il ne peut pas la rendre conforme sans outils, et une bannière cosmétique qu’il invente tout seul ne bloque rien.

La règle est la même partout dans l’UE et au Royaume-Uni : rien au-delà du strictement nécessaire ne peut être stocké sur l’appareil d’un visiteur ni lu depuis celui-ci avant son accord. C’est l’article 5(3) de la directive ePrivacy, et cet accord doit répondre à la définition du consentement du RGPD : libre, spécifique, éclairé et univoque, avec un refus aussi simple que l’acceptation. Le Royaume-Uni conserve la même règle dans PECR, avec d’étroites exemptions pour les statistiques à faible risque depuis le 5 février 2026. La Californie et les autres lois des États américains fonctionnent à l’inverse : pas d’opt-in, mais un lien d’opt-out et la prise en charge du signal Global Privacy Control.

Trois choses en découlent pour un site. Les scripts d’analyse, de publicité et de réseaux sociaux doivent attendre un choix. Ce choix doit être enregistré de façon à pouvoir être montré plus tard, car l’article 7(1) met la charge de la preuve sur vous. Et retirer son consentement doit être aussi simple que le donner, ce qui suppose un contrôle qui rouvre la bannière sur chaque page. Une bannière qui affiche deux boutons et charge quand même Google Analytics échoue au premier test, et c’est précisément ce manquement que les autorités sanctionnent, des décisions de la CNIL contre Google et SHEIN aux contrôles des autorités néerlandaise et belge.

Claude Code travaille dans votre dépôt et peut exécuter la CLI CookieCrumbs comme le serveur MCP, ce qui en fait la plus complète des configurations d’agent. Le serveur enregistré, il scanne le site, lit les résultats, classe chaque fournisseur, renseigne les liens mentions légales et confidentialité, lance le lint légal et publie. Avec la CLI, il lance aussi npx cookiecrumbs init dans le dépôt, commite cookiecrumbs.config.ts et ouvre la pull request avec la balise dans le bon fichier pour votre framework.

Chaque écriture passe par le même sas en deux étapes : une proposition avec un diff et le lint, puis une confirmation. Claude Code vous montre le diff avant de confirmer, comme il vous montre les modifications de fichiers, et la piste d’audit enregistre chaque écriture confirmée comme « via MCP » avec le nom du jeton. Les jetons ne portent jamais de droits de facturation ou d’équipe, quoi que l’agent demande.

Le résultat est une configuration répétable et relisible : la bannière est un fichier dans git, le scan est une barrière CI, et le journal de consentement enregistre à Francfort. Quand un changement ultérieur ajoute un traceur, cookiecrumbs scan --fail-on-unknown fait échouer le build et Claude Code peut classer le nouveau fournisseur dans la même session.

Demandez à l’agent d’activer le Consent Mode avancé et il pose le drapeau dans la config ; le runtime fait le reste avant le chargement de toute balise Google.

Google Consent Mode v2 est la couche de signalisation entre la bannière et les balises Google. Avant qu’une balise ne s’exécute, sept signaux (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) sont positionnés sur « denied » pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse. Dès que quelqu’un choisit, le runtime les met à jour et les balises Google s’adaptent. Depuis le 15 juin 2026, Google utilise ad_storage comme signal déterminant pour les données Ads, donc la valeur par défaut compte plus qu’avant.

CookieCrumbs fixe les valeurs par défaut de façon synchrone, avant tout gestionnaire de balises, les met à jour à chaque décision et fournit un modèle Google Tag Manager pour que les déclencheurs de consentement existent sans écouteurs écrits à la main. En mode avancé, les pings sans cookies de Google maintiennent les conversions modélisées pour les visiteurs qui ont refusé. Ce qu’il ne fait pas : se faire passer pour une CMP certifiée Google. Pour AdSense, Ad Manager ou AdMob dans l’EEE, il vous en faut toujours une avec IAB TCF, et CookieCrumbs ne l’est pas aujourd’hui.