Le consentement cookies depuis Cursor,
avec un diff que vous relisez

Cursor peut écrire l’app, mais il ne peut pas la rendre conforme sans outils, et une bannière cosmétique qu’il invente tout seul ne bloque rien.

La règle est la même partout dans l’UE et au Royaume-Uni : rien au-delà du strictement nécessaire ne peut être stocké sur l’appareil d’un visiteur ni lu depuis celui-ci avant son accord. C’est l’article 5(3) de la directive ePrivacy, et cet accord doit répondre à la définition du consentement du RGPD : libre, spécifique, éclairé et univoque, avec un refus aussi simple que l’acceptation. Le Royaume-Uni conserve la même règle dans PECR, avec d’étroites exemptions pour les statistiques à faible risque depuis le 5 février 2026. La Californie et les autres lois des États américains fonctionnent à l’inverse : pas d’opt-in, mais un lien d’opt-out et la prise en charge du signal Global Privacy Control.

Trois choses en découlent pour un site. Les scripts d’analyse, de publicité et de réseaux sociaux doivent attendre un choix. Ce choix doit être enregistré de façon à pouvoir être montré plus tard, car l’article 7(1) met la charge de la preuve sur vous. Et retirer son consentement doit être aussi simple que le donner, ce qui suppose un contrôle qui rouvre la bannière sur chaque page. Une bannière qui affiche deux boutons et charge quand même Google Analytics échoue au premier test, et c’est précisément ce manquement que les autorités sanctionnent, des décisions de la CNIL contre Google et SHEIN aux contrôles des autorités néerlandaise et belge.

Cursor parle MCP, et le serveur CookieCrumbs lui répond. Une fois le serveur dans .cursor/mcp.json, l’agent voit une liste d’outils qui reflète le tableau de bord : lister et créer des sites, lancer et lire des scans, expliquer pourquoi un traceur a été classé ainsi, mettre à jour la config de la bannière, la pousser, publier, lire la synthèse du consentement, exporter les journaux. Il ne voit que les outils que votre jeton autorise ; un jeton en lecture seule ne montre jamais d’outil d’écriture.

Le plus intéressant, c’est le fonctionnement des écritures. Chaque outil qui modifie quelque chose prend un drapeau confirm. Le premier appel répond par un diff unifié de la config plus le lint légal (égale visibilité, contraste, les deux liens légaux) et ne change rien. Seul un second appel avec confirm: true écrit, et il atterrit dans la piste d’audit comme « via MCP » avec le nom du jeton. C’est ce qui permet de dire « configure le consentement aux cookies pour ce projet » et de lire le résultat au lieu de le surveiller.

Ce que l’agent ne peut pas faire, c’est placer la balise dans votre page depuis l’extérieur. Il vous remet le snippet pour votre framework et, si vous êtes dans le dépôt, modifie le fichier avec votre relecture comme tout autre changement. La vérification d’installation du tableau de bord prouve ensuite que le runtime s’exécute avant tout traceur, et Cursor peut lire ce résultat aussi.

Demandez à l’agent d’activer le Consent Mode avancé et il pose le drapeau dans la config ; le runtime fait le reste avant le chargement de toute balise Google.

Google Consent Mode v2 est la couche de signalisation entre la bannière et les balises Google. Avant qu’une balise ne s’exécute, sept signaux (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) sont positionnés sur « denied » pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse. Dès que quelqu’un choisit, le runtime les met à jour et les balises Google s’adaptent. Depuis le 15 juin 2026, Google utilise ad_storage comme signal déterminant pour les données Ads, donc la valeur par défaut compte plus qu’avant.

CookieCrumbs fixe les valeurs par défaut de façon synchrone, avant tout gestionnaire de balises, les met à jour à chaque décision et fournit un modèle Google Tag Manager pour que les déclencheurs de consentement existent sans écouteurs écrits à la main. En mode avancé, les pings sans cookies de Google maintiennent les conversions modélisées pour les visiteurs qui ont refusé. Ce qu’il ne fait pas : se faire passer pour une CMP certifiée Google. Pour AdSense, Ad Manager ou AdMob dans l’EEE, il vous en faut toujours une avec IAB TCF, et CookieCrumbs ne l’est pas aujourd’hui.