Zgoda na cookies dla Bolt,
jednym promptem

Domyślny projekt Bolt ładuje GA4 lub piksel przy pierwszym renderze. Komponent banera dodany później pokazuje wybór, ale nie może cofnąć skryptu, który już się wykonał.

Zasada jest taka sama w całej UE i w Wielkiej Brytanii: bez zgody nie wolno zapisywać na urządzeniu odwiedzającego ani odczytywać z niego niczego poza tym, co ściśle niezbędne. To artykuł 5 ust. 3 dyrektywy ePrivacy, a zgoda musi spełniać definicję z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, z odmową równie łatwą jak akceptacja. Wielka Brytania utrzymuje tę samą zasadę w PECR, z wąskimi wyjątkami dla statystyk niskiego ryzyka od 5 lutego 2026 r. Kalifornia i inne prawa stanowe USA działają odwrotnie: bez opt-in, ale z linkiem opt-out i obsługą sygnału Global Privacy Control.

Dla strony wynikają z tego trzy rzeczy. Skrypty analityczne, reklamowe i społecznościowe muszą poczekać na decyzję. Decyzję trzeba zapisać tak, aby dało się ją później pokazać, bo artykuł 7 ust. 1 przerzuca ciężar dowodu na Ciebie. A wycofanie zgody musi być równie łatwe jak jej udzielenie, co oznacza element na każdej stronie, który ponownie otwiera baner. Baner, który pokazuje dwa przyciski i mimo to ładuje Google Analytics, oblewa pierwszy test, i właśnie za to organy nadzoru nakładają kary, od decyzji CNIL wobec Google i SHEIN po kontrole organów holenderskiego i belgijskiego.

Bolt.new uruchamia pełne środowisko Node w przeglądarce i potrafi postawić aplikację Vite, aplikację Next.js, stronę Astro lub zwykły HTML, a potem wdrożyć na Netlify jednym kliknięciem. Miejsce dla runtime zgody zależy od wyboru: index.html dla Vite i zwykłego HTML, app/layout.tsx z next/script dla Next.js, integracja dla Astro. Prompt na tej stronie obejmuje przypadek Vite i HTML, czyli większość projektów Bolt; przewodniki Next.js i Astro obejmują pozostałe.

Bolt dobrze wykonuje dokładne polecenia i słabo zgaduje, co znaczy „zgodne z prawem”. Powiedz mu, gdzie ma trafić tag i co zrobić z każdym trackerem, a zrobi dokładnie to. Poproś o zgodny baner, a wymyśli taki, który zapisuje flagę i nic nie blokuje. Prompt jest napisany tak, by nie zostawiać miejsca na zgadywanie: pierwszy element head, potem type="text/plain" z kategorią na każdym skrypcie analitycznym, reklamowym i społecznościowym.

Po wdrożeniu aplikacji skaner czyta ją jak odwiedzający, wypisuje, co nadal odpala przed zgodą, a panel przypisuje każdego dostawcę raz. Późniejsza sesja Bolt dodająca nowy tracker pojawia się w następnym zaplanowanym skanie jako alert, domyślnie zablokowany, dopóki go nie przypiszesz.

Projekty Bolt z Google Ads lub GA4 dostają wartości domyślne Consent Mode z runtime przed załadowaniem tych tagów, więc pomiary dalej działają dla odwiedzających, którzy mówią tak.

Google Consent Mode v2 to warstwa sygnałów między banerem a tagami Google. Zanim uruchomi się jakikolwiek tag, siedem sygnałów (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) jest ustawianych na „denied” dla odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii. Gdy tylko ktoś dokona wyboru, runtime je aktualizuje, a tagi Google się dostosowują. Od 15 czerwca 2026 r. Google używa ad_storage jako sygnału decydującego o danych Ads, więc właściwa wartość domyślna liczy się bardziej niż kiedyś.

CookieCrumbs ustawia wartości domyślne synchronicznie, przed jakimkolwiek menedżerem tagów, aktualizuje je przy każdej decyzji i dostarcza szablon Google Tag Manager, dzięki czemu wyzwalacze zgody istnieją bez ręcznie pisanych listenerów. W trybie zaawansowanym bezcookie’owe pingi Google utrzymują modelowane konwersje dla odwiedzających, którzy odmówili. Czego nie robi: nie udaje CMP certyfikowanego przez Google. Do AdSense, Ad Managera lub AdMob w EOG nadal potrzebujesz takiego z IAB TCF, a CookieCrumbs dziś nim nie jest.