Zgoda na cookies z Claude Code,
jedno polecenie i prompt

Claude Code może napisać aplikację, ale nie może uczynić jej zgodną bez narzędzi, a kosmetyczny baner, który sam wymyśli, nic nie blokuje.

Zasada jest taka sama w całej UE i w Wielkiej Brytanii: bez zgody nie wolno zapisywać na urządzeniu odwiedzającego ani odczytywać z niego niczego poza tym, co ściśle niezbędne. To artykuł 5 ust. 3 dyrektywy ePrivacy, a zgoda musi spełniać definicję z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, z odmową równie łatwą jak akceptacja. Wielka Brytania utrzymuje tę samą zasadę w PECR, z wąskimi wyjątkami dla statystyk niskiego ryzyka od 5 lutego 2026 r. Kalifornia i inne prawa stanowe USA działają odwrotnie: bez opt-in, ale z linkiem opt-out i obsługą sygnału Global Privacy Control.

Dla strony wynikają z tego trzy rzeczy. Skrypty analityczne, reklamowe i społecznościowe muszą poczekać na decyzję. Decyzję trzeba zapisać tak, aby dało się ją później pokazać, bo artykuł 7 ust. 1 przerzuca ciężar dowodu na Ciebie. A wycofanie zgody musi być równie łatwe jak jej udzielenie, co oznacza element na każdej stronie, który ponownie otwiera baner. Baner, który pokazuje dwa przyciski i mimo to ładuje Google Analytics, oblewa pierwszy test, i właśnie za to organy nadzoru nakładają kary, od decyzji CNIL wobec Google i SHEIN po kontrole organów holenderskiego i belgijskiego.

Claude Code pracuje w Twoim repozytorium i może uruchamiać zarówno CLI CookieCrumbs, jak i serwer MCP, co czyni go najpełniejszą z konfiguracji agentowych. Z zarejestrowanym serwerem skanuje stronę, czyta wyniki, przypisuje każdego dostawcę, ustawia linki do impressum i polityki prywatności, uruchamia lint prawny i publikuje. Z CLI dodatkowo uruchamia npx cookiecrumbs init w repozytorium, commituje cookiecrumbs.config.ts i otwiera pull request z tagiem we właściwym pliku dla Twojego frameworka.

Każdy zapis przechodzi przez tę samą dwuetapową bramkę: propozycja z diffem i lintem, potem potwierdzenie. Claude Code pokazuje Ci diff przed potwierdzeniem, tak jak pokazuje edycje plików, a ścieżka audytu zapisuje każdy potwierdzony zapis jako „przez MCP” z nazwą tokenu. Tokeny nigdy nie mają uprawnień rozliczeniowych ani zespołowych, o cokolwiek agent poprosi.

Efekt to powtarzalna, możliwa do przeglądu konfiguracja: baner to plik w gicie, skan to bramka w CI, a dziennik zgód rejestruje we Frankfurcie. Gdy późniejsza zmiana doda tracker, cookiecrumbs scan --fail-on-unknown przerywa build, a Claude Code może przypisać nowego dostawcę w tej samej sesji.

Poproś agenta o włączenie zaawansowanego Consent Mode, a ustawi flagę w konfiguracji; runtime zrobi resztę, zanim załaduje się jakikolwiek tag Google.

Google Consent Mode v2 to warstwa sygnałów między banerem a tagami Google. Zanim uruchomi się jakikolwiek tag, siedem sygnałów (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) jest ustawianych na „denied” dla odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii. Gdy tylko ktoś dokona wyboru, runtime je aktualizuje, a tagi Google się dostosowują. Od 15 czerwca 2026 r. Google używa ad_storage jako sygnału decydującego o danych Ads, więc właściwa wartość domyślna liczy się bardziej niż kiedyś.

CookieCrumbs ustawia wartości domyślne synchronicznie, przed jakimkolwiek menedżerem tagów, aktualizuje je przy każdej decyzji i dostarcza szablon Google Tag Manager, dzięki czemu wyzwalacze zgody istnieją bez ręcznie pisanych listenerów. W trybie zaawansowanym bezcookie’owe pingi Google utrzymują modelowane konwersje dla odwiedzających, którzy odmówili. Czego nie robi: nie udaje CMP certyfikowanego przez Google. Do AdSense, Ad Managera lub AdMob w EOG nadal potrzebujesz takiego z IAB TCF, a CookieCrumbs dziś nim nie jest.