Zgoda na cookies z Cursora,
z diffem, który sprawdzasz

Cursor może napisać aplikację, ale nie może uczynić jej zgodną bez narzędzi, a kosmetyczny baner, który sam wymyśli, nic nie blokuje.

Zasada jest taka sama w całej UE i w Wielkiej Brytanii: bez zgody nie wolno zapisywać na urządzeniu odwiedzającego ani odczytywać z niego niczego poza tym, co ściśle niezbędne. To artykuł 5 ust. 3 dyrektywy ePrivacy, a zgoda musi spełniać definicję z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, z odmową równie łatwą jak akceptacja. Wielka Brytania utrzymuje tę samą zasadę w PECR, z wąskimi wyjątkami dla statystyk niskiego ryzyka od 5 lutego 2026 r. Kalifornia i inne prawa stanowe USA działają odwrotnie: bez opt-in, ale z linkiem opt-out i obsługą sygnału Global Privacy Control.

Dla strony wynikają z tego trzy rzeczy. Skrypty analityczne, reklamowe i społecznościowe muszą poczekać na decyzję. Decyzję trzeba zapisać tak, aby dało się ją później pokazać, bo artykuł 7 ust. 1 przerzuca ciężar dowodu na Ciebie. A wycofanie zgody musi być równie łatwe jak jej udzielenie, co oznacza element na każdej stronie, który ponownie otwiera baner. Baner, który pokazuje dwa przyciski i mimo to ładuje Google Analytics, oblewa pierwszy test, i właśnie za to organy nadzoru nakładają kary, od decyzji CNIL wobec Google i SHEIN po kontrole organów holenderskiego i belgijskiego.

Cursor mówi MCP, a serwer CookieCrumbs mu odpowiada. Gdy serwer jest w .cursor/mcp.json, agent widzi listę narzędzi odzwierciedlającą panel: listowanie i tworzenie stron, uruchamianie i odczyt skanów, wyjaśnianie, dlaczego tracker został tak sklasyfikowany, aktualizację konfiguracji banera, push, publikację, odczyt podsumowania zgód, eksport logów. Widzi tylko narzędzia, na które pozwala Twój token; token tylko do odczytu nigdy nie pokazuje narzędzia zapisu.

Ciekawe jest to, jak działają zapisy. Każde narzędzie, które coś zmienia, przyjmuje flagę confirm. Pierwsze wywołanie odpowiada ujednoliconym diffem konfiguracji plus lintem prawnym (równa widoczność, kontrast, dwa linki prawne) i nic nie zmienia. Dopiero drugie wywołanie z confirm: true zapisuje i trafia do ścieżki audytu jako „przez MCP” z nazwą tokenu. Dzięki temu można bezpiecznie powiedzieć „skonfiguruj zgodę na cookies dla tego projektu” i przeczytać wynik, zamiast go niańczyć.

Czego agent nie może, to wstawić tagu do Twojej strony z zewnątrz. Podaje Ci snippet dla Twojego frameworka i, jeśli jesteś w repozytorium, edytuje plik z Twoim przeglądem jak każdą inną zmianę. Test instalacji w panelu dowodzi potem, że runtime działa przed każdym trackerem, a Cursor może odczytać także ten wynik.

Poproś agenta o włączenie zaawansowanego Consent Mode, a ustawi flagę w konfiguracji; runtime zrobi resztę, zanim załaduje się jakikolwiek tag Google.

Google Consent Mode v2 to warstwa sygnałów między banerem a tagami Google. Zanim uruchomi się jakikolwiek tag, siedem sygnałów (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) jest ustawianych na „denied” dla odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii. Gdy tylko ktoś dokona wyboru, runtime je aktualizuje, a tagi Google się dostosowują. Od 15 czerwca 2026 r. Google używa ad_storage jako sygnału decydującego o danych Ads, więc właściwa wartość domyślna liczy się bardziej niż kiedyś.

CookieCrumbs ustawia wartości domyślne synchronicznie, przed jakimkolwiek menedżerem tagów, aktualizuje je przy każdej decyzji i dostarcza szablon Google Tag Manager, dzięki czemu wyzwalacze zgody istnieją bez ręcznie pisanych listenerów. W trybie zaawansowanym bezcookie’owe pingi Google utrzymują modelowane konwersje dla odwiedzających, którzy odmówili. Czego nie robi: nie udaje CMP certyfikowanego przez Google. Do AdSense, Ad Managera lub AdMob w EOG nadal potrzebujesz takiego z IAB TCF, a CookieCrumbs dziś nim nie jest.