Zgoda na cookies dla Next.js,
jednym poleceniem

Aplikacja Next.js nie ma warstwy zgody. next/script ładuje GA4 lub piksel Meta w chwili hydratacji strony, a każdy odwiedzający z UE jest śledzony, zanim cokolwiek powie.

Zasada jest taka sama w całej UE i w Wielkiej Brytanii: bez zgody nie wolno zapisywać na urządzeniu odwiedzającego ani odczytywać z niego niczego poza tym, co ściśle niezbędne. To artykuł 5 ust. 3 dyrektywy ePrivacy, a zgoda musi spełniać definicję z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, z odmową równie łatwą jak akceptacja. Wielka Brytania utrzymuje tę samą zasadę w PECR, z wąskimi wyjątkami dla statystyk niskiego ryzyka od 5 lutego 2026 r. Kalifornia i inne prawa stanowe USA działają odwrotnie: bez opt-in, ale z linkiem opt-out i obsługą sygnału Global Privacy Control.

Dla strony wynikają z tego trzy rzeczy. Skrypty analityczne, reklamowe i społecznościowe muszą poczekać na decyzję. Decyzję trzeba zapisać tak, aby dało się ją później pokazać, bo artykuł 7 ust. 1 przerzuca ciężar dowodu na Ciebie. A wycofanie zgody musi być równie łatwe jak jej udzielenie, co oznacza element na każdej stronie, który ponownie otwiera baner. Baner, który pokazuje dwa przyciski i mimo to ładuje Google Analytics, oblewa pierwszy test, i właśnie za to organy nadzoru nakładają kary, od decyzji CNIL wobec Google i SHEIN po kontrole organów holenderskiego i belgijskiego.

Next.js daje dokładnie jedno dobre miejsce na runtime zgody: tag next/script ze strategy="beforeInteractive". Skrypty z tą strategią są wstrzykiwane do początkowego HTML i uruchamiane przed jakąkolwiek hydratacją, jedynym wystarczająco wczesnym momentem. afterInteractive (domyślna) uruchamia się po hydratacji, kiedy menedżer tagów dodany z tą samą strategią mógł już odpalić. lazyOnload jest jeszcze gorsze.

W App Routerze tag trafia do app/layout.tsx, który opakowuje każdą trasę. W Pages Routerze trafia do pages/_document.tsx. CLI wykrywa, którego używasz, i wypisuje właściwy snippet; @cookiecrumbs/next opakowuje tag w komponent i dodaje helpery serwerowe, więc Server Component lub route handler może odczytać cookie zgody i zdecydować, co wyrenderować, zanim uruchomi się klient.

Od tego miejsca blokowanie to kwestia kategorii. Tag firmy trzeciej staje się type="text/plain" z data-cc-category; poddrzewo React ładujące tracker trafia do ConsentGate. Runtime uwalnia oba, gdy kategoria zostanie przyznana, w kolejności dokumentu, więc kontener GTM czekający na statystyki działa dokładnie tak, jak by działał, tylko później. Wszystko, co skan znalazł na Twojej domenie produkcyjnej, jest przy publikacji kompilowane do mapy blokowania, więc nieotagowane skrypty ze znanym hostem też są neutralizowane na miejscu.

Strony Next.js często ładują Google Ads lub GA4 przez GTM dodany z afterInteractive. Gdy runtime zgody jest pierwszy, te tagi ładują się z właściwymi wartościami domyślnymi bez zmian w Twoim kodzie.

Google Consent Mode v2 to warstwa sygnałów między banerem a tagami Google. Zanim uruchomi się jakikolwiek tag, siedem sygnałów (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) jest ustawianych na „denied” dla odwiedzających z EOG, Wielkiej Brytanii i Szwajcarii. Gdy tylko ktoś dokona wyboru, runtime je aktualizuje, a tagi Google się dostosowują. Od 15 czerwca 2026 r. Google używa ad_storage jako sygnału decydującego o danych Ads, więc właściwa wartość domyślna liczy się bardziej niż kiedyś.

CookieCrumbs ustawia wartości domyślne synchronicznie, przed jakimkolwiek menedżerem tagów, aktualizuje je przy każdej decyzji i dostarcza szablon Google Tag Manager, dzięki czemu wyzwalacze zgody istnieją bez ręcznie pisanych listenerów. W trybie zaawansowanym bezcookie’owe pingi Google utrzymują modelowane konwersje dla odwiedzających, którzy odmówili. Czego nie robi: nie udaje CMP certyfikowanego przez Google. Do AdSense, Ad Managera lub AdMob w EOG nadal potrzebujesz takiego z IAB TCF, a CookieCrumbs dziś nim nie jest.