gtag('event', 'sign_up', { email: user.email }) envía las direcciones de correo de tus clientes a Google Analytics, algo que las políticas de Google prohíben. Un gtag('consent', 'default', ...) colocado una línea por debajo de gtag('config') no hace nada en la primera vista de página, y un api_secret en una llamada sendBeacon permite a cualquiera enviar eventos falsos a tus informes. Esta skill encuentra esos errores y otros siete errores de privacidad en el seguimiento antes del lanzamiento, y te dice cómo corregir cada uno.

Tu agente ejecuta un escáner sobre tus páginas y plantillas (HTML, Liquid, PHP, ERB, Nunjucks, Handlebars, Twig, Jinja, Vue, Svelte, Astro), JavaScript y TypeScript, código de servidor que llama a API de analítica (Python, Ruby, Go) y exportaciones de contenedores de Google Tag Manager. Lee la etiqueta de Google (gtag.js), los fragmentos y exportaciones de Tag Manager, Firebase Analytics, Meta Pixel, el píxel de TikTok, Segment, RudderStack, PostHog, Mixpanel, Amplitude y grabadores de sesiones (Sentry Replay, LogRocket, rrweb, Hotjar, Clarity, FullStory). Lee scripts dentro de las páginas y dentro de cadenas de plantilla de Script de Next.js, sigue valores de plantilla como {{ customer.email }}, conoce los canales oficiales para datos de contacto (gtag user_data, coincidencia avanzada de Meta, ttq.identify, llamadas identify) y los valores con hash o censurados, por lo que no los reporta, y ordena el consentimiento como los navegadores ejecutan los scripts (scripts retenidos hasta el consentimiento, scripts de módulo y de Partytown, estrategias de Script de Next.js). Nunca ejecuta tu código ni carga las etiquetas. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y un enfoque más seguro, y cada regla enlaza la documentación oficial en la que se basa. Los secretos nunca se muestran. Es una comprobación técnica, no asesoramiento legal.

Qué comprueba

BLOCK (corregir antes de publicar)

• T01: correos, números de teléfono, nombres, direcciones postales, fechas de nacimiento o números de identificación enviados a Google Analytics (eventos de gtag y sendGAEvent, config, user_id, propiedades de usuario, Firebase Analytics, etiquetas GA4 en exportaciones de Tag Manager)
• T02: credenciales de analítica exclusivas del servidor en el código o en scripts del navegador (api_secret de Measurement Protocol, tokens de Meta Conversions API y TikTok Events API, claves personales de PostHog, secretos de Mixpanel y Amplitude); los tokens de navegador de otros servicios como Mapbox no se reportan
• T03: valores predeterminados de consentimiento definidos después de que se disparen las etiquetas (gtag consent default después de config, event o el fragmento de Tag Manager; fbq consent revoke después de init o track)

REVIEW (revisar antes del lanzamiento)

• T11: la etiqueta de Google se carga sin que haya en el proyecto un valor predeterminado de consentimiento, un banner de consentimiento ni una comprobación de consentimiento
• T12: valores predeterminados de consentimiento sin los campos de Consent Mode v2 ad_user_data y ad_personalization (Google solo infiere ad_user_data para visitantes del EEE)
• T13: consentimiento concedido por defecto a todos los visitantes, sin un valor predeterminado regional
• T14: restos de Universal Analytics (ID UA-, analytics.js, etiquetas UA en exportaciones de Tag Manager, anonymize_ip)
• T15: el mismo ID de medición de GA4 configurado dos veces en un archivo
• T16: grabaciones de sesiones que capturan lo que se escribe (enmascaramiento desactivado, valores predeterminados de LogRocket o rrweb, data-hj-allow, fs-unmask, data-clarity-unmask en la página o en un formulario)
• T17: datos personales en envíos a dataLayer, en eventos de los píxeles de Meta y TikTok, y en propiedades de eventos de Segment, RudderStack, PostHog, Mixpanel o Amplitude

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, el enfoque más seguro y el enlace a la documentación oficial de cada regla
• Un proyecto de ejemplo arriesgado y otro seguro (una tienda y una landing page), y el informe real que el escáner genera sobre el arriesgado

Limitaciones

Lee cada archivo tal como está escrito: no se comprueban los valores construidos en tiempo de ejecución o en otros archivos, las etiquetas configuradas solo en la interfaz web de Tag Manager o del proveedor, la configuración de consentimiento de Tag Manager, los contenedores del lado del servidor (sGTM) ni los SDK de aplicaciones móviles. Que el consentimiento sea legalmente obligatorio depende de tus visitantes y de tu base jurídica; esto no es asesoramiento legal. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 23 archivos: SKILL.md, el escáner en scripts/ (6 archivos de Python), references/rules.md (cada regla con su motivo y un enfoque más seguro) y examples/ (14 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo arriesgado).

Cómo usarlo: es una skill de agente: una carpeta con un archivo SKILL.md y scripts de Python que puede ejecutar un agente de programación con IA como Claude Code, Cursor o Codex CLI. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y luego pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red y sin enviar nada a ninguna parte.