gtag('event', 'sign_up', { email: user.email }) envoie les adresses e-mail de vos clients à Google Analytics, ce que les règles de Google interdisent. Un gtag('consent', 'default', ...) placé une ligne sous gtag('config') n'a aucun effet sur la première page vue, et un api_secret dans un appel sendBeacon permet à n'importe qui d'envoyer de faux événements dans vos rapports. Cette skill détecte ces erreurs et sept autres erreurs de confidentialité liées au suivi avant la mise en production, et vous indique comment corriger chacune.

Votre agent lance un scanner sur vos pages et templates (HTML, Liquid, PHP, ERB, Nunjucks, Handlebars, Twig, Jinja, Vue, Svelte, Astro), votre JavaScript et TypeScript, le code serveur qui appelle des API d'analyse (Python, Ruby, Go) et les exports de conteneurs Google Tag Manager. Il lit la balise Google (gtag.js), les extraits et exports Tag Manager, Firebase Analytics, Meta Pixel, le pixel TikTok, Segment, RudderStack, PostHog, Mixpanel, Amplitude et les enregistreurs de session (Sentry Replay, LogRocket, rrweb, Hotjar, Clarity, FullStory). Il lit les scripts dans les pages et dans les chaînes de template de Script de Next.js, suit les valeurs de template comme {{ customer.email }}, connaît les canaux officiels pour les coordonnées (gtag user_data, correspondance avancée de Meta, ttq.identify, appels identify) ainsi que les valeurs hachées ou masquées, et ne les signale donc pas, et ordonne le consentement comme les navigateurs exécutent les scripts (scripts retenus jusqu'au consentement, scripts module et Partytown, stratégies Script de Next.js). Il n'exécute jamais votre code et ne charge pas les balises. Il renvoie BLOCK, REVIEW ou NOT FLAGGED, avec le fichier, la ligne, la raison et une approche plus sûre, et chaque règle renvoie vers la documentation officielle sur laquelle elle s'appuie. Les secrets ne sont jamais affichés. Il s'agit d'une vérification technique, pas d'un conseil juridique.

Ce qui est vérifié

BLOCK (à corriger avant la mise en ligne)

• T01 : e-mails, numéros de téléphone, noms, adresses postales, dates de naissance ou numéros d'identité envoyés à Google Analytics (événements gtag et sendGAEvent, config, user_id, propriétés utilisateur, Firebase Analytics, balises GA4 dans les exports Tag Manager)
• T02 : identifiants d'analyse réservés au serveur dans le code ou dans des scripts du navigateur (api_secret de Measurement Protocol, jetons Meta Conversions API et TikTok Events API, clés personnelles PostHog, secrets Mixpanel et Amplitude) ; les jetons navigateur d'autres services comme Mapbox ne sont pas signalés
• T03 : valeurs de consentement par défaut définies après le déclenchement des balises (gtag consent default après config, event ou l'extrait Tag Manager ; fbq consent revoke après init ou track)

REVIEW (à vérifier avant la publication)

• T11 : la balise Google est chargée sans aucune valeur de consentement par défaut, bannière de consentement ou vérification du consentement dans le projet
• T12 : valeurs de consentement par défaut sans les champs Consent Mode v2 ad_user_data et ad_personalization (Google ne déduit que ad_user_data pour les visiteurs de l'EEE)
• T13 : consentement accordé par défaut à tous les visiteurs, sans valeur par défaut régionale
• T14 : restes d'Universal Analytics (ID UA-, analytics.js, balises UA dans les exports Tag Manager, anonymize_ip)
• T15 : le même ID de mesure GA4 configuré deux fois dans un fichier
• T16 : enregistrements de session qui capturent la saisie (masquage désactivé, paramètres par défaut de LogRocket ou rrweb, data-hj-allow, fs-unmask, data-clarity-unmask sur la page ou sur un formulaire)
• T17 : données personnelles dans les push dataLayer, les événements des pixels Meta et TikTok, et les propriétés d'événements Segment, RudderStack, PostHog, Mixpanel ou Amplitude

Ce qui est inclus

• Le scanner (Python 3.9+, bibliothèque standard uniquement)
• Un guide des règles avec la raison, l'approche plus sûre et le lien vers la documentation officielle pour chaque règle
• Un projet d'exemple risqué et un sûr (une boutique et une page d'atterrissage), ainsi que le vrai rapport produit par le scanner sur le projet risqué

Limites

Il lit chaque fichier tel qu'il est écrit : les valeurs construites à l'exécution ou dans d'autres fichiers, les balises configurées uniquement dans l'interface web de Tag Manager ou du fournisseur, les paramètres de consentement de Tag Manager, les conteneurs côté serveur (sGTM) et les SDK d'applications mobiles ne sont pas vérifiés. L'obligation légale de recueillir le consentement dépend de vos visiteurs et de votre base juridique ; ceci n'est pas un conseil juridique. NOT FLAGGED n'est pas une garantie.

Contenu

Un fichier ZIP de 23 fichiers : SKILL.md, le scanner dans scripts/ (6 fichiers Python), references/rules.md (chaque règle avec sa raison et une approche plus sûre) et examples/ (14 fichiers d'exemple plus report.md, la vraie sortie du scanner sur l'exemple risqué).

Utilisation : il s'agit d'une skill d'agent : un dossier contenant un fichier SKILL.md et des scripts Python qu'un agent de programmation IA comme Claude Code, Cursor ou Codex CLI peut exécuter. Décompressez-le dans le dossier des skills de votre agent (pour Claude Code : ~/.claude/skills/), puis demandez à votre agent de vérifier votre projet. Les scripts fonctionnent aussi seuls avec Python 3.9 ou plus récent, sans rien à installer. Ils lisent uniquement vos fichiers : aucun accès réseau, et rien n'est envoyé nulle part.