gtag('event', 'sign_up', { email: user.email }) передаёт адреса электронной почты ваших клиентов в Google Analytics, что запрещено правилами Google. Вызов gtag('consent', 'default', ...), размещённый на строку ниже gtag('config'), ничего не делает для первого просмотра страницы, а api_secret в вызове sendBeacon позволяет кому угодно отправлять поддельные события в ваши отчёты. Этот навык находит такие ошибки и ещё семь ошибок конфиденциальности в отслеживании до релиза и подсказывает, как исправить каждую.

Ваш агент запускает сканер для ваших страниц и шаблонов (HTML, Liquid, PHP, ERB, Nunjucks, Handlebars, Twig, Jinja, Vue, Svelte, Astro), кода на JavaScript и TypeScript, серверного кода, который вызывает API аналитики (Python, Ruby, Go), и экспортов контейнеров Google Tag Manager. Он читает тег Google (gtag.js), сниппеты и экспорты Tag Manager, Firebase Analytics, Meta Pixel, пиксель TikTok, Segment, RudderStack, PostHog, Mixpanel, Amplitude и средства записи сессий (Sentry Replay, LogRocket, rrweb, Hotjar, Clarity, FullStory). Он читает скрипты внутри страниц и внутри строк-шаблонов Script в Next.js, отслеживает значения шаблонов вроде {{ customer.email }}, знает официальные каналы передачи контактных данных (gtag user_data, расширенное сопоставление Meta, ttq.identify, вызовы identify), а также хешированные или замаскированные значения и поэтому не сообщает о них, и упорядочивает согласие так, как браузеры выполняют скрипты (скрипты, отложенные до получения согласия, модули и скрипты Partytown, стратегии Script в Next.js). Он никогда не запускает ваш код и не загружает теги. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода, а каждое правило ссылается на официальную документацию, на которой оно основано. Секреты никогда не выводятся. Это техническая проверка, а не юридическая консультация.

Что проверяется

BLOCK (исправить до выпуска)

• T01: адреса электронной почты, номера телефонов, имена, почтовые адреса, даты рождения или идентификационные номера, отправляемые в Google Analytics (события gtag и sendGAEvent, config, user_id, свойства пользователя, Firebase Analytics, теги GA4 в экспортах Tag Manager)
• T02: учётные данные аналитики, предназначенные только для сервера, в коде или в браузерных скриптах (api_secret Measurement Protocol, токены Meta Conversions API и TikTok Events API, персональные ключи PostHog, секреты Mixpanel и Amplitude); о браузерных токенах других сервисов, например Mapbox, не сообщается
• T03: значения согласия по умолчанию, заданные после срабатывания тегов (gtag consent default после config, event или сниппета Tag Manager; fbq consent revoke после init или track)

REVIEW (проверить до релиза)

• T11: тег Google загружается, а в проекте нет ни значения согласия по умолчанию, ни баннера согласия, ни проверки согласия
• T12: значения согласия по умолчанию без полей Consent Mode v2 ad_user_data и ad_personalization (для посетителей из ЕЭЗ Google выводит только ad_user_data)
• T13: согласие по умолчанию предоставлено всем посетителям, без регионального значения по умолчанию
• T14: остатки Universal Analytics (идентификаторы UA-, analytics.js, теги UA в экспортах Tag Manager, anonymize_ip)
• T15: один и тот же идентификатор потока GA4 настроен дважды в одном файле
• T16: записи сессий, захватывающие вводимый текст (маскирование отключено, настройки по умолчанию LogRocket или rrweb, data-hj-allow, fs-unmask, data-clarity-unmask на странице или в форме)
• T17: персональные данные в отправках dataLayer, событиях пикселей Meta и TikTok, а также в свойствах событий Segment, RudderStack, PostHog, Mixpanel или Amplitude

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам с причиной, более безопасным подходом и ссылкой на официальную документацию для каждого правила
• Рискованный и безопасный примеры проектов (магазин и лендинг), а также настоящий отчёт сканера по рискованному

Ограничения

Сканер читает каждый файл в том виде, в каком он написан: значения, формируемые во время выполнения или в других файлах, теги, настроенные только в веб-интерфейсе Tag Manager или поставщика, настройки согласия в Tag Manager, серверные контейнеры (sGTM) и SDK мобильных приложений не проверяются. Требуется ли согласие по закону, зависит от ваших посетителей и правового основания; это не юридическая консультация. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 23 файлами: SKILL.md, сканер в scripts/ (6 файлов Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (14 файлов примеров плюс report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, и никуда ничего не отправляется.