gtag('event', 'sign_up', { email: user.email }) передає адреси електронної пошти ваших клієнтів у Google Analytics, що заборонено правилами Google. Виклик gtag('consent', 'default', ...), розміщений на рядок нижче від gtag('config'), нічого не робить для першого перегляду сторінки, а api_secret у виклику sendBeacon дає змогу будь-кому надсилати підроблені події у ваші звіти. Цей навик знаходить такі помилки та ще сім помилок конфіденційності у відстеженні до релізу та підказує, як виправити кожну.

Ваш агент запускає сканер для ваших сторінок і шаблонів (HTML, Liquid, PHP, ERB, Nunjucks, Handlebars, Twig, Jinja, Vue, Svelte, Astro), коду на JavaScript і TypeScript, серверного коду, який викликає API аналітики (Python, Ruby, Go), та експортів контейнерів Google Tag Manager. Він читає тег Google (gtag.js), сніпети й експорти Tag Manager, Firebase Analytics, Meta Pixel, піксель TikTok, Segment, RudderStack, PostHog, Mixpanel, Amplitude і засоби запису сесій (Sentry Replay, LogRocket, rrweb, Hotjar, Clarity, FullStory). Він читає скрипти всередині сторінок і всередині рядків-шаблонів Script у Next.js, відстежує значення шаблонів на кшталт {{ customer.email }}, знає офіційні канали передавання контактних даних (gtag user_data, розширене зіставлення Meta, ttq.identify, виклики identify), а також хешовані чи замасковані значення, тож не повідомляє про них, і впорядковує згоду так, як браузери виконують скрипти (скрипти, відкладені до отримання згоди, модулі та скрипти Partytown, стратегії Script у Next.js). Він ніколи не запускає ваш код і не завантажує теги. Результат: BLOCK, REVIEW або NOT FLAGGED із зазначенням файлу, рядка, причини та безпечнішого підходу, а кожне правило посилається на офіційну документацію, на якій воно ґрунтується. Секрети ніколи не виводяться. Це технічна перевірка, а не юридична консультація.

Що перевіряється

BLOCK (виправити до випуску)

• T01: адреси електронної пошти, номери телефонів, імена, поштові адреси, дати народження чи ідентифікаційні номери, що надсилаються в Google Analytics (події gtag і sendGAEvent, config, user_id, властивості користувача, Firebase Analytics, теги GA4 в експортах Tag Manager)
• T02: облікові дані аналітики, призначені лише для сервера, у коді або в браузерних скриптах (api_secret Measurement Protocol, токени Meta Conversions API і TikTok Events API, персональні ключі PostHog, секрети Mixpanel і Amplitude); про браузерні токени інших сервісів, наприклад Mapbox, не повідомляється
• T03: типові значення згоди, задані після спрацювання тегів (gtag consent default після config, event або сніпета Tag Manager; fbq consent revoke після init або track)

REVIEW (перевірити до релізу)

• T11: тег Google завантажується, а в проєкті немає ні типового значення згоди, ні банера згоди, ні перевірки згоди
• T12: типові значення згоди без полів Consent Mode v2 ad_user_data і ad_personalization (для відвідувачів з ЄЕЗ Google виводить лише ad_user_data)
• T13: згоду типово надано всім відвідувачам, без регіонального типового значення
• T14: залишки Universal Analytics (ідентифікатори UA-, analytics.js, теги UA в експортах Tag Manager, anonymize_ip)
• T15: той самий ідентифікатор вимірювання GA4 налаштовано двічі в одному файлі
• T16: записи сесій, що захоплюють введений текст (маскування вимкнено, типові налаштування LogRocket або rrweb, data-hj-allow, fs-unmask, data-clarity-unmask на сторінці чи у формі)
• T17: персональні дані в надсиланнях до dataLayer, подіях пікселів Meta і TikTok, а також у властивостях подій Segment, RudderStack, PostHog, Mixpanel або Amplitude

Що входить до комплекту

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил із причиною, безпечнішим підходом і посиланням на офіційну документацію для кожного правила
• Ризикований і безпечний приклади проєктів (магазин і лендинг), а також справжній звіт сканера щодо ризикованого

Обмеження

Сканер читає кожен файл у тому вигляді, в якому його написано: значення, що формуються під час виконання або в інших файлах, теги, налаштовані лише у вебінтерфейсі Tag Manager чи постачальника, налаштування згоди в Tag Manager, серверні контейнери (sGTM) і SDK мобільних застосунків не перевіряються. Чи потрібна згода за законом, залежить від ваших відвідувачів і правової підстави; це не юридична консультація. NOT FLAGGED не є гарантією.

Вміст

Один ZIP-файл із 23 файлами: SKILL.md, сканер у scripts/ (6 файлів Python), references/rules.md (усі правила з причиною та безпечнішим підходом) і examples/ (14 файлів прикладів плюс report.md, справжній вивід сканера щодо ризикованого прикладу).

Як користуватися: це навик для агента: папка з файлом SKILL.md і скриптами Python, які може запускати ШІ-агент для програмування, наприклад Claude Code, Cursor або Codex CLI. Розпакуйте архів у папку навиків вашого агента (для Claude Code: ~/.claude/skills/), а потім попросіть агента перевірити ваш проєкт. Скрипти також працюють самостійно з Python 3.9 або новішим, нічого встановлювати не потрібно. Вони лише читають ваші файли: без доступу до мережі, і нікуди нічого не надсилається.