maxburst/cookie-privacy-compliance

Cumplimiento de cookies, rastreo y privacidad

Esta skill lleva un sitio web desde "creemos que tenemos un banner de cookies" hasta "aquí hay evidencia de que el sitio se comporta legalmente para los visitantes que atiende". El trabajo tiene cuatro fases: alcance, auditoría, implementación, verificación. Una solicitud puede necesitar solo algunas de ellas (un compromiso solo de auditoría se detiene después del informe), pero siempre se ejecutan en este orden, porque cada una depende de la anterior.

Tres ideas impulsan todo aquí.

El comportamiento es lo que cuenta, y debe medirse. Los reguladores y los demandantes prueban lo que el navegador realmente hace: qué cookies existen y qué terceros se contactan antes de una elección, después de un rechazo, después de una retirada. Un banner no prueba nada. La mayoría de los hallazgos reales son un banner que está presente y se ve bien mientras las etiquetas se disparan de todos modos. Así que nunca concluyas por la presencia de una herramienta de consentimiento, una configuración de plugin o una línea de código; concluye a partir de un escaneo.

Las reglas dependen de quiénes son los visitantes. Europa es de aceptación voluntaria (nada no esencial antes del consentimiento). EE. UU. es de exclusión voluntaria con focos de aceptación voluntaria y un gran riesgo de litigio. Gran parte del resto del mundo se encuentra entre ambos. El mismo sitio puede estar bien para una audiencia e ilegal para otra, por lo que el alcance es lo primero y cada hallazgo se declara frente a un régimen específico.

Un banner que miente es peor que ningún banner. Un botón "Rechazar" que no detiene las etiquetas convierte una brecha de cumplimiento en una reclamación por engaño (este es el patrón de hechos en casi todas las acciones de cumplimiento de California). Nunca implementes ni dejes colocado un banner decorativo. Si algo aún no se puede bloquear, dilo y elimina la promesa.

No eres el abogado del usuario. Proporciona hallazgos prácticos y claros con la regla detrás de cada uno, señala los lugares donde la ley no está resuelta o los hechos necesitan un juicio legal, y dilo en el informe. Tampoco te escondas detrás de descargos de responsabilidad: el usuario quiere saber qué arreglar.

Archivos de referencia

Lee lo que el compromiso necesita, no todo.

Archivo	Léelo cuando
references/jurisdictions.md	Siempre, durante el alcance. Mapea la audiencia del sitio a los regímenes de consentimiento y te dice qué archivo de ley abrir.
references/law-europe.md	Cualquier visitante de la UE/EEE, Reino Unido o Suiza. Diferencias por país, reglas de diseño de banners, exenciones de análisis, aplicación.
references/law-us.md	Cualquier visitante de EE. UU. Umbrales de leyes estatales, GPC, especificaciones de California, litigios por escuchas, salud/niños/finanzas.
references/law-rest-of-world.md	Canadá, América Latina, Asia-Pacífico, Medio Oriente, África.
references/audit-playbook.md	Ejecutar la auditoría: uso del escáner, lectura de resultados, inspección de código y configuración, diagnóstico de una herramienta de consentimiento existente.
references/failure-patterns.md	Interpretar los resultados del escaneo. 27 patrones que explican la mayoría de los hallazgos.
references/implementation.md	Planificar y hacer la corrección: elegir o reparar una herramienta de consentimiento, orden de implementación, políticas, GPC.
references/consent-signals.md	Cablear un proveedor específico: Google Consent Mode v2, Meta, Microsoft, TikTok, TCF/GPP, Shopify, WP Consent API.
references/consent-tools.md	Elegir entre herramientas de consentimiento, o encontrar el nombre de cookie, marcado y API JS de una herramienta.
references/script-blocking.md	Bloquear una etiqueta, inserción, fuente o evento del lado del servidor; especificidades de WordPress, Shopify, Next.js y SPA.
references/testing-tools.md	Verificación: la matriz de pruebas completa, comprobaciones de accesibilidad y rendimiento, simulación geográfica.
references/report-template.md	Redactar el informe de auditoría o el informe de verificación.

Los archivos de ley fueron verificados el 2026-11-11 y marcan cada afirmación con una etiqueta de confianza. La ley de privacidad se mueve mensualmente. Cuando una recomendación dependa de un detalle etiquetado como incierto, listado bajo "cosas en flujo", o tenga más de unos pocos meses, verifícalo contra una fuente primaria actual antes de basarte en él, e informa al usuario qué puntos volviste a verificar.

Fase 1: Alcance

Establece estos antes de escanear. Encuentra lo que puedas por ti mismo (el sitio, su pie de página, sus políticas, el código base), luego pregunta al usuario solo por lo que no puedas encontrar. Limítate a una ronda de preguntas.

1. Qué sitios y hosts. Dominio principal, subdominios, un dominio de pago o aplicación separado, staging.
2. Dónde están los visitantes. Pregunta por la audiencia real, y verifícala con evidencia: idiomas, monedas, países de envío, geografía de análisis si tienes acceso. "Solo EE. UU." de una tienda en inglés que envía a todo el mundo no es solo EE. UU. Un sitio está sujeto a una ley cuando se dirige o atiende a personas allí, esté donde esté el negocio.
3. Qué hace el sitio con los datos. Anuncios y remarketing, análisis, marketing por correo electrónico, cuentas, comercio electrónico, medios incrustados, chat, reproducción de sesiones. Y si algo toca un área sensible: salud, niños o adolescentes, finanzas, ubicación precisa, cualquier cosa que revele una característica protegida. Las áreas sensibles cambian la respuesta en cada jurisdicción.
4. Tamaño, para la ley de EE. UU. Los ingresos anuales aproximados y el volumen de visitantes por estado determinan qué leyes estatales se aplican. Los visitantes únicos con una cookie de anuncios cuentan como "consumidores", por lo que los umbrales se alcanzan antes de lo que los propietarios esperan.
5. Qué acceso tienes. Sitio público de solo lectura, inicio de sesión de administrador, repositorio de código, hosting o SSH, administrador de etiquetas, panel de la herramienta de consentimiento, cuentas de plataforma publicitaria. Esto establece qué tan profunda puede ser la auditoría y si puedes implementar.
6. Qué quiere el usuario obtener. Solo informe de auditoría, o también corregir y verificar. Cualquier medición que no puedan permitirse perder. Presupuesto para herramientas de pago.

Cuando aún no hay un sitio para escanear (el usuario pide un plan, un presupuesto o consejo y no da una URL, o describe el sitio de memoria): no te saltes la medición, muévela. Trata lo que te dijeron como una hipótesis, escribe el plan en base a ella, y haz que "escanear desde cada región objetivo para confirmar el punto de partida" sea el primer paso del plan, con los comandos del escáner completados. Di qué partes del plan dependen de hechos que no has observado.

Luego abre references/jurisdictions.md y escribe los regímenes objetivo: para cada audiencia, el régimen que aplica y las dos o tres reglas que impulsarán los hallazgos. Comunica esto al usuario en unas pocas líneas antes de la auditoría. Si la audiencia es desconocida o mundial, el valor predeterminado es aceptación voluntaria estricta para todos, relajado solo para una lista corta de países donde la ley está establecida.

Fase 2: Auditoría

Sigue references/audit-playbook.md. En resumen:

1. Escanear el sitio en vivo con el escáner incluido. Carga el sitio en un navegador limpio bajo escenarios separados (sin interacción, rechazar, aceptar, Global Privacy Control, opcionalmente retirar) y registra cookies, almacenamiento web, solicitudes a terceros y señales de consentimiento de Google en cada fase.

   # configuración única
   npm install --prefix <skill-dir>/scripts && npx --prefix <skill-dir>/scripts playwright install chromium
   
   node <skill-dir>/scripts/scan.mjs https://example.com --out ./scan-quick                    # vistazo rápido: página de inicio + algunos enlaces
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --out ./scan-us       # auditoría: cada tipo de página en el sitemap
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage all --out ./scan-full       # cada URL del sitemap (lento)
   node <skill-dir>/scripts/scan.mjs https://example.com --coverage types --scenarios baseline,reject,accept,withdraw \
        --proxy http://user:pass@de-proxy:8080 --locale de-DE --timezone Europe/Berlin --out ./scan-de
   

   Usa --coverage types para cualquier cosa que se convierta en un informe: las plantillas de página difieren (los artículos incrustan video, las páginas de producto cargan widgets, las páginas de contacto cargan un captcha), y un escaneo de la portada se pierde la mayor parte. Añade las páginas de carrito, pago y agradecimiento manualmente; no están en los sitemaps.

   Lee primero la tabla "Hechos" en la parte superior de summary.md, luego las capturas de pantalla, luego el detalle por escenario que necesites (en sitios con muchos anuncios, el detalle es extenso; búscalo en lugar de leerlo completo). El escáner informa desde dónde se ejecutó. Las herramientas de consentimiento cambian el comportamiento según el país del visitante, por lo que un escaneo solo describe ese país. Escanea desde cada régimen objetivo (a través de un proxy o VPN de salida) o indica claramente en el informe qué regímenes no fueron observados. Nunca presentes un escaneo con IP de EE. UU. como evidencia sobre visitantes de la UE.

2. Mirar detrás del navegador tanto como tu acceso lo permita: dónde se inyecta cada etiqueta (tema, plugin, administrador de etiquetas, codificado a medida, edge), cómo está configurada la herramienta de consentimiento, rastreo del lado del servidor que un escaneo del navegador no puede ver, almacenamiento en caché y capas de optimización de scripts que reordenan cosas.

   Dos tipos de sitios necesitan más que la ejecución predeterminada, y el manual cubre ambos: sitios cuyo optimizador retiene cada script hasta el primer movimiento del ratón o un temporizador de inactividad (un escaneo rápido de estos parece limpio cuando no lo está), y sitios de estilo estadounidense de exclusión voluntaria sin botón de rechazar, donde la cuestión es si la exclusión voluntaria y GPC llegan a toda la pila publicitaria. Cuando el escáner no pueda responder a una pregunta de la que depende el compromiso, escribe un pequeño script de prueba con la misma librería del navegador y guárdalo con la evidencia.

3. Diagnosticar la herramienta de consentimiento que ya está ahí. Generalmente una está instalada y medio configurada. Averigua exactamente por qué falla (el manual tiene una secuencia de decisión) porque la corrección es mucho más a menudo una reparación que un reemplazo.

4. Comprobar el lado documental: política de privacidad, política de cookies, enlaces y redacción requeridos, formularios y su lenguaje de consentimiento, ruta de solicitud de derechos, registros de consentimiento.

5. Redactar hallazgos frente a los regímenes objetivo. Cada hallazgo: qué se observó (con evidencia del escaneo), qué regla rompe para qué audiencia, qué tan grave, y la corrección. Usa references/report-template.md. El informe tiene dos capas: un resumen en lenguaje sencillo que un propietario del sitio pueda usar, luego el detalle técnico para quien implemente.

Detente aquí si el compromiso es solo de auditoría. No cambies nada en un sitio durante una auditoría.

Fase 3: Implementación

Sigue references/implementation.md. Lo esencial:

• Acordar el plan primero. Muestra al usuario qué cambiará, qué medición perderán o conservarán, cualquier plan de pago que necesite, y obtén una confirmación. Eliminar o bloquear un rastreador cambia los informes y el rendimiento publicitario de alguien; es su decisión, no la tuya.
• Trabajar en un lugar seguro. Staging si existe. En producción: haz una copia de seguridad primero, cambia una cosa a la vez, sabe cómo revertir, y nunca dejes un sitio en un estado donde el banner prometa algo que las etiquetas no hacen.
• Corregir en orden de dependencias: elimina lo que no se usa, establece una herramienta de consentimiento como la única propietaria del consentimiento, establece valores predeterminados de consentimiento antes de que cargue cualquier etiqueta, bloquea cada etiqueta e inserción a través de ella, cablea las señales del proveedor (Consent Mode y el resto), maneja GPC y enlaces de exclusión voluntaria de EE. UU., haz que la retirada funcione, luego actualiza las políticas para que coincidan con lo que el sitio ahora hace.
• Purgar cada capa de caché después de los cambios (caché de página, CDN, paquetes de minificación/combinación), o estarás probando el sitio de ayer.

Fase 4: Verificación

Nada está corregido hasta que un nuevo escaneo lo demuestre. Vuelve a ejecutar el escáner con los mismos escenarios y puntos de vista que la auditoría y compara con la ejecución de la auditoría. references/testing-tools.md tiene la matriz completa; el mínimo para la aprobación es:

• Audiencias de aceptación voluntaria: cero cookies no esenciales y cero solicitudes de rastreadores antes de una elección y después de rechazar, incluyendo después de movimientos reales del ratón y desplazamiento; rechazar en la primera capa con igual prominencia; aceptar realmente carga las etiquetas; retirar las detiene y elimina las cookies de rastreadores propias; la elección persiste entre páginas y no se vuelve a preguntar.
• Audiencias de exclusión voluntaria: el enlace de exclusión voluntaria y GPC detienen cada uno las etiquetas de venta/compartición/publicidad dirigida sin más clics; los visitantes de California ven confirmación de que la señal fue respetada; nada se dispara antes del consentimiento en páginas que tocan datos sensibles.
• En todas partes: las señales de consentimiento en las solicitudes salientes de Google coinciden con el estado que el visitante eligió; los resultados son los mismos en cargas cacheadas y no cacheadas, en dispositivos móviles, y en los tipos de página que importan (producto, pago, agradecimiento, formularios); la política de cookies enumera lo que el escaneo encuentra.

Informa qué pasó, qué falló y qué no pudo probarse (por ejemplo, una región para la que no tenías punto de vista, o eventos del lado del servidor a los que no tenías acceso). Una verificación no probada se informa como no probada, nunca como aprobada.

Notas de trabajo

• Evidencia sobre afirmación. Cita el nombre de la cookie, el host de la solicitud, el parámetro de consentimiento, la captura de pantalla. Un hallazgo sin evidencia es una opinión.
• Las cookies y hosts desconocidos son hallazgos a resolver, no para pasar por alto. Identifícalos (quién los establece, para qué) o enuméralos como no resueltos.
• La gravedad sigue la exposición real: quién es la audiencia, qué datos están involucrados, qué tan visible es la falla, qué tan activamente se aplica o litiga esa regla. Un píxel publicitario que se dispara antes del consentimiento para visitantes franceses, o en una página de salud de EE. UU., es crítico. Un enlace de identificación faltante no lo es.
• Mantén la medición del usuario donde la ley lo permita. Cumplir no significa eliminar análisis. Prefiere la opción que satisface la regla y mantiene los datos más útiles: etiquetas bloqueadas por consentimiento, Consent Mode, análisis sin cookies o con configuración exenta, comportamiento específico por región. Explica la compensación y deja que el usuario elija.
• Di lo que no revisaste. Las aplicaciones móviles, los píxeles de seguimiento de correo electrónico, el intercambio de datos fuera de línea, los contratos con proveedores y la documentación de transferencia internacional son parte del cumplimiento de la privacidad y están mayormente fuera de un escaneo de sitio web. Nombra los que parezcan relevantes para que no se den por hechos.