Co już działa — a co jeszcze nie

Banner i widok szczegółowy

Cztery układy (banner na dole, banner na górze, modal, slide-in), drugi poziom z kategoriami, usługami i tabelami cookies, pełna obsługa z klawiatury, renderowanie w Shadow DOM.

Blokowanie skryptów

Deklaratywnie przez type="text/plain" data-consented="…" oraz na podstawie wzorców przez MutationObserver, który startuje już w stubie — czyli zanim wczyta się runtime.

Google Consent Mode v2

Sygnały domyślne ustawiane są w stubie, przed GTM. Po decyzji następuje consent update z mapowaniem kategoria → sygnał.

Wielojęzyczność

32 języki w katalogu, pełne teksty dla niemieckiego i angielskiego, łańcuch fallbacku oparty na języku przeglądarki, atrybucie HTML lang i języku domyślnym.

Zarządzanie usługami

Przeszukiwalny katalog z dostawcą, celem, cookies i wzorcami blokowania, a do tego dowolna liczba własnych usług z pełnym formularzem.

Nadzór nad przekazywaniem do państw trzecich

W przypadku usług, dla których odnotowano udział w EU-US Data Privacy Framework, co tydzień zestawiamy status z listą uczestników Departamentu Handlu USA. Gdy certyfikacja wygasa albo zostaje wycofana, operator dostaje wiadomość. Odnotowanych jest pięć wpisów katalogu (stan na 14.08.2026) — powstaje ono redakcyjnie, a nie przez porównanie nazw, a wszystkie pozostałe wpisy widocznie informują „nie odnotowano”.

Edytor wyglądu

Kolory, zaokrąglenia, układ i własny CSS z podglądem na żywo w sandboxowanym iframe i automatycznym sprawdzaniem kontrastu WCAG.

Rejestr zgód

Każda decyzja ze znacznikiem czasu, wersją konfiguracji, językiem i pseudonimizowanym przez HMAC adresem IP. Zmiany niczego nie nadpisują, tylko dopisują.

Łańcuch skrótów nad protokołem

Każdy wpis w protokole zgód niesie skrót swojego poprzednika, a każdy zamknięty dzień jest zagęszczany do korzenia drzewa Merkle zgodnie z RFC 6962. Wiersz zmieniony, usunięty albo dodany po fakcie ujawnia się więc przy ponownym przeliczeniu; bin/verify-chain wchodzi w zakres dostawy. Pieczęcie leżą na razie wyłącznie w bazie danych własnej instancji — łańcuch pokazuje zmianę, nie zapobiega jej.

Statystyki

Odsetek zgód według domeny, języka, kraju i układu, w czasie. Do tego pseudonimowy eksport rejestru zgód jako CSV albo JSON — adres IP wyłącznie jako HMAC, adres strony wyłącznie jako SHA-256.

Testy A/B

Do trzech wariantów banera z podziałem ruchu i deterministycznym przypisaniem — ten sam odwiedzający widzi zawsze ten sam baner. Każdy wariant ma pełny edytor wyglądu razem z tekstami banera, podgląd obok siebie i analizę, która ogłasza różnicę dopiero od 100 decyzji na wariant i p < 0,05.

Wersjonowanie

Każda publikacja zamraża konfigurację jako niezmienny snapshot — widać, który odwiedzający zobaczył którą wersję.

Weryfikacja domeny

Przez rekord DNS TXT albo wgranie pliku. Niezweryfikowane domeny mają ograniczone wyświetlanie.

Role i zaproszenia

Właściciel, administrator, edytor i obserwator z udokumentowaną macierzą uprawnień, zaproszenia przez e-mail, zmiany w audit logu.

Prawa osób, których dane dotyczą

Publiczne wyszukiwanie po ID zgody: podgląd zapisanego rekordu i usunięcie na życzenie — bez konta.

Uwierzytelnianie dwuskładnikowe

TOTP zgodnie z RFC 6238 i dziesięć kodów odzyskiwania. Klucz jest przechowywany zaszyfrowany, a tego samego kodu nie da się użyć dwa razy.

Self-hosting

Ten sam kod źródłowy, PHP i MariaDB, bez kroku budowania, bez Node na serwerze.

IAB TCF v2.3 planowane

Enkoder/dekoder TC String jest gotowy i sprawdzony wobec oficjalnych wektorów testowych IAB. Otwarte pozostają: synchronizacja GVL, warstwa vendorów, publisher restrictions — a przede wszystkim rejestracja CMP w IAB Europe, bez której nie wolno wystawiać żadnego TC String. Patrz uwaga poniżej.

Skaner cookies planowane

Headless crawler, który mierzy przed zgodą i po niej, pokazując trackery odpalające się za wcześnie.

GPP i regiony USA planowane

API __gpp i sześć sekcji (USNat, Kalifornia, Wirginia, Kolorado, Utah, Connecticut) są gotowe i sprawdzone wobec oficjalnych wektorów testowych IAB. Otwarte pozostaje: sekcja USNat wymaga według specyfikacji statusu sygnatariusza Multi-State Privacy Agreement — to decyzja biznesowa, nie luka techniczna. Patrz uwaga w ustawieniach.