[ <- RETOUR ]

┤ 03 / 06 :: CONSENTSCAN ├

ConsentScan

Moteur d'audit des bandeaux cookies (RGPD/CNIL) en 3 passes, avec rapports PDF horodatés. Sert aussi à la prospection de Kreio.

Stack

  • Bun
  • Playwright
  • TypeScript
  • Zod

Ce que j'ai fait

ConsentScan vérifie si un site respecte vraiment le choix de ses visiteurs sur les cookies. Le moteur ouvre la page dans un vrai navigateur, joue le rôle de l'internaute, et relève ce qui est déposé à chaque étape : cookies, stockage local, hôtes tiers contactés, identifiants Google Tag Manager, Analytics ou Ads.

Le résultat est un rapport PDF horodaté, avec l'URL finale, la version du moteur et l'empreinte SHA-256 du relevé brut, pour pouvoir prouver ce qui a été observé et quand. Je l'utilise aussi pour la prospection de Kreio : une CLI audite une liste de sites issue d'un CSV et met de côté les rapports incomplets.

CONSENTSCANSCANNING...

Cible : https://example.com

Passe : 1/3 [░░░░░░░░░░░░░░░░░░░░] 0%

    consentscan :: passes
    * 01 passe 1 : baseline [+]

    Chargement sans aucune interaction : tout ce qui est déposé ici l’est avant consentement.

    * 02 passe 2 : refus [+]

    Clic sur « Refuser », dans un contexte navigateur neuf : il ne doit rester aucun traceur non exempté.

    * 03 passe 3 : acceptation [+]

    Clic sur « Accepter » : si rien ne change, la CMP est inopérante.

    tree consentscan

    consentscan/

    ├──

    │ ├── scanner # Playwright

    │ ├── report # PDF + SHA-256

    │ └── shared # Zod

    ├──

    │ └── prospect-scan.ts # CSV -> PDF

    └── Dockerfile

    >> Points techniques

    • Détection du bandeau en 5 étapes : sélecteurs connus, iframes, shadow DOM, heuristique sur le texte, injection tardive. 8 CMP reconnues (Didomi, Axeptio, Cookiebot, OneTrust, tarteaucitron…) et les signaux TCF.
    • Parité Accepter / Refuser mesurée : contraste WCAG, surface relative des boutons, profondeur de clic.
    • Score de 100 moins des pénalités par sévérité. Dans le doute, on ne conclut pas : un échec de détection n’est jamais compté comme une infraction, le rapport est marqué partiel.
    • Garde SSRF sur chaque requête, redirections comprises : résolution DNS et blocage des plages IP privées.
    • 13 pages HTML de test servies en local pour couvrir les cas difficiles (iframe, shadow DOM, bandeau injecté tard).
    • Image Docker multi-stage avec Chromium Playwright, exécutée sans droits root.