Gerir consentimento de cookies no Claude e no ChatGPT

O trabalho de conformidade tem um formato em que os assistentes de IA, por acaso, são bons. Alguém pergunta que cookies de terceiros um site está a definir. Outra pessoa quer saber se a taxa de consentimento caiu depois da alteração ao banner da semana passada. Um novo domínio de marketing tem de ser adicionado, verificado, analisado e instalado. Nada disto é difícil, mas obriga a abrir um painel, lembrar em que equipa está um domínio e clicar até chegar à resposta.

Hoje lançamos o servidor MCP do Katla, para que possa simplesmente perguntar.

Um URL, sem chaves de API

O servidor MCP do Katla é remoto. Não há nada para instalar, nenhuma chave para gerar e nada para rodar:

https://api.katla.app/mcp

Cole-o no Claude, no ChatGPT, no Claude Code, no Cursor ou em qualquer outra ferramenta que fale o Model Context Protocol, inicie sessão com a sua conta Katla habitual na janela do navegador que se abre, e fica ligado.

A autenticação é OAuth 2.1 com PKCE e registo dinâmico de clientes, e o início de sessão propriamente dito fica a cargo do mesmo fornecedor de identidade que o painel usa. Na prática: clica num botão, inicia sessão, está feito.

O que consegue fazer de facto

O servidor MCP expõe as mesmas funcionalidades que a nossa CLI: quinze ferramentas que cobrem sites, cookies, consentimentos e políticas:

"What cookies does example.com set, and which ones are marketing?"
"What's our consent acceptance rate this month?"
"Add shop.example.com and tell me how to verify it."
"Reclassify _hjSession on example.com as analytics."
"How do I install the banner on example.com?"

As mais interessantes são os pedidos compostos. Integrar um domínio implica normalmente quatro passos separados (adicionar, verificar, analisar, instalar) com esperas pelo meio, porque a verificação e a análise são tarefas assíncronas. Peça a um assistente para «configurar o shop.example.com» e ele percorre a sequência sozinho: adiciona o domínio, entrega-lhe o registo DNS, vai consultando até a verificação passar, lança uma análise e diz-lhe o que o crawler encontrou.

Age em seu nome, não como um robô

Esta foi a parte que mais nos importou acertar.

Cada chamada a uma ferramenta MCP é executada com a sua identidade, através dos mesmos endpoints da API que o painel e a CLI usam. Isso significa que as verificações de funções, as regras de acesso por site e as quotas do plano se aplicam sem alterações. Não há conta de serviço, nem caminho com privilégios elevados, nem um modelo de permissões à parte para manter sincronizado: se não o pode fazer no painel, o assistente não o pode fazer por si.

A isso juntam-se alguns limites deliberados:

• A faturação é só de leitura. Pode perguntar em que plano está e quanto da sua quota de análises já usou. Não pode mudar de plano nem mexer em métodos de pagamento através do MCP. As decisões sobre dinheiro pertencem a uma pessoa num navegador.
• Nada de operações destrutivas. Remover um domínio não está disponível. Apagar coisas por sugestão de algo que soa confiante não é um modo de falha que queiramos permitir.
• Nenhum dado pessoal de visitantes. Os registos de consentimento chegam com a decisão, as categorias e a data e hora. Os endereços IP e os user agents ficam fora do contexto do modelo: seria um produto de privacidade estranho aquele que entregasse dados de visitantes a uma IA para responder a perguntas sobre privacidade.
• Os scopes são a sério. Um cliente que se liga só com katla:read recebe uma ligação realmente só de leitura; todas as ferramentas que alteram dados a recusam.

Pode revogar o acesso a qualquer momento removendo o conector, e terminar a sessão no Katla invalida a sessão subjacente em todo o lado.

Começar

No Claude Code, basta um comando:

claude mcp add --transport http katla https://api.katla.app/mcp

A configuração passo a passo e a resolução de problemas estão no guia de introdução, e todas as ferramentas estão listadas na referência MCP.

Para onde vamos

A conformidade de cookies é um domínio em que os dados são precisos e as perguntas são vagas. «Estamos em conformidade?» não é uma consulta a uma base de dados, mas «que cookies estão por categorizar», «que sites não são analisados há 90 dias» e «a taxa de aceitação mexeu» são todas. Pôr uma interface de linguagem por cima de dados precisos funciona bem, desde que os dados precisos continuem a ter a última palavra.

É essa a linha que mantemos: o assistente é uma interface, não uma fonte de verdade. O Katla continua a fazer a análise, a classificação e o registo do consentimento. O MCP significa apenas que pode perguntar sobre isso na ferramenta que já tem aberta.