SDK serveur : le consentement côté backend

Pourquoi

La bannière bloque le navigateur, mais la moitié des traitements partent du serveur : GA4 Measurement Protocol, synchronisation CRM, cookies d'attribution. @flowconsent/server-sdk lit le cookie propriétaire déposé par la bannière (contrat v1, versionné) et rend une décision typée, refus par défaut si le cookie est absent, illisible ou périmé.

Installation

npm install @flowconsent/server-sdk

Zéro dépendance, compatible edge (Vercel, Cloudflare Workers, Node ≥ 18).

Lire la décision

import { readConsent } from '@flowconsent/server-sdk'
 
const decision = readConsent(request)
if (decision.can('analytics')) {
  // envoyer l'événement GA4 Measurement Protocol
}
// decision.reason : 'ok', 'no_cookie', 'expired', 'version_mismatch'…

decision.can('google-analytics') fonctionne aussi par service. Passez expectedConfigHash (celui de votre bannière) pour invalider automatiquement les choix antérieurs à un changement de configuration.

Vérifier les webhooks

Les webhooks de consentement sont signés (HMAC-SHA256, en-tête X-FlowConsent-Signature, sur le modèle de Stripe) :

import { verifyWebhookSignature } from '@flowconsent/server-sdk'
const check = await verifyWebhookSignature(rawBody, signatureHeader, secret)
if (!check.valid) return new Response('invalid', { status: 400 })

Le secret n'est montré qu'une fois, à la création du webhook (app ou MCP configure_consent_webhook).