Pourquoi un guide sur les cookies
Nous publions aujourd'hui « Derrière le bandeau », notre guide sur les cookies, à destination des dirigeants dont le site tourne sur Shopify, Wix, Squarespace ou WordPress, et de ceux dont le site a été développé sur mesure.
Les textes ne manquent pourtant pas sur le sujet, mais ils viennent pour la plupart de cabinets juridiques ou d'éditeurs de bandeaux. Les uns expliquent la règle, les autres leur produit, et le lecteur doit ensuite faire seul le lien avec son propre site. Nous avons donc écrit ce guide pour nos clients, à partir de ce que nous voyons dans les sites que nous construisons. Il s'appuie sur les recommandations de la CNIL et sur ce qu'un développeur constate quand il ouvre un site.
Ce que votre bandeau ne retient pas
Or, ce que nous y voyons tient rarement au bandeau lui-même. Un site vit après sa mise en ligne. Une campagne amène un pixel, une page gagne une vidéo, le service client ajoute un module de chat. Ces outils arrivent au fil des besoins, et le bandeau, réglé au lancement, ne leur est pas toujours relié. Il enregistre alors le choix du visiteur, mais ces outils déposent leurs cookies sans attendre, et la politique cookies, écrite au départ, ne décrit plus tout à fait ce que fait le site. Rien ne le signale à l'écran, si bien que cette situation reste le plus souvent invisible pour le propriétaire du site.
Puisque rien ne la signale, il faut aller la chercher, et trois questions suffisent pour savoir où regarder. Quels outils fonctionnent sur votre site, et à quoi servent-ils encore ? Votre bandeau les retient-il jusqu'à l'accord du visiteur ? Votre politique cookies décrit-elle ce que fait réellement le site ? La réponse change à chaque outil ajouté, et ces questions méritent d'être reposées à chaque fois. Le guide est construit pour y répondre.
Ce que le guide vous permet de faire
Il vous permet d'abord de vérifier votre site vous-même, en quelques minutes et sans rien installer. Chrome contient déjà ce qu'il faut pour voir les cookies déposés et les services contactés, et le guide montre ce qu'il faut regarder, à quel moment, et ce que signifie chaque constat. Il propose aussi une version de cette vérification confiée à votre assistant IA, pour ceux qui préfèrent ne pas ouvrir les outils de développement. Les captures ont été prises sur un site de démonstration créé pour l'occasion, qui reproduit les écarts les plus courants.
Il vous permet ensuite de choisir ou de juger un outil en sachant ce qu'il fait. Les bandeaux fournis par les plateformes, les solutions par abonnement et les outils open source sont placés dans une même matrice, selon l'effort d'installation qu'ils demandent et selon leur capacité à bloquer les scripts et à garder la preuve du choix. Pour chaque plateforme, le guide indique enfin ce que vous pouvez corriger vous-même depuis l'interface d'administration et ce qui demande un développeur.
Au total, le guide compte 37 pages, du fonctionnement d'un cookie jusqu'aux corrections possibles sur votre plateforme, en passant par ce que la règle demande au bandeau, résumé en quelques exigences concrètes.
Questions fréquentes
Les réponses aux questions qu’on nous pose le plus souvent sur ce sujet.
Mon site a-t-il besoin d'un bandeau s'il n'utilise que Google Analytics ?
Oui, dans sa configuration standard. Google réutilise les données collectées pour son propre compte, ce qui le prive de l'exception accordée aux statistiques. Un outil réglé pour cette exception, comme Matomo ou PostHog en mode sans cookie, permet en revanche de mesurer la fréquentation sans accord et donc sans bandeau.
Le bandeau fourni par Shopify ou Wix suffit-il ?
Il suffit pour les outils que la plateforme connaît, ceux déclarés dans ses réglages ou installés par ses intégrations. Un script collé à la main dans le code n'est pas toujours relié au bandeau, et il part alors sans attendre l'accord. Le guide indique pour chaque plateforme ce que son bandeau couvre, ce qu'il laisse passer et où se trouvent les réglages.
Que risque une petite entreprise ?
La CNIL publie la liste de ses sanctions, et des petites entreprises y figurent à côté des grands groupes. Le risque le plus courant reste toutefois plus discret, une mise en demeure après la plainte d'un visiteur, ou un écart révélé lors d'un contrôle sur un autre sujet. Le guide sert à repérer ces écarts avant qu'un tiers ne le fasse.
Le Consent Mode de Google remplace-t-il un bandeau ?
Non. Il transmet le choix du visiteur aux outils de Google, mais il ne les empêche pas de se charger. Dans son mode dit avancé, il envoie même des informations à Google avant toute réponse et après un refus. Le bandeau doit donc retenir ces outils lui-même.
Que faire d'un cookie que je ne reconnais pas ?
Le guide donne les noms des cookies les plus courants et l'outil dont chacun provient, de _ga pour Google Analytics à _fbp pour le pixel de Meta. Un cookie inconnu vient le plus souvent d'un outil ajouté sans que personne s'en souvienne, et la première question à se poser est de savoir s'il sert encore.
Quels gestionnaires de consentement le guide compare-t-il ?
Les bandeaux natifs de Shopify, Wix et Squarespace, les solutions par abonnement Cookiebot, Axeptio et Complianz, ainsi que les outils open source tarteaucitron, vanilla-cookieconsent, Klaro et c15t. Chacun est placé dans une matrice selon l'effort d'installation et sa capacité à bloquer les scripts et à garder la preuve du choix.
Les règles vont-elles changer avec le Digital Omnibus ?
Cette réforme européenne est en discussion et pourrait modifier la façon dont le choix du visiteur est recueilli. Rien ne change pour l'instant, et la vérification décrite dans le guide gardera son utilité, puisqu'elle porte sur ce que fait le site et non sur la forme du bandeau.
Le guide est-il gratuit ?
Oui. Il est envoyé par e-mail après le formulaire de téléchargement.
