Bandeau cookies : votre site est-il en règle avec le RGPD ?

Votre site est en règle s'il demande l'accord du visiteur avant de lancer ses outils de statistiques ou de publicité, comme Google Analytics ou le pixel Meta, et si refuser y est aussi simple qu'accepter. Les cookies indispensables au fonctionnement, comme le panier ou la connexion au compte client, n'ont pas besoin de cet accord. Pour savoir où en est votre site, sept tests dans le navigateur suffisent, sans toucher au code.

Ceci n'est pas un conseil juridique. Cet article résume les règles publiées par la CNIL et par le site officiel Entreprendre.Service-Public, et explique comment vérifier ce que fait votre site. Pour une situation particulière, demandez l'avis d'un avocat ou d'un juriste.

Cookie, traceur, consentement : les mots en clair

• Cookie : un petit fichier que le site dépose dans le navigateur pour se souvenir de quelque chose, comme le contenu du panier, la langue choisie ou le fait que vous êtes déjà venu.
• Traceur : le mot de la CNIL pour tout ce qui sert à lire ou à enregistrer des informations sur l'appareil du visiteur. Les cookies, mais aussi les pixels publicitaires et d'autres techniques. Les règles sont les mêmes pour tous.
• Consentement : un accord donné par un geste clair, comme un clic sur « Accepter », après une information compréhensible. Pour la CNIL, continuer à faire défiler la page ou à naviguer ne vaut pas accord (lignes directrices et recommandation de 2020).
• Bandeau cookies : la fenêtre qui recueille ce choix. On parle aussi de bannière de consentement. Elle est affichée par un outil de consentement (Axeptio, Didomi, Cookiebot, tarteaucitron.js…), qui doit aussi bloquer les traceurs tant que le visiteur n'a pas accepté.

En France, ces règles viennent de l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne « ePrivacy », et c'est la CNIL qui veille à leur respect. Le RGPD, lui, définit ce qu'est un consentement valable.

Ce qui demande l'accord du visiteur, et ce qui n'en a pas besoin

D'après la CNIL (Cookies et traceurs : que dit la loi ?), il faut l'accord du visiteur avant de déposer ou de lire un traceur qui n'est pas strictement nécessaire au service qu'il a demandé.

Demandent l'accord :

• la publicité ciblée et les pixels publicitaires (Meta, TikTok, Google Ads…) ;
• les boutons de partage des réseaux sociaux qui suivent le visiteur ;
• les outils de statistiques qui ne remplissent pas les conditions d'exemption décrites plus bas. La CNIL cite d'ailleurs Google Analytics parmi les offres qui sortent de cette exemption (Mesurer la fréquentation de vos sites web).

N'en ont pas besoin :

• le panier d'une boutique et les cookies liés à la facturation ;
• la connexion à un compte client, y compris les protections contre les tentatives de connexion automatisées ;
• la mémorisation du choix fait dans le bandeau lui-même ;
• la langue ou l'affichage choisis par le visiteur, quand c'est une fonction attendue du site ;
• certains outils de mesure d'audience, s'ils respectent les conditions fixées par la CNIL (Cookies : solutions pour les outils de mesure d'audience) : servir uniquement à mesurer la fréquentation de votre propre site, produire des statistiques anonymes, ne pas suivre le visiteur sur d'autres sites et ne pas réutiliser les données à d'autres fins.

Attention aussi aux contenus intégrés : une vidéo YouTube, une carte Google Maps, un widget de chat ou d'avis clients peuvent déposer leurs propres cookies dès l'affichage de la page. Ils comptent aussi.

Trois règles de forme reviennent dans les recommandations de la CNIL :

• Refuser doit être aussi simple qu'accepter. Un gros bouton « Tout accepter » à côté d'un refus caché derrière « Paramétrer », c'est précisément ce qu'il faut éviter. La CNIL recommande un bouton « Tout refuser » présenté au même niveau que « Tout accepter ».
• Rien avant le choix. Les traceurs soumis à l'accord ne doivent pas se lancer avant que le visiteur ait cliqué.
• On peut changer d'avis à tout moment, aussi simplement qu'on a dit oui.

Vérifiez votre site en dix minutes

Il vous faut un ordinateur avec Chrome (Edge fonctionne de la même façon). Une seule étape, la quatrième, ouvre un outil un peu technique : vous n'y modifierez rien, vous lirez seulement une liste.

1. Ouvrez votre site en navigation privée. Menu ⋮, puis « Nouvelle fenêtre de navigation privée », ou Ctrl+Maj+N (Cmd+Maj+N sur Mac). Vous arrivez comme un visiteur qui n'a encore rien choisi.
2. Regardez si un bandeau apparaît. Si votre site utilise des statistiques ou de la publicité et qu'aucun bandeau ne s'affiche, c'est le premier problème à régler.
3. Comparez les boutons. « Tout refuser » ou « Continuer sans accepter » doit être aussi visible et aussi facile à atteindre que « Tout accepter » : même écran, même taille, sans passer par un menu de réglages.
4. Avant de cliquer, regardez les cookies déjà déposés. Appuyez sur F12 (sur Mac : Cmd+Option+I) pour ouvrir les outils de développement. Ouvrez l'onglet « Application » (s'il n'apparaît pas, cliquez sur les doubles chevrons »), puis, dans la colonne de gauche, « Stockage » et « Cookies », et cliquez sur l'adresse de votre site. La documentation de Chrome montre cet écran. Des noms comme _ga ou _ga_ suivi d'un code (Google Analytics), _gcl_au (Google Ads) ou _fbp (pixel Meta) avant tout clic : les statistiques ou la publicité se lancent sans attendre l'accord.
5. Testez le refus. Fermez toutes les fenêtres de navigation privée, ouvrez-en une nouvelle, retournez sur votre site et cliquez tout de suite sur « Tout refuser », puis visitez deux ou trois pages. Refaites l'étape 4 : ces cookies ne doivent pas apparaître. S'ils sont là, le bandeau est décoratif : il affiche un choix, mais ne bloque rien.
6. Cherchez comment changer d'avis. Un lien « Gérer les cookies » ou « Paramètres des cookies », accessible depuis toutes les pages, souvent en pied de page, doit permettre de modifier ou de retirer son accord à tout moment.
7. Vérifiez le pied de page. Il doit mener à une politique de confidentialité, qui explique quelles données vous collectez et pourquoi, et aux mentions légales, obligatoires sur le site d'une entreprise (voir la liste des mentions obligatoires).

Si l'un de ces tests échoue, ce n'est pas une catastrophe : la correction se fait en général dans les réglages de l'outil de consentement ou en quelques lignes de code. Mais mieux vaut la faire avant qu'un client, un concurrent ou la CNIL ne le remarque.

Pourquoi c'est souvent raté sur les petits sites

Rarement par mauvaise volonté. Quelques causes fréquentes :

• un thème ou un modèle de site qui inclut des statistiques d'origine ;
• un pixel publicitaire ajouté pour une campagne et jamais retiré ;
• un bandeau installé, mais mal branché : il s'affiche, et les traceurs se lancent quand même ;
• un site construit avec un outil d'IA comme Lovable, Bolt ou Cursor : ajouter Google Analytics tient en une phrase, le faire attendre le consentement demande une consigne de plus, que personne n'a donnée ;
• une vidéo ou une carte intégrée, qui apporte ses propres cookies.

Le message à envoyer à votre prestataire (ou à votre IA)

Copiez ce texte et envoyez-le à la personne qui gère le site, ou collez-le dans votre outil d'IA si vous l'avez construit vous-même.

Bonjour,

Je veux que le site [adresse du site] respecte les règles de la CNIL
sur les cookies. Pouvez-vous vérifier et corriger les points suivants,
puis me dire ce qui a changé ?

- Lister tous les outils qui déposent ou lisent des cookies ou des
  traceurs : statistiques, publicité, vidéos, cartes, chat, avis clients.
- Ne charger aucun de ceux qui demandent un consentement avant que
  le visiteur ait cliqué sur « Accepter ».
- Mettre « Tout refuser » sur le même écran et avec la même visibilité
  que « Tout accepter ».
- Ajouter un lien « Gérer les cookies », accessible depuis toutes les
  pages, pour changer d'avis à tout moment.
- Vérifier que la politique de confidentialité cite chaque outil et sa
  finalité, et que les mentions légales sont accessibles sur toutes les pages.
- Pour finir : en navigation privée, après « Tout refuser », aucun cookie
  _ga, _ga_*, _gcl_au ou _fbp ne doit apparaître.

Le contrôle automatique avec ScanYourSite

La vérification gratuite de ScanYourSite charge votre page dans un vrai navigateur, comme un visiteur qui arrive pour la première fois et n'a encore cliqué sur rien. Elle se fait sans inscription et prend environ une minute. Côté cookies, elle :

• repère les traceurs qu'elle connaît : Google Analytics (y compris quand il passe par Google Tag Manager), pixel Meta, Hotjar, TikTok, LinkedIn, Yandex Metrica et le chat Intercom ;
• signale quand ces traceurs tournent sans aucun outil de consentement reconnu ;
• relève, dans ce même cas, les cookies que votre serveur dépose dès le premier chargement (pas ceux que les scripts posent ensuite, comme _ga).

Ce qu'elle ne fait pas : elle ne clique jamais sur votre bandeau, donc elle ne vérifie pas que « Tout refuser » bloque bien chaque traceur, et elle ne lit pas votre politique de confidentialité. Elle reconnaît les outils de consentement courants, dont Axeptio, Didomi, tarteaucitron.js, Cookiebot, OneTrust et Usercentrics. Si votre outil est plus rare, le rapport peut signaler à tort des traceurs « sans outil de consentement » : les étapes 4 et 5 restent donc le vrai test. Ce n'est pas un audit juridique.

Pour ouvrir la vérification avec votre adresse déjà saisie : https://scanyoursite.app/fr?check=votre-site.fr, en remplaçant par votre domaine ; il ne vous reste qu'à la lancer.

Le même rapport couvre aussi le cadenas, les clés secrètes visibles dans le code et les en-têtes de sécurité : voyez comment savoir si votre site est sécurisé. Un compte gratuit revérifie un site chaque semaine et vous envoie un résumé par e-mail. Avec Pro (19 € par mois), tout le site est revérifié chaque jour, et vous êtes prévenu dès qu'une vérification trouve un nouveau problème sérieux, par exemple un traceur sans outil de consentement. Après chaque mise en ligne, Pro contrôle aussi en quelques minutes que le site s'affiche et qu'aucune clé secrète n'a fuité.