Temps de lecture :
J'ai audité 40 sites avec mon outil d'analyse RGPD. Trente-trois d'entre eux avaient besoin du consentement de leurs visiteurs avant de déposer des traceurs. Vingt affichaient une bannière cookies, conforme en apparence, et parfois même des réglages détaillés. Verdict : seuls 7 sites sur 33 parvenaient réellement à bloquer les cookies non fonctionnels avant de cliquer sur la bannière.
Ce n'est pas intentionnel : avant de me former sérieusement au RGPD, je pensais moi aussi qu'installer Axeptio ou Complianz sur un site suffisait. C'est compréhensible, on nous vend souvent ces outils comme des solutions de conformité clé en main. Spoiler : c'est rarement le cas. En effet, le rôle premier de votre bannière n'est pas de bloquer les cookies, mais de collecter le la décision de vos visiteurs quant à vos traceurs. Mais, pendant ce temps-là, Google Analytics ou d’autres scripts n'ont pas attendu la permission de s'installer. Un peu comme votre chat qui s'allonge pépère sur votre clavier quand vous bossez. Bon, il est mignon, on lui pardonne ! Mais vos visiteurs ne vous accorderont pas la même indulgence.
✒️ Cet article s'adresse aux propriétaires de sites. Si vous cherchez à bloquer les cookies dans votre navigateur en tant que visiteur, ce n'est pas le bon article… mais vous comprendrez en le lisant pourquoi c'est une bonne idée.
Au sommaire de cet article :
- Ce que révèlent 40 audits : 21% des sites audités bloquent tous les traceurs
- Pourquoi une CMP ne suffit pas à bloquer cookies et traceurs
- Comment vérifier si votre bannière bloque les cookies (en 2 minutes)
- Google Analytics : 79% des sites audités le chargent sans consentement
- Comment savoir si je dois bloquer les cookies sur mon site ?
- FAQ : bannière à cookies et blocage des traceurs
tl;dr : l'essentiel en 4 points
- Une bannière cookies recueille un choix, elle ne bloque rien toute seule. Le blocage dépend de la façon dont vos scripts sont configurés.
- Sur 40 sites audités, 33 avaient besoin d'un consentement et seulement 7 le respectaient vraiment : 13 n'avaient aucune bannière, 12 avaient une bannière décorative, 1 était partiellement efficace.
- Google Analytics est le traceur le plus souvent laissé en liberté : sur 24 sites qui l'utilisent, 5 seulement le verrouillaient avant le consentement du visiteur.
- Google Consent Mode V2 ne remplace pas le blocage des scripts : c'est un signal transmis à Google, pas un interrupteur magique.
Ce que révèlent 40 audits : 21% des sites audités bloquent tous les traceurs
J'ai analysé 40 sites : 38 sites vitrines, une boutique en ligne et une plateforme. 37 d'entre eux sont des sites de cabinets d’avocats. L'échantillon n'est donc pas représentatif de tous les secteurs : il montre un décalage que je retrouve souvent, pas une statistique nationale.
Pour chaque site, j'ai vérifié si un consentement était nécessaire, puis si la bannière était réellement fonctionnelle. Ma définition est stricte : une bannière est non fonctionnelle dès qu'au moins un traceur non technique est déposé au chargement de la page, avant tout consentement explicite.
| Étape / Critère | Sites |
|---|---|
| Sites audités | 40 |
| Sites qui avaient besoin d'un consentement | 33 (82,5% du total) |
| - dont sites équipés d'une bannière à cookies | 20 (61%) |
| - dont sites qui respectaient vraiment le choix du visiteur | 7 (21%) |
Et sur les 33 sites concernés :
- 13 sites (39 %) n'avaient aucune bannière, alors qu'il en fallait une.
- 12 sites (36 %) avaient une bannière décorative : elle demandait un choix, parfois même un paramétrage fin des finalités, mais des traceurs étaient déjà lancés avant le moindre choix du visiteur.
- 1 site (3 %) avait une bannière partiellement efficace (j'y reviens plus bas).
- 7 sites (21 %) bloquaient réellement les traceurs avant le choix du visiteur.
Les 7 autres sites de l'échantillon n'avaient pas besoin de bannière.
Un mot sur les plateformes de gestion du consentement (CMP)
Avec 1 à 3 sites par fournisseur, l'échantillon est trop petit pour établir un classement, et je n'en tire aucune conclusion sur la qualité de chaque CMP. À titre indicatif, les 3 sites équipés de Tarte au citron étaient tous efficaces, alors que les 9 sites équipés de la bannière native de Wix, d'ABConsent, de Complianz, d'Axeptio ou de Cookiebot ne l'étaient pas. Ce n'est peut-être pas un hasard : certains outils lancent eux-mêmes les services après consentement, d'autres demandent un paramétrage supplémentaire pour que le blocage soit effectif. Quel que soit l'outil, c'est la configuration complémentaire à la bannière qui fait la différence.
Pourquoi une CMP ne suffit pas à bloquer cookies et traceurs
Vous avez installé votre bannière à cookies. Elle s'affiche bien, avec des boutons "Accepter" et "Refuser" aux couleurs rassurantes. Vous avez donc classé le sujet RGPD dans la catégorie « traité, allez next ». Sauf qu'entre afficher une bannière et bloquer réellement les cookies, il y a un petit fossé technique… peuplé de quelques scripts qui font tranquillement du camping en débardeur rose et claquettes.
Pour comprendre le malentendu, il faut séparer deux mécanismes que l'on confond souvent. D'un côté, la CMP affiche une bannière et enregistre le choix de l'internaute : il accepte, refuse ou personnalise ses choix. De l'autre, vos scripts (Google Analytics, pixels publicitaires, outils de chat, trackers de comportement, solutions de paiement…) doivent réellement attendre ce choix avant de se charger. La première mission est celle de la CMP. La seconde dépend de la façon dont les scripts chargés par votre site sont configurés.
Sans cette configuration technique, Google Analytics n'attend pas la permission de s'installer sur votre machine. Un peu comme votre chat qui s'allonge sur votre clavier quand vous bossez. Il est mignon, on lui pardonne ! Mais vos visiteurs ne vous accorderont pas la même indulgence.
Quelle est la règle à respecter pour être dans les clous de la CNIL ?
💡 Tant que le visiteur n'a pas exprimé son choix, les traceurs non essentiels ne devraient ni se déposer ni s'exécuter sur son terminal. Dès qu'un traceur n'est pas strictement nécessaire au service demandé, le consentement doit être recueilli avant son dépôt ou sa lecture.
Les outils de mesure d’audience comme Google Analytics ne peuvent éviter le consentement que dans un cadre très strict : finalité limitée, statistiques anonymes et sans dépôt de cookie et absence de recoupement avec d’autres traitements ou de suivi inter-sites. Autrement dit : "C’est juste pour mes stats" n’est pas un argument pour la CNIL. Et c'est compréhensible : vous ne voulez sûrement pas nourrir les statistiques de Google en lui livrant l'IP, la résolution d'écran, l'OS ou encore la localisation de vos visiteurs.
Comment vérifier si votre bannière bloque les cookies (en 2 minutes)
L'astuce magique, ce sont les outils de développement de votre navigateur. Pas besoin d'être développeur :
- Ouvrez votre site en navigation privée, pour partir d'un navigateur vierge. Cette étape est primordiale, sinon vous risquez de voir les cookies déposés par YouTube après avoir regardé une vidéo de panda roux mangeant du raisin 🙈.
- Sans toucher à la bannière, ouvrez les outils de développement (touche F12, ou clic droit puis « Inspecter »).
- Affichez la liste des cookies : dans Chrome ou Edge, onglet Application puis Cookies ; dans Firefox, onglet Stockage puis Cookies. Sélectionnez le domaine de votre site dans la liste qui s'affiche.
- Repérez les traceurs non essentiels :
_ga,_ga_XXXXet_gid(Google Analytics),_gcl_au(Google Ads),_fbp(Meta),hjSessionUser… (Hotjar). Le cookie de la CMP elle-même, qui mémorise votre choix, est normal. - Verdict : si l'un d'eux est présent avant tout clic, votre bannière est décorative.
- Testez le refus : cliquez sur « Refuser », supprimez les cookies depuis les paramètres de votre navigateur, puis rechargez la page. S'ils reviennent, votre refus n'est pas respecté.
Pour aller plus loin, l'onglet Réseau (ou Network) vous permet de filtrer les requêtes vers "google-analytics", "googletagmanager" ou "facebook" et de voir quels services sont contactés avant le choix.
👉 Si vous préférez déléguer cette vérification, je peux mettre les mains dans le cambouis à votre place.
Google Analytics : 79% des sites audités le chargent sans consentement
Google Analytics est installé sur 24 des 40 sites audités (60 %). C'est le cas le plus courant de mes audits, et le plus révélateur : seuls 5 sites l'avaient effectivement verrouillé derrière le consentement (4 avec une bannière pleinement efficace, 1 avec une bannière partielle). Pour les 19 autres, soit il n'y avait aucune bannière (9 sites), soit la bannière n'empêchait pas au moins un traceur non essentiel de se charger (10 sites).
Le mécanisme est toujours le même. Si le script Google Analytics est inséré directement dans le code du site, par une extension WordPress (comme Google Site Kit) ou par un Google Tag Manager sans condition adaptée, il se charge dès l'ouverture de la page. Résultat : le cookie _ga apparaît avant même que votre visiteur ait touché à la bannière. À ce stade, votre CMP a bien posé la question. Mais le site n'a pas attendu la réponse. C'est comme si je vous demandais si je pouvais manger la dernière part de pizza… 🤦 après l'avoir engloutie.
Le fossé entre juridique et technique est loin d'être modeste. La CNIL rappelle que le consentement doit résulter d'un acte positif clair, être libre, spécifique, éclairé et univoque. Sans consentement exprimé, aucun traceur non essentiel ne peut être déposé sur l'appareil de la personne.
Cas concret : refus enregistré, mais cookies quand même déposés
Sur l'un des sites audités, équipé d'Axeptio, les outils de développement montraient que le refus du visiteur était correctement enregistré : dans le cookie de consentement, les stockages analytiques et publicitaires de Google étaient bien marqués denied. Jetez un oeil au cookie axeptio_cookies : sa valeur %22denied%22 en est la confirmation. Et pourtant, des cookies non essentiels avaient été déposés.
La leçon : un choix enregistré n'équivaut pas à un choix respecté. Sur ce site, rien ne reliait le refus enregistré au déclenchement des scripts.
Quand bloquer les cookies de Google Analytics ne suffit pas
Un des sites de l'échantillon avait une bannière partiellement efficace : elle avait été configurée pour bloquer les cookies de Google Analytics, mais pas tous les autres. Or ils sont nombreux, et beaucoup transmettent des informations personnelles à des tiers (pixels publicitaires, outils de chat, widgets, vidéos intégrées…). Bloquer Google Analytics est un bon début, pas une conformité.
Google Consent Mode V2 sert-il à bloquer les cookies Analytics ?
Il y a un schéma simple à garder en tête pour savoir si votre configuration respecte le consentement de vos visiteurs.
| Configuration | Ce qui se passe réellement | Verdict |
|---|---|---|
CMP installée, mais Google Analytics charge dès l’arrivée sur le site et dépose _ga | La bannière recueille peut-être un choix, mais le traceur est déjà actif | ❌ Consentement non respecté |
CMP installée et Google Consent Mode est activé, mais _ga apparaît quand même avant le choix | Consent Mode ne rend pas acceptable un cookie déposé prématurément | ❌ Toujours non conforme |
| CMP, Google Consent Mode et balises GTM correctement reliés | Le choix transmis par la CMP détermine si les scripts concernés peuvent se charger | ✅ Le consentement peut être effectivement respecté |
Le deuxième cas est le plus trompeur, parce que "Google Consent Mode" sonne comme une formule magique. Un peu comme le mode avion qui coupe tout automatiquement, mais pour le RGPD. En réalité, ce mécanisme transmet à Google l'état du consentement recueilli par votre CMP. Il fonctionne en complément de la CMP pour que les balises Google s'exécutent selon les choix des utilisateurs. Il ne remplace ni le recueil valable du consentement, ni la configuration des scripts, ni le contrôle de leur déclenchement.
Donc non : activer Consent Mode V2 ne rend pas votre configuration conforme d'office. S'il reste un cookie _ga déposé avant le clic, le problème est toujours là.
Comment savoir si je dois bloquer les cookies sur mon site ?
Avant même de vous demander quelle CMP choisir, posez-vous cette question : quels scripts non essentiels se chargent avant que le visiteur ait choisi ? Une bannière est évidemment utile quand elle est nécessaire : elle informe, permet le choix et mémorise une préférence. Mais ce choix doit ensuite être respecté par l'ensemble du site. Voici la marche à suivre :
- Vérifiez si ces scripts sont réellement essentiels au fonctionnement de votre service, selon la définition de la CNIL (pas la vôtre 😝). Vous pouvez utiliser la technique de outils de développement expliquée plus haut. Si aucun cookie technique (non essentiel) s'affiche, vous n'avez pas besoin de bannière.
- Dans le cas contraire, vous avez deux options :
- Opter pour une solution compatible avec le RGPD : Matomo à la place de Google Analytics (configuré selon les conditions d'exemption de la CNIL), Turnstile à la place de Google reCAPTCHA, OpenStreetMap à la place de Google Maps… Cette option vous évite aussi d'installer une CMP.
- Bloquer ces scripts par défaut et conditionner leur déclenchement à l'accord du visiteur, via une CMP et une bonne configuration des balises dans Google Tag Manager.
Sur un site WordPress, cela suppose de savoir quels outils chargent des scripts et quelles extensions ajoutent des cookies, et de quels types. Bon, préparez-vous à un cosplay de Jamy de C'est pas sorcier… mais avec moins de pulls colorés, et plus de plugins qui injectent des scripts dans tous les sens. Et même un site déjà propre peut laisser filer des cookies : une simple vidéo YouTube intégrée en iframe suffit à en charger avant tout consentement.
Une fois vos traceurs sous contrôle, il reste à vérifier que votre politique de confidentialité raconte la même histoire que votre site.
FAQ : bannière à cookies et blocage des traceurs
Non. Une bannière de consentement (CMP) affiche le choix et l'enregistre, mais ce sont vos scripts qui doivent attendre ce choix avant de se charger. Selon les outils, le blocage est intégré ou demande un paramétrage supplémentaire, par exemple conditionner les balises dans Google Tag Manager. Lors de mes audits de 40 sites, seuls 7 des 33 sites qui avaient besoin d'un consentement le respectaient réellement.
Ouvrez votre site en navigation privée, ouvrez les outils de développement (F12) sans toucher à la bannière, puis consultez la liste des cookies (onglet Application puis Cookies dans Chrome, onglet Stockage dans Firefox). Si des cookies comme _ga, _fbp ou _gcl_au sont déjà présents, votre bannière ne bloque pas les traceurs. Refaites ensuite le test après avoir cliqué sur "Refuser".
Non. Consent Mode transmet à Google l'état du consentement recueilli par votre CMP, mais il ne remplace ni le recueil valable du consentement ni la configuration de vos scripts et balises. Si un cookie _ga est déposé avant le choix du visiteur, votre site reste non conforme, même avec Consent Mode V2 activé.
Non. Les traceurs strictement nécessaires au fonctionnement du service demandé (panier d'achat, authentification, sécurité, par exemple) sont exemptés de consentement selon la CNIL, donc n'imposent pas de bannière. Dès que vous utilisez un service qui dépose des traceurs non essentiels (Google Analytics, pixel publicitaire, vidéo intégrée…), le consentement est requis avant le dépôt.
Identifiez d'abord les scripts non essentiels qui se chargent au démarrage grâce aux outils de développement de votre navigateur. Remplacez ceux que vous pouvez par des alternatives respectueuses de la vie privée, comme Matomo à la place de Google Analytics, configurées selon les conditions d'exemption de la CNIL. Pour les autres, bloquez-les par défaut et ne les déclenchez qu'après accord du visiteur, en conditionnant les balises dans Google Tag Manager ou via les réglages de blocage de votre CMP. Testez avant et après un refus.
