Comment auditer les cookies de votre site, pourquoi c’est important pour la conformité au RGPD et que faire des résultats.
Le propriétaire d’un site installe Google Analytics, ajoute un widget de chat en direct, intègre une vidéo YouTube et connecte un Facebook Pixel. Chacun de ces outils fonctionne comme prévu. Les données de trafic s’affichent dans les tableaux de bord. Le chat accueille les visiteurs. Les vidéos se lancent. Les publicités de reciblage suivent les internautes partout sur le web.
Ce que le propriétaire du site ignore souvent, c’est que ces quatre outils peuvent à eux seuls déposer de 20 à 40 cookies dans le navigateur d’un visiteur, la plupart sans qu’il le sache ni l’ait configuré. Or, au regard du RGPD et de la directive européenne ePrivacy, le propriétaire du site est juridiquement responsable de chacun d’entre eux.
Cet article explique d’où viennent les cookies, pourquoi la plupart des propriétaires de sites sous-estiment leur nombre et comment mener un audit sérieux.
D’où viennent tous ces cookies ?
Les cookies d’un site ont deux origines.
Les cookies internes (first-party) sont déposés par le site lui-même, c’est-à-dire le domaine sur lequel se trouve le visiteur. Il s’agit en général de cookies de session (qui maintiennent l’utilisateur connecté), de préférences de langue, du contenu du panier et d’autres données fonctionnelles du même type. La plupart des cookies internes ne posent pas de problème et relèvent souvent de l’exemption « strictement nécessaire » du RGPD : ils ne nécessitent donc pas de consentement.
Les cookies tiers sont déposés par des services externes intégrés au site. Chaque balise script, iframe ou pixel qui charge du contenu depuis un autre domaine peut ajouter ses propres cookies. Le propriétaire du site a peut-être ajouté le script volontairement (pour activer l’analyse d’audience ou la publicité), mais les cookies que crée ce script sont contrôlés par le tiers, et non par le propriétaire du site.
C’est là que le problème commence. Un seul script Google Analytics crée plusieurs cookies (_ga, _ga_*, _gid, _gat). Un Facebook Pixel ajoute les siens (_fbp, fr). Une vidéo YouTube intégrée introduit des cookies de youtube.com et doubleclick.net. Un script de heatmap Hotjar en ajoute plusieurs autres. Une requête Google Fonts peut déposer des cookies. Un widget reCAPTCHA crée des cookies. Une carte Google Maps intégrée crée des cookies.
La plupart des propriétaires de sites savent à peu près quels outils ils utilisent. Très peu connaissent la liste exacte des cookies que ces outils créent.
Pourquoi c’est un problème juridique
La directive européenne ePrivacy (souvent appelée « loi cookies ») impose aux éditeurs de sites d’obtenir le consentement éclairé des visiteurs avant de déposer des cookies non essentiels dans leur navigateur. Le RGPD renforce cette obligation en exigeant une base légale (en général le consentement) pour traiter des données personnelles, que les cookies contiennent ou permettent souvent de collecter.
Le « consentement éclairé » répond à des exigences précises. L’éditeur du site doit indiquer quels cookies sont déposés, à quoi sert chacun d’eux, qui le dépose (interne ou tiers), combien de temps il est conservé et si des données sont transférées vers des pays tiers (en particulier les États-Unis). Un bandeau cookies générique du type « Ce site utilise des cookies. Cliquez sur OK pour continuer » ne remplit pas ces conditions.
Conséquence concrète : si le bandeau cookies ne liste pas exactement tous les cookies que le site dépose réellement, le consentement recueilli par ce bandeau n’est pas valable. Le site traite alors des données sans base légale. Ce n’est pas un risque théorique : la CNIL a prononcé des amendes spécifiquement pour des bandeaux cookies inexacts, et des sanctions similaires ont été prises en Allemagne, en Belgique et en Autriche.
Pourquoi la vérification manuelle n’est pas fiable
Certains propriétaires de sites essaient de vérifier les cookies à la main : ils ouvrent les outils de développement du navigateur, vont dans l’onglet Application et parcourent la liste des cookies. Cette méthode pose plusieurs problèmes.
Premier problème : les fonctions de confidentialité des navigateurs faussent les résultats. Safari bloque par défaut la plupart des cookies tiers. Firefox dispose de la protection renforcée contre le pistage, qui bloque les traqueurs connus. Le comportement de Chrome évolue avec son initiative Privacy Sandbox. Les cookies visibles dans un navigateur ne correspondent pas forcément à ceux visibles dans un autre.
Deuxième problème : le moment de la vérification. Certains cookies ne sont déposés qu’après une interaction de l’utilisateur avec la page, comme un défilement, un clic sur un bouton ou la lecture d’une vidéo. Un coup d’œil rapide aux cookies au chargement de la page passe à côté.
Troisième problème : le volume. Un site de 50 pages peut déposer des cookies différents selon les pages, en fonction des widgets, intégrations et scripts présents. Ne vérifier que la page d’accueil donne un inventaire incomplet.
Quatrième problème : les mises à jour des tiers. Les scripts externes sont chargés depuis des CDN contrôlés par leurs fournisseurs. Quand Google, Facebook ou Hotjar mettent à jour leurs scripts, le comportement des cookies peut changer sans que le propriétaire du site ait fait quoi que ce soit ni s’en rende compte. Une vérification manuelle faite le mois dernier ne reflète pas forcément la situation actuelle.
Comment fonctionne un scanner de cookies
Un scanner de cookies automatisé règle ces problèmes en simulant une vraie visite du site.
Le scanner charge la page dans un navigateur headless : un moteur de navigateur complet (généralement Chromium) qui tourne sur un serveur sans fenêtre visible. Ce navigateur exécute tout le JavaScript, charge tous les scripts externes, affiche toutes les iframes et attend que toutes les ressources soient chargées. Le résultat est identique à ce que vivrait un vrai visiteur.
Une fois la page entièrement chargée, le scanner récupère tous les cookies grâce aux API internes du navigateur. Cela comprend les cookies internes, les cookies tiers, les cookies de session, les cookies persistants et toutes les données stockées dans localStorage ou sessionStorage.
Chaque cookie est ensuite classé en le comparant à une base de cookies connus. Les cookies très répandus comme _ga (Google Analytics), _fbp (Facebook Pixel) ou __cf_bm (gestion des bots Cloudflare) sont reconnus et catégorisés automatiquement. Les cookies inconnus sont signalés pour un examen manuel.
Le résultat est un rapport structuré qui liste chaque cookie avec son nom, son domaine, sa catégorie (nécessaire, mesure d’audience, marketing, fonctionnel), son type (interne ou tiers), sa durée et ses attributs de sécurité (HTTPOnly, Secure, SameSite).
Que faire des résultats ?
Un rapport d’analyse des cookies est un document de conformité. Il sert immédiatement à plusieurs choses.
D’abord, il montre si le bandeau cookies actuel est exact. Si le bandeau liste 12 cookies alors que l’analyse en trouve 38, le mécanisme de consentement est incomplet. Il faut soit mettre à jour le bandeau, soit supprimer les cookies en trop.
Ensuite, il repère les cookies inutiles. Beaucoup de sites traînent des cookies provenant d’outils installés puis oubliés : un script d’A/B testing qui ne sert plus, un widget de partage sur les réseaux sociaux sur lequel personne ne clique, ou un outil d’analyse remplacé mais jamais complètement retiré. Chaque cookie inutile est une obligation de conformité inutile.
Troisièmement, il met en évidence les transferts de données vers des tiers. Chaque cookie tiers implique l’envoi de données vers un serveur externe. Si ce serveur se trouve aux États-Unis, le transfert entraîne des obligations supplémentaires au titre du RGPD, notamment le recours à des clauses contractuelles types ou à une décision d’adéquation. Savoir quels cookies tiers sont présents est la première étape pour vérifier que chaque transfert de données repose sur une base légale valable.
Enfin, il sert de base à la politique cookies. Le RGPD exige une description claire et précise de tous les cookies utilisés. Un rapport d’analyse contient exactement les informations nécessaires pour rédiger cette politique correctement.
Le problème des cookies de mesure d’audience
Sur la plupart des sites, les cookies de mesure d’audience constituent la plus grande catégorie de cookies non essentiels. Google Analytics crée à lui seul plusieurs cookies par visiteur, chacun conservé jusqu’à deux ans. Ajouter Hotjar, Mixpanel, Heap ou des outils similaires multiplie encore ce nombre.
Ces cookies existent parce que les outils d’analyse classiques en ont besoin pour reconnaître les visiteurs récurrents, suivre les sessions et attribuer les conversions. Sans cookies, ces outils ne fonctionnent pas.
Il en résulte un effet boule de neige en matière de conformité. Les cookies de mesure d’audience exigent un consentement. Le consentement exige un bandeau cookies. Face au bandeau, 30 à 40 % des visiteurs refusent le suivi. L’outil d’analyse ne voit alors que 60 à 70 % du trafic réel. Les données sont incomplètes, et l’équipe marketing compense en ajoutant d’autres outils de suivi, qui déposent d’autres cookies, ce qui alourdit encore la gestion du consentement.
Les plateformes d’analyse sans cookies brisent ce cercle. En identifiant les visiteurs sans cookies (par exemple grâce à une empreinte respectueuse de la vie privée ou à une agrégation sans session), elles collectent des données d’audience sans créer de cookies. Sans cookies de mesure d’audience, le site dépose moins de cookies au total, le bandeau de consentement est plus simple, le taux de consentement augmente et les données sont plus complètes.
EuroMetrics fait partie de ces plateformes. Il collecte les pages vues, les sources de trafic, les données sur les appareils et l’attribution des campagnes sans déposer le moindre cookie dans le navigateur du visiteur. Pour les propriétaires de sites dont l’analyse révèle un grand nombre de cookies de mesure d’audience, passer à une solution d’analyse sans cookies est souvent le changement le plus efficace qu’ils puissent faire, tant pour la conformité que pour la qualité des données.
À quelle fréquence analyser son site ?
Une analyse ponctuelle permet d’établir un point de départ, mais un site évolue sans cesse. Chaque mise à jour d’extension, chaque nouvelle intégration, chaque modification d’un script tiers peut changer les cookies déposés par le site.
Un rythme raisonnable pour la plupart des entreprises : juste après toute modification importante du site (nouvelles fonctionnalités, nouveaux outils, refonte), chaque trimestre dans le cadre d’un contrôle de conformité de routine, et avant tout audit réglementaire ou toute analyse d’impact relative à la protection des données (AIPD).
Pour les agences qui gèrent plusieurs sites clients, proposer des audits cookies réguliers dans le cadre d’un contrat de conformité prolonge naturellement leurs services de développement web et de marketing.
Analysez votre site dès maintenant
Le Cookie Scanner d’EuroMetrics est gratuit, ne demande aucune inscription et fonctionne sur des serveurs situés dans l’UE. Saisissez n’importe quelle URL et obtenez un inventaire complet des cookies en quelques secondes. La page du scanner elle-même ne dépose aucun cookie.
Essayez-le sur eurometrics.eu/cookie-scanner.
Outils associés
Cookie Scanner : auditez les cookies, les scripts de suivi et le stockage local de n’importe quel site. Gratuit, sans inscription.
https://eurometrics.eu/cookie-scanner
Test de vitesse de site : mesurez le temps de chargement de vos pages depuis des serveurs européens. Repérez les scripts qui ralentissent votre site.
https://eurometrics.eu/speed-test
Générateur d’URL de campagne : créez des URL avec paramètres UTM pour suivre vos campagnes. Générateur UTM gratuit.
https://eurometrics.eu/campaign-url-builder
Cut2.eu : raccourcisseur d’URL gratuit hébergé dans l’UE. Raccourcissez vos liens de campagne sans suivi par des tiers.
https://cut2.eu
EuroMetrics est une plateforme d’analyse web respectueuse de la vie privée, conçue pour les entreprises européennes. Sans cookies, conforme au RGPD, entièrement hébergée dans l’UE. Commencez gratuitement sur eurometrics.eu.