Bandeau cookies : souvent inutile, parfois sans effet

Le bandeau cookies est devenu un réflexe : on l'installe parce que « c'est obligatoire ». Or il ne l'est pas toujours. Et quand il l'est, il ne sert à rien s'il se contente d'afficher des boutons. Deux situations très courantes, qui donnent le même résultat : un bandeau qui gêne les visiteurs sans protéger personne.

Cas n° 1 : un bandeau alors que le site n'en a pas besoin

Le bandeau n'est pas obligatoire en soi. Ce que la loi demande, c'est l'accord du visiteur avant de déposer certains cookies : publicité, réseaux sociaux, mesure d'audience classique comme Google Analytics. Si votre site n'utilise rien de tout cela, il n'y a rien à faire accepter, donc pas de bandeau à afficher.

Ces cookies-là ne demandent pas d'accord :

les cookies techniques : session, panier, connexion à un espace client, sécurité, langue choisie ;
la mesure d'audience dispensée de consentement, configurée selon les règles de la CNIL (statistiques anonymes, sans recoupement ni partage). Matomo ou Plausible, par exemple, peuvent l'être.

Un site vitrine qui n'a qu'un formulaire de contact et des statistiques de ce type peut donc se passer de bandeau. Il doit seulement expliquer, dans sa politique de confidentialité, ce qu'il utilise, et permettre de s'opposer à la mesure d'audience.

Un bandeau inutile n'est pas interdit, mais il coûte : une fenêtre à fermer à chaque première visite, un script de plus qui ralentit la page, et souvent un service extérieur payant. Il donne aussi l'impression que le site suit ses visiteurs, alors qu'il ne le fait pas.

Cas n° 2 : un bandeau qui ne bloque rien

C'est l'inverse, et c'est plus grave. Le site utilise Google Analytics, le pixel Meta ou Microsoft Clarity. Il affiche un bandeau avec « Tout refuser ». Mais ces outils se chargent dès l'arrivée du visiteur, et continuent après un refus.

La cause est presque toujours la même : le code de suivi est écrit en dur dans les pages. Il a été collé dans l'en-tête du thème, ajouté par une extension ou placé dans Google Tag Manager, souvent avant l'installation du bandeau. Le navigateur l'exécute aussitôt. Le bandeau, lui, enregistre bien le choix du visiteur, mais personne ne lui a confié ces outils : il n'a aucun moyen de les arrêter.

Résultat : le site fait exactement ce que la CNIL interdit (des traceurs sans accord, et un refus ignoré), tout en affichant un bandeau qui donne l'illusion d'être en règle.

Dans quel cas êtes-vous ?

Passez votre page d'accueil dans notre test cookies et RGPD. Il ouvre la page comme un nouveau visiteur, relève ce qui est déposé avant tout clic, puis clique sur « Tout refuser », recharge la page et regarde ce qui revient.

Aucun traceur, avant comme après : si le site affiche un bandeau, vous êtes dans le cas n° 1.
Des traceurs avant l'accord, et encore après le refus : vous êtes dans le cas n° 2. Le test indique, pour chaque outil, s'il est installé directement dans le code de la page.
Des traceurs avant l'accord, mais plus rien après le refus : le bandeau fonctionne, mais les outils se chargent trop tôt. La correction est la même que pour le cas n° 2.

Pour vérifier à la main : ouvrez le site dans une fenêtre de navigation privée, appuyez sur F12, onglet Application, puis Cookies. Des cookies _ga (Google Analytics), _fbp (Meta) ou _clck (Clarity) présents avant tout clic signalent un problème.

Corriger le cas n° 1 : retirer le bandeau

Vérifiez aussi vos pages de contact, de réservation ou de boutique : une carte Google, une vidéo YouTube ou un module de réservation peuvent déposer des cookies sur une seule page.
Si tout est propre, retirez le bandeau (extension, module ou script de l'outil de consentement).
Mettez à jour votre politique de confidentialité : quels cookies techniques, quelle mesure d'audience, et comment s'y opposer.

Si une page charge une vidéo ou une carte, il est souvent plus simple de la remplacer par une image cliquable, qui ne charge le lecteur ou la carte qu'au clic, que de garder un bandeau pour elle.

Corriger le cas n° 2 : confier les outils au bandeau

1. Retrouver où le code est installé

Affichez le code source de votre page d'accueil (Ctrl+U) et cherchez (Ctrl+F) :

gtag/js?id=G- ou google-analytics.com : Google Analytics ;
GTM- : Google Tag Manager, qui charge lui-même d'autres outils ;
fbevents.js ou fbq( : pixel Meta (Facebook) ;
clarity.ms : Microsoft Clarity.

Puis trouvez qui l'a mis là :

WordPress : une extension (Site Kit de Google, MonsterInsights, une extension d'insertion de code dans l'en-tête), une zone « code personnalisé » du thème, ou le fichier header.php du thème.
PrestaShop : un module Google Analytics ou de suivi publicitaire, ou le gabarit head.tpl du thème.
Site sur mesure : le gabarit commun des pages ; votre prestataire saura où.

2. Le retirer de cet endroit

Un outil ne doit être chargé qu'à un seul endroit. Notez d'abord son identifiant (G-XXXXXXX pour Google Analytics), puis désactivez l'extension, videz la zone de code ou supprimez les lignes du gabarit.

3. Le confier au bandeau

Votre outil de consentement sait gérer Google Analytics. La plupart proposent Google Analytics, Meta ou Clarity dans leur liste de services : on saisit l'identifiant, et l'outil ne charge le code qu'après « Accepter ». Avec tarteaucitron.js par exemple :

<script>
  tarteaucitron.user.gtagUa = 'G-XXXXXXX';
  (tarteaucitron.job = tarteaucitron.job || []).push('gtag');
</script>

Votre outil réactive les balises neutralisées. On laisse le code dans la page, mais avec type="text/plain" et l'attribut indiqué dans la documentation de l'outil : le navigateur ignore la balise, l'outil la réactive après accord. Avec Cookiebot par exemple :

<script type="text/plain" data-cookieconsent="statistics"
        async src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Vos outils passent par Google Tag Manager. Activez dans votre outil de consentement la transmission du choix à Google (« mode consentement » ou « Consent Mode »). Puis, dans Tag Manager, ouvrez chaque balise, Paramètres avancés › Paramètres de consentement, et exigez analytics_storage pour la mesure d'audience, ad_storage pour la publicité. Publiez le conteneur.

Un mot sur le mode consentement de Google : en version « de base », rien n'est envoyé à Google avant l'accord. En version « avancée », Google reçoit quand même des mesures sans cookie après un refus ; la CNIL n'a pas reconnu ce fonctionnement comme dispensé d'accord.

4. Vérifier

Refaites le test cookies et RGPD : rien avant l'accord, et plus rien après un refus.

Le mieux : ne rien avoir à faire accepter

Beaucoup de sites n'utilisent Google Analytics que pour compter leurs visites. Une mesure d'audience sans cookie, configurée selon les règles de la CNIL, donne ces chiffres sans rien demander au visiteur : plus de bandeau, et un site plus rapide.