Une bannière de cookies, c’est le bandeau qui demande votre accord avant qu’un site dépose un traceur non essentiel, par exemple pour la mesure d’audience ou la publicité. En France, elle devient obligatoire dès qu’un site utilise ce type de cookie.
Mais la bannière n’est que la surface. Deux questions pèsent bien plus lourd : qu’est-ce que vous avez le droit de mesurer, et comment le faire sans vous mettre en faute, surtout au moment où vous commencez à payer de la publicité.
- La bannière n’est obligatoire que si votre site pose des cookies non essentiels (mesure, publicité). Avec des cookies purement techniques, vous n’en avez pas besoin.
- Refuser doit être aussi simple qu’accepter. Le bouton « Accepter l’essentiel » glissé à la place de « Refuser » est un piège que la CNIL sanctionne.
- On peut mesurer son audience sans cookie et sans consentement, avec une solution cookieless.
- Savoir précisément d’où vient chaque client (l’attribution) demande un consentement, mais ça vaut de l’or quand vous investissez en publicité.
- Un site bien construit gère la conformité et la mesure dès le départ, au lieu de les rafistoler après coup.
C’est quoi un cookie, au juste ?#
Un cookie n’est pas un fichier mystérieux : c’est une petite étiquette de texte qu’un site range dans votre navigateur pour se souvenir de quelque chose. Il a une date d’expiration, et seul le site qui l’a posé peut le relire.
Tout se joue sur une ligne de partage, entre deux familles :
- Les cookies nécessaires : panier d’achat, connexion, sécurité et mémorisation de votre choix de cookies. Ils sont indispensables au service, donc exemptés de consentement.
- Les cookies non essentiels : mesure d’audience, publicité, boutons de réseaux sociaux et attribution. Pour ceux-là, il faut demander avant de les poser.
Cette distinction décide de tout le reste. Si votre site ne pose que des cookies de la première famille, vous n’avez aucune bannière à afficher.
Faut-il vraiment une bannière sur votre site ?#
Oui, dès que votre site dépose un cookie non essentiel. Non, s’il se limite à des cookies techniques. Le problème, c’est que la plupart des sites basculent dans le premier cas sans s’en rendre compte.
Un exemple courant : Google Analytics dépose un cookie, il tombe donc sous consentement. Idem si vous ajoutez un pixel publicitaire pour suivre vos conversions Google Ads ou Meta. À partir de là, la bannière n’est plus une option.
Un point que beaucoup ignorent : depuis 2020, la CNIL (qui applique en France la directive ePrivacy) est explicite sur un détail décisif. Continuer à naviguer ne vaut pas consentement. Le silence n’est pas un oui, et un cookie déposé « par défaut » avant tout clic est déjà une faute. C’est souvent là que ça coince, bien avant la question du design du bandeau.
Avant même d’arbitrer entre Google Ads et le référencement naturel, il faut donc savoir ce que votre site pose réellement dans le navigateur de vos visiteurs.
Le piège à éviter : la fausse liberté de choix#
La tentation est grande de rendre le refus discret. C’est exactement ce que la loi interdit. La CNIL demande que refuser soit aussi simple qu’accepter, sur le même écran, au même niveau.
Le chiffre qui a marqué les esprits : en décembre 2021, la CNIL a infligé 150 millions d’euros à Google et 60 millions d’euros à Meta, précisément parce que refuser les cookies était plus compliqué que les accepter. Ce n’est pas un détail de design, c’est le motif exact de la sanction.
Concrètement, quelques réflexes à bannir :
- Remplacer « Refuser » par une formule floue comme « Accepter l’essentiel » ou « Continuer ».
- Cacher le refus derrière un deuxième écran, en gris, en petit.
- Cocher les cases par avance.
Un bandeau honnête, avec un « Accepter » et un « Refuser » aussi lisibles l’un que l’autre, vous protège et rassure le visiteur. Un prospect qui se sent piégé sur les cookies part avec une mauvaise première impression, et ça se paie sur vos conversions.
Mesurer d’où viennent vos clients, sans enfreindre le RGPD#
C’est ici que le sujet devient vraiment utile pour votre business. Il y a deux niveaux de mesure, et ils n’obéissent pas aux mêmes règles.
Le premier niveau, la mesure d’audience, répond à « quelles pages sont lues » et « d’où vient le trafic », en agrégé. Une solution sans cookie comme Umami ou Matomo en mode exempté fait ce travail sans rien déposer et sans consentement. Pour la majorité des sites, ça suffit largement au démarrage.
Le second niveau, l’attribution, est plus fin : relier un prospect précis à sa source. C’est ce qui vous dit quelle campagne a produit un vrai devis, pas juste des clics. Techniquement, on lit les indices dans l’adresse de la page :
- Le
gclid, l’identifiant de clic que Google Ads ajoute automatiquement à vos liens. - Le
fbclid, son équivalent chez Meta. - Les balises UTM que vous ajoutez vous-même à vos liens de campagne.
On garde en général le premier point de contact (le « first-touch ») : si un client revient plus tard par un autre chemin, son origine reste celle qui l’a fait venir la première fois. Cette attribution demande un consentement, car elle repose sur un cookie non essentiel.
| Mesure d’audience | Attribution | |
|---|---|---|
| Ce que ça répond | Quelles pages marchent, d’où vient le trafic | Quelle campagne a produit tel client |
| Cookie | Aucun (cookieless) | Un cookie non essentiel |
| Consentement | Non requis | Obligatoire |
| Idéal quand | Vous démarrez | Vous investissez en publicité |
Notre recommandation par défaut : commencez par la mesure sans cookie, elle vous donne déjà l’essentiel de la lecture sans rien demander. Passez à l’attribution par personne le jour où vous investissez sérieusement en publicité, car c’est là qu’elle devient rentable. C’est le nerf d’un vrai moteur d’acquisition de clients.
Ce que ça change quand on construit le site#
La plupart des sites gèrent tout ça en rustine : un plugin de bannière posé après coup, un traceur branché à la va-vite, et une conformité qu’on espère à peu près en règle. C’est le meilleur moyen de payer cher un site qui ne rapporte rien et qui, en prime, vous expose.
Deux angoisses reviennent chez les dirigeants : se retrouver hors-la-loi, et voir un budget partir dans un site qui ne ramène personne. On les traite à la racine, en intégrant la conformité et la mesure dès la conception plutôt qu’en rattrapage à la fin. Le périmètre est cadré, le prix est fixe et écrit sur le devis avant qu’on démarre, et le code vous est livré sur votre dépôt. Vous savez ce que vous payez, et ce que vous récupérez.
Si vous partez de zéro, notre guide complet de la création de site détaille les étapes, et ce que coûte un site sur mesure pose les repères de budget. Un site pensé ainsi mesure juste et reste conforme sans effort de votre part : c’est le cœur de notre offre de création de site sur mesure.
Pour décider#
Récapitulons l’essentiel pour trancher sereinement :
- Pas de cookie non essentiel, pas de bannière. Un audit rapide de ce que pose votre site répond à la question.
- Si vous mesurez ou faites de la publicité, la bannière est obligatoire, avec un refus aussi simple que l’acceptation.
- Une mesure d’audience sans cookie couvre déjà l’essentiel, sans consentement.
- L’attribution consentie devient votre meilleur allié quand la publicité tourne.
Le bon moment pour régler tout ça, c’est avant de lancer vos campagnes, pas après le premier contrôle.
Questions fréquentes
Une bannière de cookies est-elle obligatoire ?
Elle est obligatoire dès qu’un site dépose un cookie non essentiel : mesure d’audience (comme Google Analytics), publicité ou réseaux sociaux. Un site qui n’utilise que des cookies techniques (panier, sécurité et mémorisation du choix) n’a pas besoin de bannière.
Quel risque si mon site dépose des cookies sans consentement ?
Une mise en demeure de la CNIL, puis une sanction financière. En décembre 2021, la CNIL a infligé 150 millions d’euros à Google et 60 millions à Meta sur le sujet des cookies. Pour une PME, les montants sont proportionnés à la taille, mais le contrôle et la mise en demeure restent des risques réels.
Peut-on mesurer son audience sans cookie ni consentement ?
Oui. Une solution de mesure sans cookie (comme Umami ou Matomo configuré en mode exempté) produit des statistiques agrégées sans déposer de traceur ni identifier le visiteur. À ce titre, elle ne demande pas de consentement.
Peut-on remplacer « Refuser » par « Accepter l’essentiel » ?
Non. La CNIL exige que refuser soit aussi simple qu’accepter. Un bouton trompeur qui masque le refus derrière une formule positive est un « dark pattern » sanctionné, comme l’ont montré les amendes de 2021.