Cookies et consentement : le guide simple pour votre site
La gestion des cookies est le premier motif de rappel à l'ordre de la CNIL. La bonne nouvelle : les règles se résument à quelques principes clairs, applicables sans être juriste ni développeur chevronné.
Rien ne se dépose avant le choix
Le manquement le plus fréquent : des traceurs (Google Analytics, pixel publicitaire, cartes, polices distantes) qui se chargent dès l'arrivée sur la page, avant que le visiteur n'ait accepté. Techniquement, cela signifie souvent qu'un script est appelé trop tôt dans le code — un cas très courant sur les sites WordPress, où un thème ou un plugin ajoute son propre script sans passer par le gestionnaire de consentement.
La règle est simple : tant que l'internaute n'a pas donné son accord, aucun cookie non essentiel ni script de mesure ne doit être exécuté. Les gestionnaires de consentement (CMP) et le « mode consentement » des outils permettent de bloquer ce chargement jusqu'au clic.
Refuser doit être aussi simple qu'accepter
La CNIL est explicite : le bouton « Tout refuser » doit être accessible au même niveau que « Tout accepter », dès le premier écran. Les cases pré-cochées, les boutons de refus cachés dans un sous-menu ou les designs qui poussent à accepter (« dark patterns ») ne constituent pas un consentement valable.
Le consentement doit être libre, éclairé, spécifique et pouvoir être retiré aussi facilement qu'il a été donné — d'où le lien « Gérer mes cookies » habituellement présent en pied de page.
Et si je n'utilise aucun traceur ?
Si votre site ne dépose que des cookies strictement nécessaires, aucune bannière de consentement n'est requise. Afficher un bandeau « Tout accepter » alors qu'il n'y a rien à accepter est au mieux inutile, au pire trompeur. Une mesure d'audience réellement anonyme et exemptée de consentement est une alternative à considérer.
Combien de temps un consentement reste-t-il valable ?
Un consentement n'est pas définitif. La CNIL recommande de conserver le choix de l'internaute pendant une durée raisonnable — de l'ordre de six mois — avant de lui reposer la question. À l'inverse, un refus doit être respecté aussi longtemps qu'un accord : on ne réaffiche pas la bannière à chaque page pour « user » le visiteur jusqu'à ce qu'il accepte.
Côté durée de vie des cookies eux-mêmes, la recommandation est de ne pas dépasser treize mois pour les traceurs de mesure d'audience, et de limiter la conservation des données associées. Un cookie dont la durée se compte en années est un signal de non-conformité.
Comment vérifier concrètement votre site
Vous pouvez inspecter vous-même les cookies déposés via les outils de développement de votre navigateur (onglet « Application » ou « Stockage »), en observant ce qui apparaît avant tout clic sur la bannière. Un traceur présent dès le chargement, sans interaction, révèle un dépôt avant consentement.
Une analyse automatisée fait ce travail systématiquement : elle liste les traceurs, indique lesquels se chargent trop tôt et vérifie la présence d'un refus au même niveau que l'acceptation. C'est le moyen le plus rapide d'obtenir un état des lieux fiable.
Le cas des contenus intégrés (vidéos, cartes, réseaux sociaux)
Une vidéo YouTube intégrée, une carte Google Maps ou un bouton de partage vers un réseau social chargent souvent, par défaut, des scripts du service tiers dès l'affichage de la page — avant même que le visiteur n'interagisse avec eux. Ce cas est fréquemment oublié car le traceur ne provient pas directement de votre propre code, mais d'un service embarqué.
La solution la plus répandue est le « clic pour activer » : afficher une image statique ou un aperçu à la place du contenu, et ne charger le script tiers qu'après un clic explicite de l'internaute — ou après consentement si le contenu doit s'afficher automatiquement.
- Les cookies non essentiels (audience, pub, réseaux sociaux) exigent un consentement préalable.
- Aucun traceur ne doit se charger avant le choix de l'internaute.
- Refuser doit être aussi simple qu'accepter, sans case pré-cochée ni dark pattern.
- Sans cookie non essentiel, pas de bannière nécessaire.
- Un consentement se redemande périodiquement ; un refus se respecte aussi longtemps qu'un accord.
- Les contenus intégrés (vidéos, cartes, réseaux sociaux) chargent souvent des traceurs par défaut — un clic pour activer règle le problème.
- Un « cookie wall » qui bloque l'accès au site sans alternative en cas de refus fragilise le caractère libre du consentement.
- Le taux de refus des cookies a presque doublé en France entre 2021 (20 %) et fin 2024 (39 %) — un bandeau mal conçu se voit de plus en plus.
Questions fréquentes
Sur le même sujet
Sources & références officielles
Votre site est-il concerné ?
Analysez-le gratuitement en 30 secondes : cookies, sécurité e-mail, transferts hors UE et plus encore.
Ce guide est une aide à la compréhension et à la conformité. Il ne constitue pas un avis juridique. Mis à jour le 14 août 2026.