À quoi servent les cookies sur votre site internet ?

Que fait un cookie, concrètement ?

À quoi servent les cookies ? À faire en sorte qu’un site se souvienne d’un visiteur d’une page à l’autre. Selon la CNIL, un cookie est un petit fichier stocké par un serveur sur l’appareil de l’internaute, puis renvoyé automatiquement à chaque contact avec le même domaine. Le domaine, c’est l’adresse principale d’un site, par exemple monsite.fr. Sans ce mécanisme, votre boutique oublierait le panier dès le clic suivant.

Autant le dire : un cookie ne contient ni virus ni programme. Il stocke une étiquette, souvent un simple identifiant. Je commence toujours par rappeler ce point, parce qu’il désamorce la moitié des craintes. Le sujet délicat arrive ensuite, quand cette étiquette sert à suivre une personne de site en site.

Le mécanisme tient en quatre temps. Vous ouvrez une page, le serveur répond et joint une instruction de stockage, votre navigateur enregistre le fichier, puis il le renvoie à chaque nouvelle demande vers ce domaine. C’est ainsi que le site reconnaît votre session, votre langue ou votre identifiant de statistiques. Le fichier ne voyage donc jamais seul : il accompagne chaque requête, et c’est cette habitude qui rend le suivi possible.

La CNIL cite des usages très concrets : mémoriser un identifiant client, garder le contenu d’un panier, retenir la langue d’affichage, ou fournir un identifiant de statistiques ou de publicité. Les deux premiers rendent service au visiteur. Les derniers servent surtout au site, ou à une société qui l’observe. Cette différence de bénéficiaire guide toute la suite : elle décide si vous devez demander l’avis du visiteur.

Pour un indépendant, la question utile devient : à quoi servent les cookies de mon site, qui les a posés, et pour qui travaillent-ils ? Tant que vous ne savez pas répondre, vous ne pouvez ni informer vos visiteurs ni choisir un outil de bandeau.

Quels cookies existent, et lesquels concernent votre site ?

Deux distinctions reviennent partout. La première porte sur la durée : les cookies de session disparaissent à la fermeture du navigateur, les cookies persistants durent jusqu’à leur date d’expiration. La seconde porte sur l’origine : un cookie propriétaire vient du domaine que vous visitez, un cookie tiers vient d’un autre domaine, appelé par le site sans que le visiteur l’ait saisi.

Dans les faits, un site WordPress fabriqué sans méthode accumule vite des cookies tiers : une carte intégrée, un module d’avis, un bouton de partage, une vidéo. Chaque ajout paraît anodin. Chacun appelle pourtant un autre domaine, et ce domaine peut déposer ses propres cookies sur l’appareil de votre visiteur.

Voici le point que beaucoup de pages oublient. La CNIL précise que la distinction entre cookies internes et cookies tiers est technique et ne change rien à l’obligation de demander un accord. Je classe donc toujours un cookie par son usage, jamais par sa durée ni par son nom.

Si vous vendez en ligne, le panier repose sur un cookie technique : il ne demande aucun accord. Le jour où vous y ajoutez un outil publicitaire, le calcul change. Le parcours complet de la vente en ligne mérite son propre ordre des opérations, que je détaille pour ouvrir une boutique en ligne sans vous tromper d’étape.

Quand faut-il demander l’accord du visiteur ?

Ce que dit le texte : l’usage des cookies est encadré par la loi Informatique et Libertés, et l’accord doit être recueilli avant le dépôt ou la lecture du traceur. Tant que le visiteur n’a rien accepté, le traceur n’a pas le droit de se charger. Vous trouverez le détail côté site dans la fiche de Service Public Entreprendre, vérifiée le 13 octobre 2026.

Le consentement doit résulter d’un acte positif clair, après une information sur les usages. Le bandeau offre un vrai choix : accepter, refuser, ou régler usage par usage. Un bouton Tout refuser aussi visible que « Tout accepter » vous met à l’abri du défaut le plus courant. Continuer à naviguer, faire défiler la page ou fermer le bandeau ne valent pas accord.

Une précision qui évite les mauvaises surprises : la responsabilité vous incombe, même quand le cookie vient d’un service tiers. Service Public Entreprendre l’écrit clairement, l’entreprise recense les traceurs de son site et identifie l’origine et le rôle de chacun. Dire « c’est le prestataire qui l’a posé » ne vous décharge de rien. Et quand ces traceurs recueillent des données personnelles, les obligations du RGPD s’ajoutent à celles des cookies.

Trois obligations suivent. Vous devez pouvoir prouver que l’accord a été recueilli. Le visiteur doit pouvoir changer d’avis à tout moment, par exemple avec un lien Gérer mes cookies en pied de page, accessible depuis chaque page. Enfin, la CNIL recommande de conserver un refus aussi longtemps qu’un accord, pour ne pas reposer la question à chaque visite.

⚠️ Le piège classique : installer un bandeau qui s’affiche, mais laisser les outils de suivi se charger avant le clic. Le bandeau décore, le traceur est déjà déposé, et l’accord arrive trop tard.

Comment repérer les cookies que dépose votre site ?

Commencez par l’inventaire, avant d’installer quoi que ce soit. Service Public Entreprendre place cette étape en premier : recenser les cookies utilisés, puis noter pour chacun son origine et son rôle. C’est le même réflexe que pour savoir si un site est sécurisé : vous vérifiez vous-même, vous ne vous fiez pas à la promesse du prestataire.

L’outil est gratuit et déjà installé : votre navigateur. Le test que je recommande en premier se fait en cinq gestes.

1. Ouvrez une fenêtre de navigation privée.
2. Chargez votre page d’accueil sans toucher au bandeau.
3. Ouvrez les outils de développement avec la touche F12, puis l’onglet Application (Chrome) ou Stockage (Firefox).
4. Notez le nom, le domaine et le rôle de chaque cookie présent.
5. Pour chaque cookie inconnu, cherchez le service qui l’a posé.

Si des cookies publicitaires ou statistiques apparaissent avant tout clic, vous avez un problème de consentement. Les coupables habituels sont les services intégrés à la page : lecteur vidéo, bouton de partage d’un réseau social, outil de réservation ou de prise de rendez-vous. Chacun peut déposer ses propres cookies, même si vous ne les avez jamais demandés.

Gardez ensuite une trace de ce que vous avez relevé, dans un simple tableur : nom du cookie, domaine, rôle, date de vérification. Vous refaites ce relevé à chaque ajout d’extension, de module ou de vidéo. C’est la seule routine que j’impose à un site de petite structure, parce qu’un site évolue plus vite que le bandeau censé le décrire.

Pour aller plus loin sans payer, Service Public Entreprendre signale EvalRGPD, un autodiagnostic gratuit qui mesure la conformité RGPD d’une entreprise. Le RGPD est le règlement européen sur les données personnelles. Ce n’est pas un audit complet, mais c’est un bon second regard.

Faut-il payer un outil de bandeau de cookies ?

Mon avis : pas forcément, et pas tout de suite. Un site vitrine qui n’utilise que des cookies techniques n’a aucun consentement à recueillir pour eux. Votre premier travail consiste alors à vérifier que chaque cookie présent est bien exempté, pas à acheter un module.

Pour trancher, appuyez-vous sur la page de la CNIL « Cookies et traceurs : comment mettre mon site web en conformité ? », que Service Public Entreprendre cite comme référence. Elle liste les traceurs et indique dans quelles conditions ils s’utilisent sans accord. Comptez une petite heure pour la parcourir avec l’inventaire sous les yeux : c’est le meilleur investissement de toute la démarche, et il ne coûte rien.

Le calcul change dès que vous ajoutez de la publicité ciblée, des vidéos de plateformes, plusieurs services tiers ou des statistiques qui sortent des conditions d’exemption. Là, un outil spécialisé se justifie : il bloque les traceurs avant l’accord, garde la preuve du choix et le rend modifiable. Je n’avance aucun tarif : demandez le prix annuel complet, y compris au-delà de la première année, et comparez deux ou trois offres.

Un conseil d’ordre : choisissez d’abord l’outil de statistiques, ensuite le bandeau. Pour attirer des clients sur votre site, vous avez besoin de savoir d’où ils viennent, mais pas de les pister de site en site. Une mesure d’audience respectueuse évite souvent un bandeau lourd.

Voici l’ordre que je suis. D’abord l’inventaire des cookies. Ensuite le tri entre ceux qui demandent un accord et ceux qui n’en demandent pas. Puis seulement le choix d’un outil, gratuit tant que vos besoins sont modestes. Inverser cet ordre revient à acheter un bandeau pour un site dont vous ne connaissez pas le contenu. Le bandeau n’est que la dernière brique : il décrit un travail déjà fait, il ne le remplace pas, et aucun outil, gratuit ou payant, ne devinera à votre place ce que votre site dépose.

Même logique pour vos courriels. La CNIL a publié en avril 2026 des recommandations sur les pixels de suivi dans les courriers électroniques, ces images invisibles qui signalent qu’un message a été ouvert. Si vous envoyez des lettres d’information, relisez-les avant de faire une newsletter avec un outil qui active ce suivi par défaut.

Faut-il supprimer ou bloquer les cookies de son navigateur ?

Côté visiteur, la réponse tient en une nuance. Supprimer les cookies efface vos connexions, vos paniers en cours et vos préférences : vous devrez vous reconnecter partout. Tout bloquer casse de nombreux sites, parce que les cookies techniques font fonctionner la connexion et le panier.

Je préfère un réglage intermédiaire. Refusez les cookies non nécessaires quand un bandeau vous le propose, videz de temps en temps ceux des services tiers, et utilisez la navigation privée pour une recherche sensible. Vous gardez un site confortable, sans laisser les régies publicitaires dresser votre portrait.

Chaque navigateur propose ce réglage dans ses paramètres de confidentialité, avec un choix entre bloquer les cookies tiers et tout effacer à la fermeture. Prenez dix minutes pour le faire une fois : vous saurez à quoi servent les cookies qui vous suivent, et vous déciderez lesquels méritent d’être gardés.

Et si vous gérez un site, mettez-vous à la place de ce visiteur. Un refus qui demande trois clics, quand l’acceptation en demande un, ne passe pas : la règle est que le refus soit aussi simple que l’accord.

FAQ sur les cookies