Mesure d'audience sans cookies : options, compromis et consentement

La mesure d’audience sans cookies mesure le trafic d’un site sans cookies, en s’appuyant plutôt sur les logs serveur, le comptage de pages vues sans identifiant, des empreintes (hashes) de courte durée ou des pings agrégés. Elle collecte généralement moins de données personnelles et, dans certains pays, peut bénéficier d’étroites exemptions de consentement. Mais elle n’est pas exempte de consentement par défaut : la directive ePrivacy couvre le stockage de toute information sur un terminal et l’accès à celle-ci, ce qui inclut le stockage local et le fingerprinting.

Qu’est-ce que la mesure d’audience sans cookies ?

C’est toute approche de mesure qui ne repose pas sur un cookie persistant pour reconnaître un navigateur d’une visite à l’autre. Ce qui remplace le cookie varie considérablement, de rien du tout à une empreinte de courte durée ou à un autre mécanisme de stockage, et ce choix détermine à la fois la qualité des données et la position juridique.

Une solution de mesure d’audience classique dépose un cookie propriétaire contenant un identifiant client aléatoire valable plusieurs mois ; voir les types de cookies. Cet identifiant regroupe les pages vues en sessions, les sessions en utilisateurs récurrents et les utilisateurs en campagnes. Supprimez-le et vous perdez le lien entre les visites. « Sans cookies » décrit une technique, pas un niveau de conformité.

Quelles sont les principales options de mesure d’audience sans cookies ?

Six approches sont courantes, avec des profils de confidentialité et de précision très différents.

Approche	Comment les visiteurs sont reconnus	Ce que vous obtenez	Principal inconvénient
Analyse des logs serveur ou CDN	Pas du tout, ou par l’adresse IP et le user agent figurant dans les logs	Requêtes, pages, référents, erreurs ; aucun script client	Ignore les pages en cache et les événements côté client ; les robots sont plus difficiles à filtrer
Comptage agrégé des pages vues	Aucune reconnaissance	Pages vues, référents, campagnes, type d’appareil	Pas de visiteurs uniques, de sessions ni d’entonnoirs sur plusieurs visites
Empreinte renouvelée chaque jour	Empreinte de l’IP, du user agent et d’un sel remplacé chaque jour	Estimation des visiteurs uniques et des sessions quotidiens	Pas de visiteurs récurrents d’un jour à l’autre ; reste une donnée personnelle
Identifiants dans le stockage du navigateur	Identifiant conservé dans le stockage local ou IndexedDB	Niveau de détail proche des cookies	Pas « sans cookies » au sens juridique ; mêmes règles de consentement que les cookies
Fingerprinting	Combinaison de caractéristiques de l’appareil et du navigateur	Reconnaissance sans rien stocker	Nécessite un consentement ; difficile à voir ou à contrôler pour les personnes
Pings sans cookies (Google Consent Mode, mode avancé)	Aucun cookie tant que le consentement est refusé	Conversions et tendances modélisées	Position juridique débattue ; la modélisation est réalisée par le fournisseur

Concernant la dernière ligne : dans la configuration du mode avancé de Google Consent Mode, les balises envoient des pings sans cookies lorsque le consentement est refusé, et Google comble les lacunes par la modélisation. La question de savoir si cela est acceptable sans consentement fait débat ; voir mode de base ou mode avancé de Consent Mode.

La mesure d’audience sans cookies nécessite-t-elle un consentement ?

Parfois, et renoncer aux cookies ne règle pas la question. L’article 5(3) de la directive ePrivacy couvre à la fois le stockage d’informations sur un terminal et l’accès à des informations déjà stockées, quelle que soit la technologie. Le consentement est requis, sauf si le stockage ou l’accès est strictement nécessaire à un service expressément demandé par l’utilisateur, et la mesure d’audience remplit rarement ce critère à elle seule.

En pratique :

• Le stockage dans le navigateur exige un consentement, comme un cookie. Un identifiant dans localStorage, sessionStorage ou IndexedDB est stocké sur le terminal.
• Le fingerprinting exige un consentement. Lire la taille de l’écran, les polices installées, le rendu canvas et d’autres caractéristiques similaires pour reconnaître un appareil revient à accéder à des informations qu’il contient, même si rien n’est stocké.
• Les scripts ne sont pas automatiquement hors champ. Un script de mesure demande au navigateur de lire et d’envoyer des informations. Les autorités européennes ont interprété largement la notion d’« accès » : ne supposez donc pas qu’un outil est exempté simplement parce qu’il ne dépose rien.
• Les données personnelles sont une question distincte. Dans l’arrêt Planet49, la CJUE a jugé que l’article 5(3) s’applique, que les informations soient ou non des données personnelles. Si les données se rapportent à des personnes identifiables, le RGPD s’applique en plus, et il vous faut une base légale au titre de l’article 6. Certaines équipes envisagent l’intérêt légitime pour une mesure d’audience minimale lorsqu’aucune règle de consentement ne s’applique.

Il existe d’étroites exceptions nationales. La CNIL a décrit les conditions dans lesquelles certains outils de mesure d’audience peuvent fonctionner sans consentement, et une loi britannique adoptée en 2025 a créé une exception, sous conditions, pour certains stockages liés à la mesure d’audience ; voir RGPD britannique et PECR. Ces règles sont précises et évoluent encore : consultez les recommandations actuelles de votre autorité de contrôle, comme l’ICO au Royaume-Uni, avant de supprimer le consentement pour la mesure d’audience.

Comment mettre en place une mesure sans cookies à faible risque ?

Comptez des pages, pas des personnes. Une balise minimale de page vue ne nécessite ni cookie, ni stockage, ni identifiant :

// Page vue agrégée : ni cookies, ni stockage, ni identifiants.
const referrer = document.referrer ? new URL(document.referrer).hostname : null;

navigator.sendBeacon(
  'https://analytics.example.com/collect',
  JSON.stringify({ path: location.pathname, referrer }), // chemin uniquement, sans query string
);

Si vous avez besoin d’une estimation des visiteurs uniques quotidiens, une technique courante consiste à hacher l’adresse IP et le user agent avec un sel aléatoire, remplacé chaque jour et jamais stocké. Une fois l’ancien sel disparu, personne ne peut recalculer les clés de la veille ni les relier à celles du jour.

import { createHash, randomBytes } from 'node:crypto';

let salt = randomBytes(32);
let saltDay = new Date().toISOString().slice(0, 10);

export function dailyVisitorKey(ip: string, userAgent: string, site: string): string {
  const today = new Date().toISOString().slice(0, 10);
  if (today !== saltDay) {
    salt = randomBytes(32); // l'ancien sel est supprimé, jamais persisté
    saltDay = today;
  }
  return createHash('sha256').update(salt).update(`${site}|${ip}|${userAgent}`).digest('hex');
}

En production, partagez le sel entre les serveurs via un cache qui l’expire chaque jour, jamais via une base de données ou une sauvegarde. Tant que le sel existe, la clé est une donnée personnelle pseudonymisée au sens du RGPD, et non une donnée anonyme, et les autorités divergent sur la question de savoir si reconnaître des visiteurs à partir de l’adresse IP et du user agent constitue un accès au terminal.

Une configuration à faible risque remplit généralement ces critères :

1. Aucun cookie, aucun stockage dans le navigateur et aucune technique de fingerprinting.
2. Query strings et fragments d’URL supprimés avant stockage.
3. Adresses IP brutes supprimées après en avoir déduit un pays approximatif, si vous en avez seulement besoin.
4. Sels renouvelés et supprimés chaque jour, et données d’entrée brutes jamais journalisées.
5. Reporting uniquement agrégé, sans suivi intersites ni réutilisation à des fins publicitaires.
6. Conservation courte des événements bruts, et description claire dans votre politique de confidentialité.

À quoi renoncez-vous avec la mesure d’audience sans cookies ?

Principalement à la continuité entre les visites. Le nombre de visiteurs uniques devient une estimation, et une empreinte quotidienne compte chaque jour un visiteur récurrent comme un nouveau visiteur. Les entonnoirs sur plusieurs jours, la rétention par cohorte et les longues fenêtres d’attribution disparaissent en grande partie, et le suivi des conversions publicitaires au niveau individuel nécessite généralement toujours un consentement.

Attendez-vous à ce que vos chiffres diffèrent de ceux de votre outil précédent, et signalez la date du changement dans vos rapports. Pour de nombreux sites de contenu et de marketing, les tendances agrégées suffisent. Lorsque vous avez besoin de davantage, une approche courante consiste à appliquer un comptage sans cookies à tous les visiteurs, lorsque c’est licite, et une mesure d’audience complète à ceux qui donnent leur accord, en conservant des jeux de données distincts.

En résumé

La mesure d’audience sans cookies est un excellent choix par défaut pour une mesure respectueuse de la vie privée, mais considérez-la comme « moins de données », pas comme « aucune règle ». Choisissez l’approche qui répond à vos véritables questions, évitez de stocker ou de lire des identifiants sur le terminal sans consentement, et vérifiez d’abord les recommandations nationales. Des outils comme Cookiesh peuvent couvrir les cas où le consentement reste requis, en bloquant les scripts de la catégorie mesure d’audience jusqu’à ce que les visiteurs donnent leur accord, avec des bandeaux ciblés par région.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.