Comment réaliser un audit des cookies de votre site

Un audit des cookies est un examen structuré de chaque cookie et technologie de suivi similaire qu’utilise votre site web : ce dont il s’agit, qui le dépose, pourquoi, pour combien de temps et s’il attend le consentement. Pour en réaliser un, définissez votre périmètre, chargez le site dans un navigateur vierge, relevez tout ce qui est stocké ou lu, classez chaque élément, testez le comportement avant et après le consentement, puis corrigez les écarts.

Pourquoi un audit des cookies est-il important ?

Vous ne pouvez pas recueillir un consentement valable, rédiger une politique cookies exacte ou répondre aux questions d’une autorité de contrôle sans savoir ce que fait réellement votre site. Un audit remplace les suppositions par un inventaire vérifié.

En vertu de l’article 5(3) de la directive ePrivacy, le stockage d’informations sur l’appareil d’un utilisateur ou l’accès à celles-ci requiert en principe un consentement, sauf s’il est strictement nécessaire à un service demandé par l’utilisateur. Cette règle couvre les cookies, mais aussi le stockage local, les pixels et les techniques similaires. La plupart des sites accumulent des balises au fil du temps, via des outils marketing, des vidéos intégrées, des widgets de chat et des scripts d’A/B testing, et peu d’équipes savent exactement ce que chacun d’eux dépose.

Un audit met aussi en lumière le superflu. Les balises abandonnées qui se chargent encore, les outils de mesure d’audience en double et les fournisseurs que personne ne se souvient d’avoir ajoutés pèsent tous sur la vitesse des pages et créent des risques sans aucun bénéfice.

Que préparer avant de commencer ?

Mettez-vous d’accord sur le périmètre et rassemblez le contexte avant d’ouvrir les outils de développement de votre navigateur. Une courte phase de préparation évite l’erreur la plus courante : n’auditer que la page d’accueil.

• Listez les domaines et sous-domaines, y compris les sites marketing, les sous-domaines applicatifs, les centres d’aide et les parcours de paiement hébergés ailleurs.
• Choisissez des modèles de pages représentatifs : accueil, article, produit, recherche, panier, paiement, inscription et un tableau de bord en mode connecté.
• Notez les variations régionales. Si vous affichez des bandeaux différents selon la localisation, prévoyez de tester depuis chaque région concernée.
• Exportez le conteneur de votre gestionnaire de balises et listez vos contrats fournisseurs, afin de pouvoir rattacher chaque constat à un responsable identifié.
• Récupérez votre politique cookies actuelle pour pouvoir la comparer à la réalité à la fin.

Comment réaliser un audit des cookies étape par étape ?

Parcourez le site dans un état vierge, relevez tout, puis consignez-le dans un inventaire. Les étapes ci-dessous décrivent un audit manuel ; un scanner automatisé suit la même logique à grande échelle.

1. Partez d’un environnement vierge. Ouvrez un nouveau profil de navigateur ou une fenêtre de navigation privée, extensions désactivées et sans consentement enregistré. Si vous géociblez vos bandeaux, connectez-vous depuis la région que vous testez.
2. Chargez chaque modèle de page sans toucher au bandeau. C’est l’état le plus important : tout élément non essentiel déposé à ce stade l’est avant le consentement.
3. Relevez le stockage. Dans les outils de développement de votre navigateur, vérifiez la liste des cookies pour chaque domaine, ainsi que le stockage local, le stockage de session et IndexedDB.
4. Relevez les requêtes réseau. Filtrez le panneau Réseau sur les domaines tiers et notez les pixels de suivi, les balises de suivi (beacons) et les scripts, même s’ils ne déposent aucun cookie.
5. Parcourez les parcours clés. Effectuez une recherche, ajoutez un article au panier, envoyez un formulaire, connectez-vous et lancez une vidéo intégrée, car de nombreuses balises ne se déclenchent qu’en cas d’interaction.
6. Recommencez après avoir tout refusé, puis après avoir tout accepté. Videz le stockage entre chaque passage pour que chaque résultat reflète un seul état de consentement.
7. Consignez chaque élément dans votre inventaire à l’aide des champs présentés dans la section suivante.

Un petit extrait de code à exécuter dans la console peut accélérer l’étape 3. Notez que document.cookie ne voit ni les cookies HttpOnly ni ceux qui appartiennent à d’autres domaines : vérifiez donc toujours la liste complète dans les outils de développement.

// À exécuter dans la console du navigateur lors d'une première visite, avant de toucher au bandeau
console.log('Cookies:', document.cookie.split('; ').filter(Boolean).map((c) => c.split('=')[0]));
console.log('localStorage:', Object.keys(localStorage));
console.log('sessionStorage:', Object.keys(sessionStorage));

Que doit contenir votre inventaire des cookies ?

Chaque ligne doit répondre aux questions qui, quoi, pourquoi et combien de temps. Ces champs correspondent directement à ce que votre bandeau et votre politique cookies doivent indiquer.

Champ	Exemple	Pourquoi c’est important
Nom	_ga	Identifie l’élément dans vos informations aux visiteurs
Domaine et fournisseur	Google Analytics	Indique s’il est propriétaire ou tiers et qui reçoit les données
Type	Cookie, stockage local, pixel	Tous relèvent des règles sur le stockage dans l’appareil
Finalité	Distingue les visiteurs pour la mesure d’audience	Détermine la catégorie
Catégorie	Mesure d’audience	Détermine si le consentement est requis
Durée	Date d’expiration ou session	Doit être indiquée et proportionnée
Déposé avant le consentement ?	Oui ou non	Signale les écarts de conformité
Responsable	Équipe growth	Quelqu’un doit justifier son maintien

Comment classer ce que vous trouvez ?

Rattachez chaque élément à une seule catégorie de finalité, en retenant la description honnête la plus précise de ce qu’il fait. La plupart des outils de consentement utilisent quatre catégories : nécessaires, préférences, mesure d’audience et marketing.

Les arbitrages délicats portent généralement sur la catégorie « nécessaires ». Seuls les éléments indispensables pour fournir un service expressément demandé par l’utilisateur y ont leur place, comme un cookie de session de panier d’achat ou un cookie de répartition de charge. Les cookies de mesure d’audience, d’A/B testing et de publicité ne remplissent généralement pas les conditions, même si l’entreprise les juge essentiels. Consultez ce qui fait d’un cookie un cookie strictement nécessaire pour les cas limites.

Si vous ne trouvez ni finalité ni responsable pour un élément, considérez-le comme un constat à part entière. Les balises inconnues sont des candidates à la suppression, pas à la catégorie des cookies nécessaires. Pour revoir les notions de cookies propriétaires, tiers, de session et persistants, lisez notre présentation des types de cookies.

Comment corriger les écarts et maintenir l’audit à jour ?

Transformez vos constats en une courte liste de corrections, déployez-les, puis testez à nouveau les mêmes pages dans les trois mêmes états. Les corrections types se répartissent en quatre groupes.

• Supprimez les balises sans responsable ni finalité.
• Bloquez jusqu’au consentement tout élément non essentiel qui se charge dès la première visite. Notre guide pour bloquer les scripts tiers jusqu’au consentement présente les techniques.
• Raccourcissez les durées qui dépassent ce qu’exige la finalité.
• Mettez à jour les informations du bandeau et de la politique cookies pour qu’elles correspondent exactement à l’inventaire.

Faites ensuite de l’audit une routine. Relancez-le à intervalles fixes, par exemple chaque trimestre, et chaque fois qu’une mise en production ajoute une balise, un fournisseur ou un contenu intégré. Conservez le résultat de chaque audit avec sa date, afin de pouvoir montrer comment votre dispositif a évolué et quand les problèmes ont été corrigés.

En résumé

L’audit des cookies est le socle de toutes les autres décisions en matière de consentement, car les catégories, le texte du bandeau, votre politique cookies et le blocage des scripts en dépendent. Partez d’un état vierge, relevez bien plus que les seuls cookies, testez chaque état de consentement et renouvelez la démarche régulièrement. Des outils comme Cookiesh peuvent automatiser l’étape du scan, mais les décisions sur la finalité et la nécessité doivent toujours être assumées par un responsable humain.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.