# Types de cookies : propriétaires, tiers, de session et persistants

> Les principaux types de cookies, propriétaires ou tiers, de session ou persistants, et pourquoi c'est leur finalité qui détermine si un consentement est requis.

Source: https://www.cookiesh.eu/fr/blog/types-of-cookies  
Published: 2026-03-12

## Key takeaways

- Les cookies se classent selon l'entité qui les dépose, leur durée de vie et leur finalité.
- Les notions de cookie propriétaire (first-party) et tiers (third-party) désignent le domaine qui dépose le cookie, et non celui qui reçoit finalement les données.
- Un cookie de session n'a pas de date d'expiration et est supprimé à la fin de la session de navigation ; un cookie persistant subsiste jusqu'à une date fixée.
- Selon les règles de l'UE, c'est la finalité qui détermine si un cookie nécessite un consentement, et les mêmes règles couvrent le localStorage, les pixels et les technologies similaires.

Les cookies sont généralement classés de trois façons : selon l'entité qui les dépose (propriétaires ou tiers), selon leur durée de vie (de session ou persistants) et selon leur finalité (strictement nécessaires, préférences, mesure d'audience ou marketing). Les deux premiers critères décrivent un comportement technique. Le troisième est celui qui compte le plus pour le droit de la protection des données, car c'est la finalité d'un cookie qui détermine si vous avez besoin d'un consentement avant de le déposer.

## Qu'est-ce qu'un cookie, techniquement ?

Un cookie est un petit fichier texte qu'un site web demande au navigateur de stocker et de renvoyer lors des requêtes ultérieures vers ce même site. Les serveurs déposent les cookies via l'en-tête HTTP `Set-Cookie`, et les scripts de la page peuvent les créer via `document.cookie`.

Chaque cookie possède un nom, une valeur et des attributs qui déterminent où et combien de temps il existe :

```http
Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax
```

`Domain` et `Path` déterminent quelles requêtes transportent le cookie. `Expires` ou `Max-Age` fixe sa durée de vie. `Secure` le limite au HTTPS, `HttpOnly` le rend inaccessible à JavaScript et `SameSite` détermine s'il est envoyé lors des requêtes intersites.
## Quelle différence entre cookies propriétaires et cookies tiers ?

Un cookie propriétaire (first-party) est déposé pour le domaine affiché dans la barre d'adresse du navigateur. Un cookie tiers (third-party) est déposé pour un autre domaine, généralement par un contenu intégré à la page, comme une publicité, un lecteur vidéo ou un widget de réseau social.

Si un visiteur se trouve sur `shop.example` et qu'une publicité intégrée provenant de `ads.example-network.com` dépose un cookie, ce cookie est un cookie tiers. Comme la même régie publicitaire est intégrée sur de nombreux sites, son cookie peut reconnaître le même navigateur sur chacun d'eux. C'est cette reconnaissance intersites qui a fait des cookies tiers la colonne vertébrale de la publicité comportementale.

Deux nuances comptent en pratique :

- **Propriétaire ne signifie pas que les données restent chez vous.** De nombreux scripts de mesure d'audience et de publicité s'exécutent sur votre page et écrivent des cookies sur votre propre domaine. Ces cookies sont techniquement propriétaires, mais les identifiants qu'ils contiennent sont tout de même envoyés au fournisseur.
- **La prise en charge par les navigateurs évolue.** Safari et Firefox restreignent les cookies tiers par défaut, et les projets de Chrome ont changé à plusieurs reprises. Vérifiez la situation actuelle avant de développer quoi que ce soit qui en dépend.

## Quelle différence entre cookies de session et cookies persistants ?

Un cookie de session n'a pas d'attribut `Expires` ni `Max-Age` : le navigateur le supprime donc à la fin de la session. Un cookie persistant a une date d'expiration explicite et survit aux redémarrages du navigateur jusqu'à cette date ou jusqu'à ce que l'utilisateur l'efface.

C'est le navigateur, et non votre site, qui décide quand une session se termine. Certains navigateurs restaurent les cookies de session lorsqu'ils rouvrent les onglets précédents, si bien qu'un cookie de session peut vivre plus longtemps que prévu. Certains navigateurs raccourcissent aussi la durée de vie de certains cookies déposés par JavaScript, quelle que soit la date d'expiration demandée.

La durée de vie compte aussi pour la conformité. Les autorités attendent des durées de conservation des cookies proportionnées à leur finalité, et votre politique cookies doit indiquer la durée de chaque cookie.
## Quelles sont les catégories de cookies selon leur finalité ?

La plupart des bandeaux de consentement regroupent les cookies en quatre catégories fondées sur la finalité. Les noms varient, mais la logique reste la même :

- **Strictement nécessaires :** indispensables pour fournir un service expressément demandé par l'utilisateur, comme rester connecté, conserver un panier ou mémoriser un choix de consentement. Consultez [ce qui fait d'un cookie un cookie strictement nécessaire](/fr/blog/strictly-necessary-cookies) pour connaître le critère.
- **Préférences (ou fonctionnels) :** mémorisent des choix qui améliorent l'expérience, comme la langue, la région ou les paramètres d'affichage.
- **Mesure d'audience (ou statistiques) :** mesurent la façon dont les visiteurs utilisent le site, comme les pages vues, les sources de trafic et les parcours de conversion.
- **Marketing (ou publicité) :** construisent des profils, mesurent la performance des publicités, reciblent les visiteurs ou partagent des données avec des plateformes publicitaires.
### Comment les différents types de cookies se comparent-ils ?

Chaque cookie se caractérise à la fois par l'entité qui le dépose, sa durée de vie et sa finalité : par exemple, un cookie de mesure d'audience propriétaire et persistant. Ce tableau montre le lien entre chaque type et le consentement selon les règles de l'UE.

| Type | Critère de classement | Exemple typique | Consentement requis selon les règles de l'UE ? |
|---|---|---|---|
| Propriétaire | Domaine qui dépose le cookie | Session de connexion sur votre propre domaine | Selon la finalité |
| Tiers | Domaine qui dépose le cookie | Cookie d'une régie publicitaire provenant d'une publicité intégrée | Selon la finalité ; en pratique, généralement oui |
| De session | Durée de vie | Panier d'achat vidé à la fermeture du navigateur | Selon la finalité |
| Persistant | Durée de vie | Préférence de langue conservée pendant un an | Selon la finalité |
| Strictement nécessaire | Finalité | Authentification, répartition de charge, enregistrement du consentement | Non, exempté |
| Préférences | Finalité | Langue ou thème mémorisés | Généralement oui ; exceptions limitées pour les réglages activement choisis par l'utilisateur |
| Mesure d'audience | Finalité | Mesure des visiteurs et des pages vues | En général oui ; certaines autorités nationales admettent des exceptions limitées |
| Marketing | Finalité | Cookies de reciblage et de conversion publicitaire | Oui |

Les types techniques ne répondent jamais à eux seuls à la question du consentement. Seule la finalité le fait.

## Le droit s'intéresse-t-il au type de cookie ou à sa finalité ?

À la finalité. L'article 5(3) de la directive ePrivacy s'applique au stockage de toute information sur l'appareil d'un utilisateur ou à l'accès à celle-ci, et ses exemptions sont définies par la finalité. À moins que le stockage ne soit strictement nécessaire à un service demandé par l'utilisateur, ou utilisé uniquement pour transmettre une communication, vous devez obtenir un consentement préalable.

Trois conséquences en découlent :

1. **Les règles sont neutres sur le plan technologique.** Le localStorage, le sessionStorage, IndexedDB, les pixels de suivi et l'empreinte de l'appareil (fingerprinting) sont couverts au même titre que les cookies. Pour comprendre comment les deux textes européens interagissent, consultez [Directive ePrivacy vs RGPD](/fr/blog/eprivacy-directive-vs-gdpr).
2. **Le RGPD s'applique en plus lorsque les données sont personnelles.** Le RGPD cite les identifiants de cookies parmi les identifiants en ligne susceptibles de rendre une personne identifiable : la plupart des cookies de suivi impliquent donc des données personnelles.
3. **Les lois américaines suivent un autre modèle.** Selon le CCPA et le CPRA, les cookies publicitaires peuvent constituer une « vente » (selling) ou un « partage » (sharing) d'informations personnelles. Au lieu de recueillir un consentement préalable, vous devez proposer un moyen de s'y opposer (opt-out) et respecter les signaux Global Privacy Control.

## Comment savoir quels cookies utilise mon site ?

Commencez par les outils de développement de votre navigateur, qui listent les cookies et autres données stockées pour chaque domaine sollicité par une page. Vous obtenez ainsi un aperçu rapide, mais qui laisse de côté les cookies n'apparaissant que sur certaines pages, après connexion ou après le consentement d'un visiteur.

Une démarche plus fiable :

1. Ouvrez le site dans une fenêtre de navigation privée vierge et notez tout ce qui est déposé avant tout consentement.
2. Acceptez tous les cookies, parcourez les pages et les parcours clés, et notez ce qui apparaît.
3. Pour chaque cookie, relevez son nom, le domaine qui le dépose, sa durée de vie et sa finalité.
4. Attribuez à chacun une catégorie de finalité et vérifiez que rien de non essentiel n'est apparu avant le consentement.
5. Recommencez à intervalles réguliers, car de nouvelles balises apparaissent chaque fois que les équipes marketing ou produit ajoutent des outils.

Notre guide expliquant [comment réaliser un audit des cookies](/fr/blog/how-to-run-a-cookie-audit) détaille cette démarche, dont le résultat alimente directement votre [politique cookies](/fr/blog/how-to-write-a-cookie-policy).

## En résumé

Les distinctions entre propriétaires et tiers, ou entre cookies de session et persistants, décrivent le comportement d'un cookie. La finalité décrit sa raison d'être, et c'est elle qui détermine si vous avez besoin d'un consentement. Inventoriez vos cookies, classez-les par finalité et bloquez tout ce qui n'est pas essentiel jusqu'à ce que les visiteurs donnent leur accord. Des outils comme Cookiesh peuvent automatiser le scan des cookies et retenir les scripts balisés jusqu'au consentement des visiteurs.

*Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.*

## FAQ

### Les cookies propriétaires sont-ils exemptés de consentement ?

Non. Le fait d'être propriétaire n'exempte pas un cookie du consentement. Si un cookie propriétaire sert à la mesure d'audience ou à la publicité, les règles de l'UE exigent généralement un consentement préalable (opt-in) avant son dépôt, exactement comme pour un cookie tiers.

### Le localStorage est-il traité différemment des cookies en droit de l'UE ?

Non. La directive ePrivacy couvre le stockage d'informations sur l'appareil d'un utilisateur ou l'accès à ces informations, quelle que soit la technologie. Les données écrites dans le localStorage ou IndexedDB à des fins de suivi nécessitent un consentement au même titre qu'un cookie de suivi.

### Les cookies de session nécessitent-ils un consentement ?

Cela dépend de ce qu'ils font, et non de leur durée de vie. Un cookie de session qui assure le fonctionnement d'un panier d'achat est généralement exempté, tandis qu'un cookie de courte durée utilisé à des fins publicitaires nécessite tout de même un consentement.

### Les cookies tiers sont-ils appelés à disparaître ?

Safari et Firefox les restreignent déjà par défaut, et les projets de Chrome ont changé à plusieurs reprises : vérifiez donc la situation actuelle. Quoi qu'il en soit, les règles de consentement s'appliquent à toute technologie de suivi qui les remplacera.

## Sources

- [MDN: Using HTTP cookies](https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)