Un bandeau cookies gratuit suffit-il ? Quand oui, et quand non

Un bandeau cookies gratuit suffit légalement quand il fait quatre choses : bloquer les cookies non essentiels jusqu’à ce que le visiteur consente, proposer « Tout refuser » aussi facilement que « Tout accepter », permettre aux visiteurs de retirer leur consentement, et garder une trace de chaque choix. Les autorités testent ce que fait la page, pas ce que coûte l’outil. Les offres gratuites échouent en pratique, pas en principe : un plafond de 5 000 pages vues qu’un site en croissance dépasse en milieu de mois, un registre des consentements conservé 7 ou 30 jours, un blocage uniquement manuel, un seul site, ou pas de TCF de l’IAB pour la publicité.

Qu’exige la loi, quel que soit le prix ?

Selon l’article 5, paragraphe 3, de la directive ePrivacy, déposer ou lire des cookies non essentiels exige un consentement préalable, et le RGPD définit le consentement comme libre, spécifique, éclairé et univoque. L’article 7, paragraphe 1, du RGPD ajoute que le responsable du traitement doit être en mesure de démontrer que le consentement a été donné. Le rapport de la task force « bandeaux cookies » du CEPD de janvier 2023 a relevé qu’une large majorité d’autorités considérait comme un manquement un bandeau sans option de refus sur la même couche que l’acceptation.

La liste de contrôle est donc courte, et indifférente au prix :

1. Rien de non essentiel ne s’exécute avant le choix.
2. « Tout refuser » se trouve à côté de « Tout accepter », avec le même poids.
3. Un visiteur peut changer d’avis plus tard, et les anciens cookies cessent d’être lus.
4. Vous pouvez montrer, pour une visite donnée, ce qui a été choisi et quand.
5. Le bandeau explique les finalités et renvoie vers une politique de cookies.

Toute offre gratuite qui remplit ces cinq points sur votre site suffit. Si vous n’êtes pas sûr d’avoir besoin d’un bandeau, commencez par ai-je besoin d’un bandeau cookies.

Quand une offre gratuite convient-elle ?

• Un site personnel, un portfolio ou un petit blog sur un seul domaine, avec un trafic sous le plafond de l’offre ou sur une offre sans plafond.
• Un site de petite entreprise avec quelques outils tiers (mesure d’audience, carte, vidéo intégrée) et aucune publicité qui exige le TCF.
• Un site qui n’utilise qu’une mesure d’audience exemptée. En France, une mesure d’audience interne configurée selon les conditions de la CNIL peut fonctionner sans consentement, et un site qui n’a rien d’autre peut ne pas avoir besoin de bandeau de consentement du tout ; voir la mesure d’audience sans consentement.

Quand une offre gratuite ne suffit-elle pas ?

Chacune de ces limites a été relevée sur la page tarifs de l’éditeur le 20 ou le 21 octobre 2026.

Le plafond de trafic est inférieur à votre trafic

L’offre gratuite de CookieYes s’arrête à 5 000 pages vues par mois, celle de Termly à 10 000 affichages du bandeau, celle de CookieScript à 10 000 pages vues, et celles d’Usercentrics et de CookieHub à 1 000 sessions. La page de CookieHub indique que le bandeau gratuit cesse de s’afficher au-delà de la limite jusqu’à ce que vous passiez à une offre payante. Un bandeau qui disparaît pendant que les traceurs continuent de tourner est pire que pas d’outil du tout, parce qu’il donne l’apparence de la conformité.

Le registre des consentements est trop court pour prouver quoi que ce soit

L’offre gratuite de Cookie Notice and Compliance conserve 7 jours d’historique des consentements, celle de CookieHub jusqu’à 1 mois, celle de Cookiequiet 30 jours. Une plainte arrive en général des semaines ou des mois après la visite. L’offre gratuite de Cookiebot conserve les preuves jusqu’à 12 mois mais fait expirer le consentement après 1 mois au plus : les visiteurs sont donc sollicités à nouveau chaque mois. Si vous risquez de devoir prouver un choix plus tard, il vous faut un registre plus long ; voir combien de temps conserver les preuves de consentement.

Le blocage est manuel

L’offre gratuite de Cookiebot n’a que le blocage manuel : chaque script doit être marqué à la main, et une seule balise oubliée s’exécute avant le consentement. Cela convient à un développeur qui a trois scripts ; c’est risqué pour un site marketing où des balises s’ajoutent chaque mois.

Vous gérez plusieurs sites, ou avez besoin du ciblage géographique

Les offres gratuites couvrent un site ou un domaine. La plupart excluent aussi le ciblage géographique : CookieYes demande Pro (25 $ par mois), Termly Pro+ (20 $), Usercentrics Plus (15 €). Sans lui, vous choisissez entre afficher un bandeau d’opt-in à des visiteurs qui n’en ont pas besoin ou ne pas l’afficher à ceux qui en ont besoin.

Vous diffusez des annonces programmatiques en Europe

Les annonces Google AdSense, Ad Manager et AdMob affichées à des visiteurs de l’EEE, du Royaume-Uni ou de la Suisse exigent une CMP certifiée par Google qui utilise le TCF de l’IAB. Aucune offre gratuite de notre comparatif des bandeaux gratuits n’inclut le TCF.

Que laisse de côté l’offre gratuite de Cookiequiet ?

Pour être honnête sur la nôtre : l’offre gratuite de Cookiequiet couvre un site avec des pages vues illimitées, « Tout refuser », le blocage jusqu’au consentement, le blocage automatique d’environ 80 traceurs connus, Google Consent Mode v2, le ciblage géographique et un scan de 10 pages par mois. Ses limites sont un registre des consentements de 30 jours, des politiques dans une seule langue, des scans mensuels plutôt qu’hebdomadaires, et une petite mention « Bandeau cookies par Cookiequiet ». Si vous devez prouver un consentement au-delà d’un mois, Starter, à 3 € par mois ou 29 € par an, conserve le registre 1 an avec export CSV, et Pro, à 9 € par mois ou 99 € par an, le conserve 5 ans ; la page des tarifs liste le reste. L’installation est la même sur toutes les offres : une balise script placée avant vos autres scripts, sans extension ni configuration de gestionnaire de balises.

Comment vérifier votre propre bandeau ?

Ouvrez votre site dans une fenêtre de navigation privée, avant de cliquer sur quoi que ce soit, et regardez les cookies et les requêtes réseau : seuls les nécessaires doivent y figurer. Cliquez sur « Tout refuser » et rechargez : toujours rien de non essentiel. Acceptez, puis retirez votre consentement, et vérifiez que les anciens cookies cessent d’être lus. Le scanner de cookies gratuit montre ce qui se charge avant le consentement sur cinq pages au plus, sans compte. Si votre offre gratuite passe ces vérifications et que ses limites correspondent à votre trafic et à votre besoin de preuve, elle suffit.