Cookies internes vs cookies tiers : ce que ça change pour le consentement

Un cookie interne est déposé par le domaine affiché dans la barre d’adresse ; un cookie tiers est déposé par un autre domaine dont la page charge le contenu, un serveur publicitaire ou un widget embarqué. La distinction décide quelles règles du navigateur s’appliquent et qui peut lire le cookie, et elle n’a presque aucune incidence sur la nécessité d’un consentement. La règle ePrivacy couvre le stockage ou la lecture de toute information sur le terminal du visiteur, quel qu’en soit l’auteur et quelle qu’en soit la finalité, si bien que le cookie interne _ga de Google Analytics exige un consentement tout comme un cookie publicitaire tiers. Pendant ce temps, Safari bloque les cookies tiers par défaut depuis 2020, Firefox les isole depuis 2022, et Chrome a décidé en avril 2025 de les conserver et de laisser les utilisateurs choisir.

La différence technique

Quand un navigateur charge example.com, les cookies déposés par example.com (ou par les scripts qui s’exécutent sur ses pages) sont internes : ils sont renvoyés à example.com lors des visites suivantes. Si la page charge aussi un iframe ou un pixel depuis ads.example-network.com, les cookies déposés dans cette réponse appartiennent au domaine de la régie et lui sont renvoyés depuis chaque site qui embarque son contenu. C’est ce qui les rend utiles pour le suivi d’un site à l’autre, et ce que les navigateurs restreignent désormais.

Trois choses brouillent la frontière :

• Un script tiers peut déposer un cookie interne. Google Analytics s’exécute sur votre page et écrit _ga sous votre domaine. Le pixel de Meta écrit _fbp sous votre domaine. Les données partent quand même chez Google ou Meta à chaque hit ; seul le stockage est interne.
• Le tagging côté serveur et les astuces CNAME font passer des traceurs pour internes. Un traceur servi depuis metrics.example.com qui pointe vers les serveurs d’un fournisseur est interne pour le navigateur et tiers en substance.
• Le local storage et le fingerprinting ne sont pas des cookies du tout et relèvent de la même règle de consentement. Les recommandations de l’ICO citent les cookies, les pixels de suivi, la décoration de liens, le local storage, le fingerprinting des appareils, les scripts et les balises parmi les technologies auxquelles les règles s’appliquent.

Ce que font les navigateurs aujourd’hui

Safari. En mars 2020, WebKit a annoncé le blocage complet des cookies tiers par défaut pour tous les sites, présentant Safari comme le premier navigateur grand public à le faire, et a plafonné le stockage accessible aux scripts (local storage, IndexedDB et assimilés) à sept jours d’utilisation de Safari sans interaction avec le site.

Firefox. Mozilla a déployé la protection totale contre les cookies (Total Cookie Protection) par défaut pour tous les utilisateurs de la version de bureau dans le monde en juin 2022. Elle crée un « pot à cookies » séparé pour chaque site, de sorte que les cookies d’un tiers déposés pendant que vous visitez le site A ne sont pas disponibles quand vous visitez le site B.

Chrome. Après des années de dépréciation annoncée, Google a indiqué en juillet 2024 qu’il n’abandonnerait pas les cookies tiers et laisserait plutôt les utilisateurs choisir, puis a annoncé le 22 avril 2025 qu’il conserverait son approche actuelle du choix des cookies tiers dans Chrome et ne déploierait pas de nouvelle invite dédiée ; les utilisateurs continuent de les gérer dans les paramètres de confidentialité de Chrome.

Résultat : le cookie de suivi inter-sites est mort dans deux des trois grands navigateurs et vivant par défaut dans celui qui a la plus grande part de marché. La publicité s’est tournée vers les données internes, le tagging côté serveur et la mesure modélisée, et c’est pourquoi les cookies internes comptent davantage, pas moins, pour le consentement.

Ce que regarde la loi

L’article 5, paragraphe 3, de la directive ePrivacy ne parle ni de cookies internes ni de cookies tiers. Il n’autorise le stockage ou l’accès à des informations sur le terminal qu’avec consentement, sauf pour ce qui est strictement nécessaire à un service demandé par l’utilisateur. La question est donc la finalité du cookie, pas son domaine :

Deux conséquences pour un bandeau. D’abord, les catégories doivent être organisées par finalité (nécessaires, fonctionnels, mesure d’audience, marketing), avec la mention interne ou tiers dans le tableau des cookies par transparence, pas comme fondement d’une exemption. Ensuite, « nous n’utilisons que des cookies internes » n’est pas une déclaration de conformité ; « nous n’utilisons que des cookies strictement nécessaires » en est une.

Ce que cela signifie pour le blocage

Parce que le stockage est souvent interne, le blocage porte sur les scripts, pas sur les domaines des cookies. Un bandeau qui ne supprimerait que les cookies tiers laisserait Google Analytics et le pixel Meta s’exécuter. L’approche qui fonctionne consiste à arrêter les scripts eux-mêmes jusqu’au consentement : marquer les balises, retenir les contenus embarqués, intercepter les traceurs créés dynamiquement, comme l’explique le guide du blocage des scripts. En cas de refus, rien de non nécessaire ne s’exécute, donc aucun cookie, interne ou tiers, n’est écrit.

Ce que cela signifie pour la mesure d’audience

Le déclin du cookie tiers n’a pas touché la mesure d’audience, qui a toujours été interne. Ce qui compte pour la mesure d’audience, c’est de savoir si l’outil sert uniquement l’éditeur et produit des statistiques anonymes, ce qui est le test de l’exemption de consentement française, ou s’il alimente les systèmes publicitaires d’un fournisseur, ce qui est la raison pour laquelle Google Analytics 4 exige un consentement. La mesure d’audience sans consentement détaille les conditions.

Lire votre propre site

Un scan liste chaque cookie avec son hôte et son caractère interne ou tiers, ainsi que le script ou l’iframe qui l’a déposé ; le scanner de cookies le fait sur cinq pages au plus, sans compte. L’onglet Application des outils de développement montre la même chose en direct, avec la colonne du domaine qui répond à la question interne ou tiers et la colonne de la finalité laissée à votre soin. C’est cette seconde colonne qui intéresse la loi.