Checklist d’audit cookies : trouver chaque cookie et traceur de votre site

Un audit cookies répond à quatre questions pour chaque élément stocké sur l’appareil de vos visiteurs : qu’est-ce que c’est, qui le dépose, pourquoi, et attend-il le consentement. Le résultat est un tableau que vous pouvez coller dans votre politique de cookies et une liste de corrections. Vous pouvez le faire en un après-midi avec les outils de développement d’un navigateur et un scanner, et vous devez le refaire à chaque changement du site, parce que les balises ajoutées par un gestionnaire de balises ou une mise à jour de plugin sont la façon dont la plupart des sites glissent hors de la conformité.

Pourquoi auditer, et pourquoi régulièrement

La task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) a relevé en 2023 que les caractéristiques des cookies changent régulièrement, ce qui empêche toute liste stable de cookies « essentiels », et que les propriétaires de sites sont responsables de tenir la liste des cookies qu’ils utilisent et de démontrer pourquoi chacun de ceux qu’ils qualifient d’essentiels l’est vraiment. Le rapport observe aussi que les outils de scan disponibles listent les cookies déposés mais ne peuvent pas dire à quoi ils servent ; cette partie vous revient.

Trois amendes récentes de la CNIL découlent de faits qu’un audit aurait repérés : Shein (150 millions d’euros, septembre 2025) déposait des cookies publicitaires dès l’arrivée des visiteurs, avant toute interaction avec le bandeau ; Condé Nast (750 000 €, novembre 2025) présentait des cookies comme « strictement nécessaires » sans information utile sur leurs finalités et continuait à déposer des cookies après « Tout refuser » ; Orange (50 millions d’euros, novembre 2024) continuait à lire des cookies après le retrait du consentement, ce qui est interdit selon la CNIL même quand les données ne sont jamais utilisées.

La checklist

1. Inventaire

• Les cookies déposés par en-têtes HTTP (visibles dans l’onglet Réseau, Set-Cookie) et par JavaScript (visibles dans l’onglet Application).
• Les entrées de local storage, de session storage et d’IndexedDB. Les règles couvrent tout stockage sur l’appareil, pas seulement les cookies.
• Chaque script tiers, y compris ceux injectés par Google Tag Manager ou un plugin.
• Les iframes : lecteurs vidéo, cartes, widgets de réservation, formulaires de paiement, flux sociaux.
• Les pixels de suivi (requêtes d’images vers des hôtes publicitaires) et les beacons.
• Les requêtes de polices et de CDN vers des hôtes tiers : ce ne sont pas des cookies, mais elles transmettent l’adresse IP du visiteur. Voir le guide Google Fonts.

Capturez l’inventaire trois fois : dans une fenêtre de navigation privée vierge avant de toucher au bandeau, après « Tout refuser », et après « Tout accepter ». Faites-le sur la page d’accueil et sur les pages qui diffèrent : une page produit, un tunnel de commande, un article de blog avec des contenus embarqués, un formulaire de contact.

2. Attribution

Pour chaque élément, notez le fournisseur (votre propre site, Google, Meta, un éditeur de chat), la finalité en une phrase qu’un visiteur comprendrait, et la durée. L’arrêt Planet49 de la CJUE a fait de la durée et de l’accès par des tiers une partie de l’information que vous devez au visiteur.

3. Classement

Classez chaque élément en nécessaire, fonctionnel, mesure d’audience ou marketing. Soyez strict avec « nécessaire » : session, panier, sécurité, répartition de charge, le choix de consentement lui-même, et pas grand-chose d’autre. La mesure d’audience n’est pas nécessaire. Un widget de chat qui se charge sur chaque page ne l’est pas non plus, si utile soit-il.

4. Comportement avant le consentement

Rien des groupes non nécessaires ne peut s’exécuter avant le choix du visiteur. Si la capture « avant tout clic » montre un cookie _ga, une requête Meta Pixel ou une iframe YouTube, le bandeau est décoratif. La correction est dans le guide sur le blocage des scripts.

5. Comportement après le refus et le retrait

Après « Tout refuser », la capture doit ressembler à la capture « avant ». Après avoir accepté puis retiré le consentement depuis le centre de préférences, les cookies existants doivent cesser d’être lus ; les supprimer est la façon propre d’en être sûr.

6. Le bandeau lui-même

• « Tout accepter » et « Tout refuser » au premier niveau, de même taille (voir le guide sur le bouton Tout refuser).
• Aucune catégorie optionnelle précochée.
• Les finalités expliquées, les tiers nommés ou accessibles dans un second niveau clairement signalé.
• Un moyen de rouvrir les préférences depuis chaque page.
• Utilisable au clavier et avec un lecteur d’écran.

7. Information et enregistrements

• La politique de cookies correspond à l’inventaire : mêmes noms, mêmes fournisseurs, mêmes durées.
• La politique de confidentialité liste les sous-traitants et les transferts.
• Chaque choix est enregistré avec un horodatage, la version du bandeau et les catégories, pour pouvoir le montrer plus tard. Voir combien de temps conserver les preuves de consentement.

8. Calendrier

Mettez un rappel dans l’agenda : après chaque changement du gestionnaire de balises, chaque nouveau plugin, chaque refonte, et au moins tous les quelques mois quoi qu’il arrive.

Un tableau à remplir

Les deux dernières colonnes sont celles qui comptent pour la conformité. Tout « oui » sur une ligne non nécessaire est un constat à corriger.

Les outils qui aident

Un scanner fait l’inventaire plus vite qu’en cliquant de page en page. Le scanner Cookiequiet gratuit parcourt jusqu’à cinq pages sans compte, liste les scripts, iframes, feuilles de style, beacons et en-têtes Set-Cookie, nomme les fournisseurs qu’il reconnaît, et vous dit si un outil de consentement et Consent Mode sont déjà présents. Il lit le HTML tel qu’il est servi, sans exécuter le JavaScript sauf si l’option HTML rendu est configurée, donc les cookies déposés uniquement par des scripts sont listés d’après sa base de fournisseurs plutôt qu’observés ; la passe avec les outils de développement décrite plus haut complète le tableau. Comment fonctionne le scanner explique ce qu’il peut et ne peut pas voir.