Migrer de OneTrust vers Cookiequiet

Passer le consentement aux cookies d’un site de OneTrust à Cookiequiet consiste à retirer le script stub de OneTrust et sa fonction OptanonWrapper, à ajouter une balise script Cookiequiet en premier dans le head, à convertir les balises que vous bloquiez avec des classes optanon-category-C000X vers l’attribut data-cq-category de Cookiequiet, à renommer data-src en data-cq-src sur les iframes bloquées, et à faire pointer le bouton « Cookie Settings » vers le nouveau centre de préférences. Une vérification passe avant tout : si OneTrust est votre CMP IAB TCF pour des annonces Google AdSense, Ad Manager ou AdMob en Europe, restez sur une CMP certifiée pour ces annonces, car Cookiequiet n’en est pas une.

Faut-il changer ?

OneTrust est une vaste plateforme de conformité. Les sites qui ne l’utilisent que pour un bandeau cookies sur un ou quelques sites constatent souvent qu’un outil plus léger couvre le même terrain : blocage jusqu’au consentement, Google Consent Mode v2, centre de préférences, registre des consentements et politique de cookies. Cookiequiet est gratuit pour un site et coûte 3 € par site et par mois sur Starter, sans limite de pages vues ; le calculateur de coût compare les totaux pour vos sites et votre trafic, et la page de comparaison liste les différences.

Restez sur une CMP TCF si vous diffusez des annonces programmatiques à des visiteurs de l’EEE, du Royaume-Uni ou de Suisse. Google y exige, pour AdSense, Ad Manager et AdMob, une CMP certifiée par Google et intégrée à l’IAB TCF, et Cookiequiet n’est pas une CMP certifiée par Google pour le TCF. Le TCF pour les éditeurs explique quand cela s’applique.

Comment les groupes de OneTrust se correspondent-ils ?

OneTrust identifie les catégories de cookies par des identifiants de groupe. Sa documentation utilise C0002 pour les cookies de performance, C0003 pour les cookies fonctionnels et C0004 pour les cookies de ciblage ; dans la plupart des configurations, C0001 correspond aux cookies strictement nécessaires et C0005 aux réseaux sociaux, mais vérifiez les identifiants sous Categorizations dans votre administration OneTrust, car les groupes personnalisés reçoivent d’autres identifiants.

Le groupe performance de OneTrust contient des outils de mesure d’audience comme Google Analytics, c’est pourquoi il correspond à la mesure d’audience plutôt qu’aux fonctionnels.

Qu’est-ce qui change dans le balisage ?

L’article de OneTrust sur la gestion des cookies côté client décrit la réécriture du type JavaScript : le script reçoit type="text/plain" et une classe qui nomme son groupe, et OneTrust l’active après le consentement. Plusieurs groupes peuvent figurer dans une même classe, comme optanon-category-C0002-C0003-C0004. Cookiequiet ne lit pas la classe, donc ajoutez son propre attribut et retirez la classe :

Un script bloqué pour OneTrust :

html
<script type="text/plain" class="optanon-category-C0002"
  src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Le même script pour Cookiequiet :

html
<script type="text/plain" data-cq-category="analytics"
  src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Pour une balise rattachée à plusieurs groupes, choisissez le plus strict (marketing si C0004 ou C0005 en fait partie), car Cookiequiet utilise une catégorie par balise.

Pour les iframes, OneTrust déplace l’URL dans data-src et ajoute la classe du groupe. Cookiequiet lit data-cq-src :

html
<iframe data-cq-src="https://www.youtube-nocookie.com/embed/VIDEO_ID"
  data-cq-category="marketing" title="Video"></iframe>

Les scripts que le blocage automatique de OneTrust retenait sans balisage sont couverts par le bloqueur automatique de Cookiequiet quand l’hôte fait partie des quelque 80 traceurs de sa base de fournisseurs ; marquez le reste à la main, comme décrit dans bloquer les scripts avant consentement.

Que faut-il rebrancher d’autre ?

• Le bouton des paramètres. OneTrust ouvre son centre de préférences depuis les éléments portant la classe ot-sdk-show-settings (souvent le bouton d’id ot-sdk-btn). Remplacez-le par un élément portant data-cq-show-preferences, ou par un lien vers #cq-preferences.
• OptanonWrapper et les événements OneTrust. Le code placé dans OptanonWrapper, ou qui écoute OneTrustGroupsUpdated, doit écouter l’événement cq:consent sur window ou utiliser window.Cookiequiet.on(callback) ; window.Cookiequiet.get() renvoie le choix mémorisé.
• Google Tag Manager. Les déclencheurs construits sur les variables dataLayer de OneTrust (les groupes actifs) passent sur l’événement cq_consent et ses indicateurs cq_analytics, cq_marketing et cq_functional. Les balises Google reçoivent leurs signaux de Consent Mode, que l’extrait Cookiequiet du tableau de bord règle avec data-consent-mode="1" ; voir le guide Consent Mode.
• Les enregistrements. Exportez les enregistrements de consentement que conserve OneTrust avant de fermer le compte ; ils prouvent les choix faits sous l’ancien bandeau.

Retirer OneTrust

La documentation de OneTrust présente son chargeur comme un script servi depuis l’emplacement CDN de votre compte OneTrust et se terminant par otSDKStub.js, avec un attribut data-domain-script contenant l’identifiant de votre domaine, suivi d’une fonction OptanonWrapper vide. Retirez les deux, ainsi que le script de blocage automatique si vous l’aviez activé, dans la même mise en production que celle qui ajoute l’extrait Cookiequiet à leur place. Les cookies propres à OneTrust (comme OptanonConsent et OptanonAlertBoxClosed) cessent d’être déposés et expirent d’eux-mêmes.

Après le changement

Dans une fenêtre de navigation privée, confirmez qu’aucune requête de mesure d’audience ou de publicité n’est envoyée avant un choix, rien de nouveau après « Tout refuser », et tout après « Tout accepter ». Un scan doit montrer Cookiequiet comme seul outil de consentement et Consent Mode détecté. L’installation tient en une balise script avant vos autres scripts, avec « Tout refuser » activé par défaut et le tableau des cookies rempli à partir du scan ; Starter ajoute un registre des consentements conservé un an avec export CSV, de nouveaux scans hebdomadaires et un domaine supplémentaire, et Pro conserve le registre cinq ans avec jusqu’à 5 domaines supplémentaires (voir les tarifs).