Vérifier qu’aucun cookie n’est déposé avant le consentement

Pour vérifier que rien n’est déposé avant le consentement, ouvrez votre site dans un profil de navigateur vierge avec les outils de développement déjà ouverts, chargez la page sans toucher au bandeau, puis lisez deux panneaux : les cookies et le stockage dans l’onglet Application, et les requêtes vers des hôtes tiers dans l’onglet Network (Réseau). Seuls des éléments strictement nécessaires doivent apparaître. Cliquez ensuite sur « Tout refuser » et recommencez : rien de nouveau ne doit apparaître. Le test complet prend environ cinq minutes par page, et c’est le même contrôle que mène l’enquêteur d’un régulateur.

Pourquoi le tester vous-même ?

Parce qu’un bandeau à l’écran ne prouve rien sur les scripts qui tournent derrière. Les plus grosses amendes cookies de la CNIL, dont Shein (150 millions d’euros, décision du 1er septembre 2025) et American Express (1,5 million d’euros, décision du 27 novembre 2025), visent des cookies déposés avant que le visiteur ait choisi ou après son refus. Les gestionnaires de balises, les plugins et les extraits codés en dur ajoutés par quelqu’un d’autre en sont la cause habituelle, et ils changent sans que personne ne touche au bandeau.

Que cherchez-vous ?

Trois types d’indices, car l’article 5, paragraphe 3, de la directive ePrivacy couvre le stockage et la lecture d’informations sur l’appareil, pas seulement les cookies :

• Les cookies de mesure d’audience et de publicité : des noms comme _ga, _gcl_au, _fbp, _uetsid ou _uetvid, et des cookies tiers sur des domaines publicitaires.
• Les entrées de local storage et de session storage écrites par des traceurs.
• Les requêtes vers des hôtes de suivi : points de collecte de mesure d’audience, pixels publicitaires, enregistreurs de session. Les lignes directrices du CEPD sur le champ technique de l’article 5, paragraphe 3, considèrent que les pixels de suivi et les techniques similaires sont couverts aussi.

Ce qui peut être présent avant un choix : le cookie de consentement lui-même, un cookie de session, un cookie de répartition de charge ou de sécurité, un panier. Ils sont strictement nécessaires à un service demandé par le visiteur.

Comment préparer le navigateur ?

Utilisez un profil de navigateur neuf, ou effacez d’abord les données du site (Chrome : Application, Storage, Clear site data). Une fenêtre de navigation privée convient pour les cookies internes, mais notez que le mode navigation privée de Chrome bloque les cookies tiers par défaut, et que Safari les bloque dans toutes les fenêtres, donc une fenêtre privée peut masquer précisément les cookies que vous cherchez. L’onglet Network montre les requêtes dans tous les cas, et c’est pourquoi il fournit l’indice le plus fiable.

Ouvrez les DevTools avant de charger la page (F12, ou Cmd+Option+I sur Mac). Dans le panneau Network, cochez Preserve log pour que les requêtes survivent aux rechargements, et Disable cache pour vous comporter comme un premier visiteur.

Comment mener le test ?

Suivez les étapes numérotées sous l’article ; voici ce qu’il faut regarder dans chaque panneau.

Application, Storage, Cookies. Chrome liste les cookies par origine avec Name, Value, Domain, Path, Expires / Max-Age, HttpOnly, Secure et SameSite. Sélectionnez l’origine de votre site et lisez les noms. Vérifiez chaque origine de la liste : les cookies tiers apparaissent sous les cadres qui les déposent. Regardez ensuite Local storage et Session storage dans le même panneau. Dans Firefox, l’onglet Storage montre les mêmes informations.

Network. Sous la barre de filtres, ouvrez More filters et cochez 3rd-party requests pour n’afficher que les requêtes vers d’autres origines. Cherchez les hôtes de mesure d’audience et de publicité : google-analytics.com, googletagmanager.com, doubleclick.net, facebook.com, connect.facebook.net, bat.bing.com, clarity.ms, hotjar.com, analytics.tiktok.com. Cliquez sur une requête et ouvrez son onglet Cookies pour voir les cookies qu’elle envoie ou dépose.

Console. Taper document.cookie liste les cookies lisibles par les scripts (pas ceux en HttpOnly). Si votre bandeau marque les scripts bloqués avec type="text/plain", document.querySelectorAll('script[type="text/plain"]') montre les balises qui attendent le consentement.

Comment lire les résultats ?

La ligne Consent Mode mérite un mot. En mode avancé, les balises Google se chargent avec un consentement refusé et envoient des mesures sans cookies ; c’est le fonctionnement prévu par Google, et savoir si ces pings sont acceptables avant le consentement est une question pour votre autorité de contrôle. Si vous ne voulez rien envoyer à Google avant un choix, utilisez le mode basique, comme décrit dans le guide Consent Mode.

Que faire quand quelque chose fuit ?

Trouvez d’où vient la balise : le code source de la page (codée en dur), le gestionnaire de balises (un déclencheur sur l’affichage de la page), un plugin du CMS, ou un script qui en charge un autre. Bloquez-la ensuite : marquez la balise script pour qu’elle attende sa catégorie, déplacez les URL des contenus embarqués dans un attribut de remplacement, ou changez le déclencheur du gestionnaire de balises pour un événement de consentement. Bloquer les scripts avant consentement détaille les quatre méthodes. Refaites le test après chaque correction.

À quelle fréquence le refaire ?

Après chaque changement dans le gestionnaire de balises, chaque nouveau plugin ou contenu embarqué, chaque mise à jour du thème, et au moins une fois par mois sur les gabarits principaux : l’accueil, un article, une fiche produit, le tunnel de commande, une page avec un formulaire. Ajoutez le test à la checklist d’audit cookies. Gardez une capture d’écran datée de chaque panneau ; c’est une preuve utile si une plainte arrive.

Un scanner peut-il le faire à votre place ?

En partie. Un scanner parcourt plus de pages que vous n’en testerez à la main et nomme les fournisseurs qu’il trouve. Le scanner de cookies gratuit de Cookiequiet vérifie 5 pages sans compte, lit les scripts, les iframes et les en-têtes Set-Cookie, et détecte la présence de Consent Mode et d’un autre outil de consentement. Sa limite : il lit le HTML sans exécuter le JavaScript (sauf si l’option de HTML rendu est configurée), donc les cookies déposés uniquement par des scripts sont listés d’après sa base de fournisseurs plutôt qu’observés. Le test DevTools ci-dessus est ce qui confirme le comportement dans un vrai navigateur. Si le test révèle des fuites, l’installation de Cookiequiet tient en une balise script placée avant vos autres scripts, avec « Tout refuser » activé par défaut, Consent Mode v2 activé dans l’extrait que vous donne le tableau de bord, et un bloqueur automatique qui retient environ 80 traceurs connus jusqu’au consentement.