Vidéos YouTube et consentement aux cookies : charger la vidéo après le clic

Un lecteur YouTube intégré est une iframe tierce : dès que la page se charge, le navigateur du visiteur demande le lecteur à Google, lui envoie l’adresse IP et laisse Google stocker ce qu’il stocke. Au regard des règles ePrivacy, c’est une opération de stockage et d’accès qui nécessite un consentement sauf si elle est strictement nécessaire, et une vidéo sur une page marketing ne l’est pas. La solution consiste à garder l’iframe vide tant que le visiteur n’a pas consenti à la catégorie du contenu embarqué, et à afficher un bloc de remplacement en attendant. Le domaine youtube-nocookie.com réduit ce que Google fait de la lecture ; il ne supprime pas la requête vers Google.

Ce que fait et ne fait pas le mode de confidentialité avancé

La page d’aide de YouTube sur l’intégration décrit un mode de confidentialité avancé, activé en remplaçant le domaine d’intégration https://www.youtube.com par https://www.youtube-nocookie.com. La description de Google est précise : ce mode « empêche que les vues de contenus YouTube intégrés influencent l’expérience de navigation du spectateur sur YouTube », et les annonces diffusées dans ce mode ne sont pas personnalisées. Il n’est disponible que pour les lecteurs intégrés sur des sites web.

Lisez ce qu’elle ne dit pas. Elle ne dit pas qu’aucune donnée n’est envoyée à Google, et le lecteur est toujours chargé depuis les serveurs de Google, donc l’adresse IP et la page sont connues de Google avant toute lecture. Considérez le mode de confidentialité avancé comme une valeur par défaut raisonnable pour chaque intégration, et conditionnez quand même le chargement au consentement pour les visiteurs des pays à consentement. La task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) a rappelé la règle de base dans son rapport de 2023 : par défaut, aucun cookie soumis à consentement ne peut être déposé sans consentement, et le consentement doit être exprimé par une action positive.

Quelle catégorie ?

Il n’existe pas de tableau officiel des catégories pour les contenus embarqués. La base de fournisseurs de Cookiequiet classe les intégrations YouTube en marketing parce que les données rejoignent l’écosystème publicitaire de Google, et les lecteurs Vimeo en fonctionnel. Vous pouvez remplacer la catégorie par intégration avec data-cq-category. Quel que soit votre choix, décrivez-le de la même façon dans la politique de cookies, et rappelez-vous que « fonctionnel » exige toujours un consentement ; seul « nécessaire » s’exécute sans demander.

Le balisage

Déplacez l’URL de src vers data-cq-src. L’iframe reste vide jusqu’à ce que la catégorie soit accordée, puis l’URL est rétablie et le lecteur se charge :

html
<div class="video">
  <iframe data-cq-src="https://www.youtube-nocookie.com/embed/VIDEO_ID"
    data-cq-category="marketing" width="560" height="315"
    title="How the product works" allowfullscreen loading="lazy"></iframe>
  <p class="video-placeholder">
    This video is hosted by YouTube and loads after you accept marketing cookies.
    <button type="button" data-cq-show-preferences>Open cookie settings</button>
  </p>
</div>

L’attribut data-cq-show-preferences ouvre le centre de préférences au clic ; un lien vers #cq-preferences fait de même. Dès que le visiteur accepte la catégorie, le lecteur se charge sans rechargement. Pour masquer le bloc de remplacement quand la vidéo est active, écoutez le consentement en quelques lignes de script :

js
window.addEventListener('cq:consent', function (e) {
  if (e.detail.categories.indexOf('marketing') >= 0) {
    document.querySelectorAll('.video-placeholder').forEach(function (p) { p.hidden = true; });
  }
});

Le même schéma fonctionne pour Google Maps, Vimeo, Spotify, SoundCloud, Calendly, Typeform et toute autre iframe.

Que mettre dans la politique de cookies

Un contenu embarqué est un tiers, il a donc sa place dans le tableau des cookies comme un script. Listez YouTube (Google) dans la catégorie que vous avez choisie, avec la finalité (« lit des vidéos hébergées par YouTube ; YouTube peut stocker des identifiants et mesurer la lecture »), le pays de traitement et un lien vers la politique de confidentialité de Google. Si vous utilisez le mode de confidentialité avancé, dites-le, et décrivez ce qu’il fait avec les mots de Google plutôt que de promettre qu’aucune donnée n’est collectée. Le scanner détecte YouTube, Vimeo et les autres lecteurs par l’URL de leurs iframes et les ajoute au tableau avec leur fiche fournisseur, pour que la politique reste en phase avec les pages.

Les alternatives qui évitent la question

Pour une poignée de vidéos courtes, héberger les fichiers vous-même et utiliser l’élément HTML <video> supprime entièrement le tiers : pas de consentement, pas de bloc de remplacement, pas de ligne dans le tableau. La contrepartie est la bande passante et l’absence de streaming adaptatif, ce qui compte pour les vidéos longues ou populaires. Un compromis consiste à garder YouTube pour l’hébergement et à afficher une image d’aperçu interne avec un bouton de lecture ; le lecteur n’est inséré, avec consentement, que quand le visiteur clique. Quel que soit votre choix, la règle est la même : rien du tiers avant une action positive du visiteur.

Les miniatures et l’adresse IP

Un bloc de remplacement qui affiche la miniature de la vidéo depuis img.youtube.com envoie l’adresse IP du visiteur à Google exactement comme le lecteur le ferait. Si vous voulez une image d’aperçu, hébergez-la vous-même : téléchargez la miniature une fois et servez-la depuis votre propre domaine, ou utilisez un visuel neutre avec le titre. Tout l’intérêt du blocage est que rien n’atteigne Google avant le clic.

Les contenus embarqués créés par un CMS ou un plugin

WordPress, Webflow, Squarespace et la plupart des constructeurs de pages insèrent l’iframe pour vous, avec un src ordinaire. Deux options : un plugin ou un réglage qui produit data-cq-src à la place (certaines plateformes appellent cela une intégration « différée » ou « soumise au consentement »), ou le bloqueur automatique, qui intercepte les iframes créées en JavaScript dont l’URL correspond à un fournisseur connu, YouTube compris, et les retient jusqu’au consentement. Le bloqueur automatique attrape les iframes créées après le chargement de la page ; une iframe écrite directement dans le HTML rendu côté serveur avec un src se charge avant qu’un script puisse agir, donc pour celles-là le changement d’attribut est la seule correction fiable. Les guides par plateforme indiquent l’approche dont chaque CMS a besoin.

Les visiteurs hors des pays à consentement

Si le ciblage géographique est réglé pour n’afficher le bandeau que dans les pays réglementés, les visiteurs d’ailleurs ont toutes les catégories accordées et les contenus embarqués se chargent immédiatement. Les visiteurs des États américains dotés d’une loi d’opposition voient l’avis d’opposition, et les contenus se chargent sauf si le visiteur s’est opposé ou envoie un signal Global Privacy Control. Rien ne change dans le balisage ; la barrière s’ouvre, tout simplement.