Un audit de cookies consiste à identifier, classer et documenter tous les cookies et traceurs que votre site dépose réellement. C'est la première étape de toute mise en conformité RGPD : sans savoir ce que fait vraiment votre site, impossible de rédiger une politique de cookies fiable, de configurer correctement votre bandeau ou de démontrer votre conformité lors d'un contrôle. Ce guide détaille la méthode complète, le fonctionnement des scanners, les outils à utiliser, la lecture des résultats et les erreurs qui rendent un audit inutile.
Qu'est-ce qu'un audit de cookies ?
Un audit de cookies est l'inventaire technique de tous les cookies et traceurs déposés sur le terminal d'un visiteur pendant sa navigation. Il couvre les cookies first-party (émis par votre propre domaine), les cookies third-party (émis par des services intégrés comme Google Analytics, le Meta Pixel, un outil de chat ou un lecteur vidéo) et les technologies équivalentes, comme les entrées localStorage et sessionStorage ou les pixels de suivi, soumises aux mêmes règles.
Lister des noms de cookies ne suffit pas. Un audit utile répond à trois questions :
- Quels traceurs sont présents ? Nom, domaine, durée de vie et script déclencheur de chacun.
- Qui les dépose ? Votre site ou un tiers, et dans quel but.
- Sont-ils bloqués avant consentement ? Les traceurs non essentiels ne doivent pas s'exécuter tant que le visiteur n'a pas accepté.
Un audit complet produit la liste des cookies actifs avec leur classification RGPD (strictement nécessaires, mesure d'audience, publicité, personnalisation ou réseaux sociaux), une vérification du comportement avant consentement et après refus, et une documentation suffisante pour rédiger votre politique de cookies et répondre à la CNIL.
Pourquoi auditer les cookies de votre site ?
Une obligation légale. Le RGPD et la directive ePrivacy n'autorisent les cookies non essentiels qu'après consentement. Si vous ignorez quels cookies sont actifs, vous ne pouvez pas garantir le respect de cette règle. Le niveau d'exigence est fixé par les conditions de validité du consentement RGPD : le consentement doit être obtenu avant que le traceur ne s'exécute, et seul un audit permet de savoir si le vôtre est valable.
Une information exacte. Sans audit, rien ne garantit que votre politique de cookies reflète la réalité. Un écart entre les cookies documentés et ceux réellement déposés constitue un manquement à l'obligation d'information du RGPD.
Une CMP efficace. Une plateforme de gestion du consentement ne bloque que ce qu'elle connaît. Chaque service absent de sa configuration est un traceur qui part sans consentement. C'est l'une des non-conformités les plus souvent relevées lors des contrôles de la CNIL : des scripts de mesure d'audience ou publicitaires qui s'exécutent dès le chargement de la page, avant toute interaction avec le bandeau cookies.
Une preuve en cas de contrôle. La CNIL attend des éditeurs qu'ils connaissent précisément les traceurs présents sur leur domaine. Un inventaire daté et à jour est souvent le premier document demandé.
Quand réaliser un audit de cookies ?
Les cookies d'un site évoluent en permanence. Chaque nouveau script tiers (outil de mesure, pixel publicitaire, widget de chat, lecteur vidéo) peut ajouter des traceurs sans que vous en soyez informé. Lancez un audit :
- avant de configurer ou de remplacer une CMP ;
- après l'installation d'un plugin, d'une application ou d'un script tiers ;
- lors d'un changement de thème, de plateforme ou d'outil de création de site ;
- lors d'une refonte ;
- régulièrement : tous les 3 à 6 mois pour un site actif, et après toute modification faite par une équipe marketing.
Comment fonctionne un scanner de cookies ?
Un scanner de cookies charge vos pages dans un navigateur automatisé (headless), simule un visiteur et enregistre tout ce qui est déposé dans le navigateur : au chargement initial, après l'exécution des scripts et, selon l'outil, après une acceptation ou un refus simulé. Le résultat est un inventaire indiquant pour chaque cookie son nom, son domaine, sa finalité probable, sa durée de vie et le script qui l'a déclenché.
Ce que le scan détecte
Un bon scanner identifie les cookies first-party, les cookies third-party (google-analytics.com, facebook.com, doubleclick.net, etc.), les cookies de session (supprimés à la fermeture du navigateur), les cookies persistants (conservés jusqu'à expiration), les entrées de stockage du navigateur et les pixels de suivi. Il signale aussi les traceurs qui se déclenchent avant consentement.
Les limites d'un scan automatique
Un scan ne couvre pas 100 % des cas. Certains cookies n'apparaissent que sur des parcours précis (paiement, espace membre, tunnel de conversion), derrière une connexion ou pour des visiteurs de certains pays. Un audit sérieux combine plusieurs scans et quelques vérifications manuelles.
Scan d'inventaire ou scan avec refus du consentement
Il existe deux types de scans, et ils ne répondent pas à la même question. Un scan d'inventaire charge la page et liste ce qu'il trouve, souvent après avoir tout accepté ou sans toucher au bandeau. Il vous dit ce qui existe sur le site. Un scan avec refus clique sur « Tout refuser » (ou n'interagit avec rien) et enregistre ce qui s'exécute malgré tout. Il vous dit si votre bandeau est respecté, et c'est exactement ce que vérifie une autorité de contrôle.
La différence n'est pas théorique. Sur Webflow ou Shopify, par exemple, un identifiant Google Analytics saisi dans les paramètres du site ou dans une application de canal de vente peut charger Analytics hors du contrôle du bandeau. Un scan d'inventaire signale le cookie GA et passe à la suite ; un scan avec refus montre qu'il se déclenche même quand l'internaute a dit non. Pour un vrai audit, faites les deux.
Ce qu'aucun scan de navigateur ne voit
Un scanner ne voit que ce qui se passe dans le navigateur. Les données envoyées depuis votre serveur vers un outil de mesure ou une régie, par exemple via un conteneur Google Tag Manager côté serveur ou une API de conversions, n'apparaissent jamais dans une liste de cookies, et elles exigent pourtant une base légale. Notre article sur le server-side tagging et son impact sur le consentement explique comment intégrer ces flux à votre audit. Les outils sans cookies ne sont pas non plus exemptés d'office : voir notre guide de l'analytics sans cookies.
Quels outils utiliser pour auditer les cookies ?
Les outils de développement du navigateur. Chrome DevTools ou les outils de développement de Firefox affichent les cookies d'une page (onglet Application > Cookies) et les requêtes envoyées (onglet Réseau). Parfait pour un diagnostic rapide ou pour confirmer un constat, mais il faut contrôler chaque page à la main.
Les extensions de navigateur. Des extensions comme Cookie Editor facilitent la visualisation et l'export des cookies d'une page. Elles restent limitées à une analyse page par page.
Les scanners en ligne. Le scanner de cookies gratuit de FlowConsent ouvre l'adresse que vous indiquez dans un vrai navigateur, relève chaque cookie, entrée de stockage, script tiers et pixel de suivi, puis vous remet un rapport clair en 1 à 3 minutes : un score de confidentialité sur 100, chaque service identifié et classé, et la séparation entre les services soumis à consentement et ceux qui sont techniquement essentiels. Lancez-le sur chaque page clé de votre site.
Les vérificateurs des éditeurs. La plupart des plateformes de consentement proposent un vérificateur en ligne gratuit, par exemple Cookiebot, CookieYes ou Termly. Ils sont utiles pour un premier inventaire, mais vérifiez s'ils testent la page après un refus ou s'ils se contentent de lister ce qu'ils trouvent. Si vous ne savez pas encore à quoi sert une plateforme de consentement, lisez ce qu'est une CMP et comment elle fonctionne.
Les CMP. De nombreuses plateformes de gestion du consentement intègrent des fonctions de détection. Dans FlowConsent, la vérification de conformité va plus loin : elle charge vos pages en refusant le consentement et liste tout ce qui s'exécute malgré tout, c'est-à-dire exactement ce que vérifie un contrôleur.
Comment réaliser un audit de cookies : la méthode complète
Étape 1 : préparer un environnement de test propre
Travaillez dans un environnement sans cookies : une fenêtre de navigation privée ou un profil de navigateur dédié, sans cookies préalables. Vous simulez ainsi un premier visiteur. Auditer avec une session qui contient déjà des cookies et des choix de consentement fausse les résultats.
Étape 2 : scanner les pages clés
Toutes les pages ne déposent pas les mêmes cookies. Couvrez au minimum la page d'accueil, deux ou trois pages de contenu ou de catégorie, une page produit ou service, la page de contact ou de formulaire et le panier ou le paiement si vous en avez un. Incluez vos sous-domaines (app.monsite.fr, blog.monsite.fr) : chacun peut déposer ses propres cookies. Confiez l'essentiel du travail à un scanner et gardez les DevTools pour les vérifications ciblées.
Étape 3 : documenter chaque cookie
Pour chaque cookie, notez son nom, son domaine émetteur (first-party ou third-party), sa durée de conservation (session, 1 jour, 13 mois, etc.), sa finalité, le service auquel il appartient et la justification de sa présence. Attention : un cookie first-party peut être déposé par un script tiers. Le domaine ne dit pas à lui seul qui le contrôle. Si un nom ne vous dit rien, nos explications sur les cookies _ga, _gid et _gat et sur les cookies _fbp et _fbc de Meta couvrent les deux familles que vous croiserez le plus souvent.
Étape 4 : classer selon le RGPD
La classification détermine si le consentement est requis :
- Strictement nécessaires : session, panier, authentification, mémorisation du choix de consentement. Exemptés de consentement.
- Mesure d'audience : GA4, Hotjar, Matomo en configuration standard. Consentement requis, sauf outil configuré strictement pour bénéficier de l'exemption de la CNIL.
- Publicité et marketing : ciblage, reciblage, conversion (Meta Pixel, Google Ads, TikTok). Consentement requis.
- Personnalisation et réseaux sociaux : préférences, boutons de partage, widgets. Consentement requis.
Notre guide des catégories de cookies RGPD donne des exemples pour chaque groupe, et la définition des cookies et leur fonctionnement rappelle la différence entre cookies internes, tiers, de session et persistants.
Étape 5 : vérifier le comportement avant consentement et après refus
C'est l'étape la plus critique. Ouvrez le site en navigation privée et, sans toucher au bandeau, observez l'onglet Réseau et la liste des cookies : si des cookies non essentiels ou des requêtes vers des domaines de traceurs apparaissent, le blocage des scripts ne fonctionne pas. C'est une non-conformité directe.
Cliquez ensuite sur « Refuser » et parcourez quelques pages. Aucun cookie non essentiel ne doit apparaître, ni réapparaître sur la deuxième page : un choix mal mémorisé fuit souvent à ce moment-là.
Étape 6 : produire le rapport d'audit
Le rapport contient la date de l'audit, la liste des pages scannées, le tableau des cookies (nom, domaine, durée, catégorie, service, consentement requis), les non-conformités relevées (cookies chargés avant consentement, cookies absents de la politique, durées excessives) et les actions correctives. Conservez chaque version datée : cet historique démontre votre démarche de conformité.
Comment interpréter les résultats ?
L'inventaire brut ne devient exploitable qu'une fois analysé.
Vérifiez les durées de vie. La CNIL recommande une durée de vie maximale de 13 mois pour les traceurs soumis à consentement. Signalez tout ce qui dépasse et reconfigurez-le si possible ; notre guide sur la durée de conservation des cookies détaille les règles.
Traquez les cookies non documentés. Certains cookies ne correspondent à aucun service installé volontairement. Ils proviennent le plus souvent de scripts chargés en cascade : un widget de chat qui charge un pixel publicitaire, un lecteur vidéo qui dépose ses propres traceurs.
Comparez avec votre documentation. Chaque cookie actif doit figurer dans votre politique de cookies et dans la configuration de votre CMP, dans la bonne catégorie.
Les constats d'audit les plus fréquents et comment les corriger
Les mêmes services reviennent dans presque tous les audits. Pour chacun, un guide dédié détaille les cookies en cause et la configuration conforme :
- Google Analytics 4 : chargé avant consentement, ou avec un Consent Mode mal configuré. Voir si Google Analytics est conforme au RGPD et notre guide Google Tag Manager et Consent Mode.
- Meta Pixel, pixel TikTok, LinkedIn Insight Tag : des traceurs publicitaires qui doivent attendre le consentement. Lisez nos guides sur le Meta Pixel, le pixel TikTok et le pixel LinkedIn.
- Hotjar et l'enregistrement de sessions : souvent installé par une équipe produit puis oublié. Voir Hotjar et le RGPD.
- HubSpot et les outils marketing : un code de suivi qui dépose des cookies sur toutes les pages. Voir les cookies HubSpot et le RGPD.
- Google Fonts et vidéos YouTube intégrées : elles ne déposent pas toujours de cookies, mais envoient l'adresse IP du visiteur à Google dès le chargement de la page. Voir le risque Google Fonts et l'intégration YouTube nocookie.
- Matomo : il peut bénéficier de l'exemption de consentement de la CNIL, mais seulement avec une configuration stricte. Voir si Matomo impose un bandeau.
Votre outil de création de site ajoute aussi ses propres cookies et intégrations. Nos guides par plateforme détaillent les particularités de Webflow, WordPress, Shopify et Wix.
De l'audit à la preuve : documenter votre conformité
L'article 5.2 du RGPD vous rend responsable de la conformité et vous impose de pouvoir la démontrer (principe de responsabilité), et l'article 7.1 vous fait porter la charge de la preuve du consentement. Un audit n'est donc pas qu'un diagnostic : c'est une pièce justificative. Trois types de traces fonctionnent ensemble :
- Le rapport d'audit : l'inventaire daté, les pages testées, les constats et les corrections. Il montre ce que faisait votre site à une date donnée.
- La preuve de chaque consentement : horodatage, identifiant pseudonyme, choix par finalité et version du bandeau. Notre guide sur la preuve du consentement aux cookies détaille ce qu'il faut stocker et combien de temps.
- La preuve que le refus est respecté : un scan réalisé en refusant le consentement, avec les requêtes et cookies observés et une capture d'écran. C'est la pièce qui manque à la plupart des sites, et celle qui répond à la question que pose réellement la CNIL.
Conservez chaque version. Un historique d'audits, avec des problèmes relevés puis corrigés, pèse plus lourd qu'un rapport parfait produit la veille d'un contrôle. Quand la CNIL sanctionne, les manquements qu'elle relève sont ceux qu'un audit détecte : cookies déposés avant consentement, refus plus difficile que l'acceptation, information qui ne correspond pas à la réalité. Notre synthèse des sanctions de la CNIL en matière de cookies montre à quel point ces constats reviennent.
Erreurs fréquentes lors d'un audit de cookies
- Ne scanner que la page d'accueil. Beaucoup de traceurs n'apparaissent que sur les pages produit, les articles ou le paiement.
- Auditer avec une session déjà chargée en cookies. Partez toujours d'une navigation privée.
- Confondre first-party et third-party. Un script tiers peut déposer des cookies first-party.
- Oublier les sous-domaines. L'audit doit couvrir l'ensemble du domaine.
- Ne pas tester le comportement avant consentement et après refus. C'est le test le plus important pour la conformité.
- Auditer une fois et ne jamais recommencer. Une mise à jour de plugin peut ajouter des cookies sans prévenir.
- Ne pas documenter les résultats. Un audit n'a de valeur que s'il est daté et archivé.
De l'audit à la conformité : les étapes suivantes
- Mettez à jour votre politique de cookies avec l'inventaire complet : nom, éditeur, finalité et durée de vie de chaque cookie. Dans FlowConsent, la déclaration des cookies est générée à partir de vos services actifs, et une alerte liste les cookies observés par un scan que votre bandeau ne déclare pas.
- Configurez votre CMP pour bloquer les scripts non essentiels avant consentement, avec des catégories identiques à celles de votre audit.
- Alignez le Google Consent Mode v2. Si vous utilisez des balises Google, vérifiez que les signaux de consentement reflètent vos catégories. Consultez notre guide d'implémentation du Consent Mode v2 et la façon dont FlowConsent gère le Google Consent Mode.
- Supprimez ou remplacez les cookies injustifiés. Si un script dépose des cookies dont vous n'avez pas besoin, retirez-le ou passez à une alternative conforme.
- Surveillez en continu. Avec la surveillance continue de la conformité, des pages représentatives sont revérifiées automatiquement (tous les 7 jours par défaut) et vous êtes alerté le jour où une page conforme se met à fuir.
Checklist de l'audit de cookies
- Préparer un environnement propre : navigation privée ou profil dédié.
- Lister les pages à auditer : accueil, contenu, produit, formulaire, paiement, sous-domaines.
- Scanner chaque page avec un outil dédié, puis confirmer avec les DevTools.
- Documenter chaque cookie : nom, domaine, durée, catégorie, service.
- Classer selon le RGPD : strictement nécessaire (exempté) ou soumis à consentement.
- Vérifier qu'aucun cookie ni traceur non essentiel ne se déclenche avant consentement.
- Tester le comportement après refus, y compris sur une deuxième page.
- Contrôler les durées de vie (13 mois maximum pour les traceurs).
- Comparer avec la politique de cookies et la configuration de la CMP.
- Identifier les cookies tiers non documentés.
- Produire et archiver un rapport d'audit daté.
- Planifier le prochain audit (3 à 6 mois, ou après toute modification du site).
Un audit de cookies prend de 30 minutes à quelques heures selon la taille du site. Sans inventaire fiable, votre politique de cookies, votre bandeau et la configuration de votre CMP reposent sur des hypothèses ; avec un audit régulier, vous repérez les traceurs non documentés, les cookies qui se déclenchent avant consentement et les écarts entre votre documentation et la réalité. Lancez le scanner de cookies gratuit sur vos pages clés pour obtenir votre inventaire en quelques minutes.
Comment FlowConsent gère l'audit de cookies
FlowConsent couvre les trois temps de l'audit. Le scan automatique des cookies préremplit vos services et votre liste de cookies à l'installation du bandeau, et la déclaration des cookies est générée à partir d'eux. La vérification de conformité charge ensuite jusqu'à cinq pages représentatives dans un vrai navigateur depuis l'Europe en refusant le consentement, et rend un verdict par page : conforme, avertissements ou violations. Les pings Consent Mode sans cookies sont reconnus et ne comptent pas comme des fuites. Chaque vérification est archivée avec une capture d'écran et le journal des requêtes, et peut être imprimée sous forme de rapport de preuve pour votre DPO ou un auditeur. Avec la surveillance continue, les pages sont revérifiées tous les 7 jours par défaut et vous êtes alerté le jour où l'une d'elles régresse.