Qu'est-ce qu'une plateforme de gestion du consentement ?
Une plateforme de gestion du consentement est un logiciel qui recueille, conserve et applique les choix des visiteurs concernant les cookies et autres traceurs. La partie visible, c'est le bandeau cookies et son panneau de paramétrage. La partie invisible fait le vrai travail : elle empêche les scripts d'analyse, de publicité et de réseaux sociaux de s'exécuter tant que le visiteur n'a pas accepté, ne libère que les catégories acceptées, transmet le choix aux balises et tient un registre que vous pouvez présenter à la CNIL. Pour une définition complète avec des exemples, lisez notre article CMP cookies : définition et fonctionnement.
Une CMP n'est donc pas un simple élément graphique. Elle se place entre votre site et chaque outil tiers qui veut déposer des cookies. Si vous cherchez une plateforme de gestion du consentement pensée pour les PME et les sites de taille moyenne, FlowConsent en est une, et les critères ci-dessous vous aideront à la comparer aux autres.
Le bandeau affiché par la CMP a ses propres exigences légales (finalités dès le premier niveau, boutons « Accepter » et « Refuser » équivalents, retrait possible à tout moment). Notre guide complet du bandeau cookies conforme les détaille. Cet article se concentre sur l'outil qui se trouve derrière.
Pourquoi utiliser une CMP ?
Vous pouvez coder un bandeau cookies vous-même. Certains développeurs le font, avec quelques lignes de JavaScript et un cookie qui mémorise le choix. La difficulté n'est pas le bandeau, c'est tout ce qui l'entoure :
- Le blocage. Chaque script qui dépose des cookies non essentiels doit attendre le consentement, y compris les balises ajoutées plus tard par l'équipe marketing et les contenus intégrés comme YouTube ou Google Maps.
- Les signaux. Google Ads et GA4 attendent des signaux Consent Mode v2. Les régies publicitaires qui utilisent le cadre de l'IAB attendent une chaîne TCF.
- La preuve. Le RGPD impose de pouvoir démontrer le consentement (article 7.1). Il faut donc un registre horodaté et fiable, pas un cookie dans le navigateur du visiteur.
- La maintenance. Les traceurs changent, les autorités mettent à jour leurs recommandations, de nouvelles langues et de nouveaux sites apparaissent.
Une CMP prend en charge ces tâches comme un produit. Un bandeau fait maison fonctionne jusqu'au jour où quelqu'un ajoute une balise sans prévenir le développeur.
Il y a aussi un enjeu commercial. Depuis mars 2024, Google exige le Consent Mode v2 pour continuer à utiliser ses fonctions de mesure et de personnalisation auprès des utilisateurs de l'Espace économique européen. Et depuis janvier 2024, les éditeurs qui diffusent des annonces via AdSense, Ad Manager ou AdMob dans l'EEE et au Royaume-Uni doivent utiliser une CMP certifiée par Google et intégrée au TCF de l'IAB. Si vous dépendez de la publicité Google, le choix de la CMP touche directement vos revenus ou vos données de campagne.
Ce que fait une CMP, et ce qu'elle ne fait pas
Ce qu'une bonne CMP doit faire
- Afficher un bandeau et un panneau de paramétrage conformes, dans les langues de votre site.
- Bloquer techniquement les scripts non essentiels avant consentement, et pas seulement les masquer.
- Transmettre les signaux de consentement aux balises (Google Consent Mode v2, et TCF si vous travaillez avec la publicité programmatique).
- Conserver une preuve horodatée de chaque choix, exportable en cas de contrôle.
- Permettre au visiteur de modifier ou de retirer son consentement à tout moment.
- Détecter les cookies de votre site et vous aider à les classer.
Ce qu'une CMP ne fera pas à votre place
Une CMP ne rédige pas votre politique de confidentialité ni votre politique de cookies. Elle ne décide pas seule si un traceur est strictement nécessaire : un audit initial et votre jugement restent indispensables. Elle ne rend pas votre site conforme par sa seule présence : la configuration, les catégories et les tests restent de votre responsabilité. Et elle ne remplace pas un conseil juridique sur les questions d'interprétation.
Comment choisir une CMP : les critères qui comptent
1. Le blocage réel des scripts avant consentement
C'est le premier critère, et celui qui élimine le plus d'outils. Certaines solutions affichent un bandeau mais laissent les scripts s'exécuter jusqu'au clic, ou ne bloquent que les scripts qu'elles reconnaissent. Vérifiez comment le blocage fonctionne (réécriture des balises script, gestionnaire de balises qui attend un déclencheur de consentement, ou les deux) et testez-le vous-même : ouvrez une fenêtre privée, refusez tout, puis regardez les cookies et les requêtes réseau dans les outils de développement du navigateur. Aucune requête non essentielle ne doit partir.
2. Google Consent Mode v2 et certification Google
Si vous utilisez Google Ads, GA4 ou Floodlight, la CMP doit prendre en charge nativement le Consent Mode v2, avec ses quatre paramètres (ad_storage, analytics_storage, ad_user_data, ad_personalization) et un état par défaut à « denied » avant le choix. Notre guide d'implémentation du Google Consent Mode v2 explique le mécanisme, et notre comparatif Consent Mode basic vs advanced vous aide à choisir la bonne configuration. Si vous monétisez votre site avec les régies Google, vérifiez aussi que l'éditeur figure dans la liste des CMP certifiées par Google.
3. La prise en charge du TCF 2.2, si vous en avez besoin
Le Transparency and Consent Framework est le standard utilisé par la publicité programmatique pour transmettre le consentement entre éditeurs et régies. Il est nécessaire si vous vendez de l'espace publicitaire via des réseaux qui l'exigent. La plupart des sites de marque et des boutiques en ligne, qui achètent de la publicité sans en vendre, n'en ont pas besoin. Notre guide du TCF 2.2 explique qui est concerné et ce que cela change dans le bandeau.
4. La preuve de consentement et son hébergement
Demandez ce que la CMP enregistre pour chaque choix (identifiant, horodatage, catégories, version du bandeau), combien de temps elle le conserve, si vous pouvez l'exporter et où il est hébergé. Un hébergement des preuves en Europe évite d'ajouter une question de transfert de données à votre dossier de conformité. Notre article sur la preuve de consentement cookies précise ce qu'un enregistrement utile contient, et la documentation du rapport de preuve FlowConsent montre à quoi peut ressembler une pièce d'audit datée et imprimable.
5. Le scan et la classification des cookies
Un scanner intégré détecte les cookies de vos pages et propose une catégorie pour chacun. Il fait gagner du temps à l'installation et repère les nouveaux traceurs ajoutés par un plugin, une balise ou un outil marketing. Vérifiez sa fréquence, le nombre de pages couvertes et s'il teste la page après un refus. Avant de choisir une CMP, vous pouvez lancer un scan de cookies gratuit pour voir ce que votre site dépose aujourd'hui, et suivre notre méthode d'audit de cookies pour un inventaire complet.
6. Un bandeau conforme par défaut
La CMP doit faciliter la conformité : « Tout refuser » au premier niveau, même style que « Tout accepter », aucune case précochée, un moyen permanent de rouvrir le paramétrage. Méfiez-vous des outils qui promettent des taux d'acceptation élevés grâce à des astuces de design. Notre article sur les dark patterns cookies que la CNIL interdit liste ce qui est sanctionné, et nos exemples de bandeau cookies RGPD montrent des mises en page équilibrées. Vérifiez aussi les options de personnalisation (couleurs, polices, position, comportement mobile) et le nombre de langues.
7. La performance
Le script de la CMP se charge sur chaque page, souvent avant tout le reste. Un script lourd, un chargement synchrone ou un bandeau qui pousse le contenu vers le bas peuvent dégrader le Largest Contentful Paint et le Cumulative Layout Shift. Mesurez le poids du script et testez vos pages avec et sans lui. Notre analyse de l'impact d'une CMP sur les Core Web Vitals indique les points à surveiller.
8. Les intégrations avec votre site
Vérifiez comment la CMP s'installe sur votre outil : application ou plugin natif, balise script, modèle Google Tag Manager, ou paquet pour un framework JavaScript. Nos guides par plateforme couvrent Webflow, WordPress, Shopify et Next.js. Si vous gérez plusieurs sites, vérifiez aussi les fonctions multisite et le travail en équipe.
9. La couverture réglementaire
Si votre audience est européenne, le RGPD et la directive ePrivacy sont la base. Si vous visez aussi la Californie, il vous faut une gestion de l'opt-out et la prise en compte du signal Global Privacy Control. Certaines CMP adaptent le bandeau selon la localisation du visiteur. Notre comparatif CCPA vs RGPD pour les cookies détaille les différences, et notre guide sur les cookies hors Europe couvre d'autres marchés.
10. Le modèle de prix et le coût total
Les CMP facturent de manières différentes : à la page vue, à la session, au domaine, au nombre de pages scannées, ou au forfait avec des paliers de fonctionnalités. Un même site peut coûter des montants très différents selon le modèle, et le prix grimpe souvent quand vous dépassez un seuil de trafic ou qu'il vous faut un second domaine, plus de langues ou l'export des preuves. Avant de décider, comparez le coût de votre CMP actuelle avec le comparateur de coût CMP à partir de votre trafic réel, puis vérifiez ce que chaque offre inclut : le blocage des scripts et le registre des consentements ne devraient jamais être des options payantes.
CMP gratuite ou CMP payante ?
Il existe des CMP gratuites, et pour un petit site elles peuvent suffire. La question n'est pas le prix mais ce que l'offre gratuite exclut. Les limites habituelles sont un plafond de trafic ou de pages vues, un seul domaine, une ou deux langues, un bandeau à la marque de l'éditeur, des scans uniquement manuels, un historique court des consentements ou l'absence d'export des preuves. Certaines offres gratuites cessent même de bloquer ou d'afficher le bandeau au-delà du plafond, ce qui est la pire panne possible parce qu'elle est silencieuse.
Lisez les limites de l'offre gratuite avec trois questions en tête. Que se passe-t-il si je dépasse le quota ? Puis-je exporter mes preuves de consentement à tout moment ? L'offre gratuite bloque-t-elle les scripts avant consentement exactement comme l'offre payante ? Si la réponse à la dernière question est non, l'offre gratuite est une démonstration, pas un outil de conformité.
Les questions à poser à un éditeur de CMP
Avant de signer, posez les mêmes questions par écrit à chaque éditeur :
- Comment les scripts sont-ils bloqués, et que devient une balise que l'outil ne connaît pas encore ?
- Quels paramètres du Consent Mode v2 sont envoyés, et quel est l'état par défaut ?
- Qu'est-ce qui est enregistré pour chaque consentement, où, et pendant combien de temps ?
- Comment exporter les preuves de consentement, et dans quel format ?
- Quel est le poids du script, et se charge-t-il de façon asynchrone ?
- Comment le prix est-il calculé, et que se passe-t-il si mon trafic double ?
- Comment partir, et que puis-je récupérer à ce moment-là ?
Des réponses claires et précises sont bon signe. Des promesses vagues de « conformité totale » ne le sont pas.
Les grandes familles de CMP
Il existe des dizaines de CMP. Elles se répartissent en trois grandes familles, et la bonne dépend davantage de votre taille et de vos contraintes que de la marque.
Les suites de conformité pour grands comptes
OneTrust, TrustArc et Didomi visent les grandes organisations, avec plusieurs marques, des exigences juridiques complexes et des équipes dédiées à la protection des données. Elles couvrent souvent plus que les cookies (cartographie des traitements, demandes d'exercice de droits, centres de préférences) et prennent en charge le TCF de l'IAB. La contrepartie : le coût, le temps de mise en place et la complexité. Nos comparatifs OneTrust vs FlowConsent et Didomi vs FlowConsent détaillent les différences. Si vous n'utilisez OneTrust que pour le bandeau cookies, notre guide sur les alternatives à OneTrust pour les PME compare huit solutions aux prix publics.
Les CMP généralistes
Usercentrics et Cookiebot (qui appartiennent au même groupe), Axeptio, iubenda et CookieYes servent un large marché, des PME aux grands sites, avec des offres en libre-service et des intégrations pour les plateformes courantes. Fonctionnalités et modèles de prix varient beaucoup de l'une à l'autre. Consultez nos comparatifs Cookiebot vs FlowConsent, Axeptio vs FlowConsent, CookieYes vs FlowConsent et Usercentrics vs FlowConsent. Si vous utilisez surtout iubenda pour sa bannière, notre comparatif des alternatives à iubenda confronte huit CMP sur le prix, les langues, les domaines et l'IAB TCF.
Les outils légers et open source
Des scripts open source comme tarteaucitron.js offrent un contrôle total sans coût de licence, mais l'hébergement, les mises à jour, la preuve de consentement et l'intégration du Consent Mode reposent sur vous. Les CMP hébergées légères misent sur une installation simple et un script peu volumineux. Notre comparatif tarteaucitron vs FlowConsent montre où chaque approche se situe.
Pour une vue d'ensemble de tous les outils comparés, consultez notre comparatif des CMP.
Évaluer une CMP en cinq étapes
- Listez vos contraintes. Plateforme et gestionnaire de balises, Google Ads ou non, publicité programmatique ou non, pays visés, langues, nombre de sites, trafic mensuel.
- Retenez trois outils qui correspondent à ces contraintes, à l'aide des critères ci-dessus et des pages comparatives.
- Installez chacun sur un site de préproduction ou une page de test. La plupart des CMP proposent une offre gratuite ou un essai.
- Faites le test du refus. Refusez tout dans une fenêtre privée et contrôlez cookies et requêtes réseau. Acceptez ensuite uniquement les statistiques, puis tout. Vérifiez les signaux Consent Mode dans Google Tag Assistant si vous utilisez des balises Google.
- Vérifiez la preuve et la sortie. Exportez un registre de consentements, lisez-le, et demandez comment vous pourriez changer d'outil. Une CMP difficile à quitter est un risque à long terme.
Changer de CMP sans perdre le consentement
Changer de CMP est courant : les prix évoluent, un site dépasse les capacités d'un plugin, ou l'équipe veut un meilleur blocage des scripts. Les principaux risques sont une période où des scripts tournent sans consentement pendant la bascule, deux bandeaux affichés en même temps et la perte de l'historique des consentements. Préparez la migration : recréez vos catégories et services dans le nouvel outil, reprenez les textes du bandeau, déployez le nouveau script et retirez l'ancien dans la même mise en production, puis refaites les trois tests. Conservez les exports des anciens registres aussi longtemps que vous pourriez devoir prouver des consentements passés. Le guide FlowConsent pour migrer depuis un autre bandeau décrit ces étapes dans l'ordre. Si vous quittez Cookiebot en particulier, notre comparatif des alternatives à Cookiebot met neuf CMP côte à côte sur les prix publics, les offres gratuites et l'IAB TCF. Si vous quittez une extension WordPress, notre comparatif des alternatives à Borlabs Cookie présente sept solutions, sur WordPress et ailleurs.
Les erreurs fréquentes dans le choix d'une CMP
Choisir uniquement sur le prix. Un outil gratuit qui ne bloque pas les scripts ou ne conserve pas de preuve vous laisse exposé. Comparez ce qui est inclus, pas seulement le tarif mensuel.
Croire que le bandeau suffit. Voir le bandeau s'afficher ne prouve rien. Seul un test de refus dans les outils du navigateur montre si les scripts sont vraiment bloqués.
Négliger le Consent Mode. Sans signaux Consent Mode v2 corrects, Google Ads et GA4 perdent leurs capacités de modélisation et de remarketing pour les utilisateurs européens.
Payer des fonctions inutiles. Le TCF, les bandeaux géolocalisés ou une suite de conformité complète sont utiles à certaines organisations, pas à toutes. Partez de vos contraintes.
Oublier la sortie. Vérifiez que les preuves de consentement s'exportent et que le retrait de l'outil est simple avant de vous engager.
Checklist pour choisir une CMP
- Scripts bloqués avant consentement, vérifié par un test de refus.
- Google Consent Mode v2 pris en charge nativement, état par défaut « denied ».
- TCF 2.2 pris en charge si vous vendez de l'espace publicitaire en programmatique.
- Preuve de consentement horodatée, exportable et hébergée dans l'UE.
- « Tout refuser » au premier niveau, même style que « Tout accepter ».
- Scanner de cookies inclus, avec des scans automatiques réguliers.
- Script léger, sans décalage de mise en page.
- Intégration native avec votre plateforme et votre gestionnaire de balises.
- Langues et réglementations nécessaires couvertes.
- Prix soutenable à votre niveau de trafic, sans option cachée pour les fonctions essentielles.
- Une procédure documentée pour arriver et pour partir.
Comment FlowConsent gère le consentement
FlowConsent est une CMP conçue pour les sites qui veulent une conformité solide sans la complexité d'une suite pour grands comptes. Elle bloque chaque script non essentiel avant consentement, intègre le Google Consent Mode v2, scanne automatiquement vos cookies et conserve une preuve exportable de chaque consentement, hébergée en Europe. Le bandeau affiche « Tout accepter » et « Tout refuser » au premier niveau par défaut.
L'installation prend une dizaine de minutes sur Webflow, WordPress, Shopify, Wix, Framer ou via Google Tag Manager. Les prix sont simples : gratuit jusqu'à 25 000 sessions par mois, puis Pro à 14,99 €/mois jusqu'à 100 000 sessions. Pour la comparer à votre outil actuel, utilisez le comparateur de coût CMP, et consultez la documentation Free vs Pro pour le détail de chaque offre.