CMP cookies : définition et fonctionnement d'une plateforme de gestion du consentement

C'est quoi une CMP ?

CMP est l'acronyme de « consent management platform ». La CNIL la traduit dans son lexique par « plateforme de gestion du consentement ». Concrètement, c'est un logiciel placé entre vos visiteurs et les scripts tiers de votre site : Google Analytics, pixel Meta, vidéos YouTube, widget de chat, outil d'A/B testing.

Avant que l'un de ces scripts ne dépose un cookie, la CMP pose la question au visiteur. Elle fait ensuite respecter la réponse : les scripts refusés restent bloqués, les scripts acceptés sont libérés. Une CMP cookies remplit donc trois fonctions :

• Recueillir le choix, à travers un bandeau et un panneau de préférences.
• Conserver ce choix, pour ne pas reposer la question à chaque page, et en garder une preuve datée.
• Transmettre le choix aux outils et aux partenaires qui en dépendent.

Le terme désigne une catégorie de logiciels, pas un produit. Axeptio, Didomi, Cookiebot, OneTrust, Usercentrics, CookieYes, tarteaucitron.js (open source) ou FlowConsent sont toutes des CMP, avec des périmètres et des prix très différents. Pour comparer les solutions et savoir laquelle retenir, lisez notre guide pour choisir sa CMP (plateforme de gestion du consentement). Ici, on reste sur la définition et le fonctionnement.

À quoi sert une CMP : ce que dit la loi

Aucun texte n'impose « d'acheter une CMP ». L'obligation porte sur le consentement, et la CMP est le moyen pratique de la respecter.

L'article 82 de la loi Informatique et Libertés

En France, l'article 82 de la loi Informatique et Libertés transpose l'article 5(3) de la directive ePrivacy. Il impose de recueillir le consentement avant de lire ou d'écrire une information sur le terminal de l'utilisateur, sauf si le traceur est strictement nécessaire au service demandé ou a pour seul but de permettre la communication.

Le RGPD fixe les conditions d'un consentement valable

Le RGPD définit le consentement : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair (article 4, point 11). L'article 7 ajoute que le responsable de traitement doit pouvoir démontrer que la personne a consenti, et que retirer son consentement doit être aussi simple que le donner.

Les lignes directrices de la CNIL

Les lignes directrices et la recommandation de la CNIL sur les cookies (2020) traduisent ces principes en règles concrètes : refuser doit être aussi simple qu'accepter, poursuivre la navigation ne vaut pas consentement, les finalités doivent être présentées avant le choix. La CNIL a sanctionné plusieurs grands sites sur ces points, notamment pour l'absence de bouton de refus aussi accessible que le bouton d'acceptation.

Sur un très petit site, on peut gérer tout cela à la main. Dès qu'il y a plusieurs outils, cela devient fragile : la CMP transforme ces exigences en mécanisme reproductible.

Comment fonctionne une CMP cookies

Les détails changent d'un outil à l'autre, mais le principe est presque toujours le même.

1. Inventaire. Les cookies et scripts du site sont listés et classés par catégorie : strictement nécessaires, préférences, mesure d'audience, publicité. Beaucoup de CMP intègrent un scanner pour cette étape.
2. État par défaut. À la première visite, seuls les cookies strictement nécessaires sont autorisés.
3. Bandeau. Le visiteur voit les finalités, les principaux partenaires et les boutons accepter, refuser et personnaliser.
4. Blocage puis libération. Les scripts non essentiels attendent que la catégorie correspondante soit acceptée. Techniquement, la CMP modifie le type du script, encapsule les balises ou pilote un gestionnaire de balises.
5. Signaux. Le choix est transmis aux outils concernés, par exemple via Google Consent Mode v2 ou la chaîne TCF de l'IAB.
6. Mémoire. Le choix est enregistré, en général dans un cookie propriétaire, pour que le bandeau ne réapparaisse pas à chaque page.
7. Preuve. Un enregistrement daté du choix est conservé côté serveur. Le détail de ce qu'il doit contenir est dans notre article sur la preuve du consentement aux cookies.
8. Retrait et renouvellement. Un lien ou un bouton permanent rouvre les préférences, et le consentement est redemandé après une durée définie ou si les finalités changent.

L'étape 4 concentre l'essentiel du risque. Un bandeau qui a l'air conforme mais laisse Google Analytics se charger avant le clic ne vous protège de rien. FlowConsent, par exemple, bloque les scripts avant le consentement et ne les libère qu'une fois la catégorie acceptée : vous pouvez le vérifier dans l'onglet réseau de votre navigateur.

CMP, bandeau cookies, politique cookies : les différences

Ces trois termes sont souvent confondus.

• Le bandeau cookies est la partie visible : le message et les boutons affichés à la première visite.
• La CMP est tout le système derrière le bandeau : blocage, signaux, stockage, preuve, retrait.
• La politique cookies est une page qui décrit les cookies utilisés, leur finalité et leur durée. Une CMP peut la générer ou la tenir à jour, mais c'est un document distinct.

Un bandeau fait maison avec un message et un bouton « OK » est un bandeau sans CMP : il informe, mais n'empêche rien.

Consent Mode v2 et TCF : les signaux transmis par la CMP

Une CMP moderne ne se contente pas de bloquer et de libérer des scripts. Elle informe aussi d'autres systèmes de la décision du visiteur.

Google Consent Mode v2

Google Consent Mode v2 transmet quatre paramètres aux balises Google : ad_storage, analytics_storage, ad_user_data et ad_personalization. Google les exige des annonceurs qui veulent conserver les fonctions d'audience et de mesure pour les utilisateurs de l'Espace économique européen. La CMP fixe les valeurs par défaut avant le chargement des balises puis les met à jour après le choix. Notre guide de Google Consent Mode v2 détaille les modes basique et avancé.

Le TCF de l'IAB

Le Transparency and Consent Framework est un standard utilisé surtout par les éditeurs qui vendent de l'espace publicitaire en programmatique. La CMP encode les choix du visiteur, par finalité et par partenaire, dans une « TC string » lue par les régies. Seules les CMP enregistrées auprès de l'IAB Europe peuvent produire une TC string valide. Depuis janvier 2024, Google impose aussi aux éditeurs qui diffusent des annonces AdSense, Ad Manager ou AdMob dans l'EEE et au Royaume-Uni d'utiliser une CMP certifiée par Google et intégrée au TCF. Si vous ne vendez pas d'espace publicitaire, le TCF ne vous concerne probablement pas. Tout est expliqué dans notre guide du TCF 2.2.

Votre site a-t-il besoin d'une CMP ?

Oui, dès que votre site dépose des cookies ou utilise des traceurs non strictement nécessaires et reçoit des visiteurs européens. C'est le cas de la plupart des sites qui utilisent Google Analytics, un pixel publicitaire, des vidéos intégrées, une carte ou un chat.

Vous pouvez vous en passer si votre site n'utilise que des cookies strictement nécessaires (session, panier, sécurité, équilibrage de charge), ou un outil de mesure d'audience configuré dans le cadre de l'exemption prévue par la CNIL. La question est traitée en détail dans notre article le bandeau cookies est-il obligatoire sur mon site ?.

Et pour le visiteur, est-il obligatoire d'accepter les cookies ? Non. Il doit pouvoir refuser sans être privé d'accès au site, sauf cas particuliers encadrés comme certains murs de cookies avec alternative réelle.

Les grandes familles de CMP

On peut ranger les CMP en cinq familles.

• Extensions et applications de CMS. Installées depuis le marketplace WordPress, Shopify ou Webflow. Rapides à mettre en place, mais liées à une plateforme.
• Scripts SaaS. Un extrait JavaScript ajouté à n'importe quel site et piloté depuis un tableau de bord en ligne. C'est le modèle le plus courant (Axeptio, Cookiebot, CookieYes, FlowConsent).
• Suites entreprise. La gestion du consentement est un module parmi d'autres : cartographie des données, demandes d'accès, gestion des fournisseurs. OneTrust et TrustArc en sont des exemples.
• Bibliothèques open source. tarteaucitron.js, très utilisé en France, ou Klaro sont gratuits et auto-hébergés. Mises à jour, registre des consentements et configuration sont à votre charge.
• CMP enregistrées TCF. Nécessaires si vous monétisez votre site par la publicité programmatique, comme Didomi, Sourcepoint ou Usercentrics.

Combien coûte une CMP ?

Certaines sont gratuites : les bibliothèques open source, et les offres gratuites de nombreuses CMP SaaS, en général limitées en trafic, en domaines, en langues ou en fonctionnalités comme le registre des consentements. Les offres payantes sont facturées par domaine, par page vue, par session ou au forfait mensuel ; les suites entreprise sont généralement sur devis. Comparez le coût de votre CMP actuelle avec notre comparateur de prix des CMP, ou consultez nos comparatifs de CMP détaillés.

Une CMP ralentit-elle un site ?

Elle peut. Le script du bandeau se charge sur chaque page, et une CMP mal intégrée peut dégrader les Core Web Vitals, en particulier le CLS et le LCP. Un script léger, un chargement asynchrone et un bandeau qui ne pousse pas le contenu limitent l'impact. Nous détaillons ces effets dans CMP et Core Web Vitals.

Ce qu'une CMP ne fait pas

Une CMP est un outil, pas un certificat de conformité. Elle ne décide pas à votre place quels cookies sont strictement nécessaires, elle ne rédige pas votre politique de confidentialité et ne couvre pas les autres obligations du RGPD (registre des traitements, droits des personnes, transferts hors UE). Elle ne corrige pas non plus une mauvaise configuration : un script oublié dans la classification peut toujours se charger avant le consentement. Tester après l'installation, puis après chaque nouvelle balise ou extension, reste votre responsabilité.

Comment FlowConsent gère le consentement aux cookies

FlowConsent est une CMP qui couvre toute la chaîne décrite plus haut : scan automatique des cookies, bandeau personnalisable, blocage des scripts avant consentement, Google Consent Mode v2 intégré et preuve de consentement exportable. L'outil est hébergé en Europe et s'intègre à Webflow, WordPress, Shopify, Wix, Framer et Google Tag Manager. L'installation prend une dizaine de minutes.

FlowConsent est gratuit jusqu'à 25 000 sessions par mois, puis passe à 14,99 € par mois avec l'offre Pro, jusqu'à 100 000 sessions. Pour démarrer, suivez le guide d'installation rapide.