Cookies _ga, _gid et _gat : rôle, durée de vie et consentement RGPD

Vous avez ouvert les outils de développement de votre navigateur et découvert une série de cookies commençant par _ga ? Ce sont parmi les cookies les plus répandus du web, et parmi les plus mal compris. Voici ce que fait chacun d'eux, combien de temps il vit réellement, ce qu'en disent la CNIL et ses homologues européens, et ce que change Google Consent Mode v2.

Les cookies Google Analytics en un coup d'œil

Google documente ses cookies de mesure à deux endroits officiels : l'article d'aide GA4 sur l'utilisation des cookies sur les sites web et la liste des cookies publicitaires et de mesure de Google. En croisant les deux sources, on obtient le tableau suivant :

Pour la configuration de la balise, notre fiche Google Analytics 4 aborde le Consent Mode et les réglages utiles pour le RGPD.

• _ga : durée par défaut de 2 ans. Sert à distinguer les utilisateurs. Il contient un identifiant client généré aléatoirement, pas votre nom ni votre adresse e-mail.
• _ga_<container-id> : durée par défaut de 2 ans. Sert à conserver l'état de la session (par exemple _ga_ABC123XYZ, le suffixe correspondant à votre ID de mesure sans le préfixe G-).
• _gid : durée de 24 heures. Classé par Google parmi les cookies d'analyse, il distingue les utilisateurs sur une journée. Il appartient à Universal Analytics.
• _gat (ou _gat_<nom personnalisé>) : durée d'1 minute. Utilisé historiquement par Universal Analytics pour limiter le nombre de requêtes sur les sites à fort trafic.

Ces quatre cookies sont dits « internes » (first-party) : ils sont écrits sur votre propre domaine par le JavaScript de Google, et non sur google.com. Ce détail technique ne change rien à l'analyse juridique, comme nous allons le voir.

Les cookies _fbp et _fbc de Meta fonctionnent de la même manière, comme l'explique notre article sur les cookies _fbp et _fbc.

_ga et _ga_<container-id> : les deux vrais cookies de GA4

Le tableau officiel des cookies GA4 n'en mentionne que deux : _ga et _ga_<container-id>. Le premier reconnaît un navigateur d'une visite à l'autre, ce qui permet à GA4 de compter des utilisateurs et pas seulement des pages vues. Le second stocke les informations de session (identifiant et numéro de session) pour savoir si deux pages vues appartiennent à la même visite.

Attention, les « 2 ans » sont une valeur par défaut, et glissante. D'après la documentation de configuration de Google, à chaque envoi de données, l'expiration est repoussée à l'instant présent plus la valeur cookie_expires (63 072 000 secondes par défaut). Un visiteur qui revient une fois par mois conserve donc le même cookie _ga indéfiniment. Vous pouvez réduire cette durée avec cookie_expires et désactiver le renouvellement automatique avec cookie_update: false.

Si votre propriété GA4 est associée à Google Ads, la balise peut aussi déposer des cookies publicitaires comme _gcl_au (90 jours selon la liste de Google). Pour aller plus loin sur la configuration GA4, consultez notre guide cookies GA4 et conformité RGPD.

GA4 dépose-t-il encore _gid et _gat ?

Non, d'après la documentation de Google : l'article sur les cookies GA4 ne cite que _ga et _ga_<container-id>. _gid et _gat étaient déposés par analytics.js, la bibliothèque d'Universal Analytics. Or Universal Analytics a cessé de traiter les données en 2023 et a été définitivement arrêté le 1er juillet 2024.

Si un audit de votre site détecte encore _gid ou _gat, c'est donc un signal à examiner plutôt qu'un comportement normal de GA4. Les causes les plus fréquentes :

Notre méthode complète d'audit des cookies montre comment inventorier chaque cookie et remonter jusqu'au script qui le dépose.

• un ancien extrait analytics.js resté codé en dur dans un thème, un pied de page ou un modèle de landing page ;
• un plugin, une extension ou un widget tiers qui embarque son propre code de suivi ancien ;
• une balise Universal Analytics toujours publiée dans Google Tag Manager ;
• un outil d'audit dont la base est datée et qui identifie les cookies par leur nom plutôt que par ce que la page dépose réellement.

Supprimer ce code mort est utile dans tous les cas : une balise qui envoie des données vers une propriété disparue charge quand même des scripts, écrit quand même des cookies et doit quand même être couverte par votre bandeau.

Pourquoi le cookie _ga exige le consentement en France

Le fondement juridique est l'article 82 de la loi Informatique et Libertés, qui transpose l'article 5(3) de la directive ePrivacy : toute lecture ou écriture d'informations dans le terminal de l'utilisateur suppose son consentement préalable, sauf si elle est strictement nécessaire au service demandé. La mesure d'audience vous est utile, mais elle n'est pas indispensable pour que le visiteur lise votre page. La CJUE l'a confirmé dans l'arrêt Planet49 (C-673/17, 2019) : la règle s'applique que l'information stockée soit ou non une donnée personnelle, et une case pré-cochée ne vaut pas consentement.

Les conditions de l'exemption pour la mesure d'audience

La CNIL admet que certains traceurs de mesure d'audience soient exemptés de consentement. Selon ses recommandations sur les outils de mesure d'audience, les conditions sont cumulatives :

• une finalité strictement limitée à la mesure de l'audience du site, pour le compte exclusif de l'éditeur ;
• des données statistiques anonymes uniquement ;
• aucun recoupement avec d'autres traitements ni transmission de données non anonymes à des tiers ;
• aucun suivi de la navigation sur d'autres sites ou applications ;
• une durée de vie des traceurs de 13 mois, sans prorogation automatique à chaque visite, et une conservation des données de 25 mois maximum ;
• une information des utilisateurs et la possibilité de s'opposer.

La CNIL précise que la plupart des grandes offres de mesure d'audience n'entrent pas dans le périmètre de l'exemption, quelle que soit leur configuration. Un cookie _ga renouvelé automatiquement pendant 2 ans, chez un prestataire qui peut réutiliser les données pour ses propres finalités, ne coche pas ces cases. Google Analytics relève donc du consentement. Pour le débat plus large, transferts de données compris, lisez Google Analytics est-il conforme au RGPD ?.

Matomo est un exemple courant d'outil configurable pour respecter ces conditions, comme l'explique notre article sur Matomo et le bandeau cookies.

Ce que change Google Consent Mode v2

Consent Mode permet à votre bandeau de transmettre aux balises Google les choix du visiteur via quatre signaux : analytics_storage, ad_storage, ad_user_data et ad_personalization (ces deux derniers ont été ajoutés avec la v2). Pour la famille _ga, c'est analytics_storage qui compte.

D'après la documentation officielle de Google sur Consent Mode, lorsque analytics_storage est refusé, les balises Google ne lisent ni n'écrivent de cookies d'analyse internes. Pas de _ga, pas de _ga_<container-id>. La suite dépend du mode choisi :

• Mode basique : les balises Google ne sont pas chargées tant que le visiteur n'a pas fait son choix. Rien n'est envoyé à Google avant le consentement, pas même l'état de consentement par défaut.
• Mode avancé : les balises se chargent avec un état denied par défaut et envoient des pings sans cookies (état du consentement, horodatage, user agent, événements). Google s'en sert pour la modélisation.

Dès que le visiteur clique sur « Accepter », l'état passe à granted et GA4 dépose _ga et _ga_<container-id> normalement. S'il refuse, aucun cookie d'analyse n'est créé. Gardez en tête que les pings du mode avancé transmettent tout de même des données du navigateur vers Google : ce choix mérite une analyse juridique. Notre comparatif Consent Mode basique ou avancé détaille les arbitrages.

Si les refus creusent trop vos données, notre guide complet de l'analytics sans cookies passe en revue les options pour mesurer sans consentement.

Check-list pratique pour votre site

1. Auditez votre site et listez chaque cookie _ga, _gid, _gat et _gcl_ réellement déposé, avec la page concernée.
2. Supprimez le code Universal Analytics si _gid ou _gat apparaissent encore.
3. Bloquez GA4 avant le consentement, ou utilisez Consent Mode avec analytics_storage sur denied par défaut.
4. Testez le refus : cliquez sur « Tout refuser », rechargez la page et vérifiez dans les outils de développement qu'aucun cookie _ga n'apparaît.
5. Documentez les cookies dans votre politique cookies avec leur finalité et leur durée réelles, et conservez la preuve de chaque consentement.
6. Réduisez la durée de vie via cookie_expires : le repère des 13 mois de la CNIL est expliqué dans notre article sur la durée de conservation des cookies.

Une plateforme de gestion du consentement comme FlowConsent automatise l'essentiel de cette liste : blocage préalable des scripts, scan automatique des cookies, conservation des preuves de consentement pendant 13 mois et signaux Google Consent Mode v2 intégrés, sans passer par Google Tag Manager. Le guide de configuration Consent Mode décrit chaque étape.

Conclusion

_ga et _ga_<container-id> sont les seuls cookies documentés pour GA4, et tous deux vivent 2 ans par défaut, avec un renouvellement à chaque visite. _gid et _gat appartiennent au passé : les retrouver aujourd'hui signale presque toujours du code ancien. En France, aucun de ces cookies ne peut être déposé avant l'accord du visiteur, et Consent Mode v2 est le mécanisme qui fait respecter ce choix par GA4. Vous voulez savoir quels cookies Google votre site dépose en ce moment ? Lancez un scan gratuit avec FlowConsent et obtenez le résultat en moins d'une minute.