Cookies et consentement sur WordPress : le guide complet

TL;DR

WordPress ne gère pas le consentement cookies tout seul. Le cœur du CMS dépose très peu de cookies, mais les plugins, le thème et les services tiers (Google Analytics, Meta Pixel, YouTube, widgets de chat) ajoutent des traceurs qui se déclenchent dès le premier chargement de page. Pour rendre un site WordPress conforme au RGPD, il faut une plateforme de gestion du consentement (CMP) qui affiche un bandeau valide, bloque réellement les scripts non essentiels avant consentement et conserve la preuve de chaque choix. Plugin WordPress, CMP SaaS externe comme FlowConsent ou intégration manuelle : quel que soit votre choix, le test reste le même. En navigation privée, rien de non essentiel ne doit se charger avant le clic sur Accepter.

Pourquoi WordPress ne suffit pas pour la conformité cookies ?

WordPress fait tourner plus de 40 % des sites web : c'est la configuration que l'on croise le plus souvent lors d'un audit de cookies. C'est un CMS de publication de contenu, sans aucun mécanisme natif pour informer les visiteurs sur les cookies, recueillir leur consentement ou retenir les scripts tant qu'ils n'ont pas donné leur accord.

La plateforme elle-même est plutôt neutre. Les problèmes commencent avec tout ce qu'on lui ajoute. Les cookies d'un site WordPress proviennent de plusieurs sources :

• le cœur WordPress : cookies d'authentification et de session des utilisateurs connectés ;
• les plugins : formulaires, analytics, cache, e-commerce, SEO, boutons de partage ;
• le thème actif : Google Fonts, scripts embarqués, parfois un analytics intégré ;
• les services tiers : Google Analytics, Meta Pixel, vidéos YouTube, widgets de chat et de support.

Sans CMP, tous ces éléments se déclenchent au chargement de la page, avant que le visiteur ait pu dire oui ou non. C'est la non-conformité la plus fréquente sur WordPress, et l'une des plus sanctionnées par la CNIL.

Quelles sont les obligations RGPD pour un site WordPress ?

Les règles sont les mêmes que pour n'importe quel site, quelle que soit la technologie. L'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy, impose un consentement préalable pour tout traceur non essentiel. Le RGPD fixe les conditions de validité de ce consentement : libre, spécifique, éclairé et univoque.

Concrètement, un site WordPress doit :

• afficher dès l'arrivée un bandeau de consentement conforme, avec des boutons Accepter et Refuser de même visibilité, et un refus possible en un clic ;
• bloquer tous les scripts non essentiels (analytics, publicité, réseaux sociaux) tant que le visiteur n'a pas cliqué sur Accepter ;
• publier une politique de cookies accessible et à jour, qui liste tous les traceurs du site ;
• conserver une preuve de consentement présentable en cas de contrôle ;
• permettre au visiteur de modifier ou de retirer son consentement à tout moment.

Utiliser WordPress n'allège en rien ces obligations. Un site WordPress avec WooCommerce, Google Analytics et un pixel Meta a exactement les mêmes exigences qu'un site développé sur mesure.

Quels cookies dépose un site WordPress ?

Les cookies du cœur WordPress

Le cœur ne dépose qu'une poignée de cookies first-party :

• wordpress_test_cookie : vérifie que le navigateur accepte les cookies ;
• wordpress_logged_in_[hash] : session d'un utilisateur connecté ;
• wp-settings-[user-id] : préférences de l'interface d'administration.

Ces cookies sont strictement fonctionnels et n'ont pas besoin de consentement au sens du RGPD et de la directive ePrivacy.

Les cookies WooCommerce

Si vous utilisez WooCommerce, les cookies de panier comme woocommerce_cart_hash et woocommerce_items_in_cart sont strictement nécessaires au parcours d'achat et exemptés de consentement. Le risque vient des extensions de paiement, de marketing et de remarketing qui accompagnent souvent une boutique et déposent des cookies publicitaires. Notre guide de conformité WooCommerce détaille les points propres aux boutiques.

Les cookies des plugins, du thème et des tiers

Ce sont eux qui exigent un consentement :

• Google Analytics / GA4 : _ga, _gid et _ga_XXXXXXXX ;
• Meta Pixel : _fbp et _fbc ;
• vidéos YouTube intégrées, plugins de partage social, outils de chat et de support ;
• plugins de formulaire avec reCAPTCHA, plugins de cache qui injectent des scripts tiers et Jetpack, selon les modules activés.

Comment auditer les cookies de son site WordPress ?

Avant d'installer une CMP, il faut savoir exactement ce que dépose votre site. La méthode en trois étapes :

1. Scanner le site. Utilisez le scanner FlowConsent, les DevTools de Chrome (Application > Cookies) ou une extension dédiée. Couvrez les pages principales, les fiches produit WooCommerce et les pages avec formulaire. Notez pour chaque cookie son nom, son domaine, sa durée et son émetteur.
2. Classer chaque cookie. First-party ou third-party, puis catégorie : essentiel, analytique, publicitaire ou personnalisation, avec sa durée de conservation. Les cookies essentiels sont exemptés ; tous les autres exigent un accord préalable.
3. Mettre à jour la politique de cookies. Listez chaque cookie actif avec sa finalité, sa durée et son émetteur, et rendez la politique accessible depuis le bandeau et le pied de page.

Recommencez après chaque installation de plugin. La méthode complète d'audit de cookies va plus loin si vous avez besoin d'un inventaire formel.

Trois façons de gérer le consentement sur WordPress

Option 1 : un plugin WordPress de consentement

C'est l'approche la plus courante. Des plugins comme Complianz, CookieYes, Cookie Notice ou GDPR Cookie Compliance ajoutent un bandeau et un mécanisme de blocage directement dans WordPress. L'installation tient en quelques clics. La limite : la dépendance à l'écosystème WordPress (compatibilité avec le thème, les autres plugins, les mises à jour du cœur). Certains plugins gratuits affichent un bandeau sans bloquer réellement les scripts avant consentement : le site reste non conforme malgré les apparences.

Option 2 : une CMP SaaS externe

Une CMP externe comme FlowConsent, Cookiebot ou Didomi se charge via un snippet JavaScript dans l'en-tête du site. Elle fonctionne indépendamment de WordPress, donc de la même façon quels que soient le thème et les plugins, et gère le consentement, le blocage des scripts et la preuve hors de votre base WordPress. Elle apporte aussi des fonctions que la plupart des plugins gratuits n'ont pas, comme le Google Consent Mode v2 et des rapports de conformité.

Option 3 : l'intégration manuelle

Un développeur peut construire son propre mécanisme avec l'API JavaScript d'une CMP, ou coder le blocage à la main (type="text/plain" sur les balises script, puis activation conditionnelle après consentement). Le contrôle est total, mais la maintenance aussi, et il faut bien maîtriser le RGPD. C'est rarement justifié pour un site WordPress standard.

Comment choisir sa CMP pour WordPress ?

Quatre critères ne se négocient pas :

• un vrai blocage des scripts avant consentement, pas un bandeau cosmétique ;
• un refus en un clic dès le premier niveau du bandeau ;
• des preuves de consentement horodatées (date, heure, choix, version de la politique, identifiant pseudonyme) ;
• la prise en charge du Google Consent Mode v2 si vous utilisez GA4 ou Google Ads.

Le critère décisif n'est pas le prix mais la conformité fonctionnelle : les scripts sont-ils vraiment bloqués avant le clic ? Les alternatives courantes (Axeptio, Cookiebot, CookieYes) proposent toutes un plugin WordPress : passez chacune au crible de cette liste.

Installer FlowConsent sur WordPress

FlowConsent s'installe avec un snippet en deux parties : un bloc Google Consent Mode v2 qui place tous les signaux à denied par défaut, puis le chargeur du bandeau. Les deux doivent se trouver le plus haut possible dans le <head>, avant tout script de suivi. La procédure complète figure dans le guide d'installation WordPress ; en résumé :

1. Copiez le snippet depuis Builder → Déploiement → Intégration dans FlowConsent.
2. Collez-le tout en haut du champ Header du plugin WPCode (Code Snippets → Header & Footer). Si vous préférez ne pas ajouter de plugin, accrochez-le à wp_head avec la priorité 1 dans le functions.php d'un thème enfant.
3. Videz le cache de votre plugin, celui de l'hébergeur et celui du CDN.

Deux pièges propres à WordPress méritent votre attention. D'abord, les options de cache et de minification (« différer le JavaScript », « retarder l'exécution du JavaScript », « combiner les fichiers JS » dans WP Rocket, LiteSpeed Cache, Autoptimize ou W3 Total Cache) peuvent déplacer ou retarder le snippet et laisser passer les traceurs : excluez le snippet et le domaine consent.flowconsent.com de ces optimisations. Ensuite, les extensions Google comme Site Kit impriment leur propre gtag au-dessus de votre code : désactivez Place Google Analytics code dans Site Kit et déclarez plutôt Google Analytics dans Builder → Services. Enfin, ne gardez qu'un seul bandeau actif.

Le plan Free est gratuit, sans carte bancaire, jusqu'à 25 000 sessions par mois.

Comment bloquer les scripts avant consentement sur WordPress ?

Le blocage des scripts est l'étape la plus critique, et la plus souvent ratée. Un bandeau qui s'affiche sans rien bloquer est non conforme.

Confier le chargement des scripts à la CMP

L'approche la plus propre consiste à retirer les balises de suivi du thème et des plugins pour les déclarer dans la CMP, qui ne les charge qu'une fois la catégorie correspondante acceptée. Avec FlowConsent, cela se fait dans Builder → Services. La variante classique consiste à remplacer l'attribut type des balises par type="text/plain", avec un attribut data-category (analytics, marketing…), pour que la CMP les réactive après consentement. Sur WordPress, cette modification passe par les réglages du plugin de consentement, par un gestionnaire de scripts comme Header Footer Code Manager ou par le functions.php d'un thème enfant. Cette méthode dépend de l'ordre de chargement : vérifiez toujours le résultat.

Via Google Tag Manager

Si vous utilisez déjà GTM, chargez-y tous vos tags analytics et marketing. La CMP transmet les signaux de consentement à GTM via le dataLayer, et les tags se déclenchent ou restent bloqués en conséquence : un seul point de contrôle pour tous les scripts tiers. En revanche, ne chargez pas le bandeau lui-même depuis GTM : il arriverait trop tard pour le blocage préalable. Gardez le snippet de la CMP au-dessus du conteneur GTM. Le guide GTM et Consent Mode détaille le paramétrage des tags.

Une fois le blocage en place, ouvrez le site en navigation privée et regardez l'onglet Réseau des DevTools : aucune requête ne doit partir vers Google, Meta ou un autre tiers avant le clic sur Accepter.

WordPress et le Google Consent Mode v2

Si votre site WordPress utilise Google Analytics 4 ou Google Ads, le Consent Mode v2 est indispensable. Il permet aux tags Google d'adapter leur comportement au choix du visiteur. En mode basique, les tags Google ne se déclenchent pas du tout avant consentement. En mode avancé, ils envoient des pings sans cookies qui alimentent la modélisation de Google, même sans consentement.

Le Consent Mode v2 se configure via GTM ou directement par la CMP. Le snippet FlowConsent pose lui-même les valeurs denied par défaut et met les signaux à jour dès que le visiteur choisit ; la documentation Consent Mode explique comment sont traités les autres tags. Avec un plugin WordPress, vérifiez qu'il prend en charge le Consent Mode v2 nativement.

Erreurs fréquentes sur les sites WordPress

• Installer un plugin de bandeau sans activer le blocage. Le bandeau s'affiche, mais les cookies analytics et publicitaires partent quand même au chargement. C'est la non-conformité la plus répandue.
• Se fier à un plugin gratuit purement cosmétique, qui affiche un avis sans aucun blocage technique.
• Rendre le refus laborieux. Refuser doit être possible en un clic au premier niveau, sans écran intermédiaire.
• Oublier les cookies du thème. Google Fonts, bibliothèques JavaScript externes et scripts d'analytics intégrés déposent des cookies tiers.
• Ne pas revoir la configuration après l'ajout d'un plugin. Un nouveau formulaire, un chat ou un module e-commerce modifie l'inventaire des cookies et rend la politique de cookies obsolète.
• Négliger le cache. Les plugins de cache et d'optimisation peuvent servir une ancienne version de la page sans bandeau, ou retarder le script de la CMP après les traceurs.
• Suivre les administrateurs connectés. Excluez les rôles administrateur de l'analytics : vos propres visites faussent les données.
• Pas de lien « Gérer les cookies » dans le pied de page. Le visiteur doit pouvoir rouvrir le panneau de préférences à tout moment.
• Aucune preuve de consentement conservée. Activez la journalisation : date, heure, version de la politique, choix, identifiant pseudonyme.

Checklist : conformité cookies sur WordPress

• Lancer un scan du site pour inventorier tous les cookies (cœur, plugins, thème, tiers) sur les pages principales, les fiches produit et les formulaires.
• Classer chaque cookie : essentiel, analytique, publicitaire, personnalisation.
• Installer une CMP (plugin WordPress ou solution SaaS externe) et ne garder qu'un seul bandeau actif.
• Bloquer les scripts non essentiels avant consentement et exclure la CMP du cache et de la minification.
• Vérifier que Refuser est aussi visible qu'Accepter et accessible en un clic.
• Activer le Google Consent Mode v2 si vous utilisez GA4 ou Google Ads.
• Publier une politique de cookies complète, accessible depuis le bandeau et le pied de page.
• Ajouter un lien « Gérer les cookies » dans le pied de page.
• Activer les journaux de consentement horodatés.
• Tester en navigation privée : aucune requête non essentielle avant le clic sur Accepter.
• Refaire un scan après chaque installation de plugin, et au moins chaque trimestre.

Vérifier et rester conforme dans la durée

Un bandeau installé ne prouve rien : ce qui compte, c'est ce qui tourne encore quand le visiteur refuse. La vérification de conformité de FlowConsent charge vos pages dans un vrai navigateur en refusant le consentement et liste tout ce qui se déclenche malgré tout. Chaque vérification est datée et archivée avec une capture d'écran : c'est votre preuve en cas de contrôle. Vous pouvez aussi placer vos pages clés sous surveillance récurrente pour être alerté si un nouveau plugin ou un nouveau tag se met à fuiter.

Conclusion

WordPress est flexible, et c'est justement ce qui crée le risque : chaque plugin peut ajouter ses propres scripts sans contrôle. La conformité repose sur trois piliers : un audit régulier, un vrai blocage des scripts avant consentement et des preuves conservées. Choisissez une solution qui bloque réellement, pas un simple bandeau de façade.

Commencez par un scan gratuit de votre site WordPress pour voir quels cookies sont actifs aujourd'hui, puis suivez le guide d'installation pour mettre FlowConsent en place.