La plupart des cookies d'un site servent à quelque chose que vous avez demandé : rester connecté, garder un panier, mémoriser une langue. Les cookies de suivi ont un autre rôle : vous mesurer, vous suivre ou vous cibler. Cet article explique ce qu'ils sont, comment ils fonctionnent, lesquels vous croisez le plus souvent, ce que dit la loi et comment les repérer ou les bloquer. Pour les bases (fonctionnement d'un cookie, grandes catégories), commencez par notre guide cookies : définition, types et fonctionnement.
Qu'est-ce qu'un cookie de suivi ?
Un cookie de suivi est un petit fichier texte conservé par le navigateur, qui contient un identifiant unique, en général une suite aléatoire comme GA1.1.1234567890.1700000000. À chaque requête envoyée au domaine qui l'a déposé, le navigateur renvoie cet identifiant. Le serveur peut alors relier la nouvelle visite aux précédentes.
« Cookie de suivi » n'est pas une catégorie juridique. C'est le nom courant des cookies dont la finalité est de suivre un internaute : la plupart des cookies de mesure d'audience et presque tous les cookies publicitaires. La CNIL parle plutôt de « traceurs », un terme plus large, car le même travail peut être fait par le stockage local, les pixels de suivi ou l'empreinte du navigateur (fingerprinting). Les mêmes règles s'appliquent à tous.
Ce qu'un cookie de suivi ne contient pas compte autant. Il contient rarement votre nom ou votre adresse e-mail. Il porte un identifiant pseudonyme, et les données qui vous concernent (pages vues, publicités cliquées, achats) sont stockées chez l'entreprise qui lit le cookie.
Comment fonctionnent les cookies de suivi ?
Tous suivent le même cycle :
- Un script ou un élément intégré à la page (balise d'analytics, pixel publicitaire, bouton de réseau social) demande au navigateur d'enregistrer un cookie avec un nouvel identifiant.
- À la page suivante ou à la visite suivante, le navigateur renvoie ce cookie avec chaque requête vers le même domaine.
- Le serveur enregistre l'événement (page vue, clic, achat) sous cet identifiant.
- Au fil du temps, ces événements forment un historique : pages lues, campagne d'origine, conversion ou non.
Ce qui change d'un cookie à l'autre, c'est qui peut le lire, donc jusqu'où va le suivi.
Les cookies de suivi internes (first-party)
Un cookie interne est déposé sur le domaine que vous visitez. Google Analytics, le Meta Pixel et le pixel TikTok écrivent aujourd'hui des cookies internes : le cookie vit sur exemple.fr, mais le script envoie sa valeur à Google, Meta ou TikTok. Le suivi reste limité à un site, sauf si le fournisseur rapproche l'identifiant d'autres données, comme un compte connecté.
Les cookies de suivi tiers
Un cookie tiers est déposé par un autre domaine, par exemple une régie publicitaire dont le script ou l'iframe est intégré sur de nombreux sites. Comme le navigateur renvoie le même cookie à cette régie depuis chaque site qui l'intègre, elle peut suivre un navigateur d'un site à l'autre et bâtir un profil de centres d'intérêt. C'est la forme de suivi que les navigateurs limitent le plus : Safari et Firefox bloquent ou isolent déjà les cookies tiers par défaut, alors que Chrome les a conservés. Notre article sur Google Privacy Sandbox et les cookies tiers retrace cette histoire.
Exemples de cookies de suivi
On retrouve les mêmes noms sur des milliers de sites. Quelques exemples courants, avec les durées indiquées par leurs éditeurs :
_gaet_ga_<id>(Google Analytics) : un identifiant client qui reconnaît le navigateur pendant 2 ans par défaut, durée prolongée à chaque visite. Détails dans notre article sur les cookies _ga, _gid et _gat._gcl_au(convertisseur de liens Google Ads) : relie les clics publicitaires aux conversions, 90 jours.IDEsur doubleclick.net : un cookie publicitaire de Google déposé en tiers._fbpet_fbc(Meta Pixel) : un identifiant de navigateur et un identifiant de clic, environ 90 jours, expliqués dans notre article sur les cookies _fbp et _fbc._ttp(pixel TikTok) : un identifiant de ciblage et de mesure des conversions, 13 mois.MUID,_uetsidet_uetvid(balise UET de Microsoft Advertising) : identifiants d'utilisateur et de session pour les annonces Bing.bcookie(LinkedIn) : un identifiant de navigateur, 2 ans.
Le schéma est toujours le même : un identifiant unique, une longue durée de vie et un tiers qui reçoit la valeur. C'est cette combinaison qui fait d'un cookie un cookie de suivi.
Au passage, la CNIL recommande de ne pas conserver plus de 13 mois les traceurs soumis au consentement : plusieurs des durées ci-dessus la dépassent par défaut.
Cookie de suivi, cookie de session, cookie nécessaire : les différences
Un cookie de session disparaît à la fermeture du navigateur. Il peut porter un identifiant de suivi, mais la plupart des cookies de suivi sont persistants, justement parce que leur intérêt est de vous reconnaître des jours ou des mois plus tard.
Les cookies strictement nécessaires sont l'inverse des cookies de suivi. Ils servent à fournir un service que vous avez demandé, comme une connexion ou un panier, et ce sont les seuls exemptés de consentement. Un cookie qui mesure ou cible l'internaute n'en fait jamais partie, même si l'entreprise juge ses statistiques indispensables. La CNIL admet une exemption étroite pour certaines solutions de mesure d'audience configurées de façon très restrictive, mais elle ne couvre ni la publicité ni le suivi entre sites.
Les cookies de suivi sont-ils dangereux ?
Un cookie de suivi n'est pas un logiciel malveillant. C'est du texte passif : il ne peut pas exécuter de code, lire vos fichiers ou installer quoi que ce soit. Quand un antivirus signale des « cookies de suivi », il pointe un sujet de vie privée, pas une infection.
Le problème tient à ce que les données permettent. Un site qui mesure sa propre audience a une vue limitée. Une régie qui voit le même identifiant sur des milliers de sites peut déduire des centres d'intérêt, des habitudes et parfois des informations sensibles (santé, finances, opinions) à partir des pages consultées. Ces profils alimentent le ciblage publicitaire et peuvent être partagés avec d'autres entreprises. C'est pourquoi le droit européen fait du suivi un choix de l'internaute, et non un réglage par défaut.
Que dit la loi ? Cookies de suivi, RGPD et consentement
L'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, impose le consentement avant tout dépôt ou lecture d'information sur l'appareil de l'internaute, sauf si c'est strictement nécessaire à un service qu'il a demandé. Les cookies de suivi ne relèvent jamais de cette exception. Le RGPD définit ce qu'est un consentement valable : libre, spécifique, éclairé, univoque, donné par un acte positif clair et aussi simple à retirer qu'à donner.
Concrètement, un site conforme doit :
- ne déposer aucun cookie de suivi avant le choix du visiteur ;
- proposer un bouton Refuser aussi simple que le bouton Accepter ;
- indiquer les finalités et les tiers concernés ;
- respecter le refus et permettre de changer d'avis à tout moment.
La CNIL contrôle et sanctionne. En décembre 2021, elle a infligé 150 millions d'euros d'amende à Google et 60 millions d'euros à Facebook, parce que refuser les cookies demandait plus de clics que les accepter sur leurs sites.
Avant d'aller plus loin, regardez ce que fait votre propre site : vérifiez en 30 secondes quels cookies votre site dépose avec le scanner gratuit, avant tout consentement.
Le volet technique compte autant que le bandeau. Un bandeau qui pose la question alors que la balise Google Analytics part déjà au chargement de la page reste non conforme. Une CMP comme FlowConsent, par exemple, retient chaque script de mesure et de publicité tant que le visiteur n'a pas accepté la catégorie correspondante, puis transmet le choix aux balises Google via le Consent Mode v2.
Comment savoir si un site utilise des cookies de suivi ?
Quelques minutes suffisent :
- Ouvrez le site dans une fenêtre de navigation privée, sans cliquer sur le bandeau.
- Ouvrez les outils de développement (F12 ou clic droit, puis Inspecter), onglet Application puis Cookies dans Chrome ou Edge, ou Stockage dans Firefox.
- Passez en revue chaque domaine et les noms de cookies comme
_ga,_fbp,_gcl_auouIDE. Une date d'expiration lointaine et une valeur aléatoire sont de bons indices de suivi. - Cliquez sur Refuser, rechargez la page et vérifiez à nouveau : aucun cookie de suivi ne doit apparaître.
L'onglet Réseau donne une seconde vue : des requêtes vers google-analytics.com, facebook.com ou doubleclick.net avant le consentement signifient que le suivi démarre trop tôt. Pour une méthode complète, consultez notre guide d'audit des cookies d'un site web.
Comment bloquer ou supprimer les cookies de suivi ?
Côté internaute, plusieurs solutions se combinent :
- Refuser sur le bandeau. Sur un site conforme, Refuser empêche le dépôt des cookies de suivi.
- Utiliser la protection du navigateur. La protection intelligente contre le suivi de Safari et la protection renforcée de Firefox bloquent par défaut la plupart des traceurs tiers. Dans Chrome, vous pouvez bloquer les cookies tiers dans les paramètres de confidentialité.
- Supprimer régulièrement les cookies. Cela remet les identifiants à zéro, au prix d'une déconnexion des sites.
- Installer un bloqueur de contenu. Les extensions qui bloquent les scripts de suivi arrêtent les cookies à la source.
Supprimer les cookies n'arrête pas le fingerprinting, qui reconnaît un appareil sans rien y stocker. La CNIL publie aussi des conseils pour paramétrer son navigateur. Protections du navigateur et refus du consentement restent la combinaison la plus efficace.
Comment FlowConsent gère les cookies de suivi
FlowConsent traite chaque cookie de suivi comme soumis au consentement. Son scan automatique repère les cookies réellement déposés par votre site, y compris ceux des outils intégrés, et les classe par catégorie, par exemple mesure d'audience ou marketing. Tant que le visiteur n'a pas accepté une catégorie, les scripts qui déposeraient ces cookies sont bloqués, et les balises Google reçoivent le choix via le Consent Mode v2. Chaque décision est conservée sous forme de preuve de consentement exportable, hébergée en Europe. L'installation prend une dizaine de minutes sur Webflow, WordPress, Shopify, Wix, Framer ou via GTM, et FlowConsent est gratuit jusqu'à 25 000 sessions par mois. La documentation sur la déclaration des cookies montre comment les cookies scannés deviennent la liste affichée à vos visiteurs.