« Cookie interne », « cookie tiers », « first party », « third party » : ces termes reviennent dans chaque bandeau et chaque politique cookies, et ils sont souvent mal compris. Beaucoup pensent qu'un cookie interne est forcément inoffensif et qu'un cookie tiers est forcément illégal. Les deux idées sont fausses. Ce guide explique ce que recouvrent ces deux catégories, comment les navigateurs les traitent en 2026, comment les distinguer concrètement et ce que cela change pour le consentement. Pour une vue d'ensemble des types de cookies, consultez notre article cookies : définition, types et fonctionnement.
Cookies tiers et cookies internes : quelle différence ?
Le cookie interne (first party)
Un cookie interne est créé pour le domaine affiché dans la barre d'adresse. Si vous êtes sur boutique.fr, tout cookie écrit pour boutique.fr est interne, qu'il soit envoyé par le serveur ou écrit par un script exécuté sur la page.
Ces cookies assurent les fonctions de base : rester connecté, garder un panier, mémoriser une langue. Mais ils servent aussi à la mesure d'audience et à la publicité. Le cookie _ga de Google Analytics et le cookie _fbp de Meta sont des cookies internes : ils sont stockés sur votre domaine, mais le script qui les écrit transmet leur valeur à Google ou à Meta.
Le cookie tiers (third party)
Un cookie tiers est créé pour un autre domaine que celui que vous visitez. Quand boutique.fr charge un script, une image ou une iframe depuis regie-pub.com et que cette ressource écrit un cookie pour regie-pub.com, ce cookie est un cookie tiers.
Sa particularité, c'est sa portée. Le navigateur renvoie le même cookie à regie-pub.com sur chaque site qui charge une ressource de ce domaine. Si la régie est présente sur des milliers de sites, elle peut reconnaître un même navigateur partout et constituer un profil de navigation. C'est le « pistage intersites » dont parlent la CNIL et les navigateurs, et notre article sur les cookies de suivi montre comment ces profils se construisent.
Exemples de cookies internes et de cookies tiers
Cookies internes courants :
- un cookie de session comme
PHPSESSID, qui vous garde connecté (voir le cookie de session) ; - un cookie de panier ou de langue posé par votre CMS ou votre boutique ;
_gaet_ga_<ID>de Google Analytics 4 ;_fbpdu pixel Meta et_gcl_audu suivi de conversion Google Ads ;- le cookie dans lequel votre bandeau enregistre le choix du visiteur.
Cookies tiers courants :
IDEsur doubleclick.net, utilisé par les services publicitaires de Google ;- les cookies d'un lecteur YouTube ou Vimeo intégré en iframe ;
- les cookies des widgets sociaux, comme le cookie
frsur facebook.com ; - les cookies des widgets de chat, d'avis ou de commentaires chargés depuis leur propre domaine.
Un même éditeur peut apparaître dans les deux listes. Google et Meta ont justement basculé une grande partie de leur mesure vers des cookies internes, parce que les navigateurs limitent les cookies tiers.
Comment le navigateur distingue interne et tiers
Le navigateur ne compare pas les noms d'hôte complets, mais les « sites » : le protocole plus le domaine enregistrable. blog.exemple.fr et www.exemple.fr forment donc le même site, et un cookie partagé entre les deux reste interne. Un cookie pour exemple.com chargé depuis exemple.fr est un cookie tiers.
Trois mécanismes encadrent ensuite les cookies tiers :
- SameSite. Depuis Chrome 80, en 2020, un cookie sans attribut SameSite est traité comme
SameSite=Laxet n'est pas envoyé dans la plupart des requêtes intersites. Un cookie destiné à fonctionner comme cookie tiers doit déclarerSameSite=Noneet l'attributSecure. - Le blocage. Safari bloque les cookies tiers par défaut depuis mars 2020 avec Intelligent Tracking Prevention. Chrome ne les bloque par défaut qu'en navigation privée.
- Le partitionnement. La protection totale contre les cookies de Firefox, active par défaut pour tous depuis 2022, donne à chaque site sa propre « boîte à cookies » : un cookie tiers posé sur le site A n'est pas lisible quand le même service se charge sur le site B. Chrome propose un modèle comparable, sur option, appelé CHIPS, avec l'attribut
Partitioned.
Safari limite aussi certains cookies internes : ceux écrits en JavaScript via document.cookie expirent au bout de sept jours. C'est pourquoi les outils de mesure voient souvent les visiteurs Safari comme de nouveaux visiteurs.
Comment savoir si un cookie est interne ou tiers ?
Ouvrez les outils de développement (F12, ou Cmd + Option + I sur Mac), puis l'onglet Application dans Chrome ou Edge, ou l'onglet Stockage dans Firefox et Safari, et regardez la colonne Domaine. Si le domaine correspond au site de la barre d'adresse (avec ou sans point initial ou sous-domaine), le cookie est interne. Sinon, c'est un cookie tiers. Notre guide pour voir les cookies d'un site détaille la manipulation navigateur par navigateur.
Deux précisions. D'abord, le domaine indique qui peut lire le cookie, pas qui reçoit les données : _ga est interne, mais alimente Google Analytics. Ensuite, faites le test en navigation privée, sans toucher au bandeau, pour voir ce que le site dépose avant votre consentement.
Sur un vrai site, vérifier page par page devient vite fastidieux. Vérifiez en 30 secondes quels cookies internes et tiers votre site dépose avec le scanner de cookies gratuit.
Les outils de consentement rendent souvent cette distinction visible. Dans FlowConsent, par exemple, chaque cookie de la liste affichée aux visiteurs porte le type interne ou tiers, pour que la déclaration corresponde à ce que le navigateur stocke réellement.
Les cookies tiers vont-ils disparaître ?
Pas partout. Safari et Firefox les limitent déjà, comme vu plus haut. Google prévoyait de les supprimer de Chrome, puis a fait marche arrière : en juillet 2024, il a renoncé à leur suppression, en avril 2025 il a aussi abandonné l'écran de choix prévu, et en octobre 2025 il a retiré la plupart des technologies de la Privacy Sandbox. Dans Chrome, en configuration standard, les cookies tiers restent actifs sauf si l'utilisateur les désactive. Notre article sur Google Privacy Sandbox et les cookies tiers retrace cette histoire.
Concrètement, votre audience est coupée en deux : un cookie tiers peut fonctionner chez vos visiteurs Chrome et pas chez vos visiteurs Safari. Les écarts d'attribution sont donc normaux. La réponse n'est pas un contournement : le fingerprinting et les autres substituts relèvent des mêmes règles de consentement.
Cookies internes, cookies tiers et RGPD
Le consentement dépend de la finalité, pas du domaine
L'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, impose le consentement avant de stocker ou de lire une information sur le terminal, sauf si elle est strictement nécessaire au service demandé. Ce texte ne distingue pas cookies internes et cookies tiers. Un cookie interne de mesure ou de publicité exige un consentement au même titre qu'un cookie tiers. À l'inverse, un cookie tiers peut être exempté, par exemple un cookie de répartition de charge posé par un prestataire de paiement pendant la commande.
Les autorités appliquent cette lecture. En décembre 2020, la CNIL a sanctionné Google de 100 millions d'euros au total, notamment parce que des cookies publicitaires étaient déposés automatiquement sur l'ordinateur des visiteurs de google.fr, le propre site de Google. Les lignes directrices 2/2023 du CEPD sur le champ technique de l'article 5(3) confirment que la règle vise tout accès au terminal, quel que soit son auteur.
Quand les cookies contiennent des données personnelles ou y sont liés, le RGPD s'ajoute : consentement valable, information des personnes, preuve à conserver.
La lecture espagnole : qui utilise les données ?
L'autorité espagnole, l'AEPD, apporte une précision utile dans son guide sur les cookies. Un cookie est « propre » quand il est envoyé depuis un domaine géré par l'éditeur. Mais si un cookie est servi depuis votre domaine et que les informations sont gérées par un tiers qui les utilise pour ses propres finalités, l'AEPD ne le considère pas comme un cookie propre. Selon cette lecture, un cookie comme _fbp, posé sur votre domaine mais exploité par Meta pour ses propres finalités, doit être présenté aux visiteurs comme un cookie de tiers.
Qui est responsable des cookies tiers ?
Vous, au moins en partie. Dans l'arrêt Fashion ID (C-40/17, juillet 2019), la Cour de justice de l'Union européenne a jugé qu'un site qui intègre le bouton « J'aime » de Facebook est responsable conjoint avec Facebook de la collecte et de la transmission des données des visiteurs. Intégrer un script tiers est votre décision : le bloquer jusqu'au consentement vous revient, pas à l'éditeur du script.
Faut-il bloquer les cookies tiers ?
Côté visiteur, bloquer les cookies tiers dans les réglages du navigateur casse rarement quelque chose d'important et coupe l'essentiel du pistage intersites. Certains services intégrés (connexion via un autre domaine, certains widgets de paiement ou de chat) peuvent en avoir besoin, et vous pouvez autoriser des exceptions site par site. Bloquer tous les cookies internes, en revanche, vous déconnecterait partout. Refuser les cookies non essentiels dans le bandeau est l'option ciblée : notre article faut-il accepter les cookies ? explique l'effet de chaque choix.
Côté éditeur de site, gardez cette liste de contrôle :
- Recenser chaque cookie avec son domaine et le marquer interne ou tiers.
- Classer chaque cookie par finalité : nécessaire, préférences, mesure d'audience, marketing.
- Bloquer tout script non essentiel, interne ou tiers, jusqu'à l'acceptation du visiteur.
- Nommer les tiers destinataires des données dans le bandeau et la politique cookies.
- Relancer un scan après chaque nouveau tag, module ou contenu intégré.
Comment FlowConsent gère les cookies internes et les cookies tiers
FlowConsent bloque les scripts non essentiels avant le consentement, quel que soit le domaine où leurs cookies sont déposés, et transmet le choix du visiteur à Google via le Consent Mode v2. La liste de cookies affichée dans le bandeau est générée à partir de vos services actifs, et chaque entrée indique si le cookie est interne ou tiers ; vous ajoutez vous-même vos cookies internes spécifiques. Le scan automatique compare ensuite ce que vos pages déposent réellement avec ce que vous déclarez, et signale tout cookie non déclaré avec son domaine et son type. La documentation sur la déclaration des cookies détaille le fonctionnement. FlowConsent est gratuit jusqu'à 25 000 sessions par mois, hébergé en Europe et s'installe en une dizaine de minutes.