Le bandeau cookies pose la même question sur presque tous les sites, et beaucoup d'internautes cliquent sur le bouton qui le fait disparaître le plus vite. Cet article explique ce que signifie accepter les cookies, ce qui se passe concrètement après le clic, ce que change un refus et dans quels cas il vaut mieux dire non. Pour les notions de base, commencez par notre guide cookies : définition, types et fonctionnement.
Que signifie accepter les cookies ?
Accepter les cookies, c'est donner son consentement, au sens juridique, pour que le site enregistre des informations sur votre appareil et les relise pour les finalités annoncées dans le bandeau. Ces finalités se rangent en général en trois familles : la mesure d'audience, la personnalisation et la publicité.
Ce consentement est imposé par la loi. L'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, oblige un site à demander l'accord de l'internaute avant de déposer ou de lire un traceur, sauf si ce traceur est strictement nécessaire au service demandé. Le RGPD fixe les conditions d'un consentement valable : libre, spécifique, éclairé, univoque, et aussi simple à retirer qu'à donner.
Accepter ne donne pas au site un accès à vos fichiers, à vos mots de passe ni à vos autres onglets. Un cookie est un petit fichier texte, rattaché à un domaine, que le navigateur renvoie à ce seul domaine. La vraie question n'est donc pas la sécurité de votre ordinateur, mais qui reçoit les données et ce qu'il en fait.
Que se passe-t-il quand on accepte les cookies ?
Sur un bandeau correctement intégré, un clic sur « Accepter » déclenche plusieurs étapes :
- Votre choix est enregistré. Le site garde votre décision, souvent dans un cookie ou dans le stockage local, pour ne pas réafficher le bandeau à chaque page. La plupart des outils de consentement conservent aussi une trace sur leur serveur, car le site doit pouvoir prouver votre accord.
- Les scripts bloqués se lancent. Les outils de mesure d'audience, les pixels publicitaires et les lecteurs vidéo intégrés qui attendaient votre réponse se chargent.
- Ces scripts déposent leurs propres cookies. Google Analytics écrit le cookie
_ga, qui reconnaît votre navigateur pendant deux ans par défaut. Le pixel Meta écrit_fbp. Les régies publicitaires peuvent déposer des cookies tiers sur leurs propres domaines. - Les données circulent. Chaque page vue, chaque clic sur un produit, chaque achat peut être envoyé avec cet identifiant à l'outil d'analyse ou à la régie.
- Les partenaires sont informés. Avec les balises Google, votre choix passe par le Consent Mode, qui indique à Google s'il peut utiliser des cookies pour la mesure et la publicité.
Les jours suivants, l'effet devient visible : le site vous reconnaît, l'outil d'analyse vous compte comme visiteur récurrent, et la publicité pour le produit consulté peut vous suivre sur d'autres sites. Ce dernier effet vient des cookies de suivi, la catégorie que les bandeaux servent avant tout à encadrer.
Que se passe-t-il si on refuse les cookies ?
Si vous cliquez sur « Refuser » ou « Continuer sans accepter », un site conforme ne dépose que les cookies dont il a besoin pour fonctionner : le cookie de session qui vous garde connecté, celui du panier, celui qui mémorise votre refus. Ces cookies strictement nécessaires sont les seuls exemptés de consentement.
Concrètement, vous perdez très peu :
- le site reste accessible, car le refus ne doit pas bloquer le contenu ;
- vous voyez toujours des publicités, mais elles ne s'appuient plus sur votre historique de navigation ;
- certains contenus intégrés, comme une vidéo YouTube ou une carte, peuvent rester masqués tant que vous n'acceptez pas la catégorie correspondante ;
- certaines préférences reposant sur des cookies facultatifs peuvent ne pas être conservées.
Les autorités sont claires sur ce point. Depuis ses lignes directrices de 2020, la CNIL exige qu'il soit aussi simple de refuser que d'accepter. En décembre 2021, elle a sanctionné Google de 150 millions d'euros et Facebook de 60 millions d'euros parce que le refus des cookies demandait plus de clics que l'acceptation. Un site qui ne fonctionne plus après un refus pose un problème de conformité. Notre article sur le cookie wall détaille les rares cas où l'accès peut être conditionné.
Accepter les cookies est-il dangereux ?
Du point de vue de la sécurité, non, dans la grande majorité des cas. Un cookie ne peut pas exécuter de code, ne peut pas contenir de virus et ne peut rien lire en dehors de son propre domaine. Quand un antivirus signale des « cookies de suivi », il parle de vie privée, pas d'infection.
Le risque concerne la vie privée. Un site qui mesure sa propre audience apprend peu de choses sur vous. Une régie publicitaire qui retrouve le même identifiant sur des milliers de sites peut déduire vos centres d'intérêt, vos habitudes et parfois des informations sensibles à partir des pages consultées : un problème de santé, des difficultés financières. Ce profil sert au ciblage et peut être partagé avec d'autres entreprises.
Il existe aussi un risque de sécurité plus limité : sur un site piraté ou sans HTTPS, un attaquant qui vole un cookie de session peut prendre le contrôle de votre compte connecté. Refuser les cookies facultatifs n'y change rien, puisque les cookies de session sont nécessaires. Privilégier les sites en HTTPS et se déconnecter sur un ordinateur partagé, si.
Faut-il accepter les cookies ou les refuser ?
Il n'existe pas de réponse unique, mais quelques repères aident à décider.
Accepter les cookies est raisonnable quand :
- vous connaissez le site, vous y revenez souvent et vous acceptez qu'il mesure votre usage ;
- vous voulez utiliser une fonction qui dépend de cookies facultatifs, comme une vidéo intégrée ;
- le bandeau vous permet de n'accepter que certaines catégories, par exemple la mesure d'audience sans la publicité.
Refuser, ou personnaliser, est préférable quand :
- vous ne connaissez pas le site ou il vous paraît peu fiable ;
- le sujet est sensible (santé, religion, finances, démarches juridiques) ;
- vous utilisez un ordinateur partagé ou public ;
- le bandeau affiche des dizaines de partenaires publicitaires ;
- vous ne voulez pas être suivi par la publicité.
La voie du milieu est souvent la meilleure : cliquez sur « Personnaliser » ou « Paramétrer », gardez la mesure d'audience si vous voulez aider le site à s'améliorer et désactivez la publicité. Un bandeau bien conçu rend ce choix simple. Un bandeau qui cache le bouton de refus ou qui précoche toutes les cases utilise un dark pattern, que la CNIL sanctionne.
Vous gérez vous-même un site ? La question se pose alors à l'envers : votre site attend-il vraiment la réponse du visiteur ? Vérifiez en 30 secondes quels cookies votre site dépose avant tout consentement avec le scanner gratuit.
« Tout accepter » ou « Continuer sans accepter » : quelle différence ?
« Tout accepter » active toutes les catégories du bandeau, publicité comprise. « Tout refuser », « Uniquement les nécessaires » ou « Continuer sans accepter » n'en active aucune. Les deux choix sont légitimes, et la loi impose que le second soit aussi visible que le premier : la CNIL attend un bouton de refus au même niveau que le bouton d'acceptation.
Si le bandeau propose un panneau de paramètres, regardez d'abord les catégories plutôt que la longue liste de partenaires. Les catégories disent à quoi servent les cookies ; la liste dit qui reçoit les données.
Combien de temps dure votre choix et comment le modifier ?
Votre choix est enregistré dans votre navigateur. Il dure jusqu'à son expiration ou jusqu'à ce que vous effaciez vos cookies. La CNIL recommande de conserver le choix pendant six mois avant de redemander, et la durée de vie des traceurs ne doit pas dépasser 13 mois. Si vous videz vos cookies, tous les bandeaux réapparaissent, car le site ne connaît plus votre décision.
Retirer son consentement doit être aussi simple que le donner, comme le prévoit l'article 7(3) du RGPD. Cherchez :
- une icône flottante, souvent un petit cookie ou un bouclier dans un coin de la page ;
- un lien « Gestion des cookies » ou « Paramètres de confidentialité » en bas de page ;
- les réglages de votre navigateur, pour supprimer les cookies d'un site ou bloquer les cookies tiers partout.
Le retrait arrête le suivi à venir. Il n'efface pas les données déjà collectées, mais vous pouvez en demander la suppression en exerçant vos droits RGPD.
Peut-on éviter les bandeaux cookies ?
En partie. Safari et Firefox bloquent par défaut la plupart des cookies tiers, ce qui limite le suivi d'un site à l'autre même si vous cliquez sur « Accepter ». Des extensions masquent les bandeaux ou y répondent automatiquement, mais certaines le font en acceptant tout, ce qui va à l'encontre du but recherché. Effacer les cookies à la fermeture du navigateur repart de zéro, au prix de revoir chaque bandeau.
Les bandeaux ne disparaîtront pas de sitôt : tant que les sites utilisent des cookies de mesure et de publicité, ils doivent demander votre accord. La vraie question est de savoir s'ils le demandent honnêtement, ce que mesurent les études sur la fatigue du consentement.
Comment FlowConsent gère votre choix
FlowConsent illustre ce qu'un bandeau doit faire en coulisses. Tant que le visiteur n'a pas répondu, il bloque les scripts de mesure et de publicité : aucun cookie facultatif n'est déposé avant le consentement. Quand le visiteur accepte une catégorie, seuls les scripts correspondants se chargent, et les balises Google reçoivent le choix via Google Consent Mode v2 intégré. En cas de refus, rien de facultatif ne s'exécute. Chaque décision est conservée comme preuve de consentement exportable, hébergée en Europe, et un bouton flottant permet au visiteur de modifier son choix à tout moment, comme l'explique la documentation sur la personnalisation du bandeau. FlowConsent s'installe en une dizaine de minutes sur Webflow, WordPress, Shopify, Wix, Framer ou via GTM, et reste gratuit jusqu'à 25 000 sessions par mois.