Cookies et consentement sur Shopify : le guide RGPD

TL;DR

Shopify ne fournit pas de solution de consentement cookies conforme au RGPD par défaut. La plateforme dépose ses propres cookies techniques et analytics, et les applications tierces installées sur votre boutique en ajoutent d'autres. Pour rendre une boutique Shopify conforme, il faut intégrer une CMP qui affiche un bandeau, bloque les scripts non consentis et conserve la preuve de consentement, soit via une application Shopify dédiée, soit via un snippet JavaScript dans le fichier theme.liquid.

Pourquoi Shopify ne suffit pas pour la conformité cookies ?

Shopify est une plateforme e-commerce hébergée. Elle gère l'infrastructure technique, l'hébergement et le checkout, mais ne fournit pas de mécanisme de consentement cookies conforme au RGPD européen.

Shopify propose un bandeau de consentement natif via sa fonctionnalité "Customer Privacy", mais ce bandeau est basique. Il ne bloque pas les scripts tiers avant consentement et ne propose pas de panneau de personnalisation par catégorie de cookies. Pour les boutiques qui ciblent des visiteurs dans l'EEE, ce mécanisme natif ne suffit pas à démontrer la conformité.

Les sources de cookies sur une boutique Shopify sont multiples : les cookies Shopify natifs (session, panier, checkout, analytics Shopify), les applications tierces installées (avis clients, upsell, email marketing, chat), les pixels de conversion (Facebook, Google Ads, TikTok) et les scripts analytics (Google Analytics, Klaviyo, Hotjar).

Quels cookies Shopify dépose-t-il nativement ?

Shopify dépose plusieurs catégories de cookies qu'il faut connaître pour configurer correctement votre CMP.

Les cookies strictement nécessaires incluent _shopify_s et _shopify_y (session et identification du visiteur), cart_sig et cart_ts (gestion du panier), secure_customer_sig (authentification client), checkout_token (processus de paiement). Ces cookies sont indispensables et exemptés de consentement.

Les cookies analytics Shopify incluent _shopify_sa_t et _shopify_sa_p. Selon votre interprétation du RGPD, ces cookies peuvent nécessiter un consentement si les données sont utilisées à des fins de profilage.

Les cookies tiers posent le plus de problèmes : _ga, _gid (Google Analytics), _fbp, _fbc (Meta Pixel), les cookies de Klaviyo, Judge.me, ReCharge. Ces cookies nécessitent systématiquement un consentement préalable.

Comment intégrer une CMP sur Shopify ?

Deux approches principales permettent d'ajouter une solution de consentement cookies sur Shopify.

Option 1 : une application Shopify de consentement

Le Shopify App Store propose des applications comme Pandectes, Consentmo ou CookieYes. L'avantage est la simplicité. La limite est que certaines applications gratuites n'offrent qu'un bandeau basique sans blocage réel des scripts.

Option 2 : une CMP SaaS externe via theme.liquid

Une CMP externe comme FlowConsent s'intègre en ajoutant un snippet JavaScript dans theme.liquid. Cette méthode offre un contrôle plus fin et des fonctionnalités avancées : scan automatique, Google Consent Mode v2, TCF 2.2, rapports de conformité.

Comment bloquer les scripts avant consentement sur Shopify ?

Le blocage peut être géré via l'API Shopify Customer Privacy ou en modifiant les balises script dans theme.liquid (type="text/plain" avec data-category). Pour les Shopify Pixels, le consentement est contrôlé via les paramètres de confidentialité Shopify.

Après configuration, un audit de cookies est indispensable pour vérifier que les scripts sont bloqués avant consentement.

Shopify Markets et la conformité multi-pays

Le RGPD (opt-in, EEE), le CCPA/CPRA (opt-out, Californie) et la LGPD (Brésil) ont des exigences différentes. Une CMP capable de géolocaliser le visiteur et d'adapter le bandeau est nécessaire pour les boutiques multi-marchés. FlowConsent propose cette fonctionnalité.

Erreurs fréquentes sur les boutiques Shopify

Se fier au bandeau natif Shopify comme seule solution. Il ne bloque pas les scripts tiers et ne propose pas de choix granulaire.

Ne pas auditer les cookies déposés par les applications Shopify. Chaque application installée peut déposer ses propres cookies non documentés.

Oublier les Shopify Pixels. Les pixels (Meta, Google Ads, TikTok) fonctionnent dans un sandbox mais déposent des cookies. Leur consentement doit être configuré séparément.

Ne pas mettre à jour la politique de cookies après chaque ajout d'application.

Ignorer le checkout Shopify. Il dépose ses propres cookies strictement nécessaires qui doivent être documentés.

Shopify et le Google Consent Mode v2

Si votre boutique utilise GA4 ou Google Ads, le Consent Mode v2 est indispensable. Il peut être implémenté via GTM dans theme.liquid ou directement via la CMP. FlowConsent transmet automatiquement les signaux de consentement aux tags Google.

Checklist : conformité cookies sur Shopify

1. Lancer un scan de votre boutique pour inventorier tous les cookies.
2. Installer une CMP (application Shopify ou CMP SaaS via theme.liquid).
3. Configurer le blocage des scripts non essentiels avant consentement.
4. Vérifier que le bandeau propose Accepter et Refuser avec la même visibilité.
5. Configurer la gestion des Shopify Pixels.
6. Activer le Google Consent Mode v2 si GA4 ou Google Ads est utilisé.
7. Rédiger une politique de cookies incluant les cookies Shopify natifs.
8. Configurer la géolocalisation du bandeau si Shopify Markets est actif.
9. Tester en navigation privée : aucun cookie tiers avant clic sur Accepter.
10. Planifier un audit après chaque installation d'application Shopify.

Conclusion

Shopify simplifie le e-commerce, mais pas la conformité cookies. Le bandeau natif ne suffit pas, et l'écosystème d'applications ajoute des cookies non documentés en permanence. Une CMP externe comme FlowConsent, intégrée via theme.liquid, offre le blocage fiable, le scan automatique et la gestion multi-marchés nécessaires pour une boutique Shopify conforme au RGPD.

Lancez un scan gratuit de votre boutique Shopify pour identifier tous les cookies présents et évaluer votre niveau de conformité.