> Mettez votre boutique Shopify en conformité RGPD : cookies Shopify, pixels et applications, limites de la bannière native, CMP dans theme.liquid.
>
> Canonical: https://www.flowconsent.com/fr/blog/shopify-cookies-rgpd-guide-conformite

[Guides par plateforme](https://www.flowconsent.com/fr/blog?category=platforms)

# Shopify et cookies RGPD : guide de conformité

Publié le 31 mai 2026 · Mis à jour le 2 octobre 2026 · 10 min de lecture

En bref

La bannière native de Shopify ne couvre qu'une partie du sujet. Découvrez quels cookies dépose votre boutique, comment les auditer et comment bloquer pixels et applications avant consentement.

## TL;DR

Shopify dépose des cookies essentiels (panier, session, checkout, localisation) exemptés de consentement, mais aussi ses propres cookies d'analyse et de marketing, et chaque pixel marketing (Meta, Google, TikTok) ou application tierce en ajoute d'autres. Tous ceux-là exigent un consentement préalable au sens du RGPD. Shopify propose une bannière cookies native fondée sur sa Customer Privacy API, mais elle ne pilote que ce qui passe par cette API : les scripts codés en dur dans le thème ou injectés par des applications qui l'ignorent continuent de tourner. Pour une conformité complète, il vous faut une CMP chargée avant tout le reste dans `theme.liquid`, qui bloque les scripts non essentiels, tient les pixels Shopify et conserve la preuve du consentement.

## Pourquoi Shopify ne suffit pas pour la conformité cookies ?

Shopify est une plateforme e-commerce hébergée utilisée par des millions de marchands. Elle gère l'infrastructure, l'hébergement et le checkout, mais la conformité cookies reste de la responsabilité du marchand. La CNIL applique aux boutiques en ligne les mêmes règles qu'à n'importe quel site : tout cookie non essentiel exige un consentement préalable, et la boutique doit pouvoir le prouver.

Les cookies d'une boutique Shopify proviennent de quatre sources :

- **les cookies Shopify natifs** : session, panier, checkout, ainsi que les cookies d'analyse et de marketing de Shopify ;
- **les applications tierces** : avis clients, upsell, emailing, chat, recommandations de produits ;
- **les pixels de conversion** : Meta, Google Ads, TikTok et d'autres ;
- **les scripts d'analytics** : Google Analytics, Klaviyo, Hotjar.

Cette souplesse, apportée par les applications et les pixels marketing intégrés, est justement ce qui rend les risques faciles à sous-estimer.

## Quels cookies Shopify dépose-t-il ?

Shopify publie la liste des cookies qu'il dépose sur les vitrines. Elle évolue avec le temps : consultez la version à jour de sa politique de cookies avant de rédiger la vôtre.

### Les cookies essentiels (exemptés de consentement)

- `cart` : contenu du panier ;
- `localization` : pays et devise utilisés pour le panier ;
- `_shopify_essential` : informations de session et de checkout nécessaires au fonctionnement de la boutique ;
- `_tracking_consent` : enregistre les choix de confidentialité du visiteur ;
- `_shopify_test` : vérifie que les cookies peuvent être déposés.

Vous croiserez peut-être aussi des noms plus anciens comme `secure_customer_sig` (connexion client), `cart_sig` ou `cart_ts` dans des boutiques existantes ou des documentations. Quel que soit leur nom, les cookies strictement nécessaires doivent figurer dans votre politique de cookies.

### Les cookies d'analyse et de marketing de Shopify (consentement requis)

Shopify classe lui-même certains de ses cookies en analyse ou en marketing : ils ne sont donc pas exemptés.

- Analyse : `_shopify_s` (session de navigation), `_shopify_y` (suivi du visiteur), `_shopify_analytics`, `_landing_page`, `_orig_referrer` ;
- Marketing : `_shopify_marketing`.

### Les cookies tiers (consentement requis)

Ce sont eux qui posent le plus de problèmes : `_ga` et `_gid` (Google Analytics), `_fbp` et `_fbc` ([Meta Pixel](https://www.flowconsent.com/fr/blog/meta-pixel-cookies-rgpd-consentement)), ainsi que les cookies d'applications comme Klaviyo, Judge.me ou ReCharge. Ils exigent toujours un consentement préalable.

## Pixels et applications : là où se trouve le vrai risque

Le système de pixels de Shopify permet de connecter nativement Meta Pixel, Google Analytics / GA4, TikTok Pixel et d'autres outils marketing. Chacun dépose ses propres cookies publicitaires ou analytiques. Les pixels installés par les canaux de vente (Google & YouTube, Facebook & Instagram) et les pixels personnalisés se trouvent dans **Paramètres → Événements clients**. Ils tournent dans un bac à sable Shopify, hors de votre thème : un script placé dans `theme.liquid` ne peut pas les retenir.

Les applications de l'App Store sont l'autre grande source. Outils de chat (Tidio, Gorgias), moteurs de recommandation et outils de retargeting injectent souvent des scripts de suivi directement dans la vitrine, en dehors du système de pixels.

## Comment auditer les cookies d'une boutique Shopify ?

### Étape 1 : scanner chaque type de page

Utilisez le [scanner FlowConsent](https://www.flowconsent.com/fr/scan) ou les DevTools de Chrome. Une boutique Shopify compte plusieurs gabarits à couvrir : accueil, pages collection, fiches produit, panier et, autant que possible, checkout. Notez pour chaque cookie son nom, son domaine, sa durée et son émetteur.

### Étape 2 : inspecter les pixels et les applications

Dans l'admin Shopify, ouvrez **Paramètres → Événements clients** pour lister tous les pixels actifs, puis **Paramètres → Applications et canaux de vente** pour repérer les applications susceptibles d'injecter des scripts. Chaque pixel et chaque application est une source potentielle de cookies.

### Étape 3 : classer et documenter

Rangez les cookies en essentiels, analyse, marketing et préférences, puis mettez à jour votre [politique de cookies](https://www.flowconsent.com/fr/blog/politique-de-cookies-rgpd-guide), cookies Shopify natifs compris. Recommencez après chaque installation ou mise à jour d'application. La [méthode complète d'audit de cookies](https://www.flowconsent.com/fr/blog/audit-cookies-site-web-methode) détaille chaque étape.

## Bannière native Shopify ou CMP externe ?

Shopify propose sa propre bannière cookies dans **Paramètres → Confidentialité des clients**, fondée sur la Customer Privacy API. Les pixels gérés dans les Événements clients et les applications qui lisent cette API respectent le choix qui y est enregistré.

Ce sont ses limites qui comptent pour le RGPD :

- elle ne pilote que ce qui passe par la Customer Privacy API. Les scripts codés en dur dans le thème, ou injectés par des applications qui ne lisent pas l'API, continuent de tourner quel que soit le choix du visiteur ;
- avant de vous y fier, vérifiez que vous pourriez exporter des preuves de consentement horodatées si la CNIL vous les demandait ;
- la personnalisation est en général plus limitée qu'avec une CMP dédiée, ce qui compte si vous avez besoin de choix fins par catégorie, de plusieurs langues ou d'un design aligné sur votre marque.

Pour une boutique qui vise des visiteurs dans l'EEE, une CMP externe reste le moyen le plus fiable de prouver que rien ne tourne avant le consentement.

## Comment ajouter une CMP sur Shopify ?

### Option 1 : une application Shopify de consentement

L'App Store propose des applications comme Pandectes, Consentmo ou CookieYes. Elles s'installent facilement, mais certaines applications gratuites se contentent d'afficher un bandeau sans bloquer réellement les scripts. Testez avant de faire confiance.

### Option 2 : une CMP externe dans theme.liquid

Une [CMP externe](https://www.flowconsent.com/fr/blog/choisir-cmp-plateforme-gestion-consentement) comme FlowConsent s'ajoute dans le fichier `theme.liquid` du thème. Vous gagnez un contrôle plus fin et des fonctions comme le [Google Consent Mode v2](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) et les rapports de conformité.

## Installer FlowConsent sur Shopify

La procédure complète figure dans le [guide d'installation Shopify](https://www.flowconsent.com/fr/doc/install-shopify). Elle tient en trois étapes.

1. **Copier le snippet** depuis **Builder → Déploiement → Intégration**. Il comporte deux parties : un bloc Google Consent Mode v2 qui place tous les signaux à `denied` par défaut, puis le chargeur du bandeau.
2. **Le coller dans theme.liquid.** Dans **Boutique en ligne → Thèmes**, dupliquez votre thème pour garder une sauvegarde, puis cliquez sur **…** et **Modifier le code** sur le thème publié. Dans le dossier **Layout**, ouvrez `theme.liquid` et collez le snippet juste après la balise d'ouverture `<head>`, au-dessus de `{{ content_for_header }}`. Cet objet charge les scripts ajoutés par Shopify et vos applications : le snippet doit passer avant. Après chaque mise à jour du thème, vérifiez qu'il est toujours en place.
3. **Neutraliser la bannière native et les pixels des canaux.** Deux bannières, ce sont deux consentements contradictoires : supprimez celle de Shopify une fois vos traceurs déclarés dans FlowConsent (**Paramètres → Confidentialité des clients → Bannière de cookies**, puis **Plus d'actions → Supprimer la bannière de cookies**). Pour les canaux Google & YouTube et Facebook & Instagram, désactivez le partage de données (ou retirez les identifiants de mesure saisis) et déclarez Google Analytics, Google Ads ou Meta Pixel dans **Builder → Services** : le bandeau ne les charge alors qu'après consentement.

Le plan Free est gratuit, sans carte bancaire, jusqu'à 25 000 sessions par mois.

## Comment bloquer les scripts avant consentement sur Shopify ?

Il existe trois familles de scripts, et chacune se traite différemment.

- **Les scripts du thème ou injectés par des applications.** Retirez les balises de suivi du thème et laissez la CMP les charger : dans FlowConsent, déclarez-les dans **Builder → Services**. L'alternative générique est `type="text/plain"` avec un attribut `data-category`, que la CMP réactive après consentement.
- **Les pixels personnalisés des Événements clients.** Chaque pixel personnalisé dispose d'un réglage d'autorisation : choisissez l'option qui rend le consentement obligatoire et sélectionnez les finalités (marketing, analyse, préférences) pour qu'il ne se déclenche qu'après l'accord correspondant.
- **Les pixels des canaux de vente.** Ils suivent le consentement enregistré via la Customer Privacy API, pas votre bandeau. La voie la plus propre est celle décrite plus haut : couper leur partage de données et laisser la CMP charger les tags.

Si vous utilisez Google Tag Manager dans le thème, ne chargez jamais le bandeau depuis GTM : il arriverait trop tard. Gardez le snippet de la CMP au-dessus du conteneur GTM.

Contrôlez ensuite en navigation privée, onglet **Réseau** des DevTools : aucune requête vers Google, Meta, TikTok ou un autre tiers ne doit partir avant le clic sur Accepter.

## Et le checkout ?

Le checkout Shopify n'exécute pas le code de votre thème : `theme.liquid` ne s'applique ni au checkout ni aux pages de remerciement et de statut de commande, et Shopify a retiré les anciens « scripts supplémentaires ». Votre bandeau n'apparaît donc pas pendant le paiement : le visiteur fait son choix sur la vitrine, en amont. Ne collez pas de traceurs dans ces pages : le suivi des conversions passe par les Événements clients, qui dépendent de la Customer Privacy API. Le checkout dépose aussi ses propres cookies strictement nécessaires, à documenter dans votre politique de cookies.

## Shopify Markets et la conformité multi-pays

Si vous vendez à l'international avec Shopify Markets, les règles varient selon les régions : le RGPD impose l'opt-in dans l'EEE, le [CCPA/CPRA](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) fonctionne en opt-out en Californie et la LGPD brésilienne a ses propres exigences. La base la plus sûre consiste à appliquer le modèle le plus strict (consentement préalable) partout où vous ne pouvez pas distinguer les régimes, et à vérifier que votre CMP sait adapter le bandeau à chaque juridiction visée.

## Shopify et le Google Consent Mode v2

Si votre boutique utilise GA4 ou Google Ads, le Consent Mode v2 est indispensable : sans lui, les tags Google ne reçoivent aucun signal de consentement et la mesure de vos campagnes en pâtit. Il se met en place via GTM dans `theme.liquid` ou directement par la CMP. Le snippet FlowConsent pose lui-même les valeurs `denied` par défaut et les met à jour dès que le visiteur choisit. La [documentation Consent Mode](https://www.flowconsent.com/fr/doc/google-consent-mode) explique comment sont traités les autres tags.

## Erreurs fréquentes sur les boutiques Shopify

- **Meta Pixel et GA4 actifs sans bandeau.** Les deux déposent des cookies publicitaires et analytiques dès le chargement. Sans blocage, chaque visiteur est suivi sans consentement.
- **Se fier uniquement à la bannière native.** Elle ne couvre pas les scripts hors Customer Privacy API, et un audit complet révèle souvent des cookies non gérés.
- **Considérer \`\_shopify\_y\` et \`\_shopify\_s\` comme essentiels.** Shopify les classe lui-même parmi les cookies d'analyse.
- **Oublier les pixels des canaux.** Les canaux Google & YouTube ou Facebook & Instagram continuent d'envoyer des données après un refus si leur partage de données reste actif.
- **Ne pas auditer les cookies des applications.** Chaque application installée peut déposer ses propres cookies non documentés.
- **Un snippet placé sous \`{{ content\_for\_header }}\`**, ou perdu après une mise à jour du thème.
- **Coller des traceurs dans les pages de checkout**, où le bandeau ne s'exécute jamais.
- **Ne pas mettre à jour la politique de cookies** après chaque nouvelle application.
- **Aucun journal de consentement conservé.** En cas de contrôle CNIL, vous devez prouver que le consentement a été recueilli.

## Checklist : conformité cookies sur Shopify

- Lancer un [scan de votre boutique](https://www.flowconsent.com/fr/scan) sur chaque type de page : accueil, collection, produit, panier, checkout.
- Lister tous les pixels actifs dans **Paramètres → Événements clients** et toutes les applications susceptibles d'injecter des scripts.
- Installer une CMP : application Shopify ou CMP externe dans `theme.liquid`, juste après `<head>`.
- Supprimer la bannière native une fois les traceurs déclarés dans la CMP, pour ne garder qu'un seul consentement.
- Couper le partage de données des canaux de vente et laisser la CMP charger les tags Google et Meta.
- Rendre le consentement obligatoire sur les pixels personnalisés, avec les bonnes finalités.
- Vérifier que le [bandeau](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) propose Accepter et Refuser avec la même visibilité.
- Activer le Google Consent Mode v2 si vous utilisez GA4 ou Google Ads.
- Rédiger une politique de cookies qui inclut les cookies Shopify natifs et ceux du checkout.
- Adapter le bandeau à chaque juridiction si Shopify Markets est actif.
- Activer les journaux de consentement horodatés et ajouter un lien « Gérer les cookies » dans le pied de page du thème.
- Tester en navigation privée, puis refaire un audit après chaque installation d'application ou mise à jour du thème.

## Vérifier et rester conforme dans la durée

Ce qui compte n'est pas qu'un bandeau s'affiche, mais ce qui tourne encore quand le visiteur refuse. La [vérification de conformité](https://www.flowconsent.com/fr/doc/compliance-verification) de FlowConsent charge les pages de votre boutique dans un vrai navigateur en refusant le consentement et liste tout ce qui se déclenche malgré tout. Chaque vérification est datée et archivée avec une capture d'écran : vous constituez ainsi vos preuves. Placez vos gabarits clés sous surveillance récurrente pour être alerté si une nouvelle application ou un nouveau pixel se met à fuiter.

## Conclusion

Shopify simplifie le e-commerce, pas la conformité cookies. La bannière native ne couvre qu'une partie du sujet, et l'écosystème d'applications ajoute sans cesse des scripts. Une CMP placée avant `{{ content_for_header }}`, des pixels Shopify mis au pas et des audits réguliers : c'est ce qu'il faut pour pouvoir prouver votre conformité.

Lancez un [scan gratuit de votre boutique Shopify](https://www.flowconsent.com/fr/scan) pour voir quels cookies sont actifs aujourd'hui, puis suivez le [guide d'installation](https://www.flowconsent.com/fr/doc/install-shopify) pour mettre FlowConsent en place.

[Retour au blog](https://www.flowconsent.com/fr/blog)

Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fshopify-cookies-rgpd-guide-conformite) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fshopify-cookies-rgpd-guide-conformite)

À lire aussi

## Pour aller plus loin.

[Tous les articles](https://www.flowconsent.com/fr/blog)

[Guides par plateforme · 2 novembre 2026](https://www.flowconsent.com/fr/blog/consent-mode-v2-shopify-configuration)

### [Consent Mode v2 sur Shopify : la configuration pas à pas](https://www.flowconsent.com/fr/blog/consent-mode-v2-shopify-configuration)

[Les deux voies qui transmettent le consentement à Google sur Shopify, comment choisir, et comment configurer et tester le Consent Mode v2 sans double suivi.](https://www.flowconsent.com/fr/blog/consent-mode-v2-shopify-configuration)

[Lire l'article ](https://www.flowconsent.com/fr/blog/consent-mode-v2-shopify-configuration)·

[Guides par plateforme · 13 juillet 2026](https://www.flowconsent.com/fr/blog/nextjs-cookies-rgpd-guide-conformite)

### [Next.js et cookies RGPD : le guide complet de conformité](https://www.flowconsent.com/fr/blog/nextjs-cookies-rgpd-guide-conformite)

[Comment recueillir un consentement cookies valable dans une app Next.js, de l'installation avec l'App Router à la navigation SPA, en passant par Google Consent Mode v2 et le contrôle côté serveur.](https://www.flowconsent.com/fr/blog/nextjs-cookies-rgpd-guide-conformite)

[Lire l'article ](https://www.flowconsent.com/fr/blog/nextjs-cookies-rgpd-guide-conformite)·

[Guides par plateforme · 25 mai 2026](https://www.flowconsent.com/fr/blog/prestashop-cookies-rgpd-guide-conformite)

### [PrestaShop cookies RGPD : guide complet de conformité](https://www.flowconsent.com/fr/blog/prestashop-cookies-rgpd-guide-conformite)

[Comment rendre votre boutique PrestaShop conforme au RGPD pour les cookies : audit, bannière CNIL, Google Consent Mode v2 et checklist pratique.](https://www.flowconsent.com/fr/blog/prestashop-cookies-rgpd-guide-conformite)

[Lire l'article](https://www.flowconsent.com/fr/blog/prestashop-cookies-rgpd-guide-conformite)

## Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

[Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)