Squarespace et Consent Mode v2 : guide d'installation

Squarespace séduit par sa simplicité, mais ses outils de confidentialité ont d'abord été pensés pour ses propres fonctionnalités. Dès que vous lancez des campagnes Google Ads ou que vous empilez des balises marketing, mieux vaut savoir précisément où s'arrêtent les options natives. Voici la frontière, les quatre signaux du Consent Mode v2, une installation pas à pas avec une CMP et les contrôles qui prouvent que tout fonctionne.

Si Google Ads fait partie de votre configuration, notre fiche Google Ads détaille le suivi des conversions, le Consent Mode et les points RGPD propres à cette balise.

Ce que Squarespace fait (et ne fait pas) pour le Consent Mode

Squarespace propose un bandeau cookies natif, réglé dans le panneau Cookies & Data Privacy (libellés de l'interface en anglais). D'après le centre d'aide de Squarespace, vous pouvez ajouter un bouton Manage cookies pour que le visiteur personnalise ses préférences et un bouton Decline all pour refuser tous les cookies non essentiels. Une fois le bandeau activé, Squarespace restreint une partie des cookies non essentiels jusqu'à la réponse du visiteur, et ce choix est mémorisé 30 jours avant que le bandeau ne réapparaisse.

Côté Google, l'information clé figure dans la documentation Google Analytics de Squarespace : si vous connectez GA4 via le champ intégré (Developer tools > External API keys, identifiant de mesure commençant par G-) et que vous activez à la fois le bandeau et le bouton Decline all, Squarespace partage les choix de consentement des visiteurs avec Google via le mode Consentement. Aucun script n'est nécessaire dans ce cas précis.

Les limites comptent tout autant :

• L'injection de code est à votre charge. Squarespace indique que si du code personnalisé dépose des cookies non essentiels, c'est à vous de le faire dialoguer avec le bandeau, et que les solutions à base de code comme Google Tag Manager sortent du périmètre de son support.
• Google Ads ne fait pas partie de l'intégration native. Pour Google Ads ajouté par injection de code, Squarespace renvoie vers un exemple de code publié sur son forum communautaire, pas vers un réglage.
• Les signaux envoyés ne sont pas documentés en détail. Squarespace ne précise pas quels types de consentement il renseigne ni à quel moment : vérifiez le comportement vous-même plutôt que de supposer que les quatre paramètres v2 sont couverts.
• Deux catégories seulement. La documentation cookies de Squarespace distingue les cookies nécessaires et les cookies d'analyse et de performance : les finalités fines (publicité, personnalisation) ne sont pas cartographiées par défaut.

En résumé : un site qui n'utilise que la connexion GA4 native peut s'appuyer sur le bandeau Squarespace. Un site avec Google Ads, GTM, Meta Pixel ou d'autres scripts tiers a besoin d'une vraie CMP. Pour la vue d'ensemble de la conformité sur cette plateforme, consultez notre guide Squarespace et cookies RGPD.

Le Consent Mode v2 en deux minutes

Le Consent Mode est l'API de Google qui indique à ses balises ce que le visiteur a accepté. La version 2 repose sur quatre types de consentement, décrits dans le guide officiel de configuration du mode Consentement :

• ad_storage : stockage (cookies notamment) lié à la publicité ;
• analytics_storage : stockage lié à la mesure d'audience, par exemple la durée de visite ;
• ad_user_data : consentement à l'envoi à Google de données utilisateur liées à la publicité ;
• ad_personalization : consentement à la publicité personnalisée, dont le remarketing.

Le mécanisme fonctionne toujours en deux temps. D'abord une commande default, par exemple gtag('consent', 'default', {...}) avec les quatre valeurs à denied, exécutée en haut de page, de manière synchrone, avant toute balise Google. Ensuite une commande update, gtag('consent', 'update', {...}), envoyée par le bandeau lorsque le visiteur accepte tout ou partie des finalités. Google prévient que si le code s'exécute dans le désordre, les valeurs par défaut ne fonctionnent pas.

Pour un pas à pas indépendant de la plateforme, consultez notre guide complet d'implémentation du Google Consent Mode v2.

Google distingue aussi deux modes. En mode basic, les balises Google ne se chargent pas du tout avant l'interaction avec le bandeau. En mode advanced, elles se chargent immédiatement avec des valeurs refusées et envoient des pings sans cookies en cas de refus, ce qui alimente une modélisation des conversions propre à l'annonceur. Le choix entre les deux est détaillé dans notre article Consent Mode basic vs advanced. Gardez en tête que le Consent Mode ne remplace pas l'obligation légale : la CNIL rappelle que les traceurs non essentiels exigent un consentement préalable et que refuser doit être aussi simple qu'accepter.

Avant de commencer : les prérequis

• Un forfait avec injection de code. Squarespace la propose sur les forfaits Core, Plus et Advanced ainsi que sur certains anciens forfaits. Sans elle, impossible d'ajouter le script d'une CMP dans l'en-tête du site.
• Vos identifiants Google. L'ID de mesure GA4 (G-XXXXXXX) et, si vous faites de la publicité, l'ID de balise Google Ads (AW-XXXXXXX) avec vos libellés de conversion.
• L'inventaire de vos balises. Listez tout ce qui se charge : mesure d'audience, publicité, pixels, chat, vidéos intégrées. Un scan de cookies vous donne une base en quelques secondes.
• Un seul bandeau. Deux bandeaux en parallèle perturbent les visiteurs et produisent des signaux contradictoires.

Installation pas à pas avec une CMP

L'objectif tient en une phrase : les valeurs par défaut d'abord, les balises Google ensuite, puis le bandeau qui envoie les mises à jour. Voici l'ordre à respecter sur Squarespace.

Si vous optez pour FlowConsent, la documentation d'installation sur Squarespace reprend ces étapes : snippet dans Code Injection, bandeau natif désactivé et identifiants Google et Meta retirés des champs intégrés.

1. Supprimez la balise Google chargée en amont. Si votre ID GA4 figure dans Developer tools > External API keys, videz ce champ dès que la CMP prend le relais : sinon Squarespace continue de charger GA4 par son propre canal, potentiellement avant vos valeurs par défaut.
2. Désactivez le bandeau natif dans Cookies & Data Privacy, pour que seule votre CMP recueille le consentement.
3. Ouvrez le panneau Code Injection et utilisez le champ Header global. Squarespace l'injecte dans la balise <head> de chaque page, ce dont le Consent Mode a besoin. Évitez l'injection d'en-tête page par page : le consentement doit être en place partout.
4. Collez le script de la CMP tout en haut du champ Header. Il doit s'exécuter avant toute balise Google pour que la commande default arrive en premier. Si votre CMP ne pose pas elle-même les valeurs par défaut, ajoutez avant tout le reste un petit script en ligne qui définit dataLayer, la fonction gtag() et un appel gtag('consent', 'default', {...}) avec les quatre valeurs à denied.
5. Ajoutez la balise Google en dessous. Collez le snippet gtag.js standard de GA4 ou de Google Ads, avec gtag('config', 'G-XXXXXXX') et, si besoin, gtag('config', 'AW-XXXXXXX'). Une seule balise Google peut servir aux deux.
6. Déclarez vos autres scripts dans la CMP (Meta Pixel, LinkedIn, Hotjar, etc.) pour qu'ils restent bloqués jusqu'au consentement correspondant. Le Consent Mode ne concerne que les balises Google.
7. Enregistrez, publiez et testez sur le site en ligne. Squarespace précise que le code injecté ne s'exécute pas dans l'éditeur : testez toujours l'URL publique, idéalement en navigation privée.

Option A : une CMP avec Consent Mode intégré

C'est la voie la plus légère sur Squarespace. Avec FlowConsent, par exemple, vous collez un seul script dans le champ Header : Google Consent Mode v2 est intégré, les quatre signaux démarrent à denied et le bandeau envoie la mise à jour au moment du choix. Les autres scripts sont bloqués avant consentement, un scan automatique des cookies tient la déclaration à jour et les preuves de consentement sont conservées 13 mois. Pas besoin de Google Tag Manager. La documentation Consent Mode détaille l'ordre exact des scripts.

Option B : Google Tag Manager

Si votre équipe gère déjà ses balises dans GTM, collez le snippet du conteneur en haut du champ Header. Configurez ensuite le consentement dans GTM : un modèle de CMP ou une balise personnalisée sur le déclencheur Consent Initialization pose les valeurs par défaut, et chaque balise Google s'appuie sur ses vérifications de consentement intégrées. Notre guide Google Tag Manager et Consent Mode v2 couvre la partie GTM en détail.

Comment vérifier que tout fonctionne

Ne présumez jamais. La page d'aide Google sur la vérification du mode Consentement recommande Tag Assistant, et un passage par les outils de développement du navigateur complète le diagnostic.

Pour aller plus loin, la vérification de conformité charge vos pages dans un vrai navigateur en refusant le consentement et liste chaque traceur ou cookie qui se déclenche malgré tout.

1. Ouvrez Tag Assistant, saisissez l'URL de votre site Squarespace et connectez-vous. Le site s'ouvre dans un nouvel onglet avec le bandeau.
2. Dans le Summary, sélectionnez le premier événement Consent. Dans la section API Call, vérifiez que ad_storage, analytics_storage, ad_user_data et ad_personalization sont bien présents et à denied.
3. Acceptez les cookies dans le bandeau, puis sélectionnez le dernier événement Consent : les valeurs acceptées doivent passer à granted (colonne On-page Update de l'onglet Consent de la balise).
4. Ouvrez la vue Tags et contrôlez que chaque balise s'est comportée conformément à l'état du consentement.
5. Recommencez dans une nouvelle fenêtre privée en cliquant cette fois sur Refuser : rien ne doit passer à granted.

Dans les outils de développement, ouvrez Application > Cookies avant tout clic : les cookies _ga de GA4 et ceux de Google Ads ne doivent pas encore exister. Dans l'onglet Network, filtrez sur collect ou googleadservices pour voir quelles requêtes partent avant et après le consentement. Si l'onglet Consent de Tag Assistant est vide, Google indique que le mode Consentement n'est pas implémenté sur la page ou que la balise Google a été bloquée. Côté Google Ads, les diagnostics de conversion affichent aussi l'état du mode Consentement de vos balises une fois du trafic enregistré.

Pour savoir à quoi sert chacun de ces cookies, notre article sur les cookies _ga, _gid et _gat détaille leur rôle et leur durée de vie.

Les erreurs fréquentes sur Squarespace

• Laisser l'ID GA4 dans le champ natif tout en ajoutant gtag.js par code. Résultat : deux chargements de GA4, des données en double et une balise qui peut partir avant vos valeurs par défaut.
• Placer la CMP sous la balise Google. La commande config est traitée sans restriction et des cookies sont déposés avant toute valeur par défaut.
• Utiliser le champ Footer pour la CMP. Le pied de page s'exécute en fin de body, bien trop tard pour le consentement.
• Ne renseigner que les deux signaux historiques. Sans ad_user_data et ad_personalization, Google ne peut pas exploiter votre trafic de l'EEE pour la publicité personnalisée et certaines fonctions de mesure.
• Oublier les scripts non Google. Le Consent Mode ne fait rien pour Meta Pixel, TikTok ou les vidéos YouTube intégrées : la CMP doit les bloquer.
• Tester dans l'éditeur. Le code injecté n'y tourne pas, les résultats n'ont donc aucune valeur.

Conclusion

Le bandeau Squarespace suffit si vous n'utilisez que la connexion GA4 native. Dès que Google Ads, GTM ou d'autres balises marketing entrent en jeu, il vous faut une CMP qui pose d'abord les valeurs par défaut du Consent Mode v2 et bloque tout le reste jusqu'à l'accord du visiteur. Respectez l'ordre décrit plus haut, vérifiez avec Tag Assistant et refaites le test à chaque nouvelle balise. Vous voulez savoir ce que votre site Squarespace charge aujourd'hui avant consentement ? Lancez un scan gratuit et comparez le résultat avec votre inventaire.