Ce guide s'adresse à tous ceux qui veulent savoir ce qu'un site enregistre dans leur navigateur : l'internaute curieux, le marketeur qui contrôle une nouvelle balise, ou l'éditeur qui veut vérifier que son bandeau fonctionne vraiment. Si vous cherchez la méthode complète de mise en conformité (inventaire, classement, rapport daté), lisez notre méthode d'audit des cookies d'un site. Ici, on reste concret : où cliquer dans chaque navigateur, comment lire la liste et comment savoir qui a déposé chaque cookie.
Pourquoi vérifier les cookies d'un site ?
En tant qu'internaute. Vous voyez qui peut vous suivre d'une visite à l'autre. L'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, n'autorise le dépôt de traceurs non essentiels qu'après votre accord. Regarder la liste des cookies est le moyen le plus simple de vérifier qu'un clic sur « Tout refuser » est respecté.
En tant qu'éditeur de site. Le bandeau et la politique cookies doivent décrire ce que vos pages font réellement. Balises marketing, plugins, widgets de chat et vidéos intégrées ajoutent régulièrement des cookies que personne n'a déclarés.
En tant que développeur. La liste des cookies sert à déboguer une session de connexion, un problème entre domaines ou un avertissement SameSite.
Voir les cookies d'un site dans Chrome
Avec les outils de développement
- Ouvrez la page à inspecter.
- Appuyez sur F12 (Windows, Linux) ou Cmd + Option + I (Mac). Vous pouvez aussi faire un clic droit sur la page et choisir « Inspecter ».
- Ouvrez l'onglet Application. S'il n'apparaît pas, cliquez sur la double flèche en haut du panneau.
- Dans la colonne de gauche, sous Stockage, dépliez Cookies et cliquez sur l'adresse du site.
Le tableau affiche chaque cookie accessible à la page. La colonne Domain indique si le cookie appartient au site lui-même ou à un autre domaine, c'est-à-dire un tiers comme un outil d'analyse ou une régie publicitaire. Cliquez sur une ligne pour voir sa valeur complète en bas du panneau.
Sans les outils de développement
Cliquez sur l'icône à gauche de la barre d'adresse (informations sur le site), puis ouvrez la partie consacrée aux cookies et données de site. Chrome indique quels sites ont enregistré des données pendant la visite et permet de les supprimer. C'est rapide, mais vous ne voyez ni les noms ni les durées. Pour aller plus loin, passez par les outils de développement.
Voir les cookies dans Firefox
- Appuyez sur F12 ou Cmd + Option + I.
- Ouvrez l'onglet Stockage.
- Dépliez Cookies et cliquez sur l'adresse du site.
Firefox affiche les mêmes colonnes que Chrome. Sa protection totale contre les cookies, activée par défaut pour tous depuis 2022, range les cookies tiers dans un compartiment séparé pour chaque site : un cookie tiers vu sur un site ne peut pas être lu sur un autre.
Voir les cookies dans Safari
Safari masque ses outils de développement par défaut.
- Ouvrez Safari > Réglages > Avancés et cochez « Afficher les fonctionnalités pour les développeurs web » (sur les anciennes versions : « Afficher le menu Développement dans la barre des menus »).
- Ouvrez la page, puis Développement > Afficher l'inspecteur web (Cmd + Option + I).
- Ouvrez l'onglet Stockage et cliquez sur Cookies.
Safari bloque les cookies tiers par défaut avec sa protection intelligente contre le suivi (ITP) : vous verrez souvent moins de cookies que dans Chrome. Si vous contrôlez votre propre site, testez aussi dans Chrome, qui reflète ce qu'accepte le navigateur de la plupart des visiteurs. Le menu Réglages > Confidentialité > Gérer les données des sites web liste les sites qui ont stocké des données sur votre Mac, sans détailler les cookies.
Voir les cookies dans Microsoft Edge
Edge repose sur le même moteur que Chrome, les étapes sont donc identiques : F12, onglet Application, Stockage > Cookies, puis l'adresse du site.
Voir les cookies d'un site sur mobile
Les navigateurs mobiles n'ont pas d'outils de développement intégrés. Sur iPhone, les réglages de Safari (Avancé > Données des sites web) listent les sites qui ont stocké des données. Dans Chrome pour Android, Paramètres > Paramètres des sites > Tous les sites fait de même. Aucun des deux n'affiche le nom des cookies. Pour inspecter la version mobile d'une page, ouvrez-la sur ordinateur avec le mode appareil des outils de Chrome, ou branchez le téléphone et utilisez le débogage à distance.
Comment lire la liste des cookies
Chaque ligne correspond à un cookie. Les colonnes utiles :
- Name et Value : l'identifiant et son contenu, souvent une chaîne aléatoire.
- Domain : à qui appartient le cookie. Un domaine différent du site visité signale un cookie tiers.
- Expires / Max-Age : quand le navigateur le supprime. « Session » signifie qu'il disparaît à la fermeture du navigateur. Une date à plusieurs mois ou années indique un cookie persistant, souvent utilisé pour le suivi.
- HttpOnly : le cookie est invisible pour JavaScript. C'est pourquoi
document.cookiedans la console en affiche moins que le tableau. - Secure et SameSite : des attributs de sécurité qui règlent l'envoi du cookie.
Regardez bien les dates d'expiration. La CNIL estime que les traceurs soumis au consentement ne doivent pas dépasser 13 mois : notre article sur la durée de conservation des cookies détaille la règle.
Savoir quel service a déposé un cookie
La plupart des cookies suivent une convention de nommage reconnaissable :
- _ga et _ga_ suivi d'un identifiant : Google Analytics 4 (voir les cookies _ga, _gid et _gat expliqués).
- _gcl_au : le linker de conversion Google Ads.
- _fbp et _fbc : le pixel Meta.
- _ttp : le pixel TikTok.
- bcookie, lidc, li_gc : LinkedIn.
- _hjSessionUser_ : Hotjar.
- hubspotutk, __hstc : HubSpot.
- _clck, _clsk : Microsoft Clarity.
- PHPSESSID, JSESSIONID : cookies de session techniques posés par le serveur.
Pour un nom inconnu, cherchez-le entre guillemets, puis regardez la colonne Domain. Pour retrouver la requête exacte qui l'a créé, ouvrez l'onglet Réseau, rechargez la page, cliquez sur les requêtes vers le domaine en question et cherchez une ligne Set-Cookie dans les en-têtes de réponse.
Les cookies ne sont pas les seuls traceurs
Le même panneau affiche le Local storage, le Session storage et IndexedDB. Les scripts y stockent des identifiants qui fonctionnent comme des cookies. Les pixels de suivi et les scripts d'empreinte n'y laissent rien de visible mais envoient tout de même des données : on les repère dans l'onglet Réseau, sous forme de requêtes vers des domaines comme facebook.com ou analytics.google.com. Les lignes directrices 2/2023 du CEPD sur la portée technique de l'article 5(3) confirment que la règle du consentement couvre aussi ces techniques, pas seulement les cookies.
Vérifier ce qu'un site dépose avant et après consentement
C'est le test le plus utile, et il prend cinq minutes :
- Ouvrez une fenêtre privée, pour qu'aucun cookie existant ne fausse le résultat.
- Ouvrez d'abord les outils de développement, puis chargez la page.
- Ne touchez pas au bandeau. Listez les cookies : seuls des cookies strictement nécessaires doivent apparaître, comme un cookie de session ou de répartition de charge.
- Cliquez sur « Tout refuser », rechargez et visitez deux ou trois pages. Aucun cookie de mesure d'audience ou de publicité (_ga, _fbp, _gcl_au) ne doit apparaître.
- Fermez la fenêtre, ouvrez-en une nouvelle en navigation privée et cliquez sur « Tout accepter ». Les balises doivent alors déposer leurs cookies.
Si des cookies de mesure ou de publicité apparaissent aux étapes 3 ou 4, le bandeau affiche un choix mais ne bloque rien.
Vérifier page par page prend du temps. Vérifiez en 30 secondes quels cookies votre site dépose avec le scanner de cookies gratuit : il ouvre votre page dans un vrai navigateur et liste chaque cookie, chaque donnée stockée et chaque script tiers, avec le service qui se cache derrière.
Les outils en ligne pour voir les cookies d'un site
Le scanner gratuit de FlowConsent. Il rend un rapport en 1 à 3 minutes avec un score de confidentialité sur 100, chaque service identifié et classé, et la séparation entre les services soumis au consentement et ceux techniquement indispensables.
Les vérificateurs des autres éditeurs. CookieYes (Cookieserve), Cookie-Script et Cookiebot proposent des vérificateurs gratuits en ligne. Utiles pour une première liste ; vérifiez s'ils testent la page après un refus ou s'ils se contentent de lister ce qu'ils trouvent.
CookieViz. Un outil libre et gratuit publié par la CNIL, qui montre en temps réel les cookies et les requêtes vers des tiers pendant que vous naviguez.
Les extensions de navigateur. Cookie-Editor et ses équivalents affichent, exportent et modifient les cookies de l'onglet ouvert.
Aucun scan ne voit tout : espaces connectés, cookies déposés après un défilement ou un clic, contenu qui change selon le pays. Combinez un scanner avec la vérification manuelle ci-dessus, et conservez captures d'écran ou rapports datés : ils appuient votre preuve de consentement en cas de contrôle.
Comment FlowConsent gère la vérification des cookies
FlowConsent scanne votre site automatiquement et liste les services trouvés, pour que le bandeau et la déclaration de cookies correspondent à ce que vos pages chargent. Les scripts soumis au consentement sont bloqués avant le consentement, et Google Consent Mode v2 est intégré. La vérification de conformité charge vos pages en refusant le consentement et liste tout ce qui s'exécute encore : le même test que ci-dessus, automatisé. La preuve de consentement est exportable à tout moment et les données sont hébergées en Europe. L'installation prend une dizaine de minutes sur Webflow, WordPress, Shopify, Wix, Framer ou via GTM. FlowConsent est gratuit jusqu'à 25 000 sessions par mois, puis l'offre Pro coûte 14,99 € par mois jusqu'à 100 000 sessions.