Test cookies site : votre site dépose-t-il des cookies avant le consentement ?

Faire un test cookies sur votre propre site prend cinq minutes, sans logiciel supplémentaire. Vous ouvrez votre site dans une fenêtre de navigation privée de Chrome, vous ne cliquez pas sur la bannière cookies et vous regardez dans les outils de développement quels cookies sont déjà déposés et quels traceurs envoient déjà des données. Si vous voyez _ga, _fbp ou _gcl_au après le chargement, ou des hits vers Google, Meta ou LinkedIn, votre site n’attend pas le consentement.

Ce n’est pas un problème théorique. Le 6 octobre 2026, nous avons chargé 37 sites belges dans un vrai navigateur Chrome, sans cliquer nulle part. 20 de ces sites utilisaient du tracking. Chez 14 d’entre eux, des cookies de suivi étaient déjà déposés ou des hits non refusés partaient avant que le visiteur ait fait un choix. 4 sites envoyaient des hits Google Analytics 4 sans Consent Mode, 2 sites accordaient le consentement par défaut et seuls 10 sites faisaient les choses correctement : tout refusé jusqu’au choix du visiteur. Dans ce guide, vous apprenez à faire le même test vous-même.

Pourquoi une bannière cookies ne suffit-elle pas ?

La bannière n’est que la question. Ce qui compte, c’est ce qui se passe techniquement tant que la question reste ouverte. L’Autorité de protection des données est claire : aucun cookie non strictement nécessaire ne peut être placé ou lu tant que l’utilisateur n’a pas donné son consentement. Les cookies analytiques sont concernés aussi, car selon l’APD ils ne répondent en principe pas aux conditions d’un cookie strictement nécessaire.

Une bannière qui s’affiche joliment pendant que Google Analytics, le pixel Meta et le LinkedIn Insight Tag tournent déjà en arrière-plan ne respecte donc pas cette règle. Et vous ne le voyez pas en regardant simplement votre site. D’où ce test.

Tester les cookies de votre site en 5 minutes : étape par étape

Il vous suffit de Google Chrome. D’autres navigateurs fonctionnent aussi, mais les menus portent d’autres noms.

1. Ouvrez une fenêtre de navigation privée (Ctrl+Maj+N, sur Mac Cmd+Maj+N). Vous partez ainsi sans cookies ni choix enregistrés.
2. Ouvrez les outils de développement avant de charger le site. Appuyez sur F12 et choisissez l’onglet Network. Cochez « Preserve log » pour ne rien manquer en cas de redirection.
3. Chargez votre page d’accueil et ne cliquez nulle part. Ni sur la bannière, ni sur la page. Attendez une dizaine de secondes et faites défiler la page, car certaines balises ne se déclenchent qu’au scroll.
4. Regardez les cookies. Allez dans l’onglet Application, ouvrez Cookies à gauche et cliquez sur votre domaine. Notez ce que vous voyez. Regardez aussi les autres domaines de la liste.
5. Filtrez le trafic réseau. Tapez successivement dans le champ de filtre de Network : collect, facebook.com/tr, px.ads.linkedin, analytics.tiktok, clarity et hotjar. Chaque ligne qui apparaît est un traceur qui envoie déjà des données.
6. Lisez l’état du consentement Google. Cliquez sur une requête g/collect (Google Analytics 4) ou une requête Google Ads et cherchez le paramètre gcs dans l’URL. Plus de détails ci-dessous.
7. Recommencez après « Refuser ». Ouvrez une nouvelle fenêtre privée, cliquez cette fois sur « Tout refuser » et vérifiez si des traceurs marketing partent encore.

Si vous travaillez avec Google Tag Manager, vous pouvez voir le même ordre dans Tag Assistant : choisissez le premier événement Consent et vérifiez dans l’onglet Consent que les quatre signaux Google sont sur denied avant qu’une balise se déclenche.

Comment lire le paramètre gcs ?

Google transmet l’état du consentement dans chaque hit. Selon la documentation de Google sur le Consent Mode, le paramètre gcs transmet le choix du visiteur pour ad_storage et analytics_storage. En pratique, nous voyons trois cas :

• gcs=G100 : les deux signaux sont sur denied. Le Consent Mode fonctionne et attend un choix. C’est ce que vous voulez voir avant le clic.
• gcs=G111 : les deux signaux sont sur granted. Si vous voyez cela avant que quelqu’un ait cliqué sur « Accepter », votre site accorde le consentement par défaut.
• Pas de gcs : le Consent Mode n’est pas configuré. Google ne sait pas s’il y a consentement, et la balise se déclenche normalement.

D’autres combinaisons, comme G110 ou G101, signifient qu’un des deux signaux est sur granted. Cela non plus ne doit pas arriver avant un choix.

Ce que vous voyez, ce que cela signifie et ce que vous faites

Que disent les règles en Belgique et aux Pays-Bas ?

Belgique. L’APD exige un consentement préalable pour tout cookie qui n’est pas strictement nécessaire, cookies analytiques compris. Les cases précochées ne donnent pas un consentement valable, le retrait doit être aussi simple que l’acceptation, et un cookie wall qui bloque le site à ceux qui refusent n’est pas conforme au RGPD selon l’APD. Comment votre bannière respecte ces règles, vous le lisez dans la bannière cookies est-elle obligatoire en Belgique.

Pays-Bas. L’Autoriteit Persoonsgegevens contrôle les sites avec son propre logiciel. En avril 2025, elle a envoyé ses 50 premières lettres d’avertissement, notamment à des sites qui déposaient des cookies avant l’accord du visiteur, des sites où refuser demandait plus de clics qu’accepter, et des sites avec des cases précochées. L’AP vise 500 sites par an.

Si votre test montre que des traceurs se déclenchent avant un clic, votre site ne suit pas les lignes directrices de l’APD. C’est un constat, pas un jugement : il s’agit presque toujours d’une erreur technique qui se corrige vite.

Les cinq causes que nous voyons le plus souvent

1. Une balise codée en dur dans le thème. La balise Google ou le pixel Meta se trouve directement dans le <head>, à côté de la version dans GTM. L’outil de consentement pilote la version GTM, mais la version codée en dur se déclenche toujours.
2. Un plugin qui charge ses propres pixels. Les plugins WordPress et e-commerce pour l’analytics, le chat ou les avis chargent souvent leurs propres traceurs, en dehors de votre outil de consentement.
3. Un traceur dans la mauvaise catégorie. Le scan de votre outil de consentement classe un cookie inconnu en « nécessaire » ou « non classé », et personne ne vérifie.
4. L’outil de consentement se charge trop tard. Dans GTM, il est sur All Pages au lieu de Consent Initialization, si bien que le premier hit part sans état de consentement.
5. Des valeurs par défaut sur granted. Quelqu’un a mis le consentement par défaut sur granted « pour ne pas perdre de données ». Vous n’obtenez pas de données exploitables, seulement un risque plus grand.

Comment le corriger

La correction suit toujours la même ligne :

• Un seul endroit pour toutes les balises. Retirez les scripts codés en dur du thème et gérez tout via Google Tag Manager.
• Un outil de consentement correctement installé. Par exemple Cookiebot via le modèle officiel, sur le déclencheur Consent Initialization, avec denied par défaut pour ad_storage, analytics_storage, ad_user_data et ad_personalization.
• Le Consent Mode v2 pour Google Ads. Sans les quatre signaux, Google traite votre trafic de l’EEE comme non autorisé. Voyez comment dans le Consent Mode v2.
• Lier les balises non Google au consentement. Meta, LinkedIn, TikTok et Hotjar ne se déclenchent qu’après le bon consentement.
• Tester à nouveau. Refaites le test de cinq minutes après chaque mise à jour du thème, nouveau plugin ou nouvelle balise.

Si vous voulez dépendre moins de ce que fait le navigateur, le server-side tagging est une étape suivante. Il ne remplace pas le consentement, mais il vous donne plus de contrôle sur les données envoyées et leur destination.

Vous préférez ne pas le faire vous-même ?

Vous pouvez aussi lancer le même contrôle automatiquement avec notre scanner de cookies : vous voyez quels cookies et traceurs votre site dépose avant un clic et quel état de consentement Google reçoit.

Vous voulez être sûr que toute la chaîne est correcte, du consentement à GA4, Google Ads et Meta ? Commencez par un audit tracking. Vous préférez que ce soit bien configuré tout de suite ? Notre agence Google Analytics installe votre outil de consentement, le Consent Mode v2 et les tests. Prix sur demande.

Questions fréquentes