Third party cookies (cookies tiers) : définition, fin annoncée et alternatives

Les third party cookies, ou cookies tiers, sont des cookies qui ne sont pas déposés par le site que vous visitez, mais par un autre domaine chargé sur cette page, comme une régie publicitaire ou un widget intégré. Comme ce même domaine est présent sur des milliers de sites, il peut reconnaître une personne sur tous ces sites. Safari et Firefox les bloquent par défaut, Chrome laisse le choix à l’utilisateur. Ils sont remplacés par des cookies first party, le server-side tracking et vos propres données clients.

Pour les marketeurs, la question n’est plus de savoir s’ils disparaissent, mais à quel point votre mesure en dépend encore. Ce guide explique ce qu’ils sont, comment les navigateurs les traitent, ce que cela signifie pour vos publicités et comment bâtir une mesure qui n’en dépend pas.

Que sont exactement les third party cookies ?

Un cookie est un petit fichier texte qu’un site enregistre dans votre navigateur. Qu’un cookie soit first party ou third party dépend du domaine. MDN, la documentation web de Mozilla, l’explique ainsi dans son guide sur les cookies tiers : si le domaine et le schéma du cookie diffèrent de ceux de la page que vous consultez, il ne s’agit pas d’un cookie du même site et l’on parle de cookie tiers. Cela se produit quand une page charge du contenu d’autres domaines, comme des images, des iframes ou des widgets.

L’Autorité de protection des données belge résume le risque : les cookies tiers permettent à ces acteurs de suivre le comportement des internautes dans le temps et sur de nombreux sites, et de créer des profils à des fins de marketing ciblé. C’est précisément pour cela qu’ils sont sous pression.

Quels navigateurs bloquent les third party cookies ?

Selon l’aperçu de MDN :

Qu’est-ce que cela signifie en pratique ? Sur un site B2B avec beaucoup de visiteurs sur iPhone et Mac, toute mesure qui repose sur des cookies tiers manque depuis des années une grande partie du trafic. Regardez dans GA4 la répartition par navigateur pour estimer l’ampleur de cette part chez vous.

Qu’a décidé Google au sujet des third party cookies dans Chrome ?

Google avait annoncé en 2020 que Chrome supprimerait progressivement ces cookies, et a reporté cette échéance à plusieurs reprises. Le 22 avril 2025, le changement de cap est arrivé. La mise à jour Privacy Sandbox de Google indique que Chrome conserve son approche actuelle, qui laisse les utilisateurs choisir au sujet des cookies tiers, et qu’aucune nouvelle invite distincte ne sera déployée. Les utilisateurs continuent de décider eux-mêmes dans les paramètres de confidentialité et de sécurité de Chrome.

Pour les marketeurs, cela signifie :

• Chrome continue de les autoriser par défaut, sauf si l’utilisateur les bloque ou navigue en mode privé.
• Les technologies Privacy Sandbox censées les remplacer jouent un rôle moindre. Google a lui-même écrit que ces API pourraient avoir un autre rôle à jouer. Ne bâtissez donc pas votre mesure dessus.
• Le problème n’a pas disparu. Safari, Firefox, les bloqueurs de publicité, la législation sur les cookies et les refus dans votre bannière limitent toujours le suivi via d’autres domaines.

Qu’est-ce que cela signifie pour vos publicités et votre mesure ?

Beaucoup de marketeurs pensent que leur mesure publicitaire repose sur des cookies tiers. Chez les grandes plateformes, ce n’est plus guère le cas aujourd’hui.

La vraie perte se situe donc moins dans les plateformes elles-mêmes que dans trois éléments : le retargeting via les régies, les visiteurs qui refusent votre bannière et les bloqueurs de publicité qui arrêtent les scripts. La section suivante explique comment y remédier.

Qu’est-ce qui remplace les third party cookies ?

Il n’existe pas de remplaçant unique. Mais il existe un ensemble de techniques qui, ensemble, donnent une mesure plus solide que les cookies tiers ne l’ont jamais fait.

1. La first party data. Les données que vous collectez vous-même et avec consentement : formulaires, CRM, newsletters, comportement client. Vous découvrez comment la construire dans notre guide sur la first party data.
2. Le tagging server-side. Vos balises passent par un serveur sur votre propre sous-domaine, de sorte que les cookies sont first party et que vous décidez quelles données partent vers quelle plateforme. Voir notre guide sur le server-side tracking.
3. Les API de conversions. Meta, LinkedIn et TikTok vous permettent d’envoyer les conversions depuis votre serveur, avec une adresse e-mail hachée au lieu d’un cookie. Découvrez comment dans nos guides sur l’API Conversions de Meta, le LinkedIn Insight Tag et l’API Conversions et le TikTok Pixel et l’Events API.
4. Les enhanced conversions et les conversions hors ligne. Google Ads reconnaît les leads via une adresse e-mail hachée et via des imports CRM. Voir enhanced conversions for leads et importer des conversions hors ligne depuis votre CRM.
5. Le consent mode v2. Google modélise les conversions des visiteurs qui refusent, à partir de signaux sans cookies. Voir notre guide sur le consent mode v2.
6. Le ciblage contextuel et vos propres audiences. Au lieu de suivre les gens sur le web, vous annoncez sur le contexte ou sur vos propres listes clients. Plus d’informations dans le marketing sans cookies et le paid social sans cookies.

Pour les sites qui proposent eux-mêmes des services intégrés, il existe aussi des alternatives techniques comme les cookies partitionnés (CHIPS) et la Storage Access API. Elles concernent surtout les développeurs de widgets, pas votre mesure marketing.

Comment vérifier quels third party cookies votre site dépose ?

1. Les outils de développement. Ouvrez votre site dans Chrome, allez dans Application puis Cookies. Vous voyez par domaine quels cookies sont présents. Tout ce qui ne vient pas de votre domaine est third party.
2. Le scan de votre bannière cookies. Une plateforme de gestion du consentement scanne votre site et classe les cookies par catégorie. Comparez cette liste avec ce que vous attendez réellement.
3. Testez sans consentement. Refusez tous les cookies dans votre bannière et regardez à nouveau. Aucun cookie marketing ne doit alors apparaître, ni first party ni third party.
4. L’aperçu de Tag Manager. Contrôlez quelles balises se déclenchent avant et après le consentement. Une balise publicitaire qui se déclenche avant que la personne ait choisi dépose souvent déjà des cookies.

Si vous trouvez des cookies de services que vous n’utilisez plus, faites le ménage dans les balises. D’anciens widgets de chat, des régies abandonnées et des scripts de test restent souvent en place pendant des années. Nous le faisons systématiquement dans un audit tracking.

Faut-il un consentement pour les cookies first party ?

Oui, s’ils servent à l’analyse ou au marketing. L’Autorité de protection des données indique qu’aucun cookie ou traceur non strictement nécessaire ne peut être placé ou lu sans information préalable et consentement. Selon l’APD, un cookie analytique ne relève pas de cette exception. La différence entre first et third party ne change rien à cette obligation : c’est la finalité qui compte. Retirer son consentement doit être aussi simple que le donner. Aux Pays-Bas, l’Autoriteit Persoonsgegevens suit la même ligne.

La mesure first party et server-side aide donc contre les restrictions des navigateurs et les bloqueurs de publicité, pas contre un refus dans votre bannière. Vous découvrez comment configurer correctement votre bannière dans la bannière cookies est-elle obligatoire en Belgique, et quel outil choisir dans Cookiebot, Usercentrics ou Complianz. Ceci n’est pas un avis juridique : soumettez votre configuration à votre DPO ou à votre juriste.

Faut-il autoriser les cookies tiers dans votre propre navigateur ?

C’est aussi une question qu’on nous pose souvent, indépendamment du marketing. Pour la plupart des gens, les bloquer est un réglage par défaut raisonnable : vous êtes moins suivi d’un site à l’autre. Parfois, un service intégré ne fonctionne alors plus, comme une fenêtre de connexion ou un module de paiement d’un prestataire externe. Dans ce cas, Chrome vous permet d’ajouter des exceptions par site dans les paramètres de confidentialité et de sécurité. En tant que marketeur, mieux vaut tester votre propre site dans les deux situations, pour savoir ce que voient les visiteurs aux réglages stricts.

Comment bâtir une mesure qui ne dépend pas des cookies tiers ?

Voici l’ordre que nous suivons :

1. Cartographiez les balises et les cookies que votre site dépose aujourd’hui.
2. Supprimez ce que vous n’utilisez plus.
3. Mettez en place une bannière cookies correcte avec le consent mode v2.
4. Construisez une couche de données avec des événements fixes pour chaque formulaire et chaque rendez-vous.
5. Ajoutez le tagging server-side et envoyez les conversions via les API de Google, Meta, LinkedIn et TikTok.
6. Reconnectez votre CRM, afin que les plateformes apprennent sur des leads qualifiés et des deals.

Découvrez à quoi cela ressemble en pratique dans nos cas : chez Tryve, nous avons reconstruit la mesure des conversions sans bruit, chez Kaizo, nous faisons piloter GA4, Google Ads et Meta sur la même démo réservée. Vous voulez une telle configuration pour votre propre site ? Notre spécialiste tracking la construit sur mesure, sur demande. Contactez-nous pour un premier contrôle.

Pour aller plus loin sur une mesure respectueuse de la vie privée, lisez nos guides sur Cookiebot et Matomo.

Questions fréquentes

Quelle est la différence entre les cookies first party et third party ?

Les cookies first party sont déposés par le site que vous visitez et ne sont lisibles que par ce domaine. Les cookies third party viennent d’un autre domaine présent sur la page et peuvent vous reconnaître sur plusieurs sites.

Les third party cookies disparaissent-ils de Chrome ?

Pas selon les plans actuels. En avril 2025, Google a décidé de laisser le choix à l’utilisateur et de ne pas introduire de nouvelle invite. Safari et Firefox les bloquent en revanche par défaut.

Le suivi des conversions Google Ads fonctionne-t-il encore sans cookies tiers ?

Oui. Google Ads mesure les conversions avec un cookie first party sur votre propre domaine et le gclid dans l’URL. Les enhanced conversions et les conversions hors ligne rendent cette mesure plus robuste.

Le server-side tracking permet-il de contourner le consentement aux cookies ?

Non. Le server-side tracking déplace le chemin technique, pas l’obligation juridique. Pour l’analyse et le marketing, vous avez toujours besoin d’un consentement préalable en Belgique et aux Pays-Bas.

Comment voir quels third party cookies mon site dépose ?

Via les outils de développement de votre navigateur (Application, puis Cookies) ou via le scan de votre plateforme de gestion du consentement. Les cookies d’un autre domaine que le vôtre sont third party.