Bandeau de cookies : installé, mais jamais vérifié

Une boutique de vêtements en ligne. À l'arrivée, un bandeau s'affiche : le site utilise des cookies et propose, dès le premier écran, d'accepter tout ou de continuer sans accepter. Le bandeau vient d'un outil de consentement du marché. Il est en place, il pose la question. Tout semble en ordre.

Le 22 octobre 2026, nous avons voulu savoir si ce bandeau faisait ce qu'il annonce. Nous avons regardé ce que fait le navigateur derrière lui. Nous sommes arrivés sur le site avec un navigateur neuf, nous avons attendu 7 secondes sans rien toucher, puis nous avons refusé, rechargé la page et changé de page. À chaque étape, nous avons relevé les traceurs présents, c'est-à-dire les cookies et les scripts qui permettent à une régie de reconnaître le visiteur. La régie, c'est l'entreprise qui reçoit ces données pour la publicité ou la mesure d'audience : Meta, Pinterest, TikTok, Microsoft, Google.

Avant le moindre clic, six traceurs

Au bout de ces 7 secondes, le bandeau attend toujours une réponse. Le visiteur n'a rien choisi.

Le navigateur contient pourtant déjà six cookies de traceurs : un de Meta, un de Microsoft Ads, un de Microsoft Clarity, deux de Pinterest et un de TikTok. Microsoft Clarity est un outil qui enregistre la navigation du visiteur, ses clics et son défilement dans la page.

Les cookies ne sont pas seuls. Des envois de données sont déjà partis vers Meta, Pinterest, TikTok, Microsoft et Google.

Un bandeau de cookies sert à demander l'accord du visiteur avant de déposer ces traceurs. Ici, la question arrive après la réponse. Le visiteur lit encore le texte du bandeau, et plusieurs régies ont déjà reçu des données sur sa visite.

Nous avons cliqué sur « Continuer sans accepter »

Le premier écran du bandeau proposait ce bouton. Nous avons cliqué.

Côté outil de consentement, le refus est bien enregistré : aucun partenaire autorisé, publicité refusée, mesure d'audience refusée. Le bandeau disparaît. Vu de l'écran, le choix du visiteur est respecté.

Dans le navigateur, les six cookies sont toujours là. Juste après le clic, d'abord. Après un rechargement de la page, ensuite. Puis sur une autre page du site. Aucun n'a été supprimé.

Les envois, eux, changent en partie. Pinterest, TikTok et Microsoft Ads ne reçoivent plus rien : pour ces trois régies, le refus arrête la suite. Pas pour les autres. Meta reçoit encore un événement « PageView », le signal qu'une page a été vue, accompagné de son identifiant de visiteur. Et Microsoft Clarity continue d'envoyer des données.

Rien de tout cela ne se voit à l'écran : le bandeau s'est fermé, la page s'affiche normalement. Il faut regarder ce que fait le navigateur, cookie par cookie et envoi par envoi, pour s'apercevoir que le refus n'a pas tout défait ni tout arrêté.

Ce n'est pas un site isolé

Entre le 19 et le 22 octobre 2026, nous avons fait le même relevé à l'arrivée sur 22 boutiques en ligne françaises de marques grand public, dans la mode, l'alimentation et le bien-être. Sur ces 22 sites, 15 déposent des cookies publicitaires dès l'arrivée, sans aucun clic sur le bandeau. Les 15 ont pourtant un bandeau de consentement, venu de quatre outils différents. Meta est servi avant tout choix sur 13 d'entre eux, Pinterest sur 7.

Le 22 octobre, nous sommes retournés sur ces 15 sites pour refuser. Le refus a pu être cliqué sur 9 d'entre eux (la section suivante dit pourquoi pas sur les autres). Aucun des 9 ne supprime ses cookies de traceurs. Un seul en retire une partie juste après le clic, et ils reviennent au rechargement.

Sur 7 de ces 9 sites, nous avons pu mesurer les envois après le refus. Les 7 continuent d'envoyer des données à au moins un destinataire, régie publicitaire ou outil de mesure : Microsoft Clarity sur 6 sites, Meta sur 5. L'un d'eux envoie encore, après le refus, à chacun des neuf destinataires relevés sur ce site avant le refus, de Google Ads à TikTok en passant par Reddit, Snapchat et Amazon Ads. Sur les deux derniers sites, la mesure n'a pas abouti.

Le même outil de consentement se retrouve aussi sur des sites qui ne déposent rien avant le choix. L'outil n'est donc pas en cause : c'est sa configuration, site par site.

Ces chiffres ont leurs limites, et nous les donnons avec. Les 22 boutiques ont été choisies sans tirage au sort : l'échantillon n'est pas représentatif du commerce en ligne français. Les visites datent d'octobre 2026, et un site peut avoir changé sa configuration depuis. Le refus a été cliqué au premier écran du bandeau, sans passer par « Personnaliser ». Enfin, nous décrivons ce que fait le navigateur, sans qualifier juridiquement chaque cas.

Cinq bandeaux sans bouton pour refuser

Restent 6 des 15 sites. Sur 5 d'entre eux, le premier écran du bandeau ne propose aucun bouton pour refuser : seulement « Accepter », « Personnaliser » ou « OK ». Refuser demande d'ouvrir les réglages et d'aller plus loin. Sur l'un de ces cinq, aucun bandeau n'était même visible au moment du relevé. Le sixième site est une seconde adresse d'une marque déjà testée. D'où les 9 refus cliqués sur 15.

Ce point-là, vous pouvez le vérifier vous-même, sans aucun outil.

Personne n'est allé voir

Nous ne pensons pas que ces sites cherchent à contourner la règle. Ils ont installé un bandeau qui pose la question au visiteur. Le bandeau est là, il s'affiche, il a des boutons : on a le sentiment d'avoir fait le nécessaire.

Ce qui nous frappe est ailleurs. Personne n'a pris le temps d'aller voir si les cookies étaient posés avant ou après le choix du visiteur.

Ce n'est pas étonnant. Ce qui se passe derrière le bandeau ne se voit pas à l'écran, et un contrôle fait à l'œil passe à chaque fois : le bandeau apparaît, le bouton le ferme, la page s'affiche. Rien n'invite à ouvrir les outils du navigateur, à relire la liste des cookies, à recharger, puis à refaire la même chose sur une autre page. C'est le genre de vérification que personne n'a envie de faire à la main, et c'est justement celle qui manque : tester aussi ce qui ne se voit pas.

Qaviar relève les cookies déposés avant tout choix du visiteur, régie par régie. C'est ainsi que nous avons vu ces quinze sites.

La visite à demander à votre prestataire

Demandez à votre prestataire, ou à votre équipe, de refaire sur votre site la visite que nous avons faite, dans un navigateur neuf : arriver sans cliquer et attendre quelques secondes, refuser, recharger la page, changer de page. À chaque étape, qu'il vous montre les cookies présents et les envois vers les régies. Trois réponses comptent : rien n'est déposé avant le choix, plus rien ne part après un refus, les cookies déjà déposés sont supprimés.

Et dès aujourd'hui, ouvrez votre site en navigation privée et regardez si le premier écran du bandeau propose un bouton pour refuser.