Tech & tracking

L'évolution du cookie : du suivi basique à la conformité stricte

7 juillet 2026 · 16 min

Réponse rapide

Les cookies de navigateur ont commencé en 1994 comme une solution simple pour maintenir l'état du panier d'achat à travers les sessions web, mais l'évolution du cookie, du suivi basique à la conformité stricte, les a transformés en l'une des technologies les plus réglementées de l'histoire numérique. Aujourd'hui, le déploiement de cookies sans le consentement explicite de l'utilisateur peut exposer les organisations à des sanctions réglementaires importantes en vertu de cadres tels que le GDPR et le CCPA. Comprendre cette évolution est essentiel pour tout propriétaire de site web, développeur ou professionnel de la confidentialité des données opérant en 2026.

Points clés à retenir

Les cookies ont été inventés par Lou Montulli chez Netscape en 1994 pour résoudre un problème HTTP sans état, non pour suivre les utilisateurs
Les cookies tiers ont permis le profilage comportemental inter-sites, déclenchant des réponses réglementaires mondiales à partir du milieu des années 2000
Le GDPR (2018) et le CCPA (2020) ont fondamentalement changé la manière dont les sites web doivent obtenir et documenter le consentement aux cookies
La dépréciation des cookies tiers par Google dans Chrome a accéléré l'adoption d'alternatives respectueuses de la vie privée, y compris les stratégies de données de première partie et l'analyse côté serveur
Les plateformes de gestion du consentement (CMPs) sont désormais une exigence de conformité, et non une amélioration facultative, pour la plupart des sites web commerciaux
Les cookies de première partie restent légaux et fonctionnels ; la charge de la conformité pèse principalement sur les cookies de suivi et de publicité
Les bannières de consentement aux cookies doivent respecter des normes légales spécifiques : les cases pré-cochées, le consentement groupé et les dark patterns sont interdits par le GDPR
Les utilisateurs peuvent supprimer les cookies à tout moment, mais cela affecte la personnalisation, la persistance de la connexion et la précision des analyses

Que sont les cookies et comment fonctionnent-ils ?

Les cookies sont de petits fichiers texte qu'un serveur web demande à un navigateur de stocker localement sur l'appareil d'un utilisateur. Lorsque l'utilisateur revisite le même site, le navigateur renvoie le cookie stocké au serveur, lui permettant de reconnaître la session, de se souvenir des préférences ou d'associer le comportement à travers les pages.

Techniquement, un cookie se compose d'une paire nom-valeur plus des attributs optionnels : date d'expiration, portée du domaine, chemin et drapeaux de sécurité tels que HttpOnly et Secure. Les cookies de session expirent lorsque le navigateur se ferme ; les cookies persistants restent jusqu'à leur date d'expiration définie ou jusqu'à ce que l'utilisateur les supprime. [8]

Principaux types de cookies par fonction :

Type	Objectif	Durée de vie typique
Session	Maintenir l'état de connexion	Session du navigateur
Persistant	Se souvenir des préférences	Jours à années
Première partie	Défini par le domaine visité	Variable
Tierce partie	Défini par des domaines externes	Souvent 1-2 ans
Analyse	Mesurer le comportement du trafic	13-26 mois
Marketing/Suivi	Construire des profils publicitaires	Jusqu'à 2 ans

L'histoire des cookies dans les navigateurs web

L'évolution du cookie, du suivi basique à la conformité stricte, commence par un problème d'ingénierie simple. En 1994, Lou Montulli, ingénieur chez Netscape Communications, avait besoin d'un moyen d'implémenter un panier d'achat virtuel sans stocker les données de session côté serveur. Sa solution fut le cookie HTTP, dérivé d'un concept Unix existant appelé "magic cookie". [7]

Le navigateur de Netscape a été livré avec le support des cookies en 1994, et Internet Explorer a adopté la norme en 1995. En 1997, l'IETF avait formalisé la spécification dans le RFC 2109. [8] Ce qui a commencé comme une solution de contournement de protocole sans état est rapidement devenu l'épine dorsale de la personnalisation, de l'authentification et, surtout, de la publicité.

Étapes clés de l'histoire des cookies :

1994 : Lou Montulli invente le cookie HTTP chez Netscape [5]
1996 : Le Financial Times publie l'un des premiers avertissements publics concernant le suivi basé sur les cookies [7]
Années 2000 : Les réseaux publicitaires déploient des cookies tiers pour créer des profils comportementaux inter-sites
2011 : La directive européenne sur les cookies exige un consentement éclairé pour les cookies non essentiels
2018 : Le GDPR élève considérablement la barre de la conformité, exigeant un consentement explicite et granulaire
2020 : Le CCPA accorde aux consommateurs californiens le droit de refuser la vente de données basées sur les cookies
2024 : Google commence la dépréciation progressive des cookies tiers dans Chrome [10]

Cookies de première partie vs. cookies de tierce partie : quelle est la différence ?

Les cookies de première partie sont définis par le domaine que l'utilisateur visite activement. Les cookies de tierce partie sont définis par un domaine différent, généralement un réseau publicitaire, un fournisseur d'analyse ou une plateforme de médias sociaux intégrée à la page.

Cette distinction est extrêmement importante tant pour la fonctionnalité que pour la conformité. Les cookies de première partie sont généralement considérés comme moins risqués car l'utilisateur a une relation directe avec le domaine émetteur. Les cookies de tierce partie, en revanche, permettent à une seule entité publicitaire de suivre le comportement d'un utilisateur sur des milliers de sites web non liés, créant des profils comportementaux détaillés sans que l'utilisateur en ait une conscience significative. [6]

"Le cookie tiers est devenu le moteur de l'économie de la surveillance, non pas parce qu'il a été conçu à cette fin, mais parce que son architecture technique a rendu le suivi inter-sites trivialement facile à mettre en œuvre à grande échelle."

La plupart des réglementations modernes en matière de confidentialité ciblent spécifiquement les cookies de suivi tiers, bien que les exigences de consentement s'appliquent à tous les cookies non essentiels, quelle que soit leur origine.

Qu'est-ce que le GDPR et comment affecte-t-il les cookies ?

Le Règlement Général sur la Protection des Données (GDPR), entré en vigueur en mai 2018, traite les identifiants de cookies comme des données personnelles lorsqu'ils peuvent être utilisés pour identifier ou profiler un individu. En vertu du GDPR, les sites web desservant des résidents de l'UE doivent obtenir un consentement libre, spécifique, éclairé et univoque avant de placer des cookies non essentiels. [2]

Les exigences de conformité aux cookies du GDPR incluent :

Le consentement doit être obtenu avant que les cookies ne soient définis, et non après
Les utilisateurs doivent pouvoir refuser le consentement aussi facilement qu'ils peuvent l'accepter
Les cases de consentement pré-cochées sont explicitement interdites
Le consentement doit être granulaire : les utilisateurs peuvent accepter les cookies d'analyse mais rejeter les cookies publicitaires
Les enregistrements de consentement doivent être stockés et auditables
Les utilisateurs doivent pouvoir retirer leur consentement à tout moment

Les violations entraînent des amendes potentielles allant jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu. L'application de la réglementation s'est intensifiée depuis 2020, les autorités de protection des données en France, en Irlande, en Italie et en Espagne ayant infligé des amendes substantielles pour des bannières de consentement non conformes. [4]

Exigences de conformité aux cookies du CCPA

Le California Consumer Privacy Act (CCPA), entré en vigueur en janvier 2020 et renforcé par le California Privacy Rights Act (CPRA) en 2023, adopte une approche différente mais complémentaire. Plutôt que d'exiger un consentement opt-in pour tous les cookies de suivi, le CCPA accorde aux consommateurs le droit de refuser la "vente" ou le "partage" de leurs informations personnelles, ce qui inclut les données comportementales basées sur les cookies transmises aux plateformes publicitaires tierces.

Les obligations du CCPA pour l'utilisation des cookies incluent :

Un lien "Do Not Sell or Share My Personal Information" (Ne vendez pas ou ne partagez pas mes informations personnelles) doit être affiché de manière proéminente
Les entreprises doivent honorer les signaux Global Privacy Control (GPC) comme un mécanisme de désinscription valide
Les politiques de confidentialité doivent divulguer les catégories de données personnelles collectées via les cookies
Les consommateurs ont le droit de demander la suppression des données collectées via les cookies

Les entreprises soumises au CCPA qui desservent également des utilisateurs de l'UE doivent concilier les deux cadres, généralement en mettant en œuvre une solution de gestion du consentement capable de gérer des ensembles de règles spécifiques à chaque juridiction.

Comment obtenir le consentement de l'utilisateur pour les cookies

L'obtention d'un consentement valide aux cookies nécessite plus que le simple placement d'une bannière sur une page. Le consentement doit respecter les normes légales de la juridiction applicable avant que tout cookie non essentiel ne soit activé.

Un flux de consentement conforme suit ces étapes :

Bloquer le déclenchement de tous les cookies non essentiels jusqu'à ce que le consentement soit enregistré
Afficher un avis de consentement clair et en langage simple expliquant quels cookies sont utilisés et pourquoi
Offrir de véritables options d'acceptation et de refus au même niveau de proéminence
Fournir des contrôles de catégorie granulaires (analyse, marketing, préférences)
Enregistrer l'événement de consentement avec un horodatage, une version et un identifiant utilisateur
Honorer le retrait du consentement immédiatement et propager le changement à toutes les balises actives

Des plateformes telles que Biscotti CMP sont conçues pour gérer ce flux de travail, gérant la collecte, le stockage et la distribution des signaux de consentement aux outils de marketing et d'analyse en aval dans plusieurs juridictions.

Bonnes pratiques pour les bannières de consentement aux cookies

Une bannière de consentement mal conçue est en soi un risque de conformité. Les régulateurs ont spécifiquement ciblé les dark patterns, y compris les conceptions qui rendent le refus difficile, cachent l'option de refus derrière plusieurs clics, ou utilisent le contraste des couleurs pour inciter les utilisateurs à accepter.

Caractéristiques d'une bannière de consentement conforme :

Poids visuel égal pour les boutons d'acceptation et de refus
Pas de bascules pré-sélectionnées pour les catégories non essentielles
Langage clair sans jargon juridique
Un mécanisme persistant pour revoir et modifier les préférences de consentement
Disposition adaptée aux mobiles qui n'obstrue pas le contenu de la page

La conception de la bannière de consentement doit être testée par rapport aux directives spécifiques émises par l'autorité de protection des données compétente. La CNIL française, par exemple, a publié des recommandations techniques détaillées sur les formats de bannières acceptables qui vont au-delà du texte de base du GDPR. [9]

Qu'est-ce qui a remplacé les cookies tiers après leur suppression progressive par Google ?

La dépréciation des cookies tiers par Google dans Chrome, qui a commencé sérieusement en 2024, a accéléré la recherche d'alternatives fonctionnelles. Aucune solution de remplacement unique n'a été universellement adoptée, mais plusieurs approches ont gagné du terrain. [10]

Principales alternatives aux cookies en 2026 :

Stratégies de données de première partie : Collecte de données comportementales directement via des propriétés détenues et des sessions authentifiées
Analyse côté serveur : Déplacement de l'exécution des balises vers le serveur pour réduire la dépendance aux cookies côté client
Privacy Sandbox APIs : Suite d'API basées sur le navigateur de Google (Topics API, Protected Audience API) conçues pour permettre la publicité basée sur les centres d'intérêt sans identifiants inter-sites
Publicité contextuelle : Ciblage basé sur le contenu de la page plutôt que sur l'historique de l'utilisateur
Espaces de nettoyage de données : Environnements respectueux de la vie privée où les ensembles de données de première partie de plusieurs parties peuvent être mis en correspondance sans échange de données brutes
Identifiants universels : Identifiants basés sur des e-mails hachés partagés entre les réseaux d'éditeurs avec le consentement de l'utilisateur

Chaque alternative a ses propres implications en matière de consentement et de conformité. La publicité contextuelle ne nécessite aucune donnée utilisateur ; les solutions d'identification authentifiées nécessitent toujours un consentement explicite en vertu du GDPR.

Les cookies sont-ils sûrs et quels sont les risques pour la vie privée ?

Les cookies eux-mêmes ne sont pas du code exécutable et ne peuvent pas installer de logiciels malveillants. Cependant, ils comportent des risques significatifs pour la vie privée, en particulier lorsqu'ils sont utilisés pour le suivi inter-sites ou lorsqu'ils sont interceptés via des connexions non sécurisées.

Principaux risques pour la vie privée associés aux cookies :

Profilage inter-sites : Les cookies tiers permettent des profils comportementaux détaillés sans que l'utilisateur en ait conscience
Détournement de session : Les cookies transmis via HTTP non chiffré peuvent être interceptés par des attaquants sur des réseaux partagés
Synchronisation des cookies : Les réseaux publicitaires partagent les identifiants de cookies entre eux, étendant la portée du suivi au-delà d'une seule plateforme
Cookies zombies : Certaines technologies de suivi tentent de recréer des cookies supprimés à l'aide du fingerprinting du navigateur ou du stockage local

Les drapeaux HttpOnly et Secure atténuent certains vecteurs d'attaque, mais ils ne résolvent pas les risques structurels pour la vie privée du suivi comportemental. [8]

Comment vérifier quels cookies un site web utilise

Tout utilisateur ou développeur peut auditer les cookies d'un site web à l'aide des outils natifs du navigateur. Dans Chrome ou Firefox, l'ouverture des outils de développement (F12) et la navigation vers l'onglet Application ou Stockage révèlent tous les cookies actuellement définis pour le domaine actif, y compris leurs noms, valeurs, domaines, dates d'expiration et drapeaux de sécurité.

Pour un audit plus structuré, les outils qui explorent un site et catégorisent les cookies par type et par objectif fournissent une image plus complète, ce qui est particulièrement utile pour la documentation de conformité. Les sites web doivent effectuer des audits de cookies périodiques car les scripts tiers ajoutés via des gestionnaires de balises peuvent introduire de nouveaux cookies sans examen explicite.

Comment les cookies affectent-ils les performances d'un site web ?

Les cookies ont un impact mesurable mais généralement modeste sur les performances de chargement des pages. Chaque requête HTTP vers un domaine inclut tous les cookies définis pour ce domaine dans l'en-tête de la requête, ce qui ajoute une surcharge proportionnelle au nombre et à la taille des cookies présents.

Des implications de performance plus importantes proviennent du JavaScript qui définit les cookies : les scripts de balises tiers, les plateformes de gestion du consentement et les bibliothèques d'analyse ajoutent tous au poids de la page et au temps d'exécution. Des implémentations de balises mal gérées peuvent ajouter des centaines de millisecondes au Time to First Byte (TTFB) et au Largest Contentful Paint (LCP), qui affectent tous deux les scores des Core Web Vitals.

La meilleure pratique consiste à charger les scripts non essentiels de manière asynchrone, à utiliser un système de gestion des balises pour contrôler l'ordre de déclenchement et à auditer régulièrement les scripts de cookies tiers pour détecter les redondances.

Les utilisateurs peuvent-ils supprimer les cookies et qu'est-ce qui se passe ?

Oui, les utilisateurs peuvent supprimer les cookies à tout moment via les paramètres du navigateur, et cela est immédiat et complet pour les cookies stockés. Les conséquences dépendent du type de cookie supprimé.

La suppression des cookies de session déconnecte l'utilisateur des sessions actives
La suppression des cookies de préférence réinitialise les paramètres enregistrés tels que la langue ou les choix d'affichage
La suppression des cookies d'analyse réinitialise l'identification du visiteur, ce qui fait que les utilisateurs qui reviennent apparaissent comme de nouveaux visiteurs dans les plateformes d'analyse
La suppression des cookies publicitaires supprime les profils de ciblage publicitaire, bien que le suivi basé sur le fingerprinting puisse persister partiellement

Les utilisateurs qui suppriment les cookies mais n'ajustent pas leurs préférences de consentement seront généralement recookifiés lors de leur prochaine visite, car l'enregistrement du consentement peut lui-même être stocké sous forme de cookie. Certaines CMP utilisent le stockage du consentement côté serveur pour résoudre ce problème.

Can Users Delete Cookies and What Happens?

Conclusion : Naviguer dans l'avenir de la conformité aux cookies

L'évolution du cookie, du suivi basique à la conformité stricte, reflète une prise de conscience plus large de la manière dont l'infrastructure numérique a été construite sans garanties de confidentialité adéquates. Ce qui a commencé comme une solution d'ingénierie de 30 lignes en 1994 est devenu le fondement d'un écosystème publicitaire de mille milliards de dollars, puis est devenu l'une des technologies les plus litigieuses de l'histoire réglementaire. [1]

Prochaines étapes concrètes pour les propriétaires de sites web et les développeurs en 2026 :

Effectuez un audit complet des cookies de votre site web, y compris tous les scripts tiers chargés via des gestionnaires de balises
Mettez en œuvre une plateforme de gestion du consentement telle que Biscotti CMP pour gérer la collecte et la documentation du consentement en fonction de la juridiction
Examinez votre bannière de consentement par rapport aux directives réglementaires actuelles, en vérifiant spécifiquement les dark patterns et les options d'acceptation/refus de poids égal
Développez une stratégie de données de première partie pour réduire la dépendance aux cookies de suivi tiers
Définissez un rappel de calendrier récurrent pour réauditer les cookies trimestriellement, car les scripts tiers changent fréquemment
Assurez-vous que votre politique de confidentialité reflète précisément les catégories et les objectifs de tous les cookies utilisés

Le paysage de la conformité continuera d'évoluer. Les réglementations en matière de confidentialité s'étendent géographiquement, l'application s'intensifie et les fournisseurs de navigateurs intègrent des restrictions supplémentaires directement dans leurs plateformes. Les organisations qui traitent la gouvernance des cookies comme une discipline opérationnelle continue plutôt que comme un projet de mise en œuvre ponctuel seront les mieux placées pour maintenir à la fois la confiance des utilisateurs et leur position réglementaire.

FAQ

Quelle est la différence entre un cookie de session et un cookie persistant ? Un cookie de session est supprimé lorsque le navigateur se ferme et est utilisé pour maintenir l'état pendant une seule visite, par exemple pour maintenir un utilisateur connecté. Un cookie persistant a une date d'expiration définie et reste sur l'appareil entre les sessions, utilisé pour les préférences, l'analyse et la publicité.

Tous les cookies nécessitent-ils un consentement en vertu du GDPR ? Non. Les cookies strictement nécessaires, tels que ceux requis pour l'authentification de connexion ou la fonctionnalité du panier d'achat, sont exemptés des exigences de consentement en vertu du GDPR. Tous les cookies non essentiels, y compris les cookies d'analyse et de publicité, nécessitent un consentement préalable explicite.

Qu'est-ce qu'une plateforme de gestion du consentement (CMP) ? Une CMP est un outil logiciel qui gère la collecte, le stockage et l'application du consentement de l'utilisateur aux cookies. Elle présente la bannière de consentement, enregistre les choix de l'utilisateur et signale ces choix aux balises de marketing et d'analyse en aval. Biscotti CMP (www.biscotti-cmp.com) est une telle plateforme conçue pour la conformité multi-juridictionnelle.

Un site web peut-il fonctionner sans cookies ? Oui, mais avec des limitations significatives. Les fonctionnalités de base telles que la persistance de la connexion, les paniers d'achat et le contenu personnalisé dépendent généralement des cookies de première partie. Les fonctions d'analyse et de publicité peuvent être partiellement remplacées par des alternatives sans cookies, mais avec une précision réduite.

Qu'est-ce qu'un dark pattern dans une bannière de consentement aux cookies ? Un dark pattern est une technique de conception qui manipule les utilisateurs pour qu'ils acceptent des cookies qu'ils pourraient autrement rejeter. Les exemples incluent le fait de rendre le bouton "Accepter tout" proéminent et coloré tout en cachant "Refuser tout" derrière plusieurs menus, ou l'utilisation de cases pré-cochées pour les catégories non essentielles.

Combien de temps les enregistrements de consentement doivent-ils être conservés ? En vertu du GDPR, les enregistrements de consentement doivent être conservés aussi longtemps que l'activité de traitement se poursuit, plus une période raisonnable pour démontrer la conformité en cas d'enquête réglementaire. De nombreuses organisations conservent les journaux de consentement pendant au moins trois ans.

Qu'est-ce que le Global Privacy Control (GPC) ? Le GPC est un signal au niveau du navigateur qui communique automatiquement la préférence de désinscription d'un utilisateur aux sites web. En vertu du CCPA/CPRA, les entreprises californiennes sont tenues d'honorer les signaux GPC comme une désinscription valide de la vente ou du partage de données personnelles.

Les cookies d'analyse sont-ils considérés comme des données personnelles en vertu du GDPR ? Généralement oui. Les cookies d'analyse qui attribuent un identifiant unique à un navigateur peuvent être utilisés pour profiler le comportement individuel au fil du temps, ce qui constitue un traitement de données personnelles en vertu du GDPR, nécessitant une base légale telle que le consentement.

Que se passe-t-il si un site web ne respecte pas les règles du GDPR en matière de cookies ? Les autorités de protection des données peuvent émettre des avertissements, des réprimandes et des amendes. Les amendes du GDPR pour les violations de cookies ont varié de dizaines de milliers à des centaines de millions d'euros, selon la gravité, la durée et le nombre de personnes affectées.

Le consentement implicite (continuer à naviguer) est-il valide en vertu du GDPR ? Non. La Cour de justice de l'Union européenne et plusieurs autorités de protection des données ont confirmé que la poursuite de la navigation ne constitue pas un consentement valide. Le consentement doit être un acte affirmatif et univoque.