Cookie Audit, testez le consentement de votre site, pas seulement sa bannière

Ce que l’extension collecte : rien

Une extension qui lit les cookies d’un navigateur doit dire noir sur blanc ce qu’elle transmet, où et à qui. Avant toute autre chose.

• Aucune donnée n’est envoyée à un serveur, ni au mien ni à celui de qui que ce soit. Aucune télémétrie, aucun compte, aucun code chargé à distance.
• Les bases de données de cookies sont embarquées dans l’extension, elles ne sont pas interrogées en ligne.
• Les exports CSV, JSON et PDF sont des fichiers créés sur votre ordinateur.
• La valeur d’un cookie n’est jamais affichée, exportée ni conservée. Seule sa longueur est calculée, pour afficher la taille du cookie. L’interface de Chrome transmet cette valeur avec chaque cookie et il n’est pas possible de ne pas la recevoir ; elle n’est écrite nulle part. Ce qui est retenu, c’est le nom, le domaine, la date d’expiration et les attributs techniques.
• Du stockage local, seules les clés sont relevées, jamais leur contenu.
• Les seules modifications effectuées sont la suppression des cookies du site audité et le vidage de son stockage local, uniquement après votre confirmation explicite, et jamais sur un autre domaine que celui affiché.
• La seule connexion réseau établie est l’ouverture de la page de politique de confidentialité du site que vous auditez, quand vous le demandez.

Le détail complet, permission par permission, et ce qui reste stocké sur votre appareil, figure dans la politique de confidentialité de l’extension.

Le test du consentement, en trois étapes guidées

Étape 1, état vierge. L’outil supprime les cookies du site et vide son stockage local, puis recharge la page. Tout ce qui est déposé avant votre premier clic est enregistré.

Étape 2, refus. Vous cliquez sur « Tout refuser » dans la bannière du site. L’outil continue d’observer et compte ce qui est déposé malgré votre refus.

Étape 3, acceptation. Même chose après avoir tout accepté, pour mesurer l’écart entre les deux états.

C’est vous qui cliquez dans la bannière, jamais l’outil. Un clic automatisé ne vaut rien comme preuve d’un parcours utilisateur, et il échouerait sur une bannière sur deux.

Trois cadres juridiques, proposés automatiquement

RGPD européen, Loi 25 québécoise, LPRPDE canadienne. L’outil suggère le cadre probable d’après l’extension du domaine, un site en .qc.ca n’appelant pas les mêmes règles qu’un site en .fr, et vous laissez ou changez d’un clic.

Chaque catégorie de cookies affiche alors le statut de consentement qui lui correspond, avec la référence d’article quand elle existe : « Désactivés par défaut s’ils identifient, art. 8.1 » pour la Loi 25, par exemple. Les verdicts changent avec le cadre : ce qui constitue un écart en Europe peut n’être qu’un point à vérifier au Canada, où l’option de retrait est admise sous conditions.

Un plan d’action, pas seulement un diagnostic

Chaque écart est accompagné de la correction concrète à apporter. Quatre niveaux, écart constaté, à vérifier, exemption possible à justifier, aucun écart, plutôt qu’un rouge ou un vert.

Le constat regroupe les actions propres à votre site dans un plan à cocher, suivi de ce que la loi exige catégorie par catégorie, avec les références officielles : la CNIL pour l’Europe, la Commission d’accès à l’information pour le Québec.

Le texte de votre politique, prêt à coller

L’outil rédige la section « Témoins (cookies) utilisés sur ce site » à partir de ce qu’il a réellement observé : le tableau des cookies, leurs finalités, leurs durées, les fournisseurs tiers à mentionner. Un bouton copie la section entière, en texte ou en HTML. Les éléments à compléter vous-même sont signalés entre crochets.

C’est la différence entre un outil qui vous dit que vous avez un problème et un outil qui vous donne la correction.

Pourquoi j’ai écrit cet outil

Dans la plupart des entreprises où je suis passé, personne ne savait que le site n’était pas en règle. Ce n’était ni de la négligence ni du cynisme : le sujet est technique, il a atterri d’un coup sur des équipes qui n’avaient pas été formées pour ça, et il n’existait aucun moyen simple de vérifier.

L’arrivée du RGPD, puis de la Loi 25 au Québec, a bousculé des méthodes de travail installées depuis des années. Les organisations ont fait ce qu’on leur demandait : elles ont désigné un responsable de la protection des renseignements personnels, rédigé une politique de confidentialité, installé une bannière de cookies. Sur le papier, le dossier était clos.

Sauf que la bannière ne bloquait rien. Elle s’affichait, elle proposait « Accepter » et « Refuser », et les traceurs partaient quand même, souvent avant même qu’elle ait fini de s’afficher, et parfois malgré un refus explicite. Personne ne mentait : personne n’avait les moyens de le voir. Un outil de consentement mal configuré ressemble exactement à un outil bien configuré, tant qu’on ne regarde pas ce qui se passe réellement dans le navigateur, seconde par seconde.

C’est ce que je faisais à la main, et c’était long. Vider le navigateur, ouvrir la console, recharger, guetter les dépôts, chercher à quoi correspond chaque nom de cookie, refaire la manœuvre après avoir refusé pour être sûr. Une demi-heure par site, pour un résultat que je ne pouvais montrer au client que sous forme de captures d’écran de console, pas exactement le document qui déclenche une décision.

Et quand le constat était fait, il restait le plus ingrat : rédiger la section cookies de la politique, cookie par cookie, finalité par finalité. C’est pour ça que l’outil l’écrit à votre place aujourd’hui.

J’ai construit Cookie Audit pour faire cette vérification en quelques minutes, et surtout pour en sortir un document lisible par quelqu’un qui n’est pas technicien. Parce que le vrai obstacle n’a jamais été la mauvaise volonté : c’est que personne, dans ces organisations, n’avait de quoi constater le problème ni de quoi le corriger.

Il est gratuit parce qu’un outil de diagnostic qui coûte de l’argent ne sera pas utilisé par ceux qui en ont le plus besoin, les petites structures, celles qui n’ont ni responsable à temps plein ni budget de mise en conformité. Le constat doit être accessible à tout le monde.

Pourquoi ce contrôle a un intérêt, chiffres à l’appui

Le dépôt de traceurs avant consentement est mesuré, et il est massif. L’étude Automated Large-Scale Analysis of Cookie Notice Compliance, menée par Ahmed Bouhoula, Karel Kubicek, Amit Zac, Carlos Cotrini et David Basin de l’ETH Zurich et présentée à USENIX Security 2024, a analysé environ 97 000 sites populaires dans l’Union européenne.

Sur les 48 843 sites porteurs d’un bandeau, 73,4 % déposent des traceurs avant toute interaction. Sur les 33 431 dont le bandeau propose un bouton d’acceptation, 56,7 % n’offrent pas de bouton de refus équivalent. Et parmi les 16 231 sites qui proposent bel et bien un bouton de refus, 65,4 % collectent probablement des données malgré un refus explicite.

Ce dernier chiffre est celui qui justifie l’existence de cet outil. Il ne décrit pas des sites négligents qui n’ont rien installé : il décrit des sites qui ont une bannière, un bouton refuser, et chez qui le refus ne change rien. Vus de l’extérieur, ces sites paraissent en règle. C’est précisément ce que l’étape 2 du test mesure.

La CNIL décrit les mêmes symptômes. Lors de sa campagne de mises en demeure, elle a relevé trois manquements récurrents : des cookies déposés automatiquement avant toute acceptation, des bandeaux ne permettant pas un refus aussi simple que l’acceptation, et des boutons de refus suivis d’un dépôt malgré tout. Environ 90 organismes avaient été mis en demeure au 14 décembre 2021. Sa recommandation de septembre 2020 pose par ailleurs que le responsable du site doit pouvoir fournir à tout moment la preuve du recueil valable du consentement.

Mon propre relevé de marché du 9 août 2026 aboutit au même ordre de grandeur : environ 85 % des grands sites européens que j’ai examinés présentent un écart sur les seuls cookies, et moins de la moitié des bannières offrent un refus aussi accessible que l’acceptation.

Comment l’utiliser

Un. Installez l’extension et épinglez-la à côté de la barre d’adresse.

Deux. Ouvrez le site à auditer, puis cliquez sur l’icône. L’onglet Inventaire affiche immédiatement tous les cookies présents, classés par catégorie. Le cadre juridique probable est déjà proposé d’après le domaine, vérifiez-le.

Trois. Passez à l’onglet Test du consentement et lancez l’audit vierge. Un écran vous explique exactement ce qui va se passer : suppression des cookies de ce site, vidage de son stockage local, rechargement de la page. Vous devez confirmer. À savoir : vous serez déconnecté de ce site si vous y étiez connecté, et aucun autre site n’est touché.

Quatre. Suivez les trois étapes. L’outil vous dit quand cliquer « Tout refuser », puis « Tout accepter », et observe entre les deux. Vous pouvez fermer la fenêtre de l’extension, l’enregistrement continue. Faites défiler toute la page : certains traceurs, comme les vidéos intégrées, ne se déclenchent qu’une fois visibles.

Cinq. Passez à l’onglet Politique pour comparer avec ce que le site déclare, puis cliquez sur Constat. Vous y trouverez le plan d’action et le texte de politique à copier.

Ce que je ne promets pas

Cet outil n’est pas un certificat de conformité. Il montre ce que votre site dépose réellement, rappelle les règles applicables et propose un texte de politique, ce qui est le point de départ de toute mise en conformité, mais il ne remplace ni un avis juridique ni une plateforme de consentement.

Le texte de politique généré est un brouillon. Il reflète ce qui a été observé pendant un audit, à un instant donné, et les éléments à compléter sont signalés entre crochets. Relisez-le, complétez-le, et faites-le valider si l’enjeu le justifie.

Le constat produit est un document technique généré sur votre poste. Il n’est ni un avis juridique ni un constat d’huissier : l’horodatage vient de l’horloge de votre ordinateur, et l’empreinte SHA-256 garantit l’intégrité du document, pas la date à laquelle il a été produit.

Une observation reste une observation. Un cookie identifié comme publicitaire peut avoir une justification que l’extension ignore, un cookie inconnu peut être parfaitement légitime. C’est pour cette raison que le verdict compte quatre niveaux plutôt que deux, et que rien n’est jamais qualifié d’infraction.

Les règles évoluent. Les textes de référence intégrés reflètent l’état du droit à la date indiquée dans le constat, pas forcément celui du jour où vous le lisez.