Étude : 8 sites français sur 10 chargent des traceurs AVANT le consentement (2026)
En bref : nous avons scanné des sites web français connus avec un vrai navigateur, pour observer ce qui se passe avant que l'internaute clique sur « Accepter les cookies ». Sur 10 sites analysables, 8 déclenchaient déjà des traceurs (Google Analytics, DoubleClick, Meta, Microsoft Clarity…) avant le moindre consentement. Et 1 sur 2 affichait un bandeau cookies… qui ne bloquait rien. C'est précisément l'infraction cookies la plus sanctionnée par la CNIL.
La question de départ
Un bandeau cookies n'a qu'un seul rôle : ne rien déposer et ne rien envoyer tant que l'utilisateur n'a pas dit « oui ». La CNIL est claire là-dessus : sauf traceurs strictement nécessaires, aucun cookie de mesure d'audience ou de publicité ne doit se charger avant le consentement.
La théorie est simple. Nous voulions vérifier la pratique. Alors nous avons posé une seule question à une série de sites français : que se passe-t-il pendant les 3 secondes où le bandeau est affiché, avant tout clic ?
Méthodologie
Nous avons chargé chaque site dans un navigateur Chromium réel (rendu JavaScript complet), sans jamais interagir avec le bandeau cookies, puis nous avons relevé : les cookies effectivement déposés et les requêtes réseau envoyées vers des régies de mesure ou de publicité. Tout ce qui apparaît à ce stade se produit donc sans consentement.
L'échantillon couvre des sites français connus (médias, e-commerce, SaaS). C'est une première vague, volontairement restreinte — pas une étude statistique nationale. Détail transparent : sur les sites testés, 3 grands e-commerçants ont bloqué l'accès automatisé (protection anti-bot), et ont été exclus de l'analyse, laissant 10 sites exploitables.
Les résultats
Le constat est net : 8 sites sur 10 déposaient des cookies traceurs ou envoyaient des données à des tiers avant le moindre clic. Voici trois cas représentatifs (anonymisés) :
Un média tech français
Bandeau de consentement bien présent à l'écran. Pourtant, avant tout clic, le site avait déjà contacté Google Analytics, Google Tag Manager et la régie publicitaire DoubleClick. Le bandeau s'affiche, mais ne bloque pas les scripts chargés en amont.
Un site e-commerce (mode / beauté)
Le pire cas observé : 3 cookies traceurs déposés et 9 requêtes vers Google Ads, DoubleClick et Microsoft Clarity — le tout avant consentement. L'internaute est déjà pisté avant même d'avoir vu la page.
Une boutique en ligne (Shopify)
Aucun bandeau détecté, et pourtant plusieurs cookies de tracking (mesure d'audience, remarketing) posés dès l'arrivée. Ici, ce n'est même pas un problème de configuration : il n'y a tout simplement pas de mécanisme de consentement.
À l'inverse, seuls 2 sites étaient réellement propres — aucun traceur avant consentement. Fait intéressant : c'étaient deux SaaS B2B, des entreprises souvent plus sensibilisées à la conformité (et qui vendent parfois elles-mêmes à des DPO).
Pourquoi un bandeau « ne bloque pas » ?
Contrairement à l'intuition, la plupart de ces sites ne sont pas de mauvaise foi. Ils ont installé un outil de consentement (CMP)… mais mal configuré. Le scénario le plus fréquent :
- La fenêtre de consentement s'affiche correctement.
- Mais les scripts de tracking (Google Analytics, pixel Meta, GTM…) sont chargés en dur dans la page, ou déclenchés par un tag manager, avant que la CMP ait pu les bloquer.
- Résultat : le consentement est contourné. Le bandeau devient décoratif.
Une CMP conforme doit faire l'inverse : bloquer par défaut tous les traceurs non essentiels, et ne les libérer qu'après le clic « Accepter ».
Comment vérifier votre propre site en 30 secondes
Pas besoin d'outil pour un premier test :
- Ouvrez votre site en navigation privée.
- Ouvrez les outils de développement (
F12) → onglet Application → Cookies. - Regardez la liste avant de cliquer sur « Accepter ». Si vous voyez
_ga,_fbp,_gcl_auou_hjSession→ votre bandeau ne fait pas son travail.
Votre bandeau bloque-t-il vraiment ?
VeriSite charge votre site comme un vrai navigateur, liste les cookies et traceurs déposés avant consentement, et vous dit exactement lesquels bloquer. Gratuit, en 30 secondes.
Scanner mon site gratuitement →FAQ
Charger Google Analytics avant consentement, est-ce vraiment illégal ?
Oui, sauf configuration très particulière. La mesure d'audience nécessite un consentement préalable, sauf exemption stricte (mesure anonyme sans cookie, sans recoupement). Google Analytics dans sa version standard ne rentre pas dans cette exemption.
J'ai un bandeau Axeptio / Cookiebot / Tarteaucitron, je suis donc en règle ?
Pas automatiquement. Avoir une CMP ne suffit pas : encore faut-il qu'elle soit configurée en « blocage par défaut ». Beaucoup d'installations affichent le bandeau sans réellement bloquer les scripts. C'est exactement ce que révèle cette étude.
Comment corriger un bandeau qui ne bloque pas ?
Dans votre CMP, activez le blocage automatique des scripts tiers avant consentement, et cessez de charger vos tags (GA, pixel Meta…) « en dur » : passez-les par la CMP ou par un tag manager piloté par le consentement. Vérifiez ensuite avec la méthode F12 ci-dessus.
Cette étude est-elle représentative de tous les sites français ?
Non, et nous l'assumons : c'est une première vague sur un échantillon restreint de sites connus. Mais la tendance est cohérente avec les contrôles de la CNIL et mérite d'être élargie — ce que nous ferons.