Audit cookies et traceurs
Voyez les cookies, scripts traceurs et trace d'un outil de consentement dans la première réponse, en un écran.
Cet outil lit la toute première réponse renvoyée par votre serveur, avant même que le visiteur ait fait un quelconque choix de consentement. Dans les en-têtes Set-Cookie, il relève le nom de chaque cookie, sa durée (session ou en jours) et ses attributs de sécurité comme Secure, HttpOnly et SameSite, il ne révèle jamais sa valeur. Il parcourt ensuite le HTML à la recherche de scripts traceurs connus, Google Analytics, Meta Pixel, TikTok, Hotjar et Yandex Metrica, de traces d'outils de consentement comme Cookiebot ou OneTrust, et d'un lien vers une politique de cookies.
Un résultat est signalé à l'attention dans deux cas : un script traceur connu apparaît sans trace d'un outil de consentement, ou un cookie marketing comme _fbp arrive avant que le visiteur ait fait un choix. Les noms de cookies sont classés en nécessaire, mesure, marketing ou inconnu selon des modèles connus, ce classement repose sur le nom lui-même et ne garantit pas l'usage réel qu'en fait le site. Dans une configuration saine, les cookies marketing et de mesure n'arrivent qu'après le consentement, pas dès le chargement de la page.
Cet audit ne lit que la première réponse de la page ; il ne peut pas voir les cookies que JavaScript dépose ensuite dans le navigateur, après un clic sur un bouton, ni les scripts chargés avec retard. L'absence d'un traceur connu ne signifie pas qu'il n'est pas utilisé, il peut être développé sur mesure ou masqué par une solution hébergée localement. Surtout, cet outil n'est pas un conseil juridique et ne remplace pas une évaluation légale ; vérifier la conformité de votre politique de cookies au RGPD reste le rôle d'un juriste.
Questions fréquentes
Puis-je voir la valeur réelle des cookies ?
Non, l'outil montre seulement le nom, la durée et les attributs de sécurité d'un cookie, jamais sa valeur, car celle-ci peut contenir des données de session sensibles.
Aucun outil de consentement n'a été trouvé, cela veut-il dire que je ne respecte pas le RGPD ?
Non, l'outil cherche uniquement la trace HTML laissée par des outils connus comme Cookiebot ou OneTrust ; une solution personnalisée ou auto-hébergée peut rester invisible. Ce constat n'est pas à lui seul une évaluation juridique.
Que dois-je faire en voyant un script traceur listé ?
Vérifiez d'abord s'il se charge avant ou après le consentement ; si un script marketing ou de mesure fonctionne sans consentement, revoyez votre politique de cookies et votre dispositif de consentement.
L'adresse que j'indique est-elle conservée ?
L'adresse n'est pas conservée durablement ; si la même adresse est vérifiée à nouveau peu après, le résultat reste environ dix minutes en mémoire du serveur pour répondre plus vite, puis il est effacé.
