WordPress et consentement cookies : simplifier sa bannière sans perdre en conformité

Une bannière cookies WordPress doit bloquer les traceurs non essentiels avant un choix explicite, proposer un refus aussi simple que l’acceptation et ne demander le consentement que pour les services réellement utilisés. Commencez donc par inventorier les scripts, extensions et intégrations actifs, puis paramétrez leur chargement selon le choix du visiteur.

Pour un site français, les recommandations de la CNIL sur les cookies et autres traceurs sont le principal repère pratique. Elles s’appliquent quel que soit le CMS : WordPress ne rend pas un traceur nécessaire ou conforme par défaut.

Identifier les services qui demandent un choix

Vérifiez les services chargés sur chaque page, y compris ceux ajoutés par le thème, les extensions, Google Tag Manager ou un constructeur de pages. Une bannière avec des boutons « Accepter » et « Refuser » ne suffit pas si Google Analytics, une vidéo YouTube ou une carte Google Maps se chargent avant le choix.

Mesure d’audience : Google Analytics et les outils de publicité ou de reciblage nécessitent habituellement un consentement avant le dépôt ou la lecture de traceurs non exemptés.
Publicité : Google Ads, Meta Pixel, LinkedIn Insight Tag et les outils comparables ne doivent pas se déclencher avant l’accord correspondant.
Contenus intégrés : une vidéo YouTube ou Vimeo, une carte Google Maps, un fil Instagram ou un bouton de partage peuvent transmettre des données au service tiers lors de leur affichage.
Fonctionnalités indispensables : panier e-commerce, session de connexion, sécurité ou mémorisation du choix de consentement peuvent relever de traceurs nécessaires au fonctionnement demandé.

La mesure d’audience n’est pas automatiquement soumise à consentement dans tous les cas. La CNIL prévoit une exemption, sous conditions strictes, pour certains dispositifs limités à cette finalité ; Matomo peut, selon sa configuration et son hébergement, entrer dans ce cadre. Vérifiez les conditions du guide CNIL consacré aux outils de mesure d’audience plutôt que de considérer un outil comme exempté par principe.

L’absence de cookie ne dispense pas toujours d’obligations. Un service externe peut traiter des données personnelles, notamment l’adresse IP ; sa présence doit aussi être examinée dans la politique de confidentialité.

Configurer le choix et bloquer les scripts

Affichez dès le premier niveau trois actions lisibles : Accepter, Refuser et Personnaliser. Les boutons d’acceptation et de refus doivent avoir une importance comparable, sans cases facultatives cochées à l’avance ; la simple poursuite de la navigation ne vaut pas consentement selon la CNIL.

Décrivez les finalités simplement : « mesure d’audience », « vidéos externes » ou « publicité ».
Ajoutez un lien permanent, tel que « Gérer mes cookies », dans le pied de page pour permettre la modification du choix.
Bloquez les scripts et intégrations concernés avant le consentement, puis activez-les seulement après l’accord.

Des solutions comme Complianz ou tarteaucitron.js peuvent aider à afficher le choix et à piloter certains services. Leur efficacité dépend du paramétrage : contrôlez les scripts ajoutés manuellement, les balises injectées par Google Tag Manager et les modules du thème.

Dans Google Tag Manager, la publication d’une balise ne la rend pas conditionnelle par elle-même. Paramétrez son déclenchement selon l’état du consentement et testez-le ; Google Consent Mode ne remplace pas à lui seul le recueil d’un consentement valable.

Réduire les services tiers

Supprimez les outils qui ne servent pas réellement au site. Chaque pixel marketing, lecteur vidéo ou carte intégrée ajoute une finalité à expliquer, du JavaScript à charger et un service à documenter.

Une carte intégrée peut être remplacée par une adresse et un lien « Ouvrir l’itinéraire ». Pour une vidéo, une image de prévisualisation avec un lien vers YouTube évite le chargement du lecteur ; si l’intégration est nécessaire, affichez un bloc d’attente jusqu’à l’acceptation des contenus externes.

Vérifier avant la publication

Testez le site dans une fenêtre privée, sans cookies existants. Refusez tout, puis vérifiez dans les outils de développement du navigateur que les requêtes vers les plateformes publicitaires, analytiques ou vidéo ne partent pas prématurément.

Répétez le test après l’acceptation d’une seule catégorie, après le retrait du consentement et sur les pages contenant des intégrations. Mettez enfin la politique de confidentialité en cohérence avec les services réellement présents.