Scanner de cookies : savoir ce que votre site dépose vraiment

Demandez à un éditeur de site combien de cookies son site dépose : la réponse est presque toujours inférieure à la réalité. Un thème, quelques extensions, une vidéo intégrée, un outil d'analyse, un chat support — et l'inventaire devient impossible à tenir de tête. Or ce recensement conditionne à la fois la conformité et le bon fonctionnement de votre bannière.

Pourquoi l'inventaire est une obligation, pas une bonne pratique

Le RGPD impose une information « spécifique » : le visiteur doit savoir quels traceurs sont déposés, par qui et pour quelle finalité. La CNIL le rappelle régulièrement — une bannière qui liste trois catégories vagues sans détail des traceurs réels ne remplit pas cette exigence.

L'inventaire alimente aussi votre registre des traitements et votre politique de confidentialité. Sans lui, vous documentez des intentions, pas la réalité de votre site.

Il y a enfin un enjeu purement technique : on ne peut pas bloquer ce qu'on n'a pas identifié. Un script tiers absent de votre configuration passera à travers l'auto-blocage et déposera ses cookies avant tout consentement.

Ce que fait un scanner

Un scanner de cookies charge vos pages dans un navigateur automatisé, sans interagir avec la bannière, et observe ce qui se produit. Il enregistre les cookies déposés, les domaines contactés, les scripts chargés et les données stockées dans le localStorage. Il rapproche ensuite ces éléments d'une base de connaissance pour proposer un éditeur, une finalité et une durée de vie.

Le résultat est un tableau exploitable directement : nom du cookie, domaine émetteur, catégorie proposée, durée. C'est le point de départ de la configuration de votre bannière et le socle de votre page de politique cookies.

Ses limites, qu'il faut connaître

Un scan automatique n'est pas exhaustif, et les outils qui prétendent le contraire mentent :

• Il ne voit que les pages qu'il visite. Une page de tunnel de commande ou de formulaire peut charger des traceurs absents de la page d'accueil.
• Il ne voit pas ce qui est derrière une authentification, sauf configuration spécifique — or l'espace client est souvent la partie la plus instrumentée d'un site.
• Il ne déclenche pas les scripts conditionnels liés à un scroll, un clic ou un délai.
• Il ne devine pas votre finalité réelle. La catégorisation proposée reste une proposition : c'est vous, responsable de traitement, qui la validez.

La bonne façon de s'en servir est donc de le traiter comme un révélateur, pas comme un audit complet. Il trouve ce que vous aviez oublié ; il ne certifie pas que vous n'avez rien oublié d'autre.

Le vrai sujet : la dérive dans le temps

Un scan à l'instant T a une valeur limitée, parce qu'un site bouge. Une extension mise à jour ajoute un pixel, une équipe marketing pose un tag pour une campagne, un prestataire change de sous-traitant. En quelques mois, l'inventaire validé lors de la mise en conformité ne décrit plus le site.

C'est là que le re-scan planifié devient utile : plutôt que de reproduire l'audit à la main, l'outil relance le scan périodiquement et vous alerte uniquement sur le différentiel — le cookie apparu, le domaine nouvellement contacté. Vous ne relisez pas cent lignes, vous traitez une notification.

Chez Consenteer, le scan de la page d'accueil est disponible dans toutes les formules ; le re-scan planifié avec alerte de changement est inclus à partir de la formule Pro, et le scan multi-pages puis les pages authentifiées sont en préparation.

Une routine réaliste

Un rythme qui fonctionne pour la plupart des sites :

1. Un scan complet au lancement, puis validation manuelle de chaque catégorisation.
2. Un re-scan mensuel automatique, avec alerte sur les nouveautés uniquement.
3. Un scan ponctuel après toute mise en production notable ou installation d'un outil marketing.
4. Une relecture semestrielle de la politique cookies à la lumière de l'inventaire.

Une fois l'inventaire fiable, le reste s'enchaîne : l'auto-blocage empêche le chargement des scripts identifiés tant que le consentement n'est pas donné, et le journal des consentements documente les choix. C'est l'ordre qui compte — inventorier, puis bloquer, puis prouver.