Votre résultat
Le résultat liste les traceurs vus dans le HTML (Google Analytics, Meta, Hotjar, YouTube…), dit s’ils attendent le consentement, nomme l’outil de consentement et vérifie les liens obligatoires.
Vous préférez que je regarde moi-même, gratuitement, sous 24 h ?
Me faire envoyer un avisPas encore de mentions légales ? Le générateur rédige vos mentions légales et votre politique de confidentialité à partir de vos réponses, selon votre statut (micro-entreprise, société, association, profession réglementée), avec l’adresse de votre hébergeur déjà remplie.
Générer mes mentions légales : gratuit, sans e-mailUn bandeau cookies ne prouve rien : ce qui compte, c’est ce que la page charge avant que le visiteur ait choisi. Un site peut afficher un joli bandeau pendant que Google Analytics, le pixel Facebook ou une vidéo YouTube sont déjà partis. Cet outil lit le HTML de votre page d’accueil, comme un robot, sans exécuter le JavaScript : il repère les traceurs connus et dit s’ils attendent le consentement, reconnaît l’outil de consentement (Axeptio, tarteaucitron, Cookiebot, Didomi…) et cherche les trois liens obligatoires. Pour chaque point : ce qu’il a vu, ce que ça veut dire, quoi faire.
Outil réalisé par Léo Guillaume, développeur freelance près de Rennes. Je crée, je refais et je mets en règle des sites vitrines pour des TPE et des PME, à distance, et je réponds sous 24 h.
Mis à jour le
Ce que le test regarde
Le test lit le HTML comme un robot, sans exécuter le JavaScript. C’est sa limite : un traceur ajouté après coup par un script ou par Google Tag Manager ne se voit pas d’ici. Ce qu’il voit, il le dit franchement.
Google Analytics, Google Tag Manager, Google Ads, pixel Meta, Hotjar, Microsoft Clarity, LinkedIn, TikTok, Pinterest, Matomo, vidéos YouTube, cartes Google Maps, reCAPTCHA : pour chacun, le test dit s’il part dès l’ouverture de la page.
Un script désactivé jusqu’au choix (type « text/plain » avec une catégorie, réglage de l’outil de consentement) ou le mode Consentement de Google réglé sur « refusé » : ceux-là attendent le visiteur.
Axeptio, Didomi, tarteaucitron, Cookiebot, CookieYes, Complianz, OneTrust, Iubenda, Usercentrics, Sirdata, AppConsent et une douzaine d’autres, reconnus à leur code.
Un lien vers la page qui dit qui édite le site, son adresse, son immatriculation et son hébergeur.
Un lien vers la page qui dit quelles données le site recueille, pourquoi, combien de temps, et comment exercer ses droits.
Un lien ou un bouton pour revenir sur son choix, quand le site dépose des traceurs soumis au consentement.
Ce que disent les textes
Neuf règles, lues le 8 novembre 2026 sur Légifrance, le site de la CNIL et service-public.fr. Chacune renvoie au texte.
Article 82, loi Informatique et Libertés
Lire ou déposer une information sur l’appareil d’un visiteur demande son consentement, après l’avoir informé de la finalité et des moyens de s’y opposer. Seules y échappent les opérations qui servent uniquement à la communication, ou qui sont strictement nécessaires au service qu’il a demandé.
Source : LégifranceLignes directrices CNIL, 17 septembre 2020
Continuer à naviguer, utiliser l’application ou faire défiler la page ne vaut pas consentement. Refuser doit être possible sans aucune démarche, ou d’un geste aussi simple qu’accepter, et retirer son accord aussi simple que le donner.
Source : CNIL (Légifrance)Lignes directrices CNIL, article 3
Le site qui laisse des tiers (Google, Meta, une régie publicitaire) déposer des traceurs depuis ses pages doit s’assurer qu’un mécanisme recueille bien le consentement de ses visiteurs.
Source : CNIL (Légifrance)Recommandation CNIL, 17 septembre 2020
La CNIL recommande deux boutons de même niveau et de même format, de garder le choix du visiteur (accord comme refus) six mois, et de lui permettre de le retirer à tout moment par un lien « Gérer mes cookies » ou une icône présente sur toutes les pages.
Source : CNIL (Légifrance)Mesure d’audience, page CNIL du 4 juillet 2025
Un outil de mesure d’audience peut se passer de consentement s’il sert seulement à mesurer l’audience pour le compte exclusif du site, produit des statistiques anonymes, sans recoupement ni transmission à des tiers. La CNIL recommande des traceurs de 13 mois au plus et une conservation de 25 mois au plus, et écarte les offres dont le fournisseur indique réutiliser les données pour son propre compte.
Source : CNILQuestions-réponses CNIL, 29 avril 2026
Une vidéo ou un bouton de partage qui dépose des traceurs ne doit rien déposer avant l’accord du visiteur ; le clic sur la vidéo peut servir à le demander. Un CAPTCHA est exempté s’il sert seulement à sécuriser le site, mais la CNIL cite reCAPTCHA parmi les solutions dont le fournisseur indique réutiliser les données.
Source : CNILDélibération CNIL du 8 octobre 2026
Les outils qui enregistrent le parcours complet d’un visiteur pour le rejouer, comme le proposent Hotjar et Microsoft Clarity, sont soumis à son consentement préalable. La CNIL recommande aussi de masquer les formulaires et de bloquer la collecte des mots de passe et des données bancaires. Publiée au Journal officiel du 5 novembre 2026.
Source : CNIL (Légifrance)Sanctions publiées par la CNIL
Le 4 novembre 2025, 4 000 € pour une société de conseil aux clubs de sports subaquatiques ; le 18 décembre 2025, 2 000 € et une injonction pour une agence de voyage : deux procédures simplifiées pour des cookies, information et consentement. Le 1er septembre 2025, 325 millions d’euros pour une société de services en ligne.
Source : CNILVérifié le 13 octobre 2026
Le site d’une entreprise, micro-entreprise comprise, doit dire qui l’édite, son adresse, son immatriculation et son hébergeur, sous peine de 75 000 € d’amende pour une entreprise individuelle et 375 000 € pour une société. La politique de confidentialité doit être accessible depuis chaque page par un lien bien visible.
Source : Service-public.frCe test ne remplace pas un audit ni un avis juridique : il dit ce que le HTML de la page d’accueil montre, sans exécuter le JavaScript. Pour un site qui vend en ligne, enregistre des comptes clients ou fait de la publicité, une vérification complète dans le navigateur, page par page, reste nécessaire.
Votre site est à risque
Le même parcours pour un site vitrine, un WordPress ou une boutique, du plus urgent au plus simple.
Axeptio, tarteaucitron, Cookiebot, Didomi, ou une extension WordPress comme Complianz ou CookieYes : l’outil doit bloquer chaque traceur jusqu’au choix, et proposer « Tout accepter » et « Tout refuser » au même niveau.
Le piège Un bandeau qui informe sans rien bloquer : les traceurs partent avant le clic, et le bandeau ne sert à rien.
Statistiques, publicité, vidéos, cartes : chaque script passe sous le contrôle de l’outil, y compris ceux qu’ajoutent le thème et les extensions (Site Kit, MonsterInsights, le reCAPTCHA du formulaire de contact).
Le piège Les optimiseurs comme WP Rocket ou LiteSpeed Cache retardent les scripts jusqu’au premier geste du visiteur : la page va plus vite, mais personne n’a donné son accord.
Soit il attend l’accord (blocage par l’outil de consentement, ou mode « de base » de Google), soit vous passez à une mesure d’audience configurée pour l’exemption, comme Matomo réglé selon le guide publié sur le site de la CNIL.
Le piège Le mode Consentement « avancé » charge les balises Google dès l’arrivée : d’après Google, elles envoient des mesures sans cookie avant le choix.
Une image avec un bouton « Lire la vidéo » qui demande l’accord avant de charger le lecteur ; pour la carte, une capture avec un lien vers Google Maps. La plupart des outils de consentement savent le faire.
Le piège Passer à youtube-nocookie.com : d’après Google, les vidéos vues ne personnalisent plus YouTube, mais Google ne dit pas que rien n’est stocké.
Mentions légales, politique de confidentialité et « Gérer mes cookies », sur toutes les pages. La politique dit quelles données vous recueillez, pourquoi, combien de temps, et comment exercer ses droits.
Le piège Une seule page « Mentions légales » qui cache la politique de confidentialité sans le dire dans le lien.
Retirez les pixels des campagnes terminées et les essais oubliés, puis ouvrez le site en navigation privée : avant tout clic sur le bandeau, les outils de développement (F12, onglet « Application », « Cookies ») ne doivent montrer aucun cookie de mesure ni de publicité.
Le piège Tester dans un navigateur où vous avez déjà accepté : votre ancien choix masque le problème.
Questions fréquentes
Pas toujours. Il en faut un dès que le site dépose ou lit des traceurs qui demandent le consentement : publicité, boutons et vidéos de réseaux sociaux, enregistrement des sessions, statistiques qui ne remplissent pas les conditions de l’exemption. Un site qui n’utilise que des traceurs indispensables (panier, connexion, choix de la langue, mémorisation du choix sur les cookies) ou une mesure d’audience exemptée n’en a pas besoin; pour la mesure d’audience, la CNIL recommande tout de même d’en informer les visiteurs, par exemple dans la politique de confidentialité.
Seulement s’il remplit toutes les conditions de l’exemption : mesure d’audience pour votre seul compte, statistiques anonymes, aucun recoupement ni transmission à des tiers. La CNIL précise que les offres dont le fournisseur indique réutiliser les données pour son propre compte n’en bénéficient pas, sauf si cette réutilisation peut être désactivée. Tant que vous ne l’avez pas vérifié dans les conditions de Google, le plus sûr est de charger Google Analytics après l’accord du visiteur, ou de passer à un outil configuré pour l’exemption.
Oui, s’il est réglé pour. La CNIL publie sur son site un guide de configuration de Matomo Analytics pour l’exemption : exports de données désactivés, possibilité pour le visiteur de refuser d’être suivi, adresses IP anonymisées, ni cookies tiers ni suivi entre domaines, pas de User ID, cartes de chaleur et enregistrements de session désactivés, aucune donnée personnelle collectée. Le test voit Matomo, pas ses réglages : il le classe donc « à vérifier ».
La CNIL publie ses sanctions. Les plus connues visent de grands groupes (325 millions d’euros le 1er septembre 2025 pour une société de services en ligne, 150 millions le même jour pour un site de vente de vêtements), mais elle sanctionne aussi de petites structures par une procédure simplifiée : 4 000 € le 4 novembre 2025 pour une société de conseil aux clubs de sports subaquatiques, 2 000 € et une injonction le 18 décembre 2025 pour une agence de voyage, 15 000 € et une injonction le 26 mars 2026 pour une société de billetterie (avec d’autres manquements).
Oui. Le site d’une entreprise, micro-entreprise comprise, doit afficher son identité, son adresse, son immatriculation et son hébergeur : jusqu’à 75 000 € d’amende pour une entreprise individuelle et 375 000 € pour une société. Dès qu’il recueille des données, il doit aussi dire lesquelles, pourquoi, combien de temps et comment exercer ses droits, dans une politique de confidentialité accessible depuis chaque page par un lien bien visible.
Pas forcément. L’extension (Complianz, CookieYes, Cookiebot, tarteaucitron…) doit bloquer les scripts jusqu’au choix, y compris ceux posés par le thème ou d’autres extensions : Site Kit ou MonsterInsights pour Google Analytics, le reCAPTCHA d’un formulaire de contact, une vidéo YouTube dans un constructeur de pages. Les optimiseurs comme WP Rocket ou LiteSpeed Cache retardent certains scripts jusqu’au premier geste du visiteur, ce qui ne vaut pas accord. Le test montre ce qui part avant le choix.
Oui, si elle se charge avec la page. La CNIL demande qu’un contenu intégré ne dépose aucun traceur soumis au consentement avant l’accord du visiteur ; le clic sur la vidéo peut servir à demander cet accord. Le mode de confidentialité avancé de YouTube (youtube-nocookie.com) empêche, d’après Google, que les vidéos vues personnalisent YouTube et les publicités, mais Google ne dit pas que rien n’est stocké : le test le classe « à vérifier ».
La règle, c’est que refuser soit aussi simple qu’accepter. Pour y arriver, la CNIL recommande un bouton « Tout refuser » au même niveau et avec le même aspect que « Tout accepter ». Continuer à naviguer ou faire défiler la page ne vaut jamais accord. Le 31 décembre 2021, la CNIL a sanctionné deux grandes plateformes (150 et 60 millions d’euros) pour leurs modalités de refus des cookies.
Il lit une fois le HTML de la page d’accueil, comme un robot, sans exécuter le JavaScript. Il reconnaît les traceurs les plus courants (Google Analytics, Google Tag Manager, Google Ads, pixel Meta, Hotjar, Microsoft Clarity, LinkedIn, TikTok, Pinterest, Matomo, YouTube, Google Maps, reCAPTCHA), les outils de consentement les plus répandus, et cherche trois liens : mentions légales, confidentialité, gestion des cookies. Il ne voit pas ce que Google Tag Manager ou un script charge après coup, ni les autres pages du site, ni le contenu de vos pages légales. Il ne remplace pas un audit ni un avis juridique.
Oui, pour des statistiques seulement : l’adresse du site testé, le verdict, les traceurs reconnus et l’outil de consentement trouvé sont gardés douze mois, pour mesurer par exemple la part des sites qui chargent Google Analytics sans accord. Ils ne servent jamais à démarcher et ne sont jamais publiés site par site. L’adresse n’est pas envoyée à PostHog, l’outil de mesure de ce site. Votre e-mail n’est demandé que si vous voulez recevoir le résultat ; il n’est gardé que si vous acceptez d’être recontacté.
Envoyez-moi l’adresse. Je vous réponds sous 24 h avec ce que je vois : les traceurs à bloquer, l’outil de consentement à installer ou à régler, les pages légales à compléter, et un prix ferme si vous voulez que je m’en occupe.