RGPD et WordPress : bandeau cookies, Consent Mode et Google Analytics

Le bandeau était là, et Google Analytics aussi

J’ai vu ce cas sur beaucoup de sites. Un bandeau de cookies bien visible, joliment mis en page, et en dessous Google Analytics qui démarre dès la première seconde, avant le moindre clic. Le bandeau devient une formalité, et la collecte est illégale dès la première page vue. C’est ce que je voulais éviter sur pierreturpin.org.

Deux textes, trois règles

Deux textes s’appliquent à un site européen. Le RGPD encadre ce qu’on fait des données personnelles. La directive ePrivacy encadre ce qu’on dépose sur l’appareil du visiteur, et c’est elle qui impose le bandeau : rien de non essentiel ne peut être posé avant que la personne ait dit oui.

Au Luxembourg, l’autorité de contrôle est la CNPD. En France, c’est la CNIL, dont les lignes directrices sur les cookies servent de référence pratique à beaucoup de sites francophones. J’en retiens trois règles. Refuser doit être aussi simple qu’accepter, donc pas de gros bouton « Tout accepter » avec un « Refuser » caché dans un sous-menu. Le consentement a une durée de vie, treize mois au maximum et six mois recommandés. Et rien de non essentiel ne se charge avant le choix.

Depuis mars 2024, Google ajoute sa propre exigence. Tout annonceur qui utilise ses services dans l’Espace économique européen doit envoyer les signaux du Consent Mode v2, une sorte de feu tricolore que le site transmet aux outils Google pour dire ce que le visiteur a accepté. Même sans campagne Google Ads, on a intérêt à s’y conformer, pour que Google Analytics 4 respecte le choix du visiteur proprement.

Complianz : ce que j’ai réglé

Sur pierreturpin.org, j’utilise Complianz en version gratuite. Je l’ai choisi parce que l’extension ne se contente pas d’afficher une bannière : elle retient les scripts connus tant que le visiteur n’a pas répondu. C’est la différence entre un bandeau décoratif et un bandeau qui protège.

L’installation passe par un assistant. Il scanne le site, repère les services utilisés et pose des questions simples. Ensuite, dans les réglages de Complianz, j’ai défini les catégories de cookies : fonctionnels, statistiques, marketing. Le visiteur peut tout accepter, tout refuser ou choisir catégorie par catégorie. J’ai pris le temps de vérifier, dans les réglages d’apparence du bandeau, que le bouton « Refuser » a la même taille et la même couleur que « Accepter ». C’est le premier point que regardent les autorités.

Complianz rédige aussi la page de politique de cookies à partir des réponses de l’assistant. Je l’ai relue et complétée, mais le squelette était là.

Site Kit : Google Analytics attend son tour

J’ai installé Google Analytics 4 avec Site Kit, l’extension officielle de Google. Une fois le compte connecté, Site Kit propose dans ses réglages un interrupteur « Mode Consentement ». Je l’ai activé. Les balises Google démarrent alors avec tous les signaux sur « refusé », comme un feu rouge, puis passent au vert selon la réponse donnée au bandeau. Tant que le visiteur n’a pas accepté les statistiques, GA4 ne dépose aucun cookie d’identification.

Le pont entre les deux extensions s’appelle la WP Consent API. C’est un petit standard WordPress, une langue commune, qui permet à un bandeau de dire « le visiteur a accepté les statistiques » et à une autre extension de l’entendre. Complianz émet le signal, Site Kit le reçoit et ajuste les balises. Dans Complianz, la page Intégrations liste les extensions et services reconnus ; j’y ai vérifié que Site Kit était bien détecté.

Le test qui prend trois minutes

Une configuration ne vaut rien sans test. J’ouvre une fenêtre de navigation privée, je charge le site, je ne clique sur rien, et je regarde dans les outils du navigateur la liste des cookies posés. Avant consentement, seuls les cookies fonctionnels doivent apparaître, dont celui de Complianz qui mémorise le choix. Aucun cookie Google. Après un clic sur « Accepter », les cookies de GA4 apparaissent. Après un clic sur « Refuser », toujours rien.

Je le refais après chaque ajout d’extension ou de service externe. C’est la seule façon de savoir si quelque chose s’est glissé dans le dos du bandeau.

Ce qui passe par-dessus le bandeau

Une vidéo YouTube ou une carte Google Maps intégrée dans une page va chercher ses ressources sur les serveurs de Google et peut déposer des cookies tiers dès l’affichage, sans que le bandeau soit consulté. Complianz sait remplacer ces intégrations par une vignette avec un bouton, qui ne charge la vidéo qu’après consentement. Cela s’active dans ses réglages, section Intégrations, en cochant les services à bloquer. Pour une carte de contact, une image fixe avec un lien vers l’itinéraire évite le problème entièrement.

Le reCAPTCHA de Google est un autre passager clandestin. Il se charge sur toutes les pages où le formulaire est présent, et il parle à Google avant même que le visiteur ait tapé une lettre. Sur ce site, mon formulaire Contact Form 7 utilise un pot de miel (honeypot) : un champ invisible pour les humains, que les robots remplissent bêtement. Zéro cookie tiers, et le spam reste sous contrôle. Pour un site vitrine, c’est largement suffisant.

Certaines extensions, enfin, ajoutent leurs propres scripts sans écouter personne : un bouton de partage social, un widget de chat, un pixel publicitaire. Avant d’installer une extension qui parle à un service externe, je regarde si elle annonce sa compatibilité avec la Consent API ou si Complianz sait la bloquer. Sinon, je cherche autre chose.

L’hébergement et les e-mails comptent aussi

Le RGPD ne s’arrête pas au navigateur. Ce qu’un visiteur écrit dans le formulaire de contact est stocké quelque part et transite par un serveur de messagerie. Ce site est hébergé chez Infomaniak, en Suisse, un pays que l’Union européenne reconnaît comme offrant un niveau de protection adéquat. Les e-mails du site partent par le serveur d’envoi du même hébergeur, ce qui évite de confier les messages de contact à un service tiers américain.

Un site irréprochable sur les cookies mais ouvert aux intrusions expose les mêmes données par une autre porte. J’ai détaillé les réglages de sécurité de base dans un article sur la sécurisation de WordPress.

La liste que je vérifie pour chaque site

• Le bandeau bloque les scripts non essentiels avant le choix, et le refus est aussi visible que l’accord.
• Google Analytics passe par le Consent Mode v2 et ne dépose rien avant l’accord sur les statistiques.
• Les vidéos YouTube, les cartes et les intégrations de réseaux sociaux sont remplacées par un espace réservé jusqu’au consentement.
• Les formulaires n’utilisent pas reCAPTCHA, ou alors seulement après consentement marketing.
• La politique de cookies et la politique de confidentialité sont à jour et accessibles depuis chaque page.
• L’hébergement et l’envoi d’e-mails restent en Europe ou dans un pays reconnu adéquat.

Sur un site client existant, le plus long est l’inventaire : les extensions accumulées, les vidéos oubliées dans de vieilles pages, le formulaire ajouté un jour avec reCAPTCHA « pour voir ». Le résultat n’est pas seulement juridique. Un site qui charge moins de scripts tiers est plus rapide, et un bandeau honnête inspire davantage confiance qu’un mur de texte conçu pour faire cliquer sur « Accepter ».

Tout part du premier test en navigation privée. Si des cookies Google apparaissent avant le moindre clic, le reste de la configuration n’a pas d’importance.