Cookies et consentement (CMP)

CMP (Consent Management Platform) est une bannière de consentement aux cookies accompagnée d'un mécanisme qui bloque réellement les scripts tiers avant que le visiteur ait cliqué sur « Accepter ». Un simple « bandeau en bas de l'écran » ne suffit pas pour le RGPD : avant le consentement, les outils d'analyse et les pixels publicitaires ne doivent pas s'exécuter du tout.

Notre CMP fonctionne à la fois sur notre Vitrine et sur votre propre site — avec le même code.

Où la configurer :

Marketing → « Mon site » → carte « Cookies et consentement » (pour un site externe) ;
ou Site → « Configurer le site » → section « Cookies et consentement (CMP) » (pour notre Vitrine).

Comment l'activer#

Insérez sur le site le code d'installation depuis la section « Mon site » — la bannière cookies se charge en premier parmi tous les Widgets, afin que les autres scripts voient la décision déjà prise.
Activez l'interrupteur du Widget.
Lancez le Scanner — il établira la liste des cookies de votre site.
Publiez la page « Politique cookies » ou indiquez un lien vers la vôtre.

La bannière détecte elle-même la langue de la page et s'affiche dans celle-ci — les traductions en 45 langues sont déjà prêtes.

Pour WordPress, il existe une extension dédiée Cenaly Consent : vous l'installez dans votre admin WP, cliquez sur « Connecter », choisissez l'Établissement dans la fenêtre qui s'ouvre — le tag et les réglages arrivent d'eux-mêmes, aucune insertion manuelle de code n'est nécessaire.

Combien cela coûte#

La bannière elle-même et le blocage des trackers sont gratuits sur n'importe quel Plan — aussi bien sur notre Vitrine que sur votre propre site. La conformité légale ne se vend pas à la découpe : 45 langues, le blocage automatique, le Consent Mode v2, le centre de préférences et la page « Politique cookies » hébergée sont inclus dans la plateforme.

Est vendu séparément le niveau « Cookies Pro » — carte « Cookies et consentement » dans l'App Store, 9 $ par mois ou 90 $ par an par Établissement. Il ne s'agit pas d'un accès à la section, mais de l'ampleur du service : un scan du site plus approfondi et plus fréquent (y compris les sections fermées), un long journal des Consentements avec export de preuve, vos propres règles par pays, une personnalisation complète du design et des textes de remplacement par langue, la suppression du badge « Propulsé par Cenaly ». La composition actuelle du niveau et son prix figurent sur la carte elle-même dans la boutique.

Le balisage IA des cookies non reconnus n'est pas inclus dans le niveau et n'est pas vendu séparément : il est disponible à n'importe quel niveau, et chaque appel est facturé sur le solde IA du Compte. Sur les marques dans le Cloud Yandex (cenaly.ru), il n'y a pas de Scanner automatique du site (voir ci-dessous), donc cette partie du niveau n'y fonctionne pas ; le journal des Consentements et l'export y sont disponibles.

Catégories et ce qui est bloqué avant le consentement#

Quatre catégories standard :

Catégorie	Ce qu'elle contient	Par défaut
Nécessaires	Panier, session, sécurité	Toujours activées, impossible à désactiver
Préférences	Langue, devise, Établissement précédemment choisi	Au choix du visiteur
Statistiques	Google Analytics, Яндекс.Метрика, Matomo, Clarity	Au choix du visiteur
Marketing	Facebook Pixel, VK, TikTok, pixels publicitaires et remarketing	Au choix du visiteur

Tant qu'il n'y a pas de consentement, les scripts et iframes de ces catégories ne se chargent pas : leurs adresses sont vérifiées par rapport à un registre de trackers intégré, et vous pouvez ajouter vos propres motifs. Une iframe bloquée (par exemple, une vidéo YouTube) affiche un espace réservé avec un lien « autoriser ».

Des signaux de consentement sont en outre transmis aux systèmes publicitaires : Google Consent Mode v2 (avant le consentement — mode sans cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Les signaux du navigateur GPC et Do Not Track sont pris en compte.

La durée de vie du consentement est configurable (365 jours par défaut, 30–730 acceptables), après quoi la bannière redemandera. Le refus du visiteur est mémorisé — nous ne redemanderons pas à chaque visite. Vous pouvez activer un consentement commun pour tous les sous-domaines et indiquer un lien vers la liste des sites qu'il couvre.

Modes par pays#

Le mode correspond au comportement de la bannière avant que le visiteur n'ait cliqué sur quoi que ce soit. Il est choisi ainsi :

votre règle pour le pays du visiteur (si elle est définie),
votre mode par défaut,
la carte des pays intégrée,
l'heuristique basée sur le fuseau horaire du navigateur.

Le pays du visiteur est déterminé par IP. ⚠️ Il s'agit d'un choix de comportement que vous avez configuré, et non d'une conclusion sur la loi qui vous est applicable.

Cinq modes#

Mode	Ce qui se passe avant la décision du visiteur	Ce que voit le visiteur
opt-in	tout sauf le nécessaire est bloqué	bannière « Accepter / Refuser / Configurer »
opt-out	autorisé jusqu'au refus explicite	bannière + « Do Not Sell or Share » ; le signal du navigateur GPC ou Do Not Track est considéré comme un refus automatique du marketing
souple	autorisé, rien n'est bloqué	bannière informative
notification	autorisé	une ligne de message, nous ne demandons pas le consentement
masqué	autorisé	aucune bannière ; les paramètres s'ouvrent via le lien `#cenaly-consent` sur votre site

Indépendamment des modes, il existe une option « notification au lieu de demande de consentement » : vous l'autorisez, et si le rapport du scanner a prouvé qu'il n'y a rien sur le site en dehors de la catégorie « nécessaire », la première couche informe au lieu de demander. Elle ne lève pas le blocage : un nouveau traceur apparaîtra — il sera quand même bloqué jusqu'à l'autorisation du visiteur.

Carte des pays intégrée#

Elle s'applique lorsque vous n'avez défini ni règle pour un pays, ni votre mode par défaut :

opt-in — 32 pays : les 27 pays de l'Union européenne plus l'Islande, le Liechtenstein et la Norvège (ensemble — l'EEE), le Royaume-Uni et la Suisse ;
opt-out — États-Unis ;
tous les autres pays — pas de règle : votre mode par défaut s'appliquera, et s'il n'est pas non plus défini — l'heuristique basée sur le fuseau horaire du navigateur (Europe/* → opt-in, America/* → opt-out, dans les autres cas opt-in). Le défaut sûr est opt-in.

⚠️ La carte est notre paramètre par défaut, et non une classification juridique des pays. Les pays où demander le consentement est courant, mais qui ne figurent pas dans la carte (Turquie, Russie, Brésil et des dizaines d'autres), relèveront de votre défaut ou de l'heuristique. Vous avez besoin d'un mode précis dans un pays précis — définissez-le par une règle, plutôt que de vous fier à la carte.

⚠️ La détermination du pays par IP n'est pas disponible partout. Sur les marques dans le cloud Yandex (cenaly.ru), il n'y a pas d'endpoint de géolocalisation, et le widget bascule immédiatement sur l'heuristique par fuseau horaire — elle est plus grossière : un visiteur de l'UE en voyage aux États-Unis obtiendra America/* → opt-out. Si c'est important pour vous, définissez le mode par défaut explicitement. Le pays de sept fuseaux horaires est tout de même reconnu par le widget (Moscou → RU, Istanbul → TR, Tbilissi → GE, Kiev → UA, Londres → GB, Erevan → AM, Tirana → AL) : votre règle pour un tel pays s'appliquera même avec un mode par défaut défini.

Où cela se configure : la fiche « Cookies et consentement » → l'engrenage → « Mode de consentement par défaut » et « Règles par pays » (pays au format ISO-2 → mode).

Ce que le mode ne fait PAS#

ne choisit pas la juridiction à votre place — c'est vous (et votre juriste) qui décidez quel mode activer dans chaque pays ;
ne modifie pas les textes des documents : l'ensemble des pages juridiques et leurs formulations est un outil distinct avec ses propres pays, voir Documents juridiques ;
ne couvre pas les applications mobiles — c'est un script pour les pages web ;
ne fournit pas de chaîne TCF de IAB Europe : si un partenaire publicitaire exige précisément un CMP certifié du framework TCF, notre bannière ne lui conviendra pas. Nous transmettons les signaux de consentement directement — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

D'où viennent les attentes habituelles du marché#

⚖️ Ce sont des repères documentaires, et non un conseil juridique ni une affirmation qu'une norme donnée vous est applicable. Nous citons les sources primaires sur lesquelles nous nous appuyons nous-mêmes ; vérifiez leur actualité et leur applicabilité à votre activité avec un juriste.

Où	Norme	Ce qu'elle dit sur les cookies	Source primaire
UE / EEE	Directive 2002/58/EC (ePrivacy), art. 5(3), plus les implémentations nationales	l'accès à l'appareil de l'utilisateur pour des cookies non strictement nécessaires — uniquement avec consentement préalable ; les strictement nécessaires — sans consentement	eur-lex.europa.eu/eli/dir/2002/58
France	recommandations CNIL sur les cookies et traceurs	les boutons « Accepter » et « Refuser » doivent être équivalents en visibilité ; la poursuite de la navigation ne vaut pas consentement	cnil.fr
Royaume-Uni	PECR 2003 (modifié par le Data (Use and Access) Act 2025)	les cookies non essentiels et technologies similaires — uniquement avec consentement explicite et actif ; les cases précochées ne conviennent pas	legislation.gov.uk/uksi/2003/2426
États-Unis, Californie	CCPA/CPRA et règlements du CPPA	modèle de refus : opt-out de la « vente/du partage » et reconnaissance obligatoire du signal Global Privacy Control. S'applique au-delà de seuils (notamment de chiffre d'affaires) — une petite entreprise typique peut ne pas y être soumise	cppa.ca.gov
Turquie	guide KVKK sur les cookies (2022) et décision du Kurulu n° 2022/1358	les cookies non essentiels — consentement explicite ; la poursuite de la consultation du site ne vaut pas consentement	kvkk.gov.tr
Russie	pas de loi spécifique sur les cookies — les normes générales de la 152-ФЗ, art. 9	le consentement au traitement des données personnelles — explicite, distinct, révocable	consultant.ru, 152-ФЗ
Géorgie	pas de loi spécifique sur les cookies — la loi sur la protection des données personnelles	la base du traitement — le consentement ; les cookies techniques — l'information	matsne.gov.ge

Il y a plus de pays dans le monde que de lignes dans ce tableau : la liste est volontairement incomplète — nous ne citons que ce que nous utilisons nous-mêmes lors de la configuration du produit.

Apparence et textes#

Disposition : bandeau, carte, fenêtre modale ; position — l'une des six variantes de bord/coin.
Écran de réglages : déploiement dans une carte ou panneau latéral coulissant.
Palette par élément séparément pour le thème clair et le thème sombre, votre propre logo, votre propre CSS (jusqu'à 10 Ko).
Interrupteurs des boutons : croix, « Tout refuser », « Personnaliser ». Le bouton « Accepter » ne peut pas être masqué, et en mode opt-in l'interface d'administration vous avertira des risques si vous retirez « Refuser ».
Les catégories peuvent être affichées sous forme de cases à cocher directement sur la première couche du bandeau.
Tout texte du bandeau se modifie par langue par-dessus nos traductions.
L'aperçu dans le compte bascule entre desktop, tablette et mobile.
Le bouton flottant « Réglages des cookies » (à gauche/à droite/désactivé) et la liste des pages sur lesquelles le bandeau ne s'affiche pas se configurent séparément.

Scanner de cookies et déclaration#

⚠️ Le scanner n'est pas disponible sur les marques dans le cloud Yandex (cenaly.ru). Là, la liste des cookies pour la déclaration se tient manuellement dans le même tableau ci-dessous — la page de politique reste active — et il n'y a pas de notifications à la place de la demande de consentement ni de balisage IA, qui s'appuient sur le rapport de scan.

Le scanner ouvre votre site dans un navigateur et collecte les vrais cookies et les services tiers. Chaque page est parcourue deux fois — sans consentement (on voit ainsi les violations du prior consent) et avec consentement complet (la déclaration complète est ainsi collectée) :

parcours via robots.txt, sitemap.xml et les liens des pages de départ, avec une limite sur le nombre de pages ;
planification : mensuelle ou hebdomadaire, la date du prochain scan est visible dans le compte ;
historique des scans — combien de pages parcourues, combien de cookies trouvés et combien d'entre eux sont nouveaux par rapport à la fois précédente ;
scan derrière un login — pour les pages de l'espace personnel ;
classificateur IA : les cookies inconnus reçoivent une catégorie proposée avec une explication, que vous confirmez ou modifiez. L'appel est payant — il est débité du solde IA du compte à n'importe quel niveau.

La déclaration de cookies — un tableau de tous les cookies par catégories : nom, fournisseur, durée de conservation, finalité. Vous pouvez ajouter vos propres enregistrements, modifier les descriptions et les traductions. C'est à partir de ce même tableau que se compose la liste pour le bandeau et pour la page de politique.

Ne confondez pas le scanner avec la page publique « Vérification du site » : elle est accessible sans connexion au compte, mais ne lit que le HTML source d'une seule page — elle montrera les trackers dans le code, la présence d'un bandeau de consentement et notre tag, mais ne verra ni les vrais cookies ni ce que les scripts chargent dans le navigateur. C'est une vitrine-aimant pour « voir ce qu'il y a sur mon site » ; c'est bien le scanner ci-dessus qui collecte la déclaration complète.

Page « Politique cookies »#

Le lien dans le bandeau mène soit à votre page existante, soit à un document que nous générerons et publierons nous-mêmes : il est assemblé à partir des résultats du scan, publié en 45 langues et mis à jour avec la déclaration — le tableau des cookies qu'il contient est toujours actif.

Si vous avez aussi besoin des autres pages juridiques (politique de confidentialité, conditions, retours, livraison) — voir Documents juridiques.

Journal des consentements et rapports#

ℹ️ Sur les marques dans le cloud Yandex (cenaly.ru), le journal est collecté autrement, mais tout aussi complètement. Sur l'infrastructure principale de la solution, les données sont transférées dans le journal la nuit, tandis que sur cenaly.ru — au moment où vous ouvrez le journal, les tendances ou l'export : la première ouverture de la journée peut prendre quelques secondes de plus, mais les décisions récentes sont visibles immédiatement. Le format, la déduplication et les durées de conservation sont communs, c'est pourquoi l'export-preuve est identique dans les deux clouds.

Le journal est une preuve de consentement (proof of consent) en cas de contrôle :

date, identifiant anonyme, catégories choisies, version de la politique, pays et langue ;
export CSV et d'un enregistrement individuel ;
tendances : accepté / refusé / partiellement par jours et par pays ;
compteur d'affichages du bandeau.

Le bouton « Tout redemander maintenant » incrémente la version de la politique — après des changements importants, le bandeau redemande à tout le monde.

Limitations#

Le « prior consent » strict exige un tag séparé. Via le chargeur unique, le bandeau cookies se charge en premier parmi nos widgets, mais il ne devancera pas une analytique tierce fixée dans le <head> au-dessus de notre code. Si vous voulez qu'aucun script tiers ne démarre avant la réponse du visiteur, placez le tag du bandeau en première ligne dans le <head>, avant tous les autres.
Une configuration cassée ou inaccessible lève le blocage au lieu de l'activer. Widget désactivé, page en exclusion, configuration non lue — les trackers du site fonctionnent normalement. On ne peut pas garder le site d'un tiers bloqué à cause de notre panne, alors vérifiez que le bandeau s'affiche bien.
Seul ce qui est connu est bloqué. Les scripts et iframe sont comparés à un registre de trackers intégré ; un compteur non standard ou fait maison doit être ajouté avec votre propre motif — sinon il se chargera avant le consentement.
Le portail d'âge 18+ est une section et des textes séparés. Il est désactivé par défaut, et ses libellés existent en anglais, russe, géorgien et turc avec repli sur l'anglais, alors que le bandeau lui-même parle 45 langues : définissez la formulation pour votre marché avec vos propres textes.
La couverture des régions est un réglage, pas une certification. La carte intégrée connaît 32 pays en opt-in et les États-Unis en opt-out, le reste est défini par vos règles ; le bandeau ne peut pas et ne cherche pas à vérifier la conformité à votre juridiction — détails et sources primaires dans la section « Modes par pays ».
Nous n'avons pas de framework TCF (IAB Europe). Si une régie publicitaire exige un CMP certifié avec une chaîne TCF, notre bandeau ne lui conviendra pas : nous transmettons le consentement directement — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
C'est un bandeau web. Il n'est pas destiné aux applications mobiles (leurs propres SDK, demandes de suivi système).
Le bandeau ne remplace pas la politique. Le lien vers la page « Politique cookies » (la nôtre publiée ou la vôtre) doit être renseigné — sans lui, le visiteur n'a nulle part où voir ce à quoi il consent.

Résolution des problèmes#

La bannière n'apparaît pas sur le site. Le tag n'est pas inséré ou n'est pas présent sur toutes les pages du modèle (cliquez sur « Vérifier l'installation ») ; le data-domain du tag appartient à quelqu'un d'autre ; l'interrupteur du widget est désactivé ; les modifications ne sont pas encore arrivées — les fichiers des widgets sont distribués via le CDN avec un cache de 5 minutes. Le tag inséré directement dans le navigateur par Google Tag Manager ne sera pas vu par la vérification de l'installation — ce n'est pas une erreur, regardez le site de vos propres yeux ; la liste complète de ces cas figure dans « Ce que la vérification de l'installation ne voit pas ».

La bannière est présente, mais les trackers se chargent avant le consentement. Il est probable qu'un script tiers se trouve dans le <head> au-dessus de notre tag — déplacez notre tag en premier. Le deuxième cas fréquent est l'absence du compteur dans le registre intégré : ajoutez son adresse avec votre propre motif.

La bannière s'affiche encore et encore. Vérifiez la durée de vie du consentement et si la politique n'a pas été republiée : une republication incrémente la version, et la bannière redemande — c'est le comportement prévu.

Outils de diagnostic :

Vérifier l'installation — nous lisons le HTML source de votre page et indiquons si le code a été trouvé et s'il se trouve bien dans le <head>.
Envoyer le code au développeur — ouvre un e-mail prêt à l'envoi avec le snippet dans votre logiciel de messagerie.
Guide Google Tag Manager — comment placer la bannière via un tag GTM.
Mode débogage : ouvrez le site avec ?cenaly_consent_debug=1 — les événements Consent Mode (default/update) et le mode de région déterminé s'afficheront dans la console, vous verrez ce que Google et les autres systèmes reçoivent exactement.

Sections associées#

Mon site — code d'installation et autres widgets
Documents juridiques — politique de confidentialité, conditions, retours
Analytique — ce qui est visible après le consentement

Questions fréquentes#

La bannière est-elle obligatoire ? C'est une question pour votre juriste, pas pour nous : l'obligation dépend de l'endroit où vous exercez, de la provenance de vos visiteurs et des scripts présents sur le site. Du point de vue du produit, la réponse est la suivante : notre bannière gère cinq modes, par défaut dans 32 pays de l'EEE, au Royaume-Uni et en Suisse, l'opt-in strict est activé, aux États-Unis — l'opt-out avec « Do Not Sell », dans les autres pays, c'est vous qui définissez le comportement. Les repères et les sources primaires sont rassemblés plus haut, dans la section « Modes par pays ».

Le CMP va-t-il bloquer ma propre analytique ? Avant le consentement — oui, c'est son rôle. L'analytique de la plateforme continue toutefois à compter les visites en mode cookieless Consent Mode v2.

Que deviennent les anciens consentements après une modification de la politique ? Rien, tant que vous ne cliquez pas sur « Redemander à tous maintenant » ou que vous ne republiez pas la politique — dans ce cas, la version est incrémentée et la bannière redemande.

Cela fonctionne-t-il si le site n'est pas sur notre plateforme ? Oui — c'est le scénario principal. Un seul tag sur n'importe quel site, et pour WordPress — l'extension Cenaly Consent, qui installe le tag à votre place.