Outil heuristique gratuit
Votre bannière de cookies demande-t-elle vraiment le consentement ?
Collez une URL, ou le code HTML d'une page, et obtenez une note heuristique sur 100 portant sur ce que les régulateurs regardent en premier : la bannière, la plateforme de consentement, la facilité de refuser par rapport à accepter, et les traceurs qui se déclenchent avant tout consentement.
Pourquoi ça compte
Pourquoi les bannières de cookies comptent
La Loi 25 du Québec exige un consentement manifeste, libre et éclairé, donné à des fins spécifiques – en pratique, un consentement opt-in préalable avant le dépôt de témoins non essentiels ou le déclenchement de traceurs. Les cases pré-cochées et le « en poursuivant votre navigation, vous acceptez » n'atteignent pas ce seuil. Le RGPD et les règles ePrivacy imposent la même attente d'opt-in en Europe, et les régulateurs des deux côtés de l'Atlantique sont passés des lignes directrices aux sanctions.
La plupart des bannières échouent sur les mêmes points : aucun vrai moyen de refuser, des finalités qu'on ne peut pas activer une par une, des outils d'analyse qui se déclenchent au chargement avant le moindre clic. Cet audit vérifie exactement ces points – en quelques secondes, à partir du HTML public de la page.
Méthode
Comment la note est calculée
Cinq catégories, 100 points au total. Chaque constat est accompagné d'une explication en langage clair sur ce qui a été détecté et ce qui manque. Lapage de méthodologie(en anglais) documente chaque signal, chaque pondération et chaque limite.
25 pts
01Présence d'une bannière
Y a-t-il une bannière de consentement dans le code de la page ?
Sans bannière, généralement pas de moment d'opt-in – la première question de la Loi 25.
20 pts
02Plateforme de consentement (CMP)
Une CMP reconnue (OneTrust, Cookiebot, Didomi…) ou un signal TCF de l'IAB est-il utilisé ?
Une CMP maintenue est le moyen le plus fiable de tenir des registres et des interrupteurs par finalité cohérents.
20 pts
03Qualité du modèle de consentement
Refus en un clic, contrôles granulaires par finalité, aucune case pré-cochée, pas de consentement par navigation.
C'est là que la plupart des bannières échouent au seuil de l'opt-in – refuser doit être aussi simple qu'accepter.
25 pts
04Chargement avant consentement
Les scripts d'analyse et de publicité se déclenchent-ils avant le consentement, ou sont-ils bloqués ?
Des traceurs qui se déclenchent avant le consentement : le cas d'école d'un manquement à la Loi 25 et au RGPD.
10 pts
05Liens vers les politiques
Peut-on accéder à une politique de témoins (ou de confidentialité) depuis la bannière ?
Un consentement éclairé a besoin d'un endroit où lire les détails.
Notes
A à F
A (90+) Excellent · B (80+) Bien · C (70+) Passable · D (60+) Faible · F (<60) Insuffisant. Une note basse est un point de départ pour des questions, pas un verdict.
Nouveau : Déclaré vs observé
Une note de bannière ne dit pas si la liste de votre plateforme de consentement correspond aux cookies qu'un navigateur enregistre vraiment. Les plateformes classent selon le domaine qui dépose le cookie, donc un cookie Google Analytics déposé sur votre propre domaine est étiqueté première partie, même si Google reçoit les données. Les fournisseurs renomment leurs cookies, les balises en chargent d'autres, et la déclaration dérive.
Déclaré vs observé comble cet écart sur votre propre appareil. Importez un fichier HAR ou un export de cookies, collez la déclaration de votre plateforme, et obtenez trois listes : observés mais non déclarés, déclarés et observés, et déclarés mais non observés. Chaque cookie est classé deux fois, par domaine de dépôt et par organisation destinataire, à partir d'une base de connaissances intégrée. Trois vérifications guidées couvrent ce qu'un fichier ne montre pas : si des traceurs se déclenchent encore après un refus, si la plateforme efface et recrée le cookie _ga, et si Google Analytics reçoit une requête g/collect avant tout consentement. Le résultat s'exporte comme un registre de départ.
Rien n'est téléversé. L'import est lu dans votre navigateur, les valeurs brutes des cookies sont rejetées à la lecture, et la seule chose que vous pouvez enregistrer est un résumé de noms et de domaines sur votre propre appareil, effaçable en un clic.
Modes
Deux façons d'auditer
Auditer une URL
Notre serveur récupère le HTML public de la page, avec protection contre le SSRF (IP privées et métadonnées infonuagiques bloquées), délai de 8 secondes, limite de 2 Mo, documents texte uniquement. Le HTML est analysé et n'est pas conservé.
Coller le HTML
Affichez le code source, copiez, collez. Les mêmes heuristiques s'exécutent à 100 % dans votre navigateur : rien ne quitte votre appareil, et ça fonctionne même si le serveur est indisponible.
Ressources
Pour aller plus loin
Méthodologie (en anglais)
Chaque critère, chaque pondération, chaque signal de détection et chaque limite, publiés pour que la note puisse être vérifiée, contestée et reproduite.
LireTrousse d'intégration (en anglais)
Badges de note et fiches de rapport à copier-coller pour votre propre site ou blogue, avec lien vers le rapport complet.
Lire