Qu’est-ce qu’un audit de bannière cookies ? (Checklist 2026)
Un audit de bannière vérifie design, réglages par défaut, dark patterns et tout ce qui se charge avant le moindre geste de consentement. Les parcours Accepter et Refuser, eux, se testent à la main. La checklist 2026.
La bannière cookies est la surface de conformité la plus auditée. Premier élément qu’un régulateur voit ; le plus simple à capturer pour un plaignant ; source de la majorité des amendes RGPD publiques.
Un audit de bannière cookies indique si la vôtre passerait un contrôle. Voici la checklist 2026.
Ce qu’un auditeur vérifie
1. Première impression
- La bannière apparaît avant tout script non essentiel.
- Elle est visible sans scroll, y compris en mobile étroit. À vérifier à la main sur une vraie largeur de téléphone : les scanners automatisés, le nôtre compris, rendent la page dans un seul viewport desktop et ne verront jamais une bannière qui ne casse qu’à 375px.
- Elle ne se ferme pas automatiquement.
2. Choix sur la première couche
- Accepter et Refuser au même niveau, avec poids visuel comparable.
- Troisième option « Gérer les préférences ».
- Aucune case pré-cochée.
3. Couche granulaire
- Au minimum : strictement nécessaires, fonctionnels, statistiques, marketing.
- Description en langage clair par catégorie.
- Pas d’« intérêt légitime » pour la publicité.
- Bouton « Enregistrer » qui respecte les choix partiels.
4. Retrait
- Lien « Cookies » persistant en pied de page qui ouvre la même bannière.
- Retrait aussi simple que le consentement, un clic.
5. Vérification comportementale (à la main)
Cette étape, aucun scanner ne la fait à votre place, et la raison mérite d’être comprise. Tester ce qui se passe après Accepter ou après Refuser suppose de cliquer sur Accepter ou Refuser. Or un clic est un geste de consentement. Un crawler qui appuie sur le bouton détruit précisément la mesure qui compte d’abord : ce que votre site charge pour un visiteur qui n’a encore rien choisi. Veracly assume ce choix, nous prenons la mesure avant consentement et vous laissons les parcours d’après. En navigation privée, rechargez après chaque chemin, Accepter, Refuser, partiel granulaire, et vérifiez que les scripts respectent la décision. Erreur fréquente : conteneur GTM qui charge sans condition.
Dark patterns nommés par les régulateurs
- Pas de Refuser au premier niveau.
- Cases pré-cochées.
- Refuser grisé, Accepter en vert.
- Langage trompeur.
- Intérêt légitime pour la publicité.
- Cookie wall sans alternative.
- Re-prompt après refus.
Veracly visite votre site en visiteur frais et enregistre les appels réseau tiers, les cookies et les clés de stockage qui apparaissent avant tout geste de consentement. Les requêtes vers votre propre nom d’hôte ne sont pas enregistrées, et le stockage est lu en noms de clés et de bases, jamais en valeurs. Veracly inspecte ensuite le balisage de la bannière, parité du bouton Refuser, refus caché derrière un sous-menu ou poussé hors du viewport, cases pré-cochées. Les constats de bannière portent une paire de références, délibération CNIL 2020-091 et rapport de la Cookie Banner Taskforce de l’EDPB. Si les boutons de la bannière ne peuvent pas être énumérés, le verdict de parité est retenu plutôt que deviné. Lancer un scan.
Questions fréquentes
Une bannière cookies est-elle obligatoire ?
Oui dès lors que des cookies ou trackers non essentiels sont utilisés et que des visiteurs UE/UK accèdent au site. Base : article 5(3) ePrivacy et article 82 de la loi Informatique et Libertés en France, plus article 7 RGPD.
Qu’est-ce qui rend une bannière non conforme ?
Refuser caché derrière un lien réglages, cases pré-cochées, tracking avant interaction, pas de toggles granulaires, « la poursuite vaut consentement », retrait difficile.
Faut-il Accepter ET Refuser au même niveau ?
En France, oui : la délibération CNIL 2020-091 exige que refuser soit possible au premier niveau en un clic dès lors que consentir l’est. La Cookie Banner Taskforce de l’EDPB indique qu’une large majorité, et non la totalité, des autorités nationales attend une option de refus sur toute couche portant un bouton de consentement. L’Italie est une exception partielle à connaître : le Garante (provvedimento 231/2021) accepte la croix de fermeture comme refus valable au premier niveau. Le design qui satisfait tout le monde : boutons équilibrés sur la première couche, plus un lien vers les réglages granulaires.
Et la couleur du bouton Refuser ?
Il n’existe pas de règle de couleur à l’échelle de l’UE. La Cookie Banner Taskforce de l’EDPB a expressément refusé d’imposer un standard général de couleur ou de contraste ; elle ne condamne que le contraste rendant le texte illisible. L’Italie est l’exception stricte. Le design sûr partout : deux éléments qui se lisent tous deux comme des boutons, de taille et de poids comparables, qui se distinguent par la couleur et non par la visibilité. Griser Refuser ou le styliser en texte courant est le pattern qui déclenche les plaintes.
Voyez où en est votre site.
Lancez un scan Veracly gratuit et obtenez un rapport multi-juridictions, EAA, RGPD, ADA, UK Equality Act, AODA, avec des correctifs prêts à coller pour les développeurs.
Lancer un scan gratuit