Numérique · Internet et sécurité
Cookies web
Un cookie est un petit fichier qu’un site enregistre dans votre navigateur pour se souvenir de vous : connexion, panier, préférences ou suivi publicitaire.
Mis à jour le 4 min de lecture
Le Web est par nature « sans mémoire » : chaque page demandée est une requête indépendante. Les cookies (en français, témoins de connexion), inventés en 1994 par Lou Montulli, ingénieur chez Netscape, permettent à un site de reconnaître votre navigateur d’une page à l’autre et d’une visite à l’autre. Indispensables à certaines fonctions, ils servent aussi au pistage publicitaire, d’où leur encadrement par le droit européen et les fameux bandeaux de consentement.
Comment fonctionne un cookie
- Vous visitez un site ; le serveur envoie, avec la page, une instruction de dépôt de cookie (nom, valeur, durée, domaine).
- Le navigateur l’enregistre.
- À chaque nouvelle requête vers ce domaine, le navigateur renvoie automatiquement le cookie.
- Le site vous reconnaît : vous restez connecté, votre panier est conservé.
Un cookie ne contient pas de programme : il ne peut pas infecter un ordinateur. Le risque concerne la vie privée (suivi) et, pour les cookies de session, le vol d’identité en ligne s’il est intercepté.
Les types de cookies
Selon leur rôle
| Type | Rôle | Consentement requis ? |
|---|---|---|
| Strictement nécessaires | Connexion, panier, sécurité, mémorisation du choix de consentement, équilibrage de charge | Non |
| Préférences | Langue, affichage, région | Selon les cas (souvent non s’ils sont demandés par l’utilisateur) |
| Mesure d’audience | Statistiques de fréquentation | Oui, sauf mesure strictement limitée et anonyme répondant aux conditions de la CNIL |
| Publicitaires et de pistage | Suivi de la navigation, publicité ciblée, reciblage | Oui |
| Réseaux sociaux | Boutons de partage, contenus intégrés | Oui |
Selon leur origine
- Cookies internes (first party) : déposés par le site visité lui-même.
- Cookies tiers (third party) : déposés par un autre domaine présent sur la page (régie publicitaire, réseau social, outil de statistiques). Ce sont eux qui permettent de suivre un internaute d’un site à l’autre et de constituer un profil.
Selon leur durée
- Cookies de session : effacés à la fermeture du navigateur.
- Cookies persistants : conservés jusqu’à une date d’expiration.
Les règles en France et en Europe
Les cookies relèvent de la directive européenne ePrivacy, transposée en France à l’article 82 de la loi Informatique et Libertés, et du RGPD pour la définition du consentement. Les lignes directrices et la recommandation de la CNIL de 2020 (applicables depuis le 31 mars 2021) précisent les exigences :
- Consentement préalable : aucun cookie soumis à consentement avant que l’internaute ait accepté.
- Consentement libre et éclairé : information claire sur les finalités et la liste des partenaires.
- Refuser aussi simplement qu’accepter : un bouton « Tout refuser » aussi visible et accessible que « Tout accepter », au même niveau.
- Continuer à naviguer ne vaut pas consentement ; les cases précochées ne valent pas consentement.
- Retirer son consentement à tout moment, aussi facilement qu’on l’a donné.
- Conservation du choix : la CNIL recommande une durée de 6 mois pour conserver le choix de l’internaute, refus compris, afin de ne pas le solliciter à chaque visite.
- Durée de vie limitée des cookies : la CNIL recommande 13 mois au maximum pour les cookies de mesure d’audience.
La CNIL a infligé plusieurs amendes importantes à de grandes plateformes, notamment pour l’absence d’un refus aussi simple que l’acceptation.
Gérer et supprimer ses cookies
- Sur chaque site : cliquer sur « Tout refuser » ou « Personnaliser » dans le bandeau ; un lien en bas de page (« Gestion des cookies ») permet de revenir sur son choix.
- Dans le navigateur : les réglages de confidentialité permettent de bloquer les cookies tiers, de supprimer les cookies existants (pour un site ou pour tous) et de les effacer automatiquement à la fermeture.
- Navigation privée : les cookies sont supprimés à la fermeture de la fenêtre, mais l’adresse IP et les comptes connectés restent visibles (voir adresse IP).
Supprimer tous ses cookies déconnecte de tous les sites : il faudra se reconnecter (un gestionnaire de mots de passe facilite cette étape).
La fin des cookies tiers ?
Safari et Firefox bloquent par défaut une large part des cookies tiers depuis plusieurs années. Google, après avoir annoncé à plusieurs reprises leur suppression dans Chrome, y a finalement renoncé et a maintenu le choix laissé à l’utilisateur. Par ailleurs, le pistage se déplace vers d’autres techniques que les cookies : empreinte du navigateur (fingerprinting), identifiants de connexion, pixels de suivi dans les courriels. Ces techniques sont soumises aux mêmes règles de consentement que les cookies.
Questions fréquentes
Faut-il accepter les cookies ?
Non, sauf si vous le souhaitez. Les cookies strictement nécessaires sont déposés sans demande ; refuser les autres n’empêche pas d’utiliser le site, sauf dispositifs particuliers comme certains « cookie walls ».
Les cookies sont-ils dangereux ?
Ils ne contiennent pas de virus. Leur risque concerne la vie privée (profilage publicitaire) et, pour les cookies de connexion, la prise de contrôle d’une session s’ils sont volés, par exemple par un logiciel malveillant.
Pourquoi les sites demandent-ils tous mon accord ?
Parce que la loi impose un consentement préalable pour tout cookie qui n’est pas strictement nécessaire au service demandé, en particulier pour la publicité et la plupart des mesures d’audience.
Que se passe-t-il si je supprime mes cookies ?
Vous êtes déconnecté des sites, vos préférences et paniers non enregistrés sont perdus, et les bandeaux de consentement réapparaissent. Les données déjà collectées par les sites ne sont pas effacées pour autant.