Borlabs Cookie vs Real Cookie Banner: Audit Technique & Conformité CNIL

<script type="text/plain" data-borlabs-cookie-type="script/javascript" data-borlabs-cookie-group="statistics">
  // Votre code Google Analytics ici
</script>

Sources officielles : délibérations CNIL · SAN-2023-009 (Criteo, 40 M€) · SAN-2022-027 (TikTok, 5 M€) · DPC (LinkedIn, 310 M€)

Ces cas démontrent l'impératif d'une conformité technique irréprochable et d'une transparence absolue. Les CMP doivent non seulement bloquer les cookies, mais aussi enregistrer les preuves de consentement et offrir des mécanismes de retrait simples et accessibles.

Méthodologie d'Audit Technique Avancée

Un audit rigoureux est indispensable pour valider la conformité de votre CMP. Nous détaillons ici les étapes clés à suivre, en utilisant les outils de développement des navigateurs et Google Tag Manager.

Audit Via les Outils de Développement (DevTools)

Les DevTools (Chrome, Firefox, Edge) sont vos meilleurs alliés pour vérifier le comportement des cookies et des scripts.

1. Vider le Cache et les Cookies : Avant chaque test, assurez-vous de partir d'une page vierge. Dans DevTools > Application > Storage > Clear site data.
2. Surveillance du Réseau : Onglet Network. Rechargez la page. Filtrez par 'Doc' ou 'XHR' pour voir les requêtes initiales. Vérifiez l'absence de requêtes vers des domaines tiers (Google Analytics, Facebook, etc.) avant l'interaction avec la bannière.
3. Analyse des Cookies : Onglet Application > Cookies. Vérifiez qu'aucun cookie non essentiel n'est déposé avant le consentement. Seuls les cookies techniques (session, langue, CMP) sont autorisés.
4. Inspection du DOM : Onglet Elements. Recherchez les scripts tiers. Vérifiez que leurs attributs type sont bien modifiés (ex: type="text/plain") ou qu'ils sont encapsulés dans des balises de blocage spécifiques à la CMP.
5. Test du Consentement : Acceptez tous les cookies. Rechargez la page. Vérifiez que les scripts et cookies tiers sont maintenant chargés.
6. Test du Refus : Refusez tous les cookies. Rechargez la page. Vérifiez que les scripts et cookies tiers restent bloqués.
7. Test du Retrait : Trouvez le bouton de retrait du consentement. Retirez le consentement. Rechargez la page. Vérifiez que les cookies sont supprimés et les scripts bloqués à nouveau.

Intégration et Vérification avec Google Tag Manager (GTM)

GTM est un point d'intégration critique. Une mauvaise configuration peut contourner votre CMP.

Principe : Utiliser le dataLayer pour transmettre l'état du consentement à GTM et déclencher les balises conditionnellement.

Exemple de dataLayer poussé par la CMP (après consentement) :

window.dataLayer = window.dataLayer || [];
window.dataLayer.push({
  'event': 'consent_update',
  'consent_status': {
    'analytics': 'granted',
    'marketing': 'denied',
    'preferences': 'granted'
  }
});

Vérification GTM :

1. Mode Prévisualisation GTM : Activez le mode prévisualisation.
2. Test du Consentement : Sur votre site, refusez puis acceptez les cookies. Observez le dataLayer dans la console DevTools et dans l'interface de prévisualisation GTM. Vérifiez que l'événement consent_update est bien poussé avec les statuts corrects.
3. Déclencheurs Conditionnels : Assurez-vous que vos balises (ex: Google Analytics, Facebook Pixel) ont des déclencheurs basés sur ces événements consent_update et les variables consent_status correspondantes. Par exemple, une balise GA ne devrait se déclencher que si consent_status.analytics est 'granted'.
4. Consent Mode (Google) : Si vous utilisez le Consent Mode de Google, vérifiez que les commandes gtag('consent', 'update', {...}) sont correctement exécutées par votre CMP ou via GTM, en fonction de l'état du consentement.

Optimisation de la Conformité et Stratégies d'Implémentation

Au-delà de l'audit, une stratégie proactive est nécessaire pour maintenir un niveau de conformité élevé et anticiper les évolutions réglementaires.

Gestion des Preuves de Consentement (Consent Receipt)

La CNIL exige la capacité de prouver le consentement. Les CMP modernes génèrent des 'Consent Receipts', des enregistrements horodatés du consentement de l'utilisateur.

Exemple de structure JSON pour un Consent Receipt :

{
  "consent_id": "uuid-v4-generated-id",
  "timestamp": "2026-08-09T14:30:00Z",
  "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36",
  "ip_address_hashed": "sha256-hashed-ip-address",
  "consents": {
    "statistics": "granted",
    "marketing": "denied",
    "preferences": "granted",
    "essential": "granted"
  },
  "cmp_version": "Borlabs Cookie 2.2.3",
  "consent_dialog_version": "1.0",
  "page_url": "https://www.cookiedetox.fr/article-audit-cmp"
}

Ces données doivent être stockées de manière sécurisée et être accessibles en cas de demande de la CNIL ou d'un utilisateur exerçant son droit d'accès. Les deux CMP offrent des mécanismes pour stocker ces preuves, soit en base de données, soit via des intégrations tierces.

Blocage Préventif des Scripts Tiers (JavaScript DOM Blocking)

Pour les cas complexes où un script n'est pas directement géré par la CMP, une approche de blocage DOM via JavaScript peut être envisagée, bien que cela doive être une solution de dernier recours et non une alternative à une bonne configuration de la CMP.

Exemple de blocage JS avant le chargement du DOM :

(function() {
  // Liste des domaines ou des identifiants de scripts à bloquer par défaut
  const blockedKeywords = ['googletagmanager.com/gtm.js', 'facebook.com/tr'];

  // Fonction pour vérifier si le consentement est donné (simplifié)
  function hasConsentFor(category) {
    // Implémenter la logique de vérification du consentement de la CMP
    // Ex: return window.BorlabsCookie.getConsentStatus('marketing');
    // Ou: return window.RealCookieBanner.getConsentStatus('marketing');
    return false; // Par défaut, bloquer
  }

  // Intercepter les tentatives de chargement de scripts
  const originalCreateElement = document.createElement;
  document.createElement = function(tagName) {
    if (tagName.toLowerCase() === 'script') {
      const script = originalCreateElement.apply(this, arguments);
      Object.defineProperty(script, 'src', {
        get: function() { return this._src; },
        set: function(value) {
          this._src = value;
          if (blockedKeywords.some(keyword => value.includes(keyword)) && !hasConsentFor('marketing')) {
            console.warn('Script bloqué par défaut:', value);
            // Empêcher l'exécution en modifiant le type ou en le vidant
            this.type = 'text/plain';
            this.setAttribute('data-blocked-by-cookiedetox', 'true');
            this.removeAttribute('src'); // Empêche le chargement
          }
        }
      });
      return script;
    }
    return originalCreateElement.apply(this, arguments);
  };
})();

Ce snippet, à placer en haut du <head>, intercepte la création de balises <script> et peut modifier leur comportement. C'est une mesure d'urgence ou de complément pour des scripts particulièrement récalcitrants, mais la configuration native de Borlabs ou Real Cookie Banner est toujours préférable.

En conclusion, le choix entre Borlabs Cookie et Real Cookie Banner dépendra de la complexité de votre site, de votre appétence pour la configuration manuelle et de la fréquence de vos audits. Les deux solutions sont techniquement capables d'atteindre un haut niveau de conformité, à condition d'être configurées et maintenues avec la rigueur que la CNIL exige. L'expertise de CookieDetox vous accompagne dans cette démarche critique.

Questions Fréquentes (FAQ)