C'est quoi les cookies, et faut-il « tout accepter » ou « tout refuser » ?

Pour aller plus loin

Un cookie est un petit morceau de texte qu’un site demande à votre navigateur de retenir et de renvoyer à chaque future requête vers le même site. Ce mécanisme minuscule est la colonne vertébrale de tout ce qui distingue un web de pages déconnectées d’un web qui vous reconnaît.

Plusieurs choses différentes sont appelées « cookies », avec des conséquences très différentes :

• Cookies de session et essentiels. Vous gardent connecté, conservent le panier, mémorisent langue et thème. Le site ne peut pas fonctionner sans eux, vous ne pouvez pas vraiment les refuser, et la loi les considère comme exemptés. Toujours propriétaires.
• Cookies de préférences propriétaires. Mémorisent des réglages non essentiels — menus repliés, annonces fermées. Risque faible, valeur faible.
• Cookies d’analyse. Indiquent au propriétaire du site combien de personnes ont visité, d’où elles viennent, quelles pages elles lisent. Généralement propriétaires en 2026 ; certaines installations anciennes embarquent encore du Google Analytics tiers.
• Cookies de publicité / pistage. Posés par des tiers (régies publicitaires, courtiers de données, plateformes de retargeting) dont les scripts sont embarqués dans la page. Ils relient votre navigation à travers de nombreux sites et construisent un profil utilisé pour cibler la publicité — et, de plus en plus, pour enrichir des bases revendues ailleurs. Ce sont les cookies dont parle le bandeau européen.

Le bandeau « tout accepter / tout refuser » est imposé par la directive ePrivacy (la « loi cookies », 2002, modifiée 2009) et durci par le RGPD (2018). Sous ce régime, les cookies non essentiels nécessitent un consentement éclairé, libre, spécifique et univoque. La CNIL en France, l’ICO au Royaume-Uni et leurs équivalents ont jugé à plusieurs reprises que « tout refuser » doit être aussi facile que « tout accepter » dès le premier écran — les sites qui cachent « tout refuser » à trois clics de profondeur sont non conformes et certains ont été sanctionnés (Google a été condamné à 150 M€ et Facebook à 60 M€ par la CNIL en janvier 2022 précisément pour ce motif ; d’autres sanctions ont suivi).

Ce que fait vraiment « tout refuser » :

• Refuse les cookies d’analyse et de publicité.
• Ne vous déconnecte pas — les cookies essentiels ne sont pas affectés.
• Ne « casse » pas le site visuellement. Le site garde la même apparence et fonctionne pareil.
• Ne vous rend pas anonyme : le fingerprinting, le pistage basé compte et le pistage par IP fonctionnent encore dans une certaine mesure.

Ce que fait vraiment « tout accepter » :

• Vous fait accepter d’être pisté sur, typiquement, plusieurs centaines d’entreprises tierces dont le site intègre les scripts.
• Permet à ces entreprises de construire un profil long terme de vos centres d’intérêt, achats et déplacements entre sites.
• N’affecte pas votre état de connexion ou le fonctionnement de la page — c’est ce qui rend « tout refuser » quasiment gratuit.

Réflexe pratique : « tout refuser » est le défaut sûr pour presque toutes les visites. Le seul cas où « tout accepter » apporte éventuellement quelque chose, c’est un site que vous visitez tous les jours et dont vous voulez précisément les analyses ou personnalisations — et même alors, les paramètres internes du site offrent généralement un contrôle plus fin.

Le bandeau est aussi un test révélateur du site lui-même. Si un site rend « tout refuser » difficile à trouver — enfoui dans « gérer mes préférences », stylisé en lien gris pâle à côté d’un bouton « tout accepter » brillant, exigeant que vous bascule des dizaines d’interrupteurs — c’est un choix délibéré de l’opérateur. Cela vous dit quelque chose de la priorité qu’il donne à vos données face à votre confort. En 2026, plusieurs navigateurs (Brave, DuckDuckGo, Firefox via la protection contre le pistage, Safari) gèrent automatiquement les bandeaux ou refusent automatiquement les cookies non essentiels, ce qui retire complètement le clic.