Bandeau cookies WordPress : RGPD, gratuit et self-hosted
Un bandeau cookies conforme RGPD sans abonnement ni service tiers : blocage des scripts avant consentement, presets par juridiction, journal de preuve — gratuit.
Le bandeau cookies est devenu le péage le plus détesté du web — et pourtant, mal fait, il ne protège personne : ni vos visiteurs, dont les données filent avant qu’ils aient dit oui, ni vous, qui restez exposé à la CNIL avec un bandeau décoratif. Le marché a répondu par des services cloud à abonnement, qui facturent chaque mois le droit d’être en règle. J’ai pris le chemin inverse : un module de consentement complet, auto-hébergé, gratuit — parce que la conformité ne devrait pas être un loyer.
L’essentiel
- La règle CNIL tient en une phrase : aucun cookie non essentiel avant un consentement libre, et refuser doit être aussi simple qu’accepter.
- Le module bloque scripts, scripts inline et iframes (YouTube, cartes…) tant que la catégorie n’est pas acceptée — le point que les contrôles vérifient en premier.
- 28 presets juridictionnels règlent le bandeau selon le droit applicable : opt-in strict européen, opt-out américain avec « Do Not Sell or Share », LGPD brésilien…
- Le journal de consentement couvre 13 mois — la durée CNIL — en empreintes anonymisées : la preuve sans le fichier de données personnelles.
- 100 % self-hosted et gratuit : pas d’abonnement, pas de scan facturé, pas de serveur tiers dans la boucle du consentement.
Que doit faire un bandeau cookies pour être réellement conforme ?
Trois choses, dans cet ordre : empêcher tout dépôt de cookie non essentiel avant le choix du visiteur, offrir un refus aussi accessible que l’acceptation, et conserver une preuve du consentement recueilli. Tout le reste — couleurs, position, textes — est de l’habillage autour de ces trois obligations.
La première est celle qui disqualifie la majorité des bandeaux en circulation. Un bandeau qui s’affiche pendant que Google Analytics, le pixel Meta ou une vidéo YouTube chargent déjà leurs cookies n’est pas un dispositif de consentement : c’est une notification décorative. La CNIL le formule sans ambiguïté depuis ses lignes directrices de 2020, et c’est le premier point testé lors d’un contrôle — il suffit d’ouvrir l’inspecteur du navigateur sur votre page d’accueil, onglet Cookies, avant d’avoir cliqué quoi que ce soit.
La deuxième a mis fin aux bandeaux à bouton unique : si accepter prend un clic, refuser doit prendre un clic. Les parcours où le refus se mérite — « paramétrer », puis décocher, puis confirmer — sont explicitement visés par les mises en demeure.
La troisième est la moins connue : en cas de contrôle, c’est à vous de démontrer que le consentement a été recueilli, quand et pour quoi. Sans journal, votre conformité repose sur votre parole.
Pourquoi un bandeau auto-hébergé plutôt qu’un service cloud ?
Parce que le consentement de vos visiteurs n’a aucune raison de transiter par un serveur tiers, et votre conformité aucune raison de devenir un abonnement : un bandeau auto-hébergé fait le même travail depuis votre propre site, sans loyer ni dépendance.
Le marché s’est structuré autour de solutions SaaS — Cookiebot, CookieYes, Usercentrics — dont le modèle est de facturer au trafic, au nombre de pages scannées ou au domaine. Ce modèle a trois conséquences qu’on découvre après coup : le prix grimpe avec votre audience, le bandeau cesse de fonctionner si l’abonnement s’arrête, et un acteur supplémentaire s’insère dans le circuit des données de consentement — ironique, pour un dispositif de protection des données. Complianz et CookieYes, à un million d’installations chacun, montrent l’ampleur de la demande ; leurs fonctions sérieuses sont largement dans les paliers payants.
L’auto-hébergement inverse chaque terme : le bandeau est servi par votre site, le journal vit dans votre base, le coût est nul et le restera. La contrepartie honnête, c’est que votre serveur fait le travail — un travail léger, mais réel : c’est le module qui réécrit vos pages pour neutraliser les scripts avant consentement.
Comment le module gère-t-il les différentes lois — RGPD, CCPA, LGPD ?
Par 28 presets juridictionnels : vous choisissez le droit applicable, et le bandeau adopte le modèle de consentement correspondant — opt-in strict européen, opt-out américain avec lien « Do Not Sell or Share », hybrides canadien ou australien, LGPD brésilien, DPDP indien… Chaque preset règle d’un coup le modèle (opt-in, opt-out ou simple notice), les catégories pré-cochées, la présence du bouton « Tout refuser » et la fenêtre de re-consentement (6, 12 ou 24 mois selon les régimes).
Deux presets méritent une mention. Le preset français ajoute le refus en un clic cher à la CNIL. Le preset américain active le lien « Do Not Sell or Share My Personal Information » exigé par le droit californien — et le module honore le signal Global Privacy Control côté serveur : un visiteur dont le navigateur émet GPC voit ses cookies non essentiels refusés automatiquement, et le site le confirme par l’en-tête Sec-GPC-Acknowledged. La quasi-totalité des bandeaux du marché traite GPC en JavaScript, quand ils le traitent ; le traitement serveur est plus robuste et opposable.
Comment l’installer et le configurer en pratique ?
Activez le module Cookies, choisissez votre preset juridictionnel, déclarez vos services, générez la page de politique : quatre étapes, aucun compte à créer.
- Installez Blaminhor Essentials et activez le module Cookies.
- Sélectionnez le preset correspondant à votre situation — pour un site français : le preset France, refus en un clic compris.
- Déclarez vos services (Analytics, YouTube, pixels…) dans leurs catégories : c’est cette déclaration qui pilote le blocage avant consentement et le tableau de la politique de cookies.
- Cliquez sur « Créer la page de politique » : le module génère la page avec le shortcode
[blaminhor_cookie_declaration], qui affiche un tableau de déclaration groupé par catégorie — et qui se met à jour tout seul quand vous ajoutez un service. Cette page que personne n’écrit jamais est pourtant exigée par la CNIL.
J’ai déroulé cette configuration sur un site de test pour réaliser les captures de cet article : du module activé au bandeau fonctionnel avec sa page de politique générée, sans quitter l’admin WordPress une seule fois — c’est exactement le niveau de simplicité que je visais en le construisant. Si vous utilisez un produit Google, le Consent Mode v2 est émis nativement : Analytics et Ads reçoivent l’état du consentement dans le format attendu depuis mars 2024, sans balise supplémentaire.
Le comparatif en un tableau
| Critère | SaaS (Cookiebot, CookieYes…) | Complianz (freemium) | Module Cookies Blaminhor Essentials |
|---|---|---|---|
| Hébergement du consentement | Serveurs du prestataire | Votre serveur | Votre serveur |
| Prix | Abonnement, croît avec le trafic | Gratuit limité, Premium par site | Gratuit, sans palier |
| Blocage avant consentement | Oui | Oui | Oui, scripts inline et iframes compris |
| Presets juridictionnels | Selon offre | Oui | 28, du RGPD au DPDP indien |
| Global Privacy Control | Rare, en JS | Partiel | Honoré côté serveur + en-tête de confirmation |
| Journal de preuve | Chez le prestataire | Local | Local, 13 mois, empreintes anonymisées |
| Certification IAB TCF | Selon offre | Option | Non — assumé, hors cible publicitaire |
Que valent les amendes pour un site modeste ?
Les records médiatisés — des centaines de millions pour Google ou Meta — ne sont pas votre risque ; votre risque, c’est la plainte d’un visiteur, gratuite à déposer, qui déclenche un contrôle, une mise en demeure publique et l’obligation de tout corriger dans l’urgence. La CNIL publie régulièrement des sanctions et mises en demeure visant des structures de taille ordinaire, et la double peine est surtout réputationnelle : la mise en demeure est publique, votre bandeau bricolé devient un communiqué.
La bonne nouvelle, c’est que le niveau exigé est parfaitement atteignable : blocage avant consentement, refus en un clic, preuve conservée. Exactement ce qu’un module bien conçu automatise.
La conformité n’est pas un abonnement
Un bandeau cookies n’a rien d’un produit d’appel vers un SaaS : c’est une obligation légale stable, qui se résout très bien par du code exécuté chez vous. Bloquer avant de consentir, refuser aussi vite qu’accepter, prouver sans ficher — le module Cookies fait ce travail gratuitement, et vos visiteurs ne partagent leur choix qu’avec vous.
C’est l’un des modules de Blaminhor Essentials, le plugin gratuit et modulaire — au même titre que l’anti-spam sans CAPTCHA, qui partage la même philosophie : vos données restent chez vous, et la facture n’existe pas.
FAQ
Un bandeau cookies est-il obligatoire sur tous les sites WordPress ?
Dès que le site dépose des cookies non essentiels — statistiques, publicité, vidéos intégrées — avant ou sans consentement, oui : le RGPD et la directive ePrivacy l'exigent pour tout site visé par le droit européen. Un site vitrine sans mesure d'audience ni embed tiers peut s'en passer ; c'est rare en pratique.
Que risque un site sans consentement conforme ?
La CNIL a déjà prononcé des amendes de plusieurs centaines de millions d'euros contre les géants, mais elle contrôle et met aussi en demeure des PME. Le risque le plus concret pour un petit site reste la plainte d'un visiteur — gratuite à déposer — et l'obligation de mise en conformité qui s'ensuit, avec l'exposition publique associée.
Pourquoi éviter les solutions cloud comme Cookiebot ou CookieYes ?
Elles fonctionnent par abonnement, imposent leurs serveurs dans la boucle du consentement, et le coût grimpe avec le trafic ou le nombre de pages scannées. Un bandeau auto-hébergé fait la même chose depuis votre serveur : pas de facture mensuelle, pas de dépendance, et le consentement de vos visiteurs ne transite par personne d'autre.
Le module bloque-t-il vraiment les scripts avant le consentement ?
Oui, y compris les scripts inline et les iframes d'embed (YouTube, cartes) : ils sont neutralisés tant que le visiteur n'a pas accepté la catégorie correspondante, puis exécutés après consentement. C'est le point que la CNIL vérifie en premier — un bandeau qui s'affiche pendant que Google Analytics tourne déjà ne protège de rien.
Comment prouver le consentement en cas de contrôle ?
Le module tient un journal de consentement de 13 mois — la durée de validité recommandée par la CNIL — sous forme d'empreintes anonymisées : vous pouvez démontrer qu'un consentement a été recueilli, sans avoir constitué de fichier de données personnelles pour le prouver. Le registre se consulte depuis l'admin.
Qu'est-ce que le Google Consent Mode v2 et suis-je concerné ?
C'est le mécanisme par lequel votre bandeau signale à Google Analytics et Google Ads l'état du consentement, exigé depuis mars 2024 pour exploiter la mesure publicitaire dans l'Espace économique européen. Si vous utilisez un produit Google, vous êtes concerné ; le module l'émet nativement, sans balise à ajouter.
La géolocalisation par visiteur fonctionne-t-elle toute seule ?
Non, et je préfère le dire clairement : adapter le bandeau au pays du visiteur exige la base MaxMind, à téléverser manuellement, ou les en-têtes de géolocalisation de Cloudflare si votre site passe par eux. Sans résolution du pays, le module applique le preset le plus strict — vous êtes conforme par défaut, jamais l'inverse.
Commentaires