Qu'est-ce qu'une CMP et que doit-elle faire ?

Qu'est-ce qu'une Consent Management Platform ?

Une Consent Management Platform, ou CMP, est le logiciel qui recueille le consentement des visiteurs de votre site, le conserve, en garde la preuve et le transmet à tous les services intégrés. Seule la bannière de cookies est visible. Le vrai travail se fait en coulisses : la CMP veille à ce que Google Analytics, Google Ads, le pixel Meta et les autres services ne déposent des cookies ou n'envoient des données qu'une fois que le visiteur l'a autorisé. On parle aussi de Consent Manager ou d'outil de gestion des consentements. Il s'agit toujours de la même chose.

En Allemagne, la base légale est l'article 25 du TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques), appelé TTDSG jusqu'en mai 2024. Il encadre l'accès au terminal de l'utilisateur, c'est-à-dire le dépôt ou la lecture de cookies. Pour tout ce qui n'est pas strictement nécessaire, un consentement est en règle générale requis. Le RGPD exige en outre, à son article 7, que vous puissiez prouver ce consentement et que le retirer soit aussi simple que le donner. Cet article n'est pas un conseil juridique, il explique la technique.

Quelles sont les tâches d'un Consent Manager ?

Un Consent Manager remplit six tâches étroitement liées. Si l'une d'elles échoue, cela crée soit des problèmes de protection des données, soit des lacunes dans vos statistiques.

• Recueil : la bannière explique clairement les finalités et propose « Accepter » et « Refuser » sur un pied d'égalité.
• Enregistrement : le choix est stocké dans le navigateur, pour que la bannière ne réapparaisse pas à chaque page consultée.
• Preuve : chaque consentement est journalisé avec l'horodatage, la version de la bannière et les finalités choisies.
• Transmission : le choix est transmis au Google Consent Mode et à toutes les autres balises qui en dépendent.
• Retrait : les visiteurs peuvent modifier leur choix à tout moment, par exemple via un lien en pied de page.
• Scan : un scan des cookies montre quels cookies et services sont réellement présents sur le site.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Gestion des consentements et Google Consent Mode v2

Pour Google, la tâche la plus importante de la CMP est la transmission au Google Consent Mode v2, l'interface par laquelle les balises Google sont informées du choix du visiteur. Il connaît quatre signaux : ad_storage et analytics_storage indiquent si des cookies publicitaires et de mesure d'audience peuvent être déposés. ad_user_data indique si des données utilisateur peuvent être envoyées à Google à des fins publicitaires, et ad_personalization si la publicité personnalisée est autorisée. Au chargement de la page, la CMP définit une valeur par défaut pour les quatre, en général « denied » dans l'UE. Après le clic sur un bouton, elle envoie une mise à jour avec le choix réel.

Depuis mars 2024, Google attend que ces signaux soient transmis pour les visiteurs de l'Espace économique européen dès que des données doivent servir à la publicité et au remarketing. S'ils manquent, Google Ads ne peut utiliser les audiences et les conversions que de façon limitée. Google distingue deux variantes : avec l'implémentation simple, les balises Google ne se chargent qu'après le consentement. Avec l'implémentation avancée, elles se chargent immédiatement avec la valeur par défaut « denied » et, sans consentement, n'envoient que des pings sans cookies, à partir desquels Google estime les valeurs manquantes. Le choix de la variante est un arbitrage à faire en connaissance de cause.

D'autres services ont leurs propres mécanismes. Microsoft Advertising prend en charge un signal de consentement spécifique pour son Universal Event Tracking (UET). Pour Meta, LinkedIn, TikTok ou Pinterest, la balise est généralement configurée dans Google Tag Manager pour ne se déclencher qu'après le consentement marketing. Une bonne CMP fournit dans le conteneur Google Tag Manager un événement ou une variable spécifique pour les déclencheurs.

Le scan des cookies est une autre tâche de la CMP. Il parcourt automatiquement vos pages et liste les cookies, le stockage local et les services qui y sont réellement présents. C'est important, car un site évolue sans cesse : un nouveau plugin intègre une carte, une vidéo provient d'une plateforme, une fenêtre de chat dépose ses propres cookies. Si un service apparaît dans le scan mais pas dans la bannière, la bannière ne demande pas l'autorisation pour quelque chose qui se produit quand même. Les résultats du scan ont aussi leur place dans le tableau des cookies de votre politique de confidentialité, pour que les visiteurs puissent voir à quoi ils consentent.

Comment reconnaître une bonne CMP

On reconnaît une bonne CMP par sa technologie et son comportement au quotidien, pas par l'apparence de la bannière. Ces points aident à la sélection, que vous utilisiez un outil de gestion des consentements prêt à l'emploi ou fassiez installer une solution.

• Le Consent Mode v2 est intégré et définit la valeur par défaut avant tout déclenchement de balise.
• « Tout refuser » est proposé à égalité au premier niveau, pas caché dans les réglages.
• La bannière se charge vite : peu de fichiers, pas de ressources chargées depuis de nombreux serveurs tiers.
• Les preuves sont stockées de manière économe en données, idéalement sans adresse IP.
• L'intégration avec Google Tag Manager est documentée et fonctionne sans code personnalisé.
• Les textes sont disponibles dans les langues de votre site.

Le temps de chargement d'une CMP est souvent oublié lors du choix. Comme la CMP doit se charger très tôt pour définir la valeur par défaut avant toutes les autres balises, chaque fichier supplémentaire retarde le démarrage de la mesure et souvent le chargement de la page. Vérifiez donc sur une page de test combien de fichiers la bannière charge et quand elle devient visible. Une bannière qui n'apparaît qu'après plusieurs secondes sur mobile fait perdre des visiteurs et dégrade les Core Web Vitals.

→ Configurer correctement le Consent Mode v2 : aucune alerte dans Tag Assistant

Erreurs typiques et comment les repérer

Une erreur fréquente est une bannière qui s'affiche mais ne pilote rien. Les balises dans Google Tag Manager se déclenchent au chargement de la page, quel que soit le choix du visiteur. Vous le constatez si, dans une fenêtre de navigation privée, vous cliquez sur « Tout refuser » et trouvez malgré tout des cookies comme _ga ou _fbp dans les outils de développement, sous Application. Une deuxième erreur est l'absence de valeur par défaut : le Consent Mode ne reçoit un signal qu'après le clic, et les premiers hits partent sans statut de consentement.

Il arrive aussi que le consentement soit enregistré mais jamais transmis comme mise à jour au Consent Mode. Tout reste alors sur « denied », et Google Analytics affiche peu de données malgré de nombreux consentements. Les catégories mal attribuées sont aussi fréquentes : le Meta Pixel est rattaché à « Statistiques » au lieu de « Marketing », ou un service n'est pas listé dans la bannière. Dans l'aperçu de Google Tag Manager, l'onglet consentement montre quel statut était actif à quel moment.

Exemple pratique : petite boutique en ligne avec WooCommerce

Une boutique d'accessoires pour le café utilise WooCommerce, Google Analytics 4, Google Ads et le pixel Meta. La bannière a été installée il y a des années via un plugin, les balises ont été ajoutées plus tard via Google Tag Manager. Le test montre que la bannière recueille correctement le consentement, mais que le pixel Meta est en plus intégré en dur dans le thème et se charge toujours. En parallèle, la valeur par défaut du Consent Mode manque, si bien que Google Ads ne voit presque aucune conversion en provenance de l'UE.

La solution comporte trois étapes. Le pixel est retiré du thème et ne se déclenche plus que dans Google Tag Manager via un déclencheur de consentement marketing. La CMP définit la valeur par défaut « denied » au tout début. Ensuite, chaque parcours est testé : sans décision, avec refus, avec acceptation. La modification n'est mise en ligne que si le comportement est correct dans les trois cas.

Faire installer la gestion des consentements

Trackum configure le consentement pour qu'il s'applique réellement dans le Google Tag Manager de votre entreprise : Consent Mode v2 avec valeur par défaut, déclencheurs pour chaque plateforme publicitaire et test dans l'aperçu avec et sans consentement avant toute mise en ligne. L'installation avec Google Analytics 4 et Consent Mode v2 coûte 150 € en paiement unique. La bannière de cookies de Trackum, un seul fichier de 6,6 Ko qui ne charge rien d'autre, s'ajoute en option pour 50 € plus 4,90 € par mois et est incluse dans l'abonnement à 19 € par mois. Tous les prix s'entendent HT.

Si vous voulez d'abord savoir si votre CMP actuelle fonctionne correctement, le check gratuit, à 0 € et sans inscription, teste le site dans un vrai navigateur avec et sans consentement et vous montre les problèmes détectés avec un prix fixe pour les corriger.