⚡ En bref
- La réponse est : des cookies — de petits fichiers texte que le site dépose dans votre navigateur et relit à chaque visite pour vous reconnaître.
- La vraie frontière du pistage n’est pas le cookie lui-même, mais la différence entre cookie interne (déposé par le site que vous visitez) et cookie tiers (déposé par un acteur publicitaire présent sur des milliers de sites à la fois).
- En France, le dépôt de la plupart des traceurs exige votre consentement préalable, et refuser doit être aussi simple qu’accepter — c’est précisément ce manquement qui a coûté 150 millions d’euros à Google et 60 millions à Facebook en janvier 2022.
- Coup de théâtre : après cinq ans à promettre leur disparition, Google a officiellement renoncé à supprimer les cookies tiers de Chrome le 22 avril 2025.
Les sites web peuvent garder la trace de votre navigation en déposant des cookies : de petits fichiers texte, aussi appelés témoins de connexion, que votre navigateur enregistre sur votre appareil et renvoie au site à chaque nouvelle visite. C’est la réponse exacte à cette question classique des tests de culture numérique — et c’est aussi le point de départ de tout ce qui suit : qui dépose ces fichiers, ce qu’ils permettent vraiment de savoir sur vous, ce que la loi impose, et comment reprendre la main.
📊 Les chiffres à retenir
À lire Navigation privée sur Mac : Safari, Chrome et Firefox
- 150 M€ et 60 M€ — les amendes infligées par la CNIL à Google et à Facebook en janvier 2022, parce que refuser les cookies y était plus compliqué que les accepter
- 13 mois — la durée de vie maximale recommandée par la CNIL pour un traceur, sans prolongation automatique lors des visites suivantes
- 25 mois — la durée maximale de conservation des données collectées par les cookies de mesure d’audience exemptés de consentement
- 22 avril 2025 — le jour où Google a annoncé qu’il ne supprimerait finalement pas les cookies tiers de Chrome
Un cookie, c’est quoi exactement ? #
Un cookie n’est ni un programme, ni un virus : c’est un simple fichier texte de quelques centaines d’octets, associé au nom de domaine qui l’a créé. Quand vous arrivez sur un site, son serveur peut demander à votre navigateur d’enregistrer ce fichier ; à chaque page suivante — et à chaque visite ultérieure — le navigateur le renvoie automatiquement au même domaine. Le site vous « reconnaît » donc sans que vous ayez rien saisi.
C’est ce mécanisme, inventé dans les années 1990 pour des besoins très pratiques, qui fait tenir une bonne partie du web : sans cookie, impossible de rester connecté à votre compte d’une page à l’autre, de conserver un panier d’achat, ou de mémoriser votre choix de langue. Le problème n’est pas le cookie en soi — c’est ce qu’on lui a fait faire ensuite.
Session, persistant, interne, tiers : les quatre familles à connaître #
Tous les cookies ne se valent pas, et deux distinctions suffisent à comprendre l’essentiel du sujet.
| Type | Qui le dépose | Durée | Usage typique |
|---|---|---|---|
| Cookie de session | Le site visité | Effacé à la fermeture du navigateur | Rester connecté, panier d’achat |
| Cookie persistant | Le site visité | De quelques jours à plusieurs mois (13 mois max recommandés par la CNIL) | Mémoriser vos préférences, vous reconnaître à la visite suivante |
| Cookie interne (first-party) | Le domaine affiché dans la barre d’adresse | Variable | Fonctionnement du site, statistiques internes |
| Cookie tiers (third-party) | Un autre domaine, chargé en arrière-plan (régie publicitaire, bouton de partage…) | Variable | Pistage publicitaire d’un site à l’autre |
La quatrième ligne est celle qui explique la mauvaise réputation des cookies. Une régie publicitaire présente sur des milliers de sites relit le même cookie partout : elle sait donc que le même navigateur a consulté un comparateur de billets d’avion le matin, un site de meubles l’après-midi et un forum santé le soir. Mis bout à bout, ces passages dessinent un profil précis — centres d’intérêt, habitudes d’achat, tranche horaire de connexion — sans qu’aucun site pris isolément n’ait eu besoin de connaître votre nom.
À lire Google navigation privée : ouvrir et utiliser le mode Incognito
Ce que dit la loi : consentement obligatoire, et refuser doit être aussi simple qu’accepter #
En Europe, le dépôt de traceurs est encadré par la directive ePrivacy et le RGPD, transposés en France dans la loi Informatique et Libertés, sous le contrôle de la CNIL. Le principe tient en une phrase :
« Les internautes doivent être informés et donner leur consentement préalablement au dépôt et à la lecture de certains traceurs » — CNIL, règles applicables aux cookies et autres traceurs.
Les lignes directrices et la recommandation adoptées par la CNIL le 17 septembre 2020 précisent le mode d’emploi, et trois points méritent d’être connus car presque personne ne les cite correctement :
- Continuer à naviguer ne vaut pas consentement. Faire défiler la page ou cliquer ailleurs ne peut pas être interprété comme un « oui ».
- Refuser doit être aussi simple qu’accepter. Un gros bouton « Tout accepter » face à un parcours de trois sous-menus pour refuser n’est pas conforme. C’est exactement ce qui a été reproché à google.fr, youtube.com et facebook.com : la CNIL a sanctionné Google de 150 millions d’euros (90 M€ pour Google LLC, 60 M€ pour Google Ireland) et Facebook de 60 millions d’euros en janvier 2022, avec obligation de proposer un refus en un clic sous trois mois.
- Votre choix doit être mémorisé — consentement comme refus — pour ne pas vous re-solliciter en permanence ; la CNIL cite une conservation de 6 mois comme bonne pratique. Côté durées, elle recommande 13 mois maximum de durée de vie pour les traceurs et 25 mois maximum de conservation pour les données de mesure d’audience exemptées.
Certains cookies échappent au consentement : ceux strictement nécessaires au service demandé (authentification, panier, équilibrage de charge) et, sous conditions strictes, la mesure d’audience anonymisée. Tout le reste — publicité ciblée, boutons sociaux, revente de données — exige un « oui » explicite.
À lire Navigateur internet Google Chrome : ce qu’il faut savoir
Le retournement de 2025 : Google garde finalement les cookies tiers #
Pendant cinq ans, Google a promis la fin des cookies tiers dans Chrome, à travers son projet Privacy Sandbox, censé les remplacer par des mécanismes moins intrusifs. Reports successifs en 2022, 2023, puis 2024 — et finalement, le 22 avril 2025, l’annonce inverse : Google ne supprimera pas les cookies tiers de Chrome. Le choix est laissé à l’utilisateur dans les réglages, sans blocage par défaut ; à l’automne 2025, l’essentiel des technologies Privacy Sandbox a été abandonné.
Le détail que peu d’articles relèvent : ce renoncement ne vaut que pour la navigation classique de Chrome — navigateur utilisé par 60,9 % des internautes français selon StatCounter (juillet 2026). Safari et Firefox, eux, bloquent les cookies tiers par défaut depuis des années, et Chrome lui-même les bloque désormais par défaut… en navigation privée. Autrement dit, le cookie tiers survit surtout là où l’audience est la plus massive et les réglages les moins touchés.
Au-delà des cookies : pixels et empreinte de navigateur #
Réduire le pistage aux cookies serait une erreur — et c’est justement pour cela que leur disparition annoncée inquiétait moins les spécialistes que le grand public. Deux autres techniques font le même travail :
- Les pixels espions : une image invisible de 1×1 pixel chargée depuis un serveur tiers. Le simple fait que votre navigateur la télécharge signale votre passage, avec votre adresse IP et l’heure. Très utilisés aussi dans les e-mails commerciaux pour savoir si vous les ouvrez.
- Le fingerprinting (empreinte de navigateur) : la combinaison de votre modèle d’appareil, de votre résolution d’écran, de vos polices installées, de votre fuseau horaire et de dizaines d’autres paramètres suffit souvent à identifier un navigateur de façon quasi unique — sans rien déposer sur votre appareil. Supprimer ses cookies n’y change rien.
Comment limiter la trace laissée par votre navigation #
Quatre gestes concrets, du plus simple au plus complet :
À lire Navigateur web : exemples, définition et liste complète
- Refusez quand refuser est simple. Depuis les sanctions de 2022, la plupart des grands sites français affichent un bouton « Continuer sans accepter » ou « Tout refuser » au premier écran. L’utiliser ne bloque que les traceurs soumis à consentement — le site fonctionne normalement.
- Faites le ménage dans votre navigateur. Tous permettent de supprimer les cookies existants et de bloquer les cookies tiers dans les réglages de confidentialité, site par site ou globalement.
- Utilisez la navigation privée pour les sessions que vous ne voulez pas voir mémorisées : les cookies y sont supprimés à la fermeture de la fenêtre. Le geste exact dépend de votre outil : voyez notre guide du mode Google navigation privée sur Chrome, et celui de la navigation privée sur Mac pour Safari et Firefox. Gardez en tête que ce mode n’efface que les traces locales — votre fournisseur d’accès, lui, voit toujours passer votre trafic.
- Contre le pistage par adresse IP, ni les réglages cookies ni la navigation privée ne suffisent : c’est le terrain du chiffrement et du VPN, qui masque votre adresse aux sites visités.
📚 À lire aussi dans ce dossier
Questions fréquentes #
Supprimer ses cookies suffit-il à ne plus être pisté ?
Non. La suppression efface les identifiants existants, mais de nouveaux cookies sont déposés dès la visite suivante si vous consentez à nouveau, et le fingerprinting — l’identification par les caractéristiques techniques de votre navigateur — fonctionne sans aucun fichier déposé. Supprimer ses cookies reste utile, mais c’est un geste d’hygiène, pas un bouclier.
Un site peut-il refuser de fonctionner si je refuse les cookies ?
Un site ne peut pas conditionner l’accès à son service au consentement pour des traceurs non essentiels sans alternative — c’est le débat des « cookie walls », que la CNIL examine au cas par cas. En pratique, les cookies strictement nécessaires (connexion, panier) sont déposés de toute façon, car ils sont exemptés de consentement : refuser les autres ne casse pas la navigation.
Les cookies peuvent-ils contenir un virus ou voler mes mots de passe ?
Non. Un cookie est un fichier texte passif : il ne s’exécute pas et ne peut donc pas contenir de programme malveillant. Le risque réel est ailleurs : un cookie de session volé (sur un réseau non chiffré ou via un site compromis) peut permettre à un attaquant d’usurper votre session connectée. C’est l’une des raisons pour lesquelles la généralisation du HTTPS a été un progrès majeur.
À lire Explorateur internet : c’est quoi et lequel utiliser ?
🎯 À retenir
Les sites web gardent la trace de votre navigation en déposant des cookies, et c’est à la fois ce qui fait fonctionner le web (connexion, panier, préférences) et ce qui alimente le pistage publicitaire via les cookies tiers. La loi vous donne la main — consentement préalable, refus en un clic, durées limitées — et les sanctions record de la CNIL ont rendu ce droit effectif. Pour le reste, le trio gagnant tient en trois gestes : refuser les traceurs non essentiels, bloquer les cookies tiers, et réserver les sessions sensibles à la navigation privée, en connaissant ses limites.
Les points :
- Un cookie, c’est quoi exactement ?
- Session, persistant, interne, tiers : les quatre familles à connaître
- Ce que dit la loi : consentement obligatoire, et refuser doit être aussi simple qu’accepter
- Le retournement de 2025 : Google garde finalement les cookies tiers
- Au-delà des cookies : pixels et empreinte de navigateur
- Comment limiter la trace laissée par votre navigation
- Questions fréquentes
1 avis sur « Les sites web peuvent garder la trace de votre navigation en déposant des cookies »