Cookies de navigateur expliqués

Vous l'avez vu mille fois. Vous ouvrez un site, et avant même d'avoir lu un mot, un bandeau apparaît : « Ce site utilise des cookies. Tout accepter ? » Vous cliquez sur « Accepter », faute de mieux, et vous passez à autre chose.

Le problème, c'est que la plupart des gens ignorent à quoi ils viennent de consentir. Et l'enjeu est plus important qu'on ne le croit. Une seule visite sur un grand site d'information peut déposer plus de 50 cookies, issus de dizaines d'entreprises différentes, dans votre navigateur. Certains vous suivront sur le web pendant des mois et alimenteront en données des annonceurs, des courtiers en données et des sociétés dont vous n'avez jamais entendu parler.

Les cookies ne sont pas malveillants pour autant. Beaucoup sont indispensables : sans eux, le web tel que nous le connaissons ne fonctionnerait tout simplement pas. Toute la difficulté est de savoir lesquels vous rendent service et lesquels servent quelqu'un d'autre. Ce guide vous donne les clés : ce que sont vraiment les cookies, pourquoi chaque site vous interroge désormais à leur sujet, lesquels comptent pour votre vie privée, et que faire concrètement la prochaine fois qu'un bandeau de consentement s'affiche.

Que sont les cookies de navigateur ?

Un cookie est une petite donnée qu'un site demande à votre navigateur de conserver sur votre appareil. Lorsque vous visitez un site, le serveur glisse une instruction Set-Cookie dans sa réponse. Votre navigateur enregistre cette donnée et la renvoie à chaque nouvelle requête vers le même site. Cet aller-retour (le serveur dépose le cookie, le navigateur le stocke puis le renvoie) constitue tout le mécanisme.

Malgré leur nom, les cookies ne sont pas de petits fichiers posés sur votre disque dur. Dans les navigateurs modernes comme Chrome et Firefox, ils sont stockés dans des bases de données internes (LevelDB pour Chrome, SQLite pour Firefox). Chaque cookie est une simple paire nom-valeur, du type session_id=abc123 ou theme=dark, accompagnée d'attributs qui déterminent sa date d'expiration, les pages concernées et la possibilité pour le code de la page de le lire.

Une image aide à comprendre. Imaginez un restaurant où l'on vous remet un bracelet à l'entrée. Ce bracelet indique au serveur quelle est votre table, ce que vous avez commandé et si vous avez déjà réglé. Chaque membre du personnel qui le voit sait comment vous servir sans vous reposer la question. Certains bracelets sont jetables : vous les retirez en partant. D'autres sont des bracelets de membre permanents qui vous identifient lors de votre prochaine visite, des mois plus tard. Et certains ne viennent pas du tout du restaurant : ils vous ont été posés dans le hall par une société de marketing qui suit désormais tous les restaurants que vous fréquentez en ville.

C'est cette dernière catégorie qui fait polémique.

Que contiennent réellement les cookies ?

Le contenu d'un cookie dépend de son rôle. Parmi les exemples courants : un identifiant de session qui relie vos requêtes entre elles pour que le serveur sache que vous êtes connecté, un identifiant de panier qui renvoie aux articles choisis, vos préférences de langue ou d'affichage, un jeton d'authentification, ou encore un identifiant de suivi unique qu'une régie publicitaire utilise pour vous reconnaître d'un site à l'autre.

Les cookies sont petits par conception. Les navigateurs imposent généralement une limite d'environ 4 Ko par cookie et plafonnent le nombre de cookies par domaine (en général quelques centaines au plus). Ils ne peuvent ni stocker de gros fichiers, ni exécuter de programmes, ni accéder directement au reste de votre appareil. Un cookie, en soi, n'est qu'une donnée. Les enjeux de confidentialité tiennent à l'usage qui en est fait, et à qui en fait usage.

Ce qui distingue les cookies des autres formes de stockage

Les cookies ne sont pas le seul moyen pour un site de stocker des données dans votre navigateur. Les navigateurs modernes proposent aussi localStorage (qui persiste jusqu'à ce qu'on le vide), sessionStorage (effacé à la fermeture de l'onglet) et IndexedDB (une base de données plus puissante pour les données structurées).

La particularité des cookies, c'est qu'ils sont envoyés automatiquement au serveur à chaque requête. localStorage et sessionStorage restent sur votre appareil : le serveur ne les voit jamais, sauf si du JavaScript les lui transmet explicitement. Cette transmission automatique rend les cookies si pratiques pour l'authentification et la gestion des sessions, mais c'est aussi ce qui en fait de redoutables outils de pistage : chaque requête vers un site (ou vers une ressource tierce chargée par ce site) emporte le cookie avec elle.

Les différents types de cookies

Tous les cookies ne se valent pas. Comprendre les principales distinctions fait toute la différence entre un consentement éclairé et un clic machinal sur « Accepter ».

Cookies de session et cookies persistants

Les cookies de session sont temporaires. Ils ne doivent durer que le temps de votre visite et, en théorie, disparaissent à la fermeture du navigateur. Ce sont eux qui conservent votre panier pendant que vous passez d'une fiche produit à l'autre, ou qui se souviennent que vous êtes connecté quand vous naviguez de page en page.

Une nuance toutefois : beaucoup de navigateurs modernes proposent de « restaurer la session précédente ». Si vous utilisez cette option, les cookies de session peuvent survivre à un redémarrage, puisque le navigateur poursuit techniquement la même session. Le détail est mince, mais bon à savoir : les cookies de session ne sont pas toujours aussi éphémères que leur nom le laisse croire.

Les cookies persistants, eux, restent en place après la fermeture du navigateur. Ils ont une date d'expiration fixe, de quelques heures à plusieurs années. C'est un cookie persistant qui permet à un site de garder votre connexion pour vous éviter de ressaisir votre mot de passe à chaque retour. C'est aussi lui qui permet à une régie publicitaire de suivre votre activité sur le web pendant des mois. Certains cookies de Google, par exemple, expirent dans 20 ans. Qu'un cookie persistant soit utile ou intrusif dépend entièrement de ce qu'il fait.

Sont-ils courants ? Très. Selon l'analyse 2024 du HTTP Archive portant sur le premier million de sites, seuls 16 % environ des cookies propriétaires et à peine 4 % des cookies tiers sont des cookies de session. L'écrasante majorité est persistante.

Cookies propriétaires et cookies tiers

C'est la distinction qui compte le plus pour votre vie privée.

Les cookies propriétaires sont déposés par le site que vous visitez réellement. Si vous êtes sur shop.example.com, un cookie propriétaire provient de shop.example.com. Ils assurent l'essentiel : vous garder connecté, enregistrer vos préférences, mémoriser le contenu de votre panier. Ils ne fonctionnent que sur le site qui les a créés et ne peuvent vous suivre nulle part ailleurs. La plupart des sites ne fonctionnent pas correctement sans eux.

Les cookies tiers sont déposés par un autre domaine que celui affiché dans la barre d'adresse. Concrètement : vous consultez un site d'information qui affiche une publicité servie par adnetwork.com. Quand votre navigateur charge cette publicité, adnetwork.com dépose un cookie. Plus tard, vous visitez un site sans aucun rapport, un blog de cuisine par exemple, qui charge lui aussi du contenu de adnetwork.com. La régie relit le cookie déposé plus tôt et fait le lien : la personne qui a lu cet article d'actualité est la même qui parcourt maintenant des recettes. Au fil du temps, cela compose un profil détaillé de vos centres d'intérêt, de vos habitudes et de votre historique de navigation, sans que vous ayez jamais visité adnetwork.com.

Ce sont les cookies tiers qui sont au cœur du débat sur la vie privée. Ce sont eux qui ont suscité les réglementations, le durcissement des navigateurs et les bandeaux de consentement que l'on voit partout.

Les cookies selon leur finalité

La plupart des bandeaux de consentement classent les cookies en catégories. Les connaître vous permet de trancher plus vite et mieux quand un bandeau apparaît :

Les cookies essentiels (ou strictement nécessaires) font tourner le site. Ils gèrent l'authentification, des fonctions de sécurité comme la protection CSRF, la répartition de charge et des opérations de base comme le maintien de votre session. Vous ne pouvez pas les refuser, et la plupart des lois sur la vie privée dispensent les sites de demander votre consentement pour eux, puisque le site ne peut tout simplement pas fonctionner sans.

Les cookies fonctionnels (ou de préférences) retiennent vos choix : langue, région, mode sombre, ou le fait que vous avez déjà fermé une notification. Ils rendent la navigation plus agréable sans être techniquement indispensables.

Les cookies analytiques mesurent la façon dont les visiteurs utilisent un site : pages consultées, temps passé, clics, erreurs rencontrées. Google Analytics en est l'exemple dominant. Ils aident les éditeurs à comprendre et améliorer leur site. En général, ils ne vous identifient pas personnellement, mais ils suivent bien votre comportement sur le site.

Les cookies marketing et publicitaires servent à vous suivre d'un site à l'autre pour afficher des publicités ciblées. Ce sont, dans leur immense majorité, des cookies tiers. C'est à cause d'eux que, après avoir cherché des chaussures de running sur un site, vous en voyez des publicités partout pendant deux semaines. C'est aussi, de loin, la catégorie la plus lourde de conséquences pour votre vie privée.

Cookies zombies et empreinte digitale

Les cookies classiques peuvent être supprimés. Mais certaines techniques de pistage sont conçues pour y survivre.

Les cookies zombies (aussi appelés evercookies) stockent des copies redondantes d'un identifiant de suivi à plusieurs endroits du navigateur : localStorage, IndexedDB, cache HTML5 et d'autres recoins obscurs. Quand vous supprimez le cookie principal, un script détecte son absence et le recrée à partir d'une des copies. Résultat : un cookie qui revient d'entre les morts.

L'empreinte digitale de navigateur procède tout autrement. Elle n'utilise aucun cookie. Elle recueille des dizaines de données en apparence anodines sur votre navigateur et votre appareil (résolution d'écran, polices installées, carte graphique, fuseau horaire, réglages de langue, etc.) et les combine en un identifiant unique. Cette « empreinte » peut vous reconnaître d'une visite à l'autre avec une précision étonnante, et il n'y a aucun cookie à effacer, puisque l'identifiant est calculé à partir des caractéristiques de votre appareil au lieu d'y être stocké.

Ces techniques sont bien moins répandues que les cookies ordinaires, mais elles illustrent la course aux armements entre pistage et vie privée. Savoir qu'elles existent aide à comprendre pourquoi vider ses cookies ne suffit pas toujours, et pourquoi les navigateurs axés sur la confidentialité intègrent aussi une protection contre l'empreinte digitale.

Pourquoi chaque site vous parle de cookies

L'explosion des bandeaux de consentement depuis 2018 s'explique simplement : la loi a changé, et les sanctions sont lourdes pour qui l'ignore.

Le RGPD et la « loi cookies » européenne

Le Règlement général sur la protection des données (RGPD) de l'Union européenne, entré en application en mai 2018, considère les identifiants de cookies comme des données personnelles. Il impose aux sites d'obtenir un consentement clair et positif avant de déposer le moindre cookie non essentiel. Donc pas de cases précochées, pas de « en poursuivant votre navigation, vous acceptez » : il faut une action délibérée de l'utilisateur. Et l'option « Refuser » doit être aussi accessible que « Accepter ».

La directive européenne ePrivacy (souvent surnommée « loi cookies ») est plus ancienne : elle date de 2002 et a été modifiée en 2009. Elle oblige expressément les sites à informer les utilisateurs sur les cookies et à recueillir leur consentement avant de déposer autre chose que des cookies strictement nécessaires. Le RGPD a renforcé ces exigences.

Les contrôles sont bien réels. Les amendes prévues par le RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est ce niveau de risque qui pousse même les petites entreprises à afficher un bandeau plutôt qu'à parier sur la discrétion.

Les lois américaines : un patchwork

Les États-Unis n'ont pas de loi fédérale équivalente au RGPD. Ce sont les États qui légifèrent chacun de leur côté. Le California Consumer Privacy Act (CCPA) et son successeur, le California Privacy Rights Act (CPRA), sont les textes les plus importants. Ils donnent aux consommateurs le droit de s'opposer à la vente ou au partage de leurs données personnelles, y compris celles recueillies par cookies. Le Colorado, le Connecticut, la Virginie, le Texas et le New Jersey ont adopté des lois comparables, aux exigences variables.

Une différence essentielle : le RGPD impose un consentement préalable (opt-in : rien ne se déclenche avant votre accord), alors que les lois américaines reposent en général sur l'opposition (opt-out : le pistage peut commencer, mais on doit vous donner le moyen de l'arrêter). C'est pourquoi votre expérience varie selon l'endroit où vous vous trouvez. En Europe, les bandeaux proposent « Accepter ou Refuser ». Aux États-Unis, on voit souvent « Ce site utilise des cookies » avec un bouton « Compris », qui vous informe sans forcément vous laisser un vrai choix.

Le problème des dark patterns

En théorie, les bandeaux de consentement vous donnent le contrôle. En pratique, beaucoup sont conçus pour vous pousser vers « Tout accepter ».

Les ficelles sont connues : un bouton « Accepter » grand et coloré, tandis que « Refuser » ou « Gérer les préférences » se cache en petit texte gris ; plusieurs clics pour refuser, un seul pour accepter ; des cases précochées pour les cookies marketing dans le panneau de réglages ; un vocabulaire vague et dissuasif, du type « certaines fonctionnalités pourraient ne pas fonctionner », pour décourager le refus.

Les régulateurs européens s'attaquent de plus en plus à ces dark patterns. Le Comité européen de la protection des données a clairement indiqué que les « cookie walls » (bloquer l'accès à un site tant que vous n'acceptez pas tous les cookies) sont en principe interdits. Mais l'application est lente, et de nombreux sites continuent de flirter avec les limites de ce qui est permis.

Si vous tombez sur un bandeau où refuser est nettement plus compliqué qu'accepter, cela en dit long sur la considération du site pour votre vie privée.

Global Privacy Control : l'alternative en un clic

L'une des évolutions les plus prometteuses en matière de consentement s'appelle Global Privacy Control (GPC). Au lieu de vous faire répondre à un bandeau sur chaque site, GPC envoie depuis votre navigateur un signal à tous les sites visités, qui leur indique automatiquement que vous refusez la vente ou le partage de vos données.

GPC a une valeur juridique. Le procureur général de Californie a confirmé que les entreprises doivent respecter les signaux GPC au titre du CCPA. Sephora a écopé d'une amende de 1,2 million de dollars en 2022 pour ne pas l'avoir fait, première sanction majeure de ce type. Le Colorado, le Connecticut et d'autres États exigent désormais eux aussi le respect des signaux GPC. Et en octobre 2025, la Californie a promulgué l'Opt Me Out Act, qui obligera tous les grands navigateurs à intégrer GPC d'ici 2027.

GPC est déjà pris en charge nativement par Brave et DuckDuckGo Browser (activé par défaut) et par Firefox (disponible dans les paramètres). Pour Chrome et les autres navigateurs, des extensions comme celle de la NAI dédiée à GPC ou Privacy Badger ajoutent la fonction. Ce n'est pas un substitut complet à la gestion des cookies, mais c'est ce qui se rapproche le plus d'un bouton universel « laissez-moi tranquille ».

Les cookies tiers en 2025 et 2026 : où en est-on vraiment ?

C'est sur ce point que la plupart des articles en ligne sont dépassés. Voici la situation actuelle.

Pendant des années, le secteur s'est préparé à la « mort des cookies tiers ». En 2020, Google a annoncé que Chrome allait les abandonner progressivement. Des échéances ont été fixées, repoussées, refixées, puis repoussées encore. En juillet 2024, Google a fait marche arrière. En avril 2025, Chrome l'a officiellement confirmé : les cookies tiers restent.

Où en sommes-nous, alors ?

Safari bloque les cookies tiers par défaut depuis 2020 grâce à la prévention intelligente du suivi (ITP). ITP s'appuie sur de l'apprentissage automatique exécuté sur l'appareil pour repérer et restreindre les domaines de pistage. Il limite aussi la durée de vie de certains cookies propriétaires déposés via JavaScript, une mesure destinée à empêcher les contournements.

Firefox suit une autre voie, tout aussi efficace. Sa protection renforcée contre le pistage bloque les cookies de pistage connus, et la protection totale contre les cookies va plus loin en attribuant à chaque site sa propre « boîte à cookies » isolée. Un cookie tiers déposé sur un site ne peut pas être lu quand vous en visitez un autre, même s'il provient du même domaine de pistage. Il ne s'agit pas tant de blocage que de mise en quarantaine.

Chrome autorise toujours les cookies tiers par défaut en navigation normale (ils sont bloqués en navigation privée). La Privacy Sandbox de Google continue de développer des API de remplacement, comme la Topics API pour la publicité par centres d'intérêt et l'Attribution Reporting API pour la mesure publicitaire, mais les cookies tiers traditionnels restent pleinement fonctionnels. Avec environ 65 % de part de marché mondiale pour Chrome, le pistage par cookies tiers reste donc opérationnel pour la majorité des internautes.

Brave bloque par défaut tous les cookies tiers, les traqueurs et l'empreinte digitale.

Edge bloque les traqueurs des sites que vous n'avez pas visités et les traqueurs malveillants connus grâce à sa prévention du suivi, réglable sur trois niveaux : De base, Équilibré et Strict.

En résumé, le « web sans cookies » n'est pas un horizon lointain. C'est déjà la réalité pour les utilisateurs de Safari, Firefox et Brave, soit environ un tiers du trafic internet. Mais le choix de Chrome de conserver les cookies tiers laisse l'infrastructure de pistage intacte pour la majorité. Choisir son navigateur, c'est déjà faire un choix de confidentialité.

Faut-il accepter les cookies ?

C'est la question à laquelle la plupart des gens veulent une réponse. Voici une grille pratique, applicable en quelques secondes.

Cookies essentiels : toujours accepter

Si un site propose des options détaillées, acceptez toujours les cookies essentiels ou strictement nécessaires. Les refuser rendrait le site inutilisable : impossible de vous connecter, de garder des articles dans un panier ou d'utiliser les fonctions principales. Ce sont des cookies propriétaires, propres à un seul site, qui ne peuvent pas vous suivre ailleurs. La plupart des lois sur la vie privée n'exigent même pas de consentement pour eux.

Cookies fonctionnels et analytiques : généralement sans risque

Les cookies fonctionnels (langue, préférences d'affichage) et analytiques (données d'usage anonymisées) présentent peu de risques pour la plupart des utilisateurs. Les cookies analytiques aident les éditeurs à comprendre comment leurs visiteurs utilisent le site, des données qui débouchent réellement sur une meilleure expérience. En général, ils ne vous suivent pas sur le reste du web. Si vous souhaitez soutenir les sites que vous fréquentez, les accepter est raisonnable.

Cookies marketing et tiers : refuser

C'est là qu'il faut être attentif. Les cookies marketing et publicitaires existent pour suivre votre comportement d'un site à l'autre, établir un profil de vos centres d'intérêt et afficher des publicités ciblées. Les refuser est le geste le plus efficace que vous puissiez faire face à un bandeau de consentement.

Le site fonctionnera normalement. Seul changement : les publicités affichées seront génériques au lieu d'être personnalisées.

Quand tout refuser, sauf l'essentiel

Certaines situations appellent une prudence particulière :

Les sites non chiffrés. Si l'URL commence par http:// au lieu de https://, le site ne chiffre pas les échanges. Les cookies envoyés sur une connexion non chiffrée peuvent être interceptés, un risque réel sur les réseaux partagés ou publics.

Le Wi-Fi public. Les réseaux ouverts facilitent le détournement de session : un attaquant intercepte vos cookies de session et se fait passer pour vous. Utilisez la navigation privée de votre navigateur sur un Wi-Fi public.

Les opérations sensibles. Banque, dossier médical, déclaration d'impôts : tout site qui traite des données personnelles sensibles justifie de refuser tous les cookies non essentiels pour réduire au minimum les traces laissées.

Les sites sans option de refus. Un site qui n'affiche que « Accepter », sans alternative, est un signal d'alarme. Au regard du RGPD, c'est non conforme. Quel que soit le cadre, cela montre que votre vie privée n'est pas une priorité.

Que se passe-t-il vraiment quand vous cliquez sur « Refuser » ?

Sur un site bien conçu, refuser les cookies non essentiels conduit la plateforme de gestion du consentement à empêcher le chargement des scripts de pistage tiers dans votre navigateur. Pixels marketing, balises de régies publicitaires et scripts analytiques sont neutralisés. Le site se charge avec les seuls cookies dont il a besoin pour fonctionner.

Sur un site mal conçu, c'est plus flou. Des audits ont montré à plusieurs reprises que certaines plateformes de consentement continuent de déclencher des balises de pistage même après un refus. En 2025, une opération coordonnée des procureurs généraux de Californie, du Colorado et du Connecticut a visé des entreprises qui ne respectaient pas correctement les demandes d'opposition, signe que les contrôles se durcissent.

La leçon : refuser les cookies vaut toujours la peine, mais ce n'est pas une garantie. Associer vos choix de consentement aux protections du navigateur vous offre une défense plus solide.

Comment les navigateurs gèrent les cookies

Votre navigateur est votre première ligne de défense. Voici comment les principaux navigateurs se comparent dès l'installation : sans extension ni modification des réglages, uniquement avec les paramètres par défaut.

Une précision sur la navigation privée : elle ne bloque pas les cookies pendant votre session. Vous continuez d'en recevoir et d'en envoyer en naviguant. Ce que fait le mode privé, c'est tout effacer (cookies, historique, cache) à la fermeture de la fenêtre. C'est utile pour une navigation éphémère, mais cela ne vous rend pas invisible pendant la session.

À retenir : si la confidentialité des cookies compte pour vous, Safari, Firefox et Brave offrent des réglages par défaut nettement plus protecteurs que Chrome. Chrome vous laisse le plus de contrôle manuel, mais sa configuration par défaut privilégie l'ouverture plutôt que la confidentialité, à l'image du modèle économique de Google, fondé sur la publicité.

Pour des comparaisons détaillées de ces navigateurs face à face, confidentialité, performances et autres critères compris, consultez les pages de comparaison de browsers.to.

Comment reprendre la main sur vos cookies

Rien ne vous oblige à vous contenter des réglages par défaut. Voici comment construire une stratégie adaptée à vos besoins.

Bloquez les cookies tiers

C'est le changement le plus efficace pour la plupart des gens. Sur Chrome, allez dans Paramètres → Confidentialité et sécurité → Cookies tiers et bloquez-les. Sur Safari et Firefox, c'est déjà le cas par défaut. Bloquer les cookies tiers supprime le principal mécanisme de pistage intersites, et l'immense majorité des sites continuera de fonctionner normalement.

Videz régulièrement vos cookies

Tous les navigateurs permettent de consulter et de supprimer les cookies enregistrés, généralement depuis leurs paramètres de confidentialité ou leur option d'effacement des données de navigation. Dans Firefox, c'est Paramètres → Vie privée et sécurité → Cookies et données de sites. Vous pouvez tout effacer d'un coup ou ne supprimer que les cookies de certains sites. Voyez-le comme une remise à zéro des traces accumulées.

Oui, vider vos cookies vous déconnectera de la plupart des sites. C'est d'ailleurs instructif : cela révèle tout ce que ces minuscules fichiers faisaient discrètement en coulisses.

Activez Global Privacy Control

Si votre navigateur prend en charge GPC, activez-le. Dans Firefox, cherchez dans Paramètres → Vie privée et sécurité. Dans Brave, il est activé par défaut. Pour Chrome, installez une extension GPC. Votre navigateur envoie alors un signal juridiquement reconnu à chaque site visité, ce qui automatise l'opposition qu'il faudrait sinon exprimer bandeau après bandeau.

Utilisez des extensions

Consent-O-Matic est une extension open source qui remplit automatiquement vos préférences de confidentialité dans les bandeaux de consentement. Au lieu de masquer les bandeaux, elle interagit avec eux, si bien que vos préférences sont réellement transmises au site.

uBlock Origin est avant tout un bloqueur de publicités, mais il empêche aussi de nombreux scripts de pistage tiers de se charger, ce qui stoppe les cookies avant même qu'ils soient déposés.

Privacy Badger (de l'Electronic Frontier Foundation) apprend quels domaines vous pistent et les bloque au fil de l'eau, au lieu de s'appuyer sur une liste figée.

Envisagez un navigateur axé sur la confidentialité

Si la confidentialité des cookies est une priorité, changer de navigateur peut être plus efficace que de greffer des extensions sur un navigateur moins protecteur. Firefox, Brave et DuckDuckGo Browser sont tous livrés avec de solides protections anti-pistage par défaut. Tor Browser va plus loin : il fait transiter le trafic par plusieurs relais et isole toutes les données par site, au prix d'un net ralentissement.

Utilisez la navigation privée à bon escient

La navigation privée est utile pour des sessions ponctuelles : comparer des prix sans être reciblé ensuite, visiter un site inconnu ou naviguer sur un appareil partagé. Tous les cookies recueillis pendant la session sont effacés à la fermeture de la fenêtre. Ce n'est pas une solution de confidentialité à elle seule, mais c'est un outil pratique dans des situations précises.

Sous le capot : les attributs de sécurité qui comptent

Si vous avez déjà inspecté des cookies dans les outils de développement de votre navigateur, vous avez peut-être remarqué d'autres attributs qu'un simple nom et une valeur. C'est grâce à ces indicateurs de sécurité que les sites bien conçus protègent les données de leurs cookies, et les comprendre vous aide à juger du sérieux d'un site en matière de sécurité.

Secure : le cookie n'est envoyé que sur des connexions chiffrées (HTTPS). Sur une connexion HTTP non chiffrée, il est retenu, ce qui empêche son interception en transit. Tout site sérieux traitant des données sensibles devrait l'appliquer à tous ses cookies.

HttpOnly : le cookie ne peut être ni lu ni modifié par le JavaScript de la page. C'est une défense essentielle contre les attaques XSS (cross-site scripting), où un script malveillant tente de voler votre cookie de session. Si un cookie de session porte l'indicateur HttpOnly, une attaque par injection de script ne peut pas y accéder via document.cookie.

SameSite : cet attribut détermine si le cookie est envoyé avec les requêtes intersites. Il admet trois valeurs : Strict (le cookie n'est envoyé que pour les requêtes provenant du même site, la protection la plus forte), Lax (envoyé pour les requêtes du même site et pour les navigations de premier niveau depuis d'autres sites, comme un clic sur un lien ; c'est la valeur par défaut des navigateurs modernes) et None (envoyé avec toutes les requêtes, intersites comprises ; indispensable au fonctionnement des cookies tiers, et obligatoirement associé à Secure).

Ensemble, ces attributs constituent le socle de la sécurité des cookies. Un cookie de session correctement configuré ressemble à ceci : Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Si les cookies d'un site n'ont pas ces indicateurs, en particulier Secure et HttpOnly sur les cookies de session, c'est une faiblesse de sécurité notable.

Inutile de retenir tout cela par cœur, mais savoir que ces attributs existent aide à comprendre pourquoi les navigateurs soucieux de sécurité et les outils de confidentialité évaluent les cookies comme ils le font.

Questions fréquentes

Les cookies peuvent-ils me transmettre un virus ? Non. Les cookies sont de simples données : ils ne peuvent ni exécuter de code, ni installer de logiciel, ni accéder directement à vos fichiers. Le risque lié aux cookies concerne la vie privée (le suivi de votre comportement) et, dans quelques cas limites, la sécurité (si un attaquant vole votre cookie de session pour usurper votre identité). Mais les cookies eux-mêmes ne peuvent pas infecter votre appareil.

Que se passe-t-il si je refuse tous les cookies ? Si vous ne refusez que les cookies non essentiels, la plupart des sites fonctionneront normalement : vous ne serez simplement pas pisté à des fins publicitaires. Si vous bloquez tous les cookies, essentiels compris, beaucoup de sites ne fonctionneront plus : impossible de rester connecté, paniers inutilisables, et certaines pages risquent de ne pas s'afficher correctement.

Dois-je accepter les cookies pour utiliser un site ? Les cookies essentiels sont toujours nécessaires, et la plupart des navigateurs les autorisent par défaut. Pour les cookies non essentiels, vous avez généralement le choix. Au regard du RGPD, un site ne peut pas vous refuser l'accès parce que vous avez rejeté les cookies non essentiels. Certains enfreignent cette règle avec des « cookie walls », mais les régulateurs les jugent de plus en plus souvent non conformes.

À quelle fréquence vider mes cookies ? Il n'y a pas de règle universelle. Une fois par semaine ou par mois constitue une base raisonnable pour la plupart des gens. Si la confidentialité vous importe, les vider plus souvent, ou régler votre navigateur pour qu'il les efface à la fermeture, réduit la période pendant laquelle les données de suivi s'accumulent.

Les cookies sont-ils les mêmes dans tous les navigateurs ? Les cookies sont stockés séparément par navigateur et par profil. Un cookie déposé dans Chrome n'existe pas dans Firefox, et inversement. Si vous utilisez plusieurs navigateurs, vos profils de suivi sont répartis entre eux, ce qui constitue d'ailleurs une tactique de confidentialité toute simple.

La navigation privée suffit-elle à me protéger des cookies ? En partie. La navigation privée supprime tous les cookies à la fermeture de la fenêtre, ce qui les empêche de persister d'une session à l'autre. Mais pendant la session, les cookies fonctionnent normalement : les sites peuvent toujours suivre votre activité dans cette fenêtre. Pour une meilleure confidentialité, combinez la navigation privée avec un navigateur qui bloque les cookies tiers par défaut.

Quelle différence entre vider les cookies et vider le cache ? Les cookies stockent des données liées à votre identité et à vos préférences (connexions, identifiants de session, identifiants de suivi). Le cache stocke des copies des ressources des pages web (images, scripts, feuilles de style) pour accélérer leur chargement. Vider les cookies vous déconnecte et efface votre trace de suivi. Vider le cache force simplement les pages à recharger leur contenu. Ce sont deux actions distinctes dans les paramètres de votre navigateur.

Les cookies ne disparaîtront pas, mais c'est vous qui décidez

Les cookies sont une technologie fondatrice du web. Ils rendent possibles les systèmes de connexion, les paniers d'achat et les expériences personnalisées. Le problème n'a jamais été les cookies eux-mêmes, mais l'usage incontrôlé des cookies tiers pour bâtir une infrastructure de surveillance sans véritable consentement des utilisateurs.

Les choses changent. Les réglementations sur la vie privée exigent désormais transparence et consentement réel. Safari, Firefox et Brave ont fait de la protection contre le pistage un réglage par défaut. Global Privacy Control offre aux utilisateurs un signal d'opposition unique doté d'une portée juridique. Et même Chrome, qui autorise toujours les cookies tiers, propose les réglages nécessaires pour les bloquer si vous le souhaitez.

Pour la plupart des gens, l'approche pratique est simple : acceptez les cookies essentiels (vous en avez besoin), envisagez d'accepter les cookies fonctionnels et analytiques sur les sites de confiance, et refusez les cookies marketing, sauf si vous tenez vraiment aux publicités personnalisées. Bloquez les cookies tiers dans les paramètres de votre navigateur. Activez GPC si votre navigateur le prend en charge. Videz vos cookies régulièrement. Et si la confidentialité des cookies vous importe vraiment, optez pour un navigateur qui en fait un réglage par défaut plutôt qu'une option.

Inutile de devenir paranoïaque. Il suffit d'arrêter de cliquer machinalement sur « Tout accepter », maintenant que vous savez ce qui se cache derrière ce bouton.