Le scanner

Ce que fait une analyse

1. Elle trouve vos pages. Elle lit les sitemaps indiqués dans votre robots.txt, ou /sitemap.xml s’il n’y en a pas. Elle répartit ses visites entre les sections de votre site, si bien que même une boutique de plusieurs milliers de produits voit ses pages de commande examinées. Quand le sitemap contient trop peu de pages, elle suit les liens de votre page d’accueil.
2. Elle les visite avant le consentement. Un navigateur vierge ouvre chaque page et ne fait jamais de choix. Tout ce qui est déposé à ce stade l’a été avant que le visiteur puisse dire quoi que ce soit.
3. Elle les visite après le consentement. Un second navigateur vierge accepte tout sur la première page, puis visite les autres. On voit ainsi ce que votre site dépose une fois que le visiteur a donné son accord.
4. Elle vérifie le signal de confidentialité. Une visite supplémentaire de votre page d’accueil envoie Global Privacy Control, pour voir si votre site le respecte.
5. Elle vérifie votre cache. Elle compare votre page d’accueil avec une copie non mise en cache, pour repérer un cache qui sert encore des pages sans la ligne Cookiemark.

Pour chaque visite, le scanner relève les cookies, les scripts et les autres domaines que votre page contacte. La différence entre les deux visites est au cœur du rapport.

Lire le rapport

Le rapport commence par ce qui demande votre attention. Un constat signalé comme problème est un point qu’une autorité de protection des données contesterait. Un constat à vérifier demande un examen humain.

• Un fournisseur qui dépose des cookies avant le choix du visiteur, avec les pages concernées.
• Des cookies qu’aucune liste ne reconnaît et qui n’ont donc pas encore de catégorie.
• Les pages où le script Cookiemark est absent.
• Un cache qui sert encore votre site sans le script.
• Tag Manager chargé deux fois, si bien que chaque balise se déclenche deux fois.
• Une balise Google qui démarre avant les valeurs par défaut de Consent Mode.
• Les pages qui n’ont pas pu être vérifiées, par exemple parce qu’elles ne se sont pas chargées.

Vient ensuite une liste de contrôles, chacun réussi, échoué ou ignoré :

Identifier les cookies

Pour chaque cookie trouvé, le scanner cherche à trois endroits : d’abord dans votre propre liste des cookies, puis parmi les services que Cookiemark connaît, puis dans une base de données partagée construite à partir de l’Open Cookie Database. Une correspondance fournit une catégorie, un fournisseur, une finalité et une durée de conservation. Un cookie sans correspondance est indiqué comme inconnu.

Le rapport propose les cookies qui ne figurent pas encore dans votre liste. Cochez ceux que vous voulez, cliquez sur le bouton pour les ajouter, puis publiez. Ils apparaissent alors dans la fenêtre des préférences. Lisez les suggestions avant de les ajouter, car un même nom peut désigner des choses différentes selon les sites.

Combien de pages, et à quelle fréquence

Le nombre de pages par analyse dépend de votre offre. Ces limites sont généreuses et ne déterminent pas le prix.

Un site payant est analysé tous les mois, sauf si vous modifiez la planification dans son onglet Analyse. Avec l’offre Free, un site est analysé quand vous lancez une analyse ; les analyses planifiées, ainsi que l’e-mail envoyé quand un nouveau cookie apparaît, sont inclus avec les sites payants. Vous pouvez aussi choisir de n’analyser que lorsque vous en lancez une. Les analyses planifiées s’exécutent pour les sites publiés dont le domaine est vérifié, ce qui se produit la première fois qu’une analyse trouve votre script sur le site.

Vous pouvez lancer une analyse à la main quand vous le souhaitez, avec dix minutes d’intervalle entre deux analyses du même site. Les propriétaires, administrateurs et éditeurs peuvent en lancer une. Les personnes côté client ne le peuvent pas.

L’analyse gratuite

Tout le monde peut analyser un site sur cookiemark.com/scan, sans compte. Cette analyse visite 5 pages et effectue les mêmes contrôles. Pour qu’elle reste gratuite pour tous, un même visiteur peut lancer trois analyses gratuites par jour.

Qui visite votre site

Les analyses s’exécutent dans un navigateur Chromium sur nos serveurs dans l’UE. Le navigateur s’identifie dans son user agent avec CookiemarkScanner/1.0. Si un pare-feu ou un filtre anti-robots le bloque, le rapport indique les pages qu’il n’a pas pu vérifier. Autorisez ce user agent pour laisser passer les analyses.

Vos statistiques restent propres

Le scanner charge tous les scripts de vos pages, comme le ferait le navigateur d’un visiteur. Il ne laisse pas passer les requêtes qui signalent une visite à Google Analytics, Google Ads, Meta, LinkedIn, TikTok, Pinterest, Microsoft Clarity, Hotjar, Bing, HubSpot, Matomo, Plausible, Fathom ou Umami. Il y répond lui-même : une analyse ne compte donc jamais comme une page vue, un enregistrement de session ou un membre d’une audience publicitaire.

Le scanner clique aussi sur Tout accepter dans votre bandeau, pour voir ce qui se charge après un choix. Ce choix n’est pas celui d’un visiteur : il n’arrive donc jamais dans votre journal des consentements ni dans vos chiffres.

Le rapport montre tout de même que la requête a été faite, et si c’était avant ou après le consentement. Quelques cookies publicitaires, comme fr de Meta et IDE de Google Ads, sont déposés par la réponse de la plateforme à cette requête. Le rapport les indique comme attendus, avec un contour en pointillés.

Le scanner ne visite que des adresses publiques. Il refuse les réseaux privés, la machine sur laquelle il tourne et les adresses internes des fournisseurs cloud, y compris quand une page tente de l’y envoyer.

Ce qu’une analyse ne peut pas voir

• Les pages protégées par une connexion, comme un compte client.
• Les étapes qui demandent une action du visiteur, comme remplir un panier ou envoyer un formulaire.
• Les cookies déposés uniquement dans certains pays, ou seulement après un certain temps passé sur le site.
• Les pages vers lesquelles ni le sitemap ni la page d’accueil ne renvoient.

Analyses rapides et analyses complètes

La plupart des cookies viennent du gabarit du site, ils sont donc présents sur toutes les pages. Analyser des milliers de pages produits n’apprend guère plus que vingt pages bien choisies. C’est pourquoi il existe deux types d’analyse.

• Une analyse complète visite autant de pages que votre offre le permet : la page d’accueil, puis une page de chaque section, puis le reste. Elle ne prend que quelques pages construites sur le même gabarit, comme les pages produits, et consacre le reste aux pages qui diffèrent. Les analyses que vous lancez vous-même et les analyses mensuelles sont des analyses complètes.
• Une analyse rapide visite jusqu’à 40 pages : les pages qui posaient problème lors de la dernière analyse, celles qui ont changé depuis selon votre sitemap, et une ou deux pages de chaque section. Avec une planification hebdomadaire, vous avez une analyse rapide chaque semaine et une analyse complète toutes les quatre semaines.

Les analyses ignorent les vidéos et les polices web, qui ne déposent aucun cookie. Une requête vers un service de polices compte tout de même comme un domaine contacté : vous la voyez donc toujours dans le rapport.