Cookiebot et Consent Mode v2 : comment rester conforme sans sacrifier la performance

Cookiebot est l’une des plateformes de gestion du consentement (CMP) les plus utilisées en Europe, et elle fait partie des CMP certifiées par Google pour transmettre les signaux du Consent Mode v2. Mais installer Cookiebot ne suffit pas : la plupart des pertes de conversions que nous voyons sur des sites qui l’utilisent viennent de réglages, pas de l’outil. Cet article donne la configuration pas à pas avec Google Tag Manager, les contrôles qui prouvent qu’elle fonctionne, et la place du server-side dans l’ensemble.

Contenu mis à jour le 26 octobre 2026.

Ce que Cookiebot doit transmettre à Google

Le Consent Mode v2 attend quatre paramètres principaux. Cookiebot les déduit des catégories que le visiteur accepte. Voici la correspondance à vérifier dans votre installation.

Les deux paramètres ajoutés par la v2, ad_user_data et ad_personalization, sont ceux qui manquent le plus souvent sur les installations anciennes. Sans eux, Google considère le consentement comme incomplet pour les visiteurs de l’Espace économique européen, et les audiences de remarketing cessent de se remplir.

La configuration pas à pas avec Google Tag Manager

Étape 1 : choisir une seule méthode d’installation

Cookiebot peut s’installer directement dans le code du site (script uc.js avec votre identifiant de domaine) ou par le modèle Cookiebot de la galerie de modèles de Google Tag Manager. Choisissez l’une ou l’autre. Les doubles installations, script dans le thème et balise dans GTM, produisent des bandeaux en double et des états de consentement contradictoires.

Étape 2 : poser l’état par défaut au bon moment

Dans GTM, la balise Cookiebot doit se déclencher sur le déclencheur « Initialisation du consentement – Toutes les pages », qui passe avant tous les autres. Définissez l’état par défaut sur « refusé » pour les catégories statistiques et marketing, au moins pour les pays de l’EEE. Gardez un délai d’attente de mise à jour (wait_for_update) de l’ordre de 500 millisecondes, pour laisser le temps au bandeau de lire un choix déjà enregistré.

Étape 3 : régler les options publicitaires

Le modèle propose deux options utiles : la transmission des identifiants de clic dans l’URL (url_passthrough), qui aide à attribuer une conversion même sans cookie, et la suppression des données publicitaires en cas de refus (ads_data_redaction). Activez-les en connaissance de cause et documentez ce choix avec votre DPO.

Étape 4 : paramétrer le consentement des balises

Les balises Google (balise Google, GA4, conversions Google Ads) gèrent nativement le Consent Mode : ne les bloquez pas par un déclencheur d’exclusion, sinon vous perdez les signaux sans cookie du mode avancé. Les balises tierces (Meta, TikTok, LinkedIn) doivent, elles, exiger le consentement marketing dans les paramètres de consentement de GTM.

Étape 5 : éviter les conflits de blocage

Cookiebot dispose d’un mode de blocage automatique des scripts. Combiné à une gestion par GTM, il peut bloquer des balises qui devraient se déclencher après l’accord, ou l’inverse. Si GTM pilote le consentement, laissez GTM décider et réservez le blocage automatique aux scripts posés hors GTM.

Étape 6 : soigner le bandeau lui-même

Les lignes directrices de la CNIL imposent qu’il soit aussi simple de refuser que d’accepter. La CNIL a sanctionné en 2021 deux grandes plateformes (150 millions d’euros pour Google, 60 millions pour Facebook) sur ce point précis. Un bandeau clair, avec « Tout accepter » et « Tout refuser » au même niveau, reste conforme ; ce qui se joue ensuite, c’est la clarté du texte et le moment d’affichage.

Les contrôles qui prouvent que ça marche

1. Tag Assistant, trois scénarios : visite sans choix, refus total, acceptation totale. Dans les requêtes envoyées à Google, le paramètre gcs doit passer de G100 (tout refusé) à G111 (tout accepté), et le paramètre gcd doit refléter les quatre états.
2. Ordre des événements : dans l’aperçu GTM, l’événement « Consent Initialization » doit apparaître avant tout envoi de données, et l’événement de mise à jour Cookiebot juste après le clic sur le bandeau.
3. Diagnostic Google Ads : l’état du Consent Mode s’affiche dans le diagnostic des balises. Un avertissement sur les signaux manquants est la première chose à corriger.
4. Mobile et navigation privée : refaites les trois scénarios sur un téléphone et en navigation privée, où les comportements diffèrent souvent.
5. Scan Cookiebot : relisez le rapport de scan après chaque ajout d’outil. Un cookie non classé tombe dans une catégorie par défaut et peut être déposé sans consentement.

Mesurer l’écart de conversions avant et après la correction

Pour savoir ce qu’une configuration propre vous rapporte, comparez le même indicateur avant et après : conversions Google Ads divisées par ventes réelles attribuables au payant, sur quatre semaines de part et d’autre de la correction. Une installation défaillante qui bloquait aussi les visiteurs consentants produit typiquement une remontée nette de ce ratio après correction. Une installation qui fonctionnait déjà ne bougera presque pas : dans ce cas, le gain viendra d’ailleurs, par exemple de l’import des conversions depuis le CRM. Notre retour d’expérience sur l’après Consent Mode v2 détaille ce protocole semaine par semaine.

Cookiebot, server-side et Consent Mode : un trio qui a ses conditions

Le server-side est souvent vendu avec la CMP comme le moyen de « récupérer » les données perdues. La combinaison est solide, mais il faut savoir ce que chaque brique fait.

Le piège le plus coûteux est un serveur qui ne lit pas l’état de consentement : il envoie des données pour tout le monde, les chiffres paraissent excellents, mais ils sont non conformes et l’algorithme apprend sur une réalité déformée. Une configuration server-side bien faite transmet l’état Cookiebot à chaque événement et le respecte côté serveur. Elle a surtout du sens pour les sites à fort volume et les équipes capables de la maintenir. Notre guide complet du tracking server-side détaille l’architecture.

Ce que Cookiebot ne règle pas

• La définition de vos conversions : une action déclenchée deux fois reste comptée deux fois.
• Le taux d’acceptation : il dépend surtout du design et du texte du bandeau, que vous restez libre de travailler dans le cadre de la CNIL.
• Les sites multi-domaines : chaque domaine doit être déclaré et testé, sinon le consentement ne suit pas le visiteur.

Si vous voulez un regard extérieur sur votre installation actuelle, demandez un audit de votre tracking : nous testons les trois scénarios et vous remettons la liste des corrections.