Fin des cookies tiers : ce qui change pour votre mesure d'audience

Cookie tiers vs cookie first-party : la distinction qui change tout

• Cookie tiers : déposé par un domaine différent de celui que l’utilisateur visite (régie publicitaire, réseau social, outil de retargeting). Sa fonction : reconnaître le même internaute d’un site à l’autre. C’est lui que les navigateurs bloquent.
• Cookie first-party : déposé par le domaine visité. Il sert à la session, au panier, aux préférences, et aussi à l’analytics classique (GA4 identifie les visiteurs récurrents via un cookie first-party).

La fin des cookies tiers ne supprime donc pas mécaniquement votre outil d’analytics. Mais elle l’affaiblit par ricochet : Safari limite à 7 jours la durée de vie des cookies first-party posés par des scripts de tracking connus. Un visiteur Safari qui revient après 8 jours est compté comme nouveau. Votre métrique « visiteurs récurrents » est déjà fausse sur une partie de votre trafic.

Et rappel utile : quel que soit leur type, les cookies non essentiels restent soumis au consentement préalable. Le cadre juridique complet est dans notre guide de la gestion du consentement et notre guide de la bannière cookie conforme CNIL.

La chronologie de la fin des cookies tiers (2017-2026)

Safari : Intelligent Tracking Prevention (ITP)

• 2017, ITP 1.0 : durée des cookies tiers limitée à 24 heures
• 2018, ITP 2.0 : blocage de tous les cookies tiers par défaut
• 2019, ITP 2.1 : cookies first-party posés par JavaScript limités à 7 jours
• ITP 2.3 et suivants : restrictions sur le localStorage et les referrers

Firefox : Enhanced Tracking Protection (ETP)

• 2019 : blocage par défaut des cookies de tracking connus (listes Disconnect), activé pour tous les utilisateurs sans configuration.

Chrome : la saga Privacy Sandbox

• Janvier 2020 : Google annonce la fin des cookies tiers « d’ici 2 ans »
• 2021, 2022, 2024 : trois reports successifs (fin 2023, mi-2024, début 2025)
• Juillet 2024 : revirement, pas de suppression par défaut, mais un « choix utilisateur »
• Avril 2025 : Google confirme qu’il n’y aura pas de prompt de consentement dédié ; les cookies tiers se gèrent dans les paramètres de confidentialité existants

En parallèle, les API Privacy Sandbox se déploient : Topics (catégories d’intérêt déduites localement par le navigateur, 3 topics partagés au maximum), Attribution Reporting (mesure des conversions sans suivi individuel), Protected Audiences (ciblage sans partage des données de navigation). Adoption laborieuse : début 2025, seuls 32 % des acheteurs programmatiques déclaraient les utiliser.

Le régulateur, lui, n’a pas attendu les navigateurs : la CNIL sanctionne le dépôt de traceurs sans consentement depuis des années, Google (325 M€ en 2025) et SHEIN (150 M€) en tête. Voir la liste des sanctions CNIL.

Ce qui change concrètement pour votre mesure d’audience

Trois érosions se cumulent, et elles ne frappent pas au hasard :

1. L’érosion navigateur : sur Safari et Firefox, le suivi inter-sites est mort et le suivi first-party est plafonné à 7 jours (Safari). Vos visiteurs récurrents y sont systématiquement sous-comptés.
2. L’érosion consentement : 30 à 70 % des visiteurs refusent les cookies selon les secteurs. Un outil qui exige le consentement ne voit que la fraction qui accepte, avec un biais de sélection (les profils qui acceptent ne se comportent pas comme les autres).
3. L’érosion bloqueurs : plus de 30 % des internautes français utilisent un bloqueur, plus de 50 % sur les audiences techniques. Les scripts d’analytics connus sont bloqués avant d’avoir mesuré quoi que ce soit.

Résultat : deux sites identiques peuvent afficher des trafics divergents de moitié selon l’outil de mesure. Ce n’est pas un problème de paramétrage : c’est un problème de méthode.

Ce qui change pour la publicité

Le retargeting et l’attribution multi-sites reposaient sur les cookies tiers. Leur déclin a deux conséquences :

• Le ciblage individuel inter-sites devient impossible ou illégal : impossible techniquement là où les navigateurs bloquent, illégal sans consentement partout en Europe. Criteo l’a payé 40 M€ en 2023 pour des données collectées sans consentement valide via ses partenaires.
• Les remplaçants sont agrégés, pas individuels : Topics et Attribution Reporting fournissent des cohortes et des conversions agrégées, pas des profils. La publicité contextuelle (cibler le contenu de la page, pas la personne) redevient une stratégie de premier plan.

Pour les annonceurs, le pivot stratégique est le même que pour la mesure : reconstruire sur de la donnée first-party propre et consentie, pas sur des identifiants tiers en sursis.

Les alternatives pour mesurer son audience en 2026

Option 1 : Analytics avec cookies first-party + consentement. GA4 et consorts restent légaux avec un consentement explicite recueilli par une CMP conforme (scripts chargés seulement après accord, refus au même niveau que l’acceptation : c’est ce que fait Cookilio). Vous gardez le suivi des visiteurs récurrents, mais vous ne mesurez que ceux qui acceptent. Sur la conformité de GA4 et le Consent Mode, voir notre analyse Consent Mode v2.

Option 2 : Analytics sans cookie, exempté de consentement. Un outil qui ne dépose aucun traceur et respecte les conditions de l’exemption CNIL mesure 100 % de l’audience, sans bannière pour la mesure d’audience. C’est l’approche de Mirage Analytics, édité par DPLIANCE : aucun cookie, aucun traceur persistant, session replay et heatmaps sans identification individuelle, hébergement en France sur Scaleway, à partir de 19 € HT/mois. Le panorama complet des méthodes est dans notre guide web analytics : méthodes et outils.

Option 3 : Tracking server-side. La collecte se déplace du navigateur vers votre serveur : immune aux bloqueurs, contrôle total sur les données transmises. Les entreprises qui l’adoptent récupèrent en moyenne 20 à 40 % de conversions manquées, au prix d’une mise en place plus technique. Attention : ce n’est pas une exemption légale, les obligations RGPD s’appliquent identiquement.

Ce qu’on refuse de promettre

« Le fingerprinting remplacera les cookies tiers. » Non. L’empreinte navigateur est un traceur au sens de l’article 82 de la loi Informatique et Libertés, soumise au même consentement que les cookies, et plus intrusive, puisque l’utilisateur ne peut ni la voir ni la supprimer. Aucun outil sérieux ne construit là-dessus.

« Cookieless = zéro obligation. » Non. Sans cookie, l’exemption de consentement n’est acquise que si les conditions CNIL sont respectées (finalité limitée, pas de recoupement, pas de transmission à des tiers, pas de suivi inter-sites). Et si votre site utilise d’autres traceurs (publicité, réseaux sociaux, chat), la bannière reste obligatoire pour eux.

« Privacy Sandbox remplacera tout à l’identique. » Non. Les API de Google fournissent de l’agrégé, pas de l’individuel, leur adoption reste minoritaire, et elles ne concernent que Chrome. Bâtir sa mesure d’audience sur une roadmap que Google a déjà reportée quatre fois n’est pas une stratégie.

À lire aussi : Web analytics : méthodes et outils en 2026 | Gestion du consentement : guide RGPD | Bannière cookie conforme CNIL