Ton acquisition n'a pas baissé : ta bannière cookies a rendu ta mesure aveugle

La doxa du consentement tient en une phrase : « depuis le RGPD, on ne peut plus rien mesurer ».

C'est faux, et ça coûte cher. Le consentement n'efface pas l'information sur l'origine de tes clients. Il coupe un fil, à un endroit très précis — et presque personne ne sait lequel.

Le symptôme, lui, est partout. Un tableau de bord Google Ads qui plonge, un budget qu'on coupe, une campagne qu'on arrête.

Alors que rien n'a baissé. Seule la mesure est devenue aveugle.

Capter la source à l'entrée, on l'a traité dans suivre l'origine de tes prospects. La lire et la rattacher à une vente, dans savoir quel canal rapporte. Cet article traite ce qui casse les deux en silence.

Ce que la bannière coupe exactement

Commence par le mécanisme, pas par la loi.

La bannière de consentement CrocoClick fait deux choses distinctes. Elle affiche le bandeau et enregistre le choix du visiteur dans un cookie. Et elle émet un événement au moment de ce choix — par exemple LCCookieConsentDoneGTM.

Elle enregistre le choix. Elle ne le dit pas à Google.

C'est là que ça casse. Si tu colles le code Google Tag Manager, Google Analytics ou Pixel Meta « standard », personne n'écoute cet événement. Le choix est stocké, jamais transmis.

Le résultat est documenté : l'état interne reste default: denied sur les quatre catégories, aucun consent update ne part, les requêtes sortent avec gcs=G100 et aucune conversion Google Ads n'est comptabilisée.

La doc CrocoClick ne prend pas de gants : c'est « la cause n°1 des conversions qui ne remontent pas ».

Lis bien ce que ça implique. Le problème n'est pas que le visiteur a refusé. C'est qu'il a cliqué sur « Tout accepter » et que ton suivi est resté bloqué en mode refusé.

Ce que la bannière ne coupe pas

Deuxième correction, côté Google.

Quand le consentement de stockage est refusé, les balises compatibles n'écrivent pas de cookies. Elles envoient à la place l'état de consentement et l'activité sous forme de mesures sans cookies — ce qui permet à Google Ads et Google Analytics de modéliser les conversions.

Voilà maintenant la moitié de phrase qu'on oublie : ça dépend de l'implémentation, et Google en décrit deux.

En mode de base, les balises sont bloquées jusqu'à l'interaction avec la bannière. Si l'utilisateur ne consent pas, « aucune donnée n'est transmise à Google (pas même l'état du consentement) », le déclenchement est totalement bloqué, et la modélisation retombe sur un modèle général.

En mode avancé, les balises se chargent avec un consentement refusé par défaut — sauf si tu paramètres tes propres valeurs — puis l'état est mis à jour selon le choix du visiteur.

C'est dans cette implémentation que les mesures sans cookies partent pendant le refus, avec un modèle spécifique à l'annonceur.

Et voilà ce qu'aucune des deux docs ne dit seule : le code d'en-tête de la doc CrocoClick correspond à ce schéma avancé. Il pose un gtag("consent","default", …) en denied au chargement, puis envoie un consent update sur l'événement de la bannière.

Autre détail peu connu. Avec ad_storage refusé, Google documente que l'URL complète de la page est quand même collectée, identifiants de clic (GCLID / DCLID) compris.

Avec une réserve, et elle compte : si tu actives ads_data_redaction, ces identifiants et les URL qui les portent sont expurgés. Les deux moitiés se lisent ensemble.

Note bien le périmètre. Ce que Google documente ici, c'est le comportement de ses propres balises — pas celui de la capture d'attribution de ton CRM.

Direct Traffic : les trois causes que la doc nomme

C'est le réflexe du moment. Un pic de Direct Traffic, et on accuse la bannière.

La mécanique du calcul de la source est déroulée en détail dans le pilier attribution de ce cluster. Ce qu'il faut en retenir ici : le repli Direct Traffic s'applique quand il n'y a ni référent ni paramètre de tracking.

Ce qui t'intéresse, c'est la liste des coupables documentés. Quand des UTM manquent, la doc nomme trois causes fréquentes :

• La navigation avant la soumission. La capture se fait sur la session active ; si le visiteur part sur une autre page avant de soumettre, les UTM « risquent d'être perdus ».
• Le formulaire non natif. L'attribution se rattache aux interactions natives — formulaire, sondage, calendrier, Chat Widget, formulaire de commande. Un widget tiers ne capture pas l'attribution.
• La casse ou la faute de frappe dans les paramètres.

Aucune des trois ne porte sur le consentement.

Et voici la limite, parce qu'elle vaut mieux qu'une certitude bricolée. Aucune de ces sources ne documente le consentement comme cause d'UTM manquants — et aucune ne documente l'inverse non plus.

Les trois causes sont données comme fréquentes, pas comme exhaustives. Commence par elles : elles se vérifient sans attendre, en regardant tes URL et l'endroit exact où ton formulaire est posé.

Réparer le pont, en trois gestes

1. Remplace ton code de suivi, ne l'empile pas.

Pose, dans le code de suivi de l'en-tête, la version du code qui écoute l'événement de la bannière et déclenche le gtag('consent','update', …). Trois variantes selon ton outil : GTM (LCCookieConsentDoneGTM), gtag.js (LCCookieConsentDoneGTag), Pixel Meta (LCCookieConsentDoneFB).

Deux pièges nommés par la doc. Le code ne va pas dans le module bannière, qui ne gère que l'affichage et l'enregistrement du choix — mais dans l'en-tête du site, du funnel ou de la page, et avant tout autre chargement de Google.

Et il remplace ton ancien code. Collé en plus, les tags se chargent deux fois et le consentement n'est pas respecté.

Le noscript. GTM fournit deux extraits : un script pour l'en-tête, un noscript pour le corps. Si ton code d'origine contenait ce noscript, retire-le : la bannière est une solution JavaScript, et ce noscript peut déposer des cookies sans passer par le consentement.

2. Vérifie avec les bons yeux.

Navigation privée, cookies du domaine supprimés, puis Google Tag Assistant ou l'onglet Réseau. Avant consentement, les quatre signaux — ad_storage, ad_user_data, ad_personalization, analytics_storage — sont sur denied ; après « Tout accepter », ils passent à granted et gcs passe de G100 à G111.

Nuance à ne pas sauter. gcs=G111 ne confirme que ad_storage et analytics_storage. Consent Mode v2 ajoutant ad_user_data et ad_personalization, la doc demande de vérifier aussi l'état complet via le paramètre gcd.

3. Garde un seul gestionnaire de consentement.

Un CMP tiers (Axeptio, Cookiebot…) reste possible : tu désactives la bannière native, tu retires tout ancien script Consent Mode, et tu suis la documentation du CMP pour GTM, Google Ads et GA4.

Mais un seul actif : la doc est explicite, c'est pour éviter deux bandeaux et des conflits de signaux.

Jusqu'où mesurer sans consentement

Maintenant la question que tout le monde esquive.

La CNIL y répond précisément. Les cookies déposés pour produire des statistiques de fréquentation ou de performance peuvent être exemptés de consentement, sous certaines conditions, au titre de l'article 82 de la loi Informatique et Libertés.

Les conditions vont dans les deux sens. Pour être exemptés, ces traceurs doivent servir une finalité strictement limitée à la mesure d'audience du site, pour le compte exclusif de l'éditeur, et produire des statistiques anonymes uniquement.

Et ils ne doivent pas conduire à un recoupement avec d'autres traitements, ni transmettre des données non anonymes à des tiers, ni permettre le suivi global d'une personne utilisant différentes applications ou naviguant sur différents sites web.

Autrement dit : une mesure que tu gardes pour toi peut entrer dans l'exemption. Une mesure qui nourrit le ciblage publicitaire d'un tiers, non.

La CNIL ajoute des recommandations, qu'elle distingue des conditions : informer les utilisateurs, par exemple via la politique de confidentialité ; limiter la durée de vie des traceurs — treize mois est l'exemple cité — sans prorogation automatique à chaque visite ; conserver les informations collectées vingt-cinq mois au maximum.

Elle recommande aussi de réexaminer ces durées périodiquement, et d'être attentif aux éventuels transferts de données hors de l'Union européenne que ton fournisseur de solution pourrait réaliser.

Elle prévient enfin que certaines offres n'entrent pas dans le périmètre de l'exemption, notamment quand leurs fournisseurs indiquent réutiliser les données pour leur propre compte — avec une porte laissée ouverte : dans certains cas, il est possible de configurer ces outils pour désactiver cette réutilisation.

Côté Google, la règle est aussi nette : c'est toi qui es responsable de l'obtention du consentement sur ton site.

Les trois réglages qui changent quelque chose

Trois leviers utiles ici. Aucun ne te rend conforme à lui seul : ils réduisent le travail, ils ne le remplacent pas.

Le contrôle par région. Monde entier, UE et UK seulement, ou pays sélectionnés manuellement. Tu n'imposes pas un bandeau à un visiteur hors zone réglementée.

Le type de consentement. Opt-In, avec « Accepter essentiel » et « Accepter tout », ou « Pas de demande », avec un bouton unique « OK ».

La durée de validité. Le nombre de jours avant que le consentement soit redemandé — plus le lien vers ta politique de confidentialité.

Côté visiteur, le refus est documenté : dans la popup de préférences, il peut refuser, sauvegarder ses préférences ou annuler. S'il refuse, seuls les cookies essentiels sont déposés.

Sache en revanche ce que la bannière native ne te donne pas. Le seul mécanisme de re-demande documenté est cette durée de validité : un re-prompt que tu déclenches, pas un retrait à l'initiative du visiteur.

La doc pose elle-même l'arbitrage : si tu as besoin d'un « historique des consentements » ou de la « réouverture du panneau de préférences », elle range ces deux besoins parmi les raisons de préférer un CMP tiers.

Range ensuite tes cookies dans les catégories prédéfinies — Essentiel (toujours actif), Fonctionnel, Analytics, Performance, Publicité, Non catégorisés. Et scanne ton site bannière temporairement désactivée, sinon les cookies non essentiels sont bloqués et le scan est incomplet.

Un mot sur les formulaires, qui relèvent d'un autre régime : la collecte de données personnelles, pas le dépôt de cookies. La case de consentement s'y ajoute via l'élément « T&C » du Générateur de Formulaires — automatiquement, dès que tu poses un champ téléphonique.

Dernière chose, et la doc le dit elle-même : cet outil facilite la conformité, il ne garantit pas à lui seul le respect des lois. La responsabilité reste la tienne.

La vérification de dix minutes

• Ouvrir une page en navigation privée, cookies du domaine supprimés.
• Lire les quatre signaux avant consentement : tous sur denied.
• Cliquer « Tout accepter », vérifier le passage à granted et gcs de G100 à G111.
• Vérifier aussi le paramètre gcd, pas seulement gcs.
• Confirmer qu'un seul gestionnaire de consentement est actif.
• Chercher un noscript GTM résiduel dans le code du corps.
• Ouvrir trois contacts du mois et lire leur Première et Dernière Attribution.
• Pour ceux en Direct Traffic, regarder d'abord l'URL et l'emplacement du formulaire.

Ce que ça change

Tu arrêtes d'arbitrer sur un compteur cassé.

La mesure est le préalable de tout levier d'acquisition. Sans elle, tu ne coupes pas un canal : tu coupes au hasard.

Et tu sors du faux dilemme. Le consentement n'est pas l'ennemi de la mesure — c'est un signal de plus à transmettre correctement, au bon endroit, dans le bon code.

Un budget qu'on double parce que la conversion remonte, ce n'est plus un acte de foi. C'est une lecture.

Pour poser le pont Consent Mode v2 proprement — codes par outil, vérification, CMP tiers — la doc source est ici.