Que sont les cookies tiers ?

Un cookie est dit « tiers » lorsqu’il est posé par un domaine différent du site web que le visiteur regarde réellement. Lorsque vous intégrez une vidéo YouTube, l’iframe peut amener les domaines de Google à poser des cookies dans le navigateur du visiteur, alors même que celui-ci pense simplement se trouver sur votre site.

Pourquoi les navigateurs les restreignent

Les cookies tiers sont couramment utilisés pour le suivi intersite et la publicité, ce qui explique pourquoi les navigateurs modernes les bloquent ou les limitent de plus en plus par défaut, et pourquoi des réglementations comme le RGPD portent une attention particulière à la façon et au moment où ils sont posés.

Réduire l’exposition aux cookies tiers

Utiliser le domaine d’intégration youtube-nocookie.com, différer les intégrations jusqu’après le consentement, ou utiliser un modèle léger de miniature-puis-chargement (n’insérer la vraie iframe qu’après le clic d’un visiteur) sont les trois mesures d’atténuation les plus courantes.

Comment les cookies tiers sont réellement posés via une intégration

Lorsque votre page contient une iframe YouTube, le navigateur du visiteur envoie une requête directe aux serveurs de Google pour charger le contenu de cette iframe, entièrement distincte de la requête qui a chargé votre propre page. Comme cette deuxième requête va vers un domaine différent de celui affiché dans la barre d’adresse, tout cookie qu’elle pose compte comme tiers. C’est une conséquence structurelle du fonctionnement des iframes, pas quelque chose qu’un propriétaire de site peut empêcher uniquement par le code de sa propre page ; on ne peut l’influencer que par le choix du domaine d’intégration et des réglages.

Un exemple concret

Imaginez une visiteuse sur votresite.fr avec une vidéo YouTube intégrée. Charger l’intégration standard youtube.com peut poser un cookie lisible par google.com la prochaine fois que le navigateur de cette visiteuse visite un site quelconque intégrant un service Google, contribuant au suivi publicitaire intersite. Charger la même vidéo depuis youtube-nocookie.com reporte cette pose de cookie jusqu’à ce que le visiteur appuie effectivement sur lecture, réduisant sensiblement la fenêtre pendant laquelle le suivi passif peut se produire.

Cookies tiers contre cookies internes

Un cookie interne (first-party) est posé par le domaine affiché dans la barre d’adresse, votre propre site, généralement pour des choses comme mémoriser un panier d’achat ou une session de connexion, et il est généralement considéré comme moins risqué puisque le lien avec le site visible est évident. Un cookie tiers, posé par une ressource intégrée comme YouTube, est moins visible pour le visiteur et constitue la catégorie que ciblent particulièrement la plupart des réglementations sur la vie privée et des restrictions modernes des navigateurs. Des navigateurs comme Safari et Firefox bloquent aujourd’hui de nombreux cookies tiers par défaut, ce qui réduit progressivement la portée de cette catégorie indépendamment de tout choix au niveau du site. Voir youtube-nocookie.com pour la solution spécifique vers laquelle les outils de ce site basculent par défaut.

Comprendre cette distinction aide à expliquer pourquoi un site peut sembler identique en surface, même vidéo, même lecteur, mais se comporter très différemment du point de vue de la vie privée, uniquement selon le domaine d’intégration utilisé.

Questions fréquentes