Depuis que la CNIL exige qu’il soit aussi simple de refuser les traceurs que de les accepter, chaque site qui charge Google Analytics, une vidéo YouTube ou une carte Google Maps doit bloquer ces services tant que le visiteur n’a pas fait son choix. Tarteaucitron répond à ce besoin depuis 2014. Né comme un script personnel publié sur GitHub par le développeur Amauri Champeaux, il est devenu l’une des plateformes de gestion du consentement (CMP) les plus répandues sur les sites français, des blogs aux administrations.
Quel problème tarteaucitron règle, et pour qui
Une CMP sert à trois choses : afficher un bandeau qui recueille le choix du visiteur, empêcher les services tiers de se charger avant ce choix, puis les activer ou non selon la réponse. Tarteaucitron se concentre sur ce rôle technique. Il ne cherche pas à maximiser le taux d’acceptation ni à collecter des informations sur les visiteurs : le choix est mémorisé dans le navigateur, sans base centrale côté éditeur.
Le cadre réglementaire a peu bougé sur le fond, mais les contrôles se sont durcis, comme le rappelle notre point sur l’évolution de la réglementation RGPD. Les profils visés découlent du modèle de licence : agences web qui gèrent de nombreux sites clients, collectivités et organismes publics sensibles à l’hébergement en France et à l’accessibilité, PME qui veulent un outil simple, et développeurs qui préfèrent une bibliothèque libre qu’ils peuvent lire et héberger eux-mêmes.
Deux façons de l’utiliser : script libre ou version Pro
Le cœur, tarteaucitron.js, est publié sous licence MIT. Vous le téléchargez depuis GitHub ou NPM, vous placez le dossier à la racine du site, puis vous initialisez le script juste après la balise d’ouverture du head avec vos options : position du bandeau, boutons Tout accepter et Tout refuser, icône de réouverture du panneau, partage du consentement entre sous-domaines, activation des Consent Mode. Reste ensuite à remplacer chaque marqueur tiers par sa version tarteaucitron, service par service, à partir de la liste fournie dans le guide d’installation.
La version Pro reprend la même base mais supprime ce travail manuel. Une seule balise suffit : le script analyse la page, reconnaît les services pris en charge, y compris ceux injectés par un gestionnaire de balises, et les retient jusqu’au consentement. Les réglages passent par une console en ligne, et le script est distribué par le CDN du service, ce qui applique les mises à jour à tous les sites sans intervention. L’éditeur insiste sur ce point : une copie auto-hébergée vieillit si personne ne la met à jour, et des versions anciennes de plusieurs années circulent encore.
Prise en main selon votre site
- WordPress : une extension officielle s’installe depuis WordPress.org et ne fait qu’insérer la CMP, dont le fonctionnement reste indépendant du CMS. Vérifiez que le script se charge avant les autres extensions qui injectent GA4 ou un pixel publicitaire.
- Drupal, Joomla, PrestaShop ou site sur mesure : la balise JavaScript se colle dans le gabarit commun à toutes les pages, le plus haut possible dans le code.
- Google Tag Manager : le mode automatique détecte aussi les services chargés par GTM, mais l’éditeur conseille de charger la CMP directement par le site plutôt que par le gestionnaire de balises, dont les évolutions récentes sont détaillées dans notre article sur la fusion de Google Tag et de Tag Manager.
Pour les publicités et la mesure, les signaux Google Consent Mode v2 partent automatiquement vers GA4 et Google Ads dès que tarteaucitron gère ces services. Le même mécanisme existe pour Microsoft Clarity et Bing Ads, ainsi que pour Piano Analytics, dans la version libre comme dans la version Pro.
Cas d’usage concrets
- Agence web : une licence couvre l’ensemble du parc clients, sans recompter les domaines à chaque nouveau site ni surveiller le trafic. Le coût de la CMP devient fixe et facile à intégrer dans un contrat de maintenance.
- Collectivité ou établissement public : infrastructure hébergée en France, bandeau travaillé avec la communauté pour l’accessibilité, et possibilité d’auditer le code source avant de le déployer.
- PME avec un site vitrine ou une boutique : bloquer GA4, YouTube, Google Maps ou Facebook avant consentement, puis suivre le taux d’acceptation par service dans les statistiques Pro pour repérer un problème d’intégration après une mise à jour.
- Développeur freelance : partir du script libre pour un projet simple, puis passer à Pro quand la maintenance de plusieurs installations devient plus coûteuse que la licence.
Tarteaucitron face à Axeptio, Didomi et Cookiebot
Axeptio, autre CMP française, mise sur l’expérience du bandeau, un registre des consentements, un scanner de cookies et le TCF dans certaines offres, avec des formules qui dépendent des pages vues et des domaines. Didomi s’adresse davantage aux besoins des grandes entreprises. Cookiebot s’appuie surtout sur un scan régulier du site pour inventorier les cookies.
Tarteaucitron se distingue sur trois points : un code ouvert que vous pouvez héberger, une licence indépendante du nombre de sites et du trafic, et une détection des services au moment où ils tentent de se charger plutôt qu’un inventaire par scan. En contrepartie, il assume de ne pas couvrir certains besoins que ces concurrents traitent.
Les limites à connaître
- Pas de TCF de l’IAB, par choix : un site qui diffuse des annonces AdSense ou dépend de la publicité programmatique doit passer par une autre CMP, comme l’explique notre article sur la conformité des CMP pour diffuser des annonces AdSense.
- Pas de registre individuel des consentements : la preuve repose sur la conservation des configurations, du code et de captures du bandeau, pas sur une ligne par visiteur.
- Pas de certification Google, un refus assumé par l’éditeur, alors que le Consent Mode v2 est bien pris en charge.
- Un projet porté par une seule personne : le support répond par e-mail, sans téléphone ni chat, et l’outil ne remplace jamais l’analyse d’un DPO.
Enfin, une CMP ne rend pas un site conforme à elle seule : si un script se charge avant le bandeau, rien ne le bloque. Le débat européen sur l’allègement des pop-ups cookies ne change pas cette exigence de placement.
Comment choisir votre formule
Toutes les licences Pro donnent les mêmes fonctionnalités : seule la durée change, et aucune ne se renouvelle automatiquement.
- Version gratuite si vous êtes développeur, que le site compte peu de services et que vous acceptez de suivre vous-même les nouvelles versions.
- Licence mensuelle pour un besoin ponctuel ou pour valider l’outil au-delà de l’essai de 7 jours.
- Licence d’un an pour la plupart des agences et des PME : c’est la première proposée sur la page tarifs.
- Licence de 3 ans ou à vie si la CMP est installée durablement sur un parc de sites : la licence à vie coûte l’équivalent d’un peu plus de trois ans et demi de licence annuelle.