Ce que le navigateur charge avant que quiconque clique sur « Accepter »

Pour chaque site, un second contexte de navigateur, vierge, est ouvert : aucun cookie, aucun stockage, aucun historique. Le contexte du scan d’accessibilité lui-même ne convient pas, puisqu’il a déjà collecté des cookies après la première page. Dans ce contexte vierge, la page d’accueil est chargée exactement une fois. Tous les appels sortants et tous les cookies posés ensuite sont enregistrés. Ce qui est mesuré, c’est donc l’état avant tout consentement.

Nous ne cliquons sur rien. Ni « Accepter » ni « Refuser » — l’un comme l’autre serait une déclaration de volonté au nom d’autrui, et nous ne nous arrogeons pas ce droit. Cela coûte en information : nous ne savons pas ce qui se passe après un clic. Mais cela rend la mesure propre, car l’état avant consentement est précisément celui que vise le § 25.

L’exécution dure entre 3,5 et 5,2 secondes par site et se déroule en parallèle du scan d’accessibilité ; la durée totale d’un scan n’en est pratiquement pas modifiée.

Au lieu de « manquement », il y a cinq niveaux. Constat signifie : établi. Indice signifie : ambigu. Observation ne reproche rien. Rien à signaler signifie que rien n’a été trouvé. Non vérifiable signifie que la base manquait. Tout cas douteux est déclassé, jamais surclassé. Et nulle part il n’est écrit « conforme » : un quitus serait tout autant un verdict juridique sur l’entreprise d’autrui qu’une accusation.

Pendant la phase de test, nous avons trouvé et corrigé trois faux positifs de notre fait : le cookie de détection de robots de Cloudflare __cf_bm était compté comme cookie publicitaire ; nos propres mentions légales étaient signalées comme un renvoi à la plateforme de règlement des litiges supprimée, alors qu’elles expliquent sa suppression ; et un panier vide affichant « 0,00 € » sur une page d’information était signalé comme une offre sans mention de TVA. Nous le disons parce qu’une mesure sans sources d’erreur connues n’est pas une mesure mais une affirmation.

Sur le site d’un détaillant outdoor, la mesure a enregistré au premier chargement de la page d’accueil, dans un navigateur vierge, sans aucune interaction : 17 appels vers des services à finalité de mesure ou de publicité identifiable et 5 cookies posés à finalité de mesure ou de publicité connue. Un bandeau de consentement était visible à ce moment-là.

Les services contactés, avec le nombre d’appels : Google Ads (16), Google DoubleClick (16), Criteo (14), une régie publicitaire d’enchères en temps réel (7), un point de synchronisation DoubleClick (6, expressément un point de transfert de données), une seconde régie RTB (6), Microsoft Advertising (6) et un réseau de recommandation de contenus (6). S’y ajoutent des appels classés comme ambigus, vers un gestionnaire de balises et vers un label de confiance.

Parmi les cookies posés figuraient test_cookie (doubleclick.net), _fbp (pixel Meta), MUID (bing.com) et deux cookies Criteo. Au total, après ce seul chargement, 36 cookies se trouvaient dans le navigateur — 4 remplissant une fonction technique connue, 27 sans finalité que nous puissions déterminer.

Ce que nous n’en concluons pas. Nous ne disons pas que ce site enfreint le § 25 TDDDG. Savoir si un stockage donné est « strictement nécessaire » au sens de l’alinéa 2 dépend d’une finalité que seul l’exploitant connaît. Ce que nous disons : voilà l’état que rencontre un visiteur avant d’avoir décidé quoi que ce soit. Ce constat est vérifiable — chacun peut le refaire en deux minutes.

Le gestionnaire de balises se déclenche indépendamment du bandeau. Le cas le plus fréquent : l’outil de consentement est installé et fonctionne, mais une balise du conteneur est déclenchée sur « toutes les pages » au lieu de l’événement de consentement. Le bandeau s’affiche, la balise part quand même. De l’extérieur, les deux sont indiscernables.

Les composants tiers apportent leurs propres réseaux. Un label de confiance, une fenêtre de discussion, une carte intégrée, un lecteur vidéo : chacun charge souvent d’autres hôtes qui n’apparaissent pas dans votre propre outil de consentement, parce qu’ils ne s’ajoutent qu’à l’exécution.

Les intégrations côté serveur contournent la couche de consentement. Ce qui passe par votre propre serveur n’est pas vu par le navigateur comme un tiers — mais le stockage dans l’équipement terminal a bien lieu, et c’est cela que vise le § 25.

Et les préconnexions comptent. Les directives preconnect et dns-prefetch vers des régies publicitaires établissent la connexion avant que l’appel proprement dit soit décidé. L’intention est la rapidité ; ce qui est mesuré, c’est un appel.

Parce qu’une boutique en ligne doit bien plus que l’accessibilité — et parce que, dans ce domaine, toute la concurrence ne teste que l’accessibilité. Mentions légales (§ 5 de la loi allemande sur les services numériques), politique de confidentialité (article 13 du RGPD), consentement (§ 25 TDDDG), affichage des prix (§§ 3, 4 et 6 du règlement sur l’affichage des prix), information sur le droit de rétractation (§ 312d du Code civil allemand en lien avec l’article 246a EGBGB) : cinq corps de règles qui s’appliquent à la même page que la norme EN 301 549.

Chez nous, ce volet s’exécute en complément dans la même passe. Le résultat d’accessibilité n’en est pas affecté — mêmes jeux de règles, mêmes chiffres — et si le contrôle des autres obligations échoue, le scan se termine tout de même.

Volontairement non testés, en revanche : le tunnel de commande et le libellé du bouton au titre du § 312j du Code civil allemand (il faudrait remplir le panier), l’exactitude matérielle des textes juridiques, la mention de médiation des §§ 36 et 37 VSBG (librement rédigée et impossible à distinguer de façon fiable d’une mention incidente), les obligations d’étiquetage propres aux produits et la conception détaillée du bandeau de consentement. Un « Refuser » plus difficile à trouver qu’un « Accepter », nous ne le mesurons pas — ce serait une appréciation, pas une mesure.