Gestion du consentement aux cookies intégrée à vos analyses

Rien de chez nous ne s'exécute avant un choix

En mode opt-in, le snippet PulsePanda attend une décision avant de démarrer. Tant que le visiteur n'a pas accepté l'analytique, il n'y a ni replay de session, ni heatmap, ni capture des clics, du défilement ou des saisies, ni suivi des événements, et aucun identifiant n'est écrit dans le navigateur.

Les balises tierces attendent leur catégorie

Pour retenir Google Analytics, le pixel Meta ou toute autre balise, changez son type en text/plain et ajoutez data-pp-consent avec la catégorie à laquelle elle appartient. Le navigateur ignore un script de ce type : il ne s'exécute jamais. Quand le visiteur accorde la catégorie, PulsePanda remplace chaque script balisé par une copie active avec les mêmes attributs, si bien que les scripts externes comme les scripts inline s'exécutent. Les scripts externes se chargent de façon asynchrone : une balise qui doit s'exécuter avant une autre doit être mise inline ou chaînée.

<!-- Runs only after the visitor accepts "marketing" -->
<script type="text/plain" data-pp-consent="marketing"
        src="https://connect.facebook.net/en_US/fbevents.js"></script>

<!-- Inline scripts work the same way -->
<script type="text/plain" data-pp-consent="analytics">
  gtag('config', 'G-XXXXXXXXXX');
</script>

Le blocage automatique rattrape les cookies oubliés

Le balisage couvre les scripts que vous connaissez. Avec le blocage automatique activé, PulsePanda surveille aussi chaque cookie qu'un script tente d'écrire via document.cookie. Un cookie d'une catégorie que le visiteur n'a pas accordée est rejeté. En mode opt-in, un cookie absent de votre registre est lui aussi rejeté tant que le visiteur n'a pas décidé. Les cookies strictement nécessaires passent toujours.

Ce blocage fonctionne au mieux par conception, et il vaut la peine de savoir où il s'arrête : il ne voit pas les cookies que votre serveur pose avec un en-tête Set-Cookie, ni ceux écrits dans une iframe tierce. Bloquez-les à la source.

Retirer son consentement fait le ménage

Quand un visiteur désactive une catégorie, PulsePanda fait expirer les cookies que votre registre associe à cette catégorie, sur l'hôte actuel comme sur le domaine parent, au lieu de les laisser traîner jusqu'à leur expiration.

Lorsque la bannière PulsePanda est votre outil de consentement, chaque décision parvient aux balises Google sous forme de mise à jour Consent Mode v2 (mode Consentement), via le même dataLayer que lisent gtag.js et Google Tag Manager. Le choix enregistré d'un visiteur qui revient est renvoyé à chaque page, et le retrait du consentement repasse les signaux à « denied ».

• Analytique définit analytics_storage.
• Marketing définit ad_storage, ad_user_data et ad_personalization.
• Préférences définit functionality_storage et personalization_storage.

Une catégorie que votre bannière ne propose pas reste refusée : activez Marketing si vous utilisez des balises Google Ads.

Définir les valeurs par défaut avant le chargement des balises Google

Consent Mode a besoin d'un état par défaut avant l'exécution de toute balise Google. Dans Google Tag Manager, le modèle de balise PulsePanda Analytics s'en charge : cochez Set Google Consent Mode defaults, déclenchez la balise sur Consent Initialization - All Pages et, si besoin, indiquez les régions où le consentement est requis. Il restaure aussi le choix d'un visiteur qui revient avant le déclenchement des autres balises. Avec gtag.js, définissez les valeurs par défaut au-dessus de votre balise Google :

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }
  gtag('consent', 'default', {
    analytics_storage: 'denied',
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied',
    wait_for_update: 500
  });
</script>

Chaque mise à jour est suivie d'un événement pulsepanda_consent dans le dataLayer, utilisable comme déclencheur dans Tag Manager. Si une autre plateforme recueille le consentement et le transmet à PulsePanda avec setConsent, PulsePanda lui laisse le consentement Google.

Le snippet PulsePanda ne dépose pas de cookies. Une fois le consentement donné, il conserve trois clés dans le localStorage :

• _sr_vid : la visite en cours, qui se termine après 30 minutes d'inactivité.
• _sr_uid : un identifiant anonyme aléatoire, pour relier les visites récurrentes.
• _pp_consent : le choix du visiteur par catégorie, la version de la politique et la date du choix, pour que la bannière ne réapparaisse pas à chaque page.

Si un visiteur refuse l'analytique ou retire son accord plus tard, la capture s'arrête et les clés de visite et d'identifiant anonyme sont supprimées. Mentionnez ces trois clés dans votre politique cookies ; le tableau de bord les affiche à côté des réglages de la bannière.

Chaque décision est aussi enregistrée dans votre espace de travail avec l'identifiant anonyme, les catégories choisies, la version de la politique et un horodatage. Les statistiques de consentement affichent les plus récentes avec votre taux d'acceptation, et les exportent en CSV quand on vous demande de prouver que le consentement a été donné.

Inutile de remplacer la plateforme de consentement que vous utilisez déjà. Laissez la bannière PulsePanda désactivée et transmettez à PulsePanda la décision recueillie par votre plateforme depuis son callback de consentement :

<script>
  window.PulsePanda = window.PulsePanda || [];
  // Call from your CMP's consent callback:
  window.PulsePanda.push(['setConsent', true]);   // visitor granted analytics
  // window.PulsePanda.push(['setConsent', false]); // visitor refused or withdrew
</script>

Vous utilisez plutôt la bannière PulsePanda ? Reliez un lien « Paramètres des cookies » dans votre pied de page à window.PulsePanda.push(['showConsentBanner']) pour que les visiteurs puissent changer d'avis à tout moment, ce que le RGPD exige d'être aussi simple que de donner son consentement.

Le gestionnaire de consentement de PulsePanda est conçu pour les équipes qui veulent le consentement et l'analytique au même endroit. Ce n'est pas le bon outil pour tous les sites. Choisissez une plateforme de consentement certifiée comme Cookiebot ou OneTrust si vous avez besoin de l'un de ces points :

• IAB TCF v2.2. PulsePanda ne génère pas de chaîne de consentement TCF, exigée par les stacks publicitaires programmatiques dans l'UE.
• Un scan de cookies par crawler. Le registre est construit à partir de ce que contiennent les navigateurs de vrais visiteurs, pas d'un crawl planifié de chaque page.
• Un seul consentement sur plusieurs domaines. Les choix sont stockés par site : un visiteur qui accepte sur un domaine est de nouveau sollicité sur un autre.

Si vous n'avez besoin que d'une bannière, sans analytique, le générateur de bannière de consentement cookies gratuit vous en fournit une sans dépendance, à coller dans n'importe quel site.