Comment fonctionne la catégorisation des cookies par l'IA, et où une personne décide encore

Tous les articles

La catégorisation des cookies par IA suggère une catégorie de consentement pour chaque cookie qu'une analyse de site trouve sans pouvoir le rattacher à un fournisseur connu. Le modèle lit très peu de choses : le nom du cookie, le domaine du site et le nom de fournisseur éventuellement associé par l'analyse. Il choisit entre nécessaire, fonctionnel, analytique, publicité, personnalisation ou inconnu. Dans Velo, une personne accepte ou modifie chaque suggestion avant qu'elle ne compte.

Que lit réellement le modèle ?

Moins qu'on ne le croit généralement. Dans Velo, une analyse charge vos pages, enregistre chaque cookie qu'elle voit et compare d'abord chaque nom à un dictionnaire de signatures de fournisseurs connus. Un cookie comme _ga y est rattaché à Google Analytics, sans qu'aucun modèle n'intervienne. Seuls les cookies que le dictionnaire ne sait pas classer passent à l'étape IA.

Pour chacun d'eux, le modèle reçoit trois éléments : le nom du cookie, le domaine de votre site et le nom de fournisseur éventuellement associé par la vérification des signatures (pour un cookie non reconnu, il n'y en a généralement pas). Il ne reçoit jamais la valeur du cookie, rien sur le visiteur qui le portait, ni la durée de vie du cookie, ni le script qui l'a déposé. Il doit répondre avec l'une des six catégories et, quand il peut le déterminer, un nom de fournisseur. Une réponse hors de ces six catégories est rejetée au lieu d'être enregistrée, et un cookie que le modèle ne sait pas classer doit revenir en unknown.

D'autres outils procèdent autrement. Certains consultent aussi des bases de données publiques de cookies ou des classifications mutualisées entre clients, et certains attribuent un indice de confiance et peuvent publier sans relecture les réponses jugées sûres. Quelles que soient les données d'entrée, le résultat est de même nature : une suggestion sur la finalité, formulée sans observer ce que fait le cookie sur votre site.

Quels cookies l'IA ne peut-elle pas catégoriser correctement ?

Tout cookie dont la finalité n'est pas écrite dans son nom. À partir du seul nom, un modèle ne peut pas savoir :

• Ce que fait un cookie propriétaire générique. session, token, uid ou pref, déposé par votre propre code, peut servir à une connexion, un panier, un groupe de test ou un identifiant de suivi. Seule la personne qui a écrit ce code le sait.
• Ce qu'était un cookie avant d'être renommé. Certaines balises permettent à un site de modifier le nom de leurs cookies ; la balise Google, par exemple, accepte un préfixe de cookie. Une configuration côté serveur peut aussi stocker son propre identifiant sous le nom de votre choix. Une fois renommé, le cookie perd le schéma qui aurait permis de le reconnaître.
• Les fonctionnalités que vous avez activées. Le même cookie de fournisseur peut servir à la mesure sur un site et aux audiences publicitaires sur un autre, selon ce qui est activé dans le compte du fournisseur.
• Le moment où le cookie apparaît. Savoir si un cookie a été déposé avant que le visiteur ne fasse un choix est un fait qui concerne votre page, pas le nom. L'analyse le mesure ; le modèle ne le voit jamais.

C'est pourquoi unknown est une bonne réponse, pas un échec. Un cookie laissé inconnu reste sur la liste à examiner. Une mauvaise catégorie attribuée avec assurance l'en fait disparaître.

Que doit vérifier une personne avant d'accepter une suggestion ?

Commencez par les suggestions faites par l'IA et par les cookies encore marqués inconnus. Les correspondances avec des fournisseurs connus demandent moins de temps, même si elles méritent un coup d'œil si vous utilisez ce fournisseur de façon inhabituelle. Passez ensuite chaque cookie en revue.

1. Trouvez ce qui dépose le cookie

   Ouvrez la page dans une fenêtre de navigation privée, trouvez le cookie dans le panneau de stockage du navigateur et regardez la requête qui l'a déposé. Le domaine et le script vous en disent plus que le nom.

2. Consultez la liste de cookies publiée par le fournisseur

   Beaucoup de fournisseurs publient la finalité de chacun de leurs cookies. Si la suggestion et la description du fournisseur divergent, fiez-vous au fournisseur.

3. Interrogez le développeur sur les noms des cookies propriétaires

   Pour les cookies déposés par votre propre code, une question règle la plupart des cas : qu'est-ce qui ne fonctionne plus pour le visiteur si ce cookie est absent ? Si rien de ce qu'il a demandé ne casse, le cookie n'est pas nécessaire.

4. Réservez « nécessaire » à ce sans quoi le site ne peut pas fonctionner

   L'exemption de consentement prévue à l'article 5(3) de la directive ePrivacy couvre le stockage strictement nécessaire à un service demandé par le visiteur. Les lignes directrices de l'ICO sur les technologies de stockage et d'accès montrent à quel point les régulateurs l'interprètent strictement. En cas de doute, choisissez la catégorie la plus stricte.

5. Faites correspondre la catégorie au groupe de la bannière

   Une catégorie n'est utile que si le script qui dépose le cookie attend le groupe correspondant dans votre bannière. Si les deux ne concordent pas, corrigez la configuration de la balise plutôt que l'étiquette. Ce qu'une mauvaise catégorie de consentement fait à GA4 et Google Ads détaille ce que coûte chaque incohérence.

Relancez une analyse après chaque modification, et relisez les constats.

Qu'est-ce qui change une fois une catégorie acceptée ?

Dans Velo, la catégorie acceptée devient la catégorie du cookie dans vos rapports d'analyse, y compris les plus anciens, qui sont réaffichés avec les décisions du jour. Les constats en découlent. Un cookie inconnu est listé pour examen. Un cookie hors de la catégorie nécessaire, déjà présent avant tout choix, est signalé. Un cookie dont le groupe est désactivé dans votre bannière mais qui apparaît quand même est signalé lui aussi.

Les analyses suivantes ne reposent pas la question pour un cookie accepté. Si vous modifiez la suggestion au moment de l'accepter, l'enregistrement l'indique comme votre propre décision plutôt que celle de l'IA : vous savez donc toujours quelles catégories ont été choisies par une personne.

Accepter une catégorie n'active ni ne désactive à elle seule aucune balise. Les groupes que propose votre bannière, et les scripts qui attendent le consentement, se règlent dans la bannière et dans votre configuration de balises. La catégorie vous indique si ces réglages correspondent à ce que fait réellement le site, et c'est tout l'intérêt de vérifier si une balise dépose des cookies avant le consentement.

Ce que fait Velo

La catégorisation des cookies par IA est une nouveauté de Velo. Elle s'applique aux cookies qu'une analyse ne peut pas rattacher à un fournisseur connu, signale chaque suggestion comme venant de l'IA, et n'applique rien tant qu'une personne disposant des droits de modification ne l'a pas acceptée. Si l'étape IA est indisponible, ou si le quota mensuel de suggestions IA du compte est épuisé, l'analyse se termine quand même et ces cookies restent en attente comme inconnus. Le reste de l'espace de travail est présenté sur la page produit, et vous pouvez lancer une première vérification de votre propre site depuis la page d'analyse.