HubSpot a-t-il besoin du consentement aux cookies ?

Tous les articles

Oui, dans l’UE et au Royaume-Uni, si le script HubSpot tourne sur votre site. HubSpot classe __hstc et hubspotutk comme cookies d’analyse non essentiels et ses pixels publicitaires comme publicité. Retenez le script jusqu’au consentement ou transmettez le choix à HubSpot. Conditionner vos balises Meta et LinkedIn ne suffit pas, car HubSpot peut charger ces pixels lui-même.

Quels cookies HubSpot exigent un consentement ?

Dans l’UE, la règle est l’article 5(3) de la directive ePrivacy, et le Royaume-Uni a sa propre version dans le PECR : stocker quelque chose sur l’appareil d’un visiteur exige son consentement, sauf si c’est strictement nécessaire au service demandé. Aux États-Unis, la plupart des lois d’État fonctionnent autrement, en opt-out, comme l’explique l’article sur les lois américaines.

La liste de cookies de HubSpot fait l’essentiel du tri pour vous :

• Analyse, consentement requis : __hstc, hubspotutk, __hssc et __hssrc. Les deux premiers durent six mois.
• Publicité, consentement requis : les pixels Facebook, LinkedIn et Google installés avec l’outil de publicité de HubSpot.
• Nécessaires, sans consentement : les cookies qui mémorisent le choix lui-même, comme __hs_cookie_cat_pref et __hs_do_not_track, ainsi que les cookies de sécurité et de connexion des membres.

Le chat en direct mérite une lecture attentive. HubSpot traite messagesUtk comme nécessaire quand son réglage de consentement pour les cookies de chat est activé. S’il est désactivé, un réglage de consentement distinct sur le chatflow le gouverne : vérifiez les deux avant de le classer.

Pourquoi les pixels publicitaires de HubSpot se chargent-ils quand vos balises sont bloquées ?

Parce qu’ils ne viennent pas de vos balises. Sur un site réel que nous avons audité en août 2026, les balises Meta et LinkedIn dans Tag Manager étaient bien conditionnées et ne se sont pas déclenchées. La trace réseau montrait pourtant le script HubSpot chargeant js.hsadspixel.net/pixels.js, qui injectait les deux pixels avec les mêmes identifiants.

Nous avons lu les scripts que HubSpot servait en novembre 2026 pour comprendre pourquoi. Le chargeur de HubSpot ajoute pixels.js à côté de son fichier d’analyse, sur les deux chargeurs que nous avons vérifiés. Vous pouvez ouvrir ce fichier et chercher addPrivacyConsentListener. Il ne regarde pas votre conteneur. Il n’écoute qu’une chose, l’état de consentement de HubSpot, et ne demande la liste des pixels à HubSpot que lorsque la catégorie advertisement vaut true. Nous l’avons exécuté avec une simulation pour le confirmer : sans réponse ou avec une réponse false, aucune requête n’est partie, et une réponse true a récupéré la liste.

Voici ce qui surprend les sites qui utilisent un autre outil de consentement. Dans ce même script de bannière, quand aucune politique de cookies HubSpot ne correspond à la page, le consentement est autorisé pour toutes les catégories. Un site qui a changé de bannière sans laisser de politique HubSpot dit donc oui au fichier de pixels, quel que soit le choix fait ailleurs par le visiteur. HubSpot ne décrit pas ce comportement par défaut dans les pages que nous avons lues et les scripts changent : la vérification ci-dessous reste la preuve pour votre site.

La bannière de cookies de HubSpot suffit-elle ?

Elle peut l’être, pour les cookies de HubSpot. L’exemple de HubSpot est le pixel Facebook : installé avec son outil de publicité, avec opt-in obligatoire, il ne peut pas déposer de cookies tant que le visiteur n’a pas accepté. HubSpot précise aussi que la bannière ne couvre que ses propres cookies, et que les pixels ajoutés à la main dans l’en-tête de votre site échappent à son contrôle. Si le reste de votre site utilise d’autres balises, il vous faut quelque chose pour les gérer, et mieux vaut éviter deux bannières qui posent la même question au même visiteur.

Comment retenir HubSpot jusqu’au consentement du visiteur ?

Il y a quatre voies. Choisissez selon ce qui tourne d’autre sur le site et ce que vous voulez garder pour les visiteurs qui refusent.

• La bannière de HubSpot est votre seule bannière. Dans Settings, sous Privacy & Consent, donnez à chaque page et région qui compte pour vous une politique de cookies qui exige l’opt-in.
• Retenez tout le script avec votre outil de consentement. Dans Tag Manager, ajoutez une vérification du consentement à la balise HubSpot et déclenchez-la sur l’événement de mise à jour du consentement de votre plateforme en plus du chargement de page. Si elle embarque des pixels, conditionnez-la à la publicité, sinon un choix limité à l’analyse les libère. Le prix à payer : le chargeur apporte aussi l’analyse de HubSpot, les formulaires collectés et les pop-ups, donc les visiteurs qui refusent n’en auront aucun.
• Gardez le script et transmettez le choix à HubSpot. L’API de la bannière de cookies de HubSpot le documente : définissez window.disableHubSpotCookieBanner = true en haut du head, puis envoyez setHubSpotConsent avec les valeurs analytics, advertisement et functionality. La valeur est gardée en mémoire, votre code doit donc la renvoyer à chaque page. HubSpot précise aussi que cet indicateur désactive sa gestion du consentement : tout repose alors sur votre outil. Dans le script que nous avons lu, l’indicateur empêche l’autorisation par défaut décrite plus haut, et le fichier de pixels attend. La page de l’API ne dit pas ce que fait le code de suivi avant tout choix, vérifiez donc vous-même les cookies.
• Retirez les pixels de HubSpot. Supprimez-les dans l’onglet des pixels et exécutez-les comme vos propres balises conditionnées, puis conditionnez séparément l’analyse de HubSpot. Supprimez d’abord : HubSpot prévient qu’un pixel installé des deux façons se déclenche deux fois. Son fichier de pixels envoie aussi des événements de soumission de formulaire, recréez donc ceux dont vous avez besoin.

Quel que soit votre choix, vérifiez-le de la même façon.

1. Tracez la page avant de changer quoi que ce soit

   Ouvrez le site dans un profil de navigateur vierge, le panneau réseau déjà ouvert, et ne cliquez pas sur la bannière. Filtrez sur hs-scripts, hsadspixel, connect.facebook.net et snap.licdn.com, puis cherchez __hstc, hubspotutk et _fbp dans la liste des cookies.

2. Trouvez ce qui a chargé chaque requête

   Dépliez la chaîne d’initiateurs sur chaque requête de pixel. Si pixels.js se trouve juste au-dessus, c’est HubSpot qui a chargé ce pixel, pas une balise de votre conteneur. Pourquoi le pixel Facebook se charge encore quand vos balises sont bloquées explique comment lire la chaîne.

3. Listez les pixels de HubSpot

   Dans HubSpot, ouvrez Settings, puis Marketing, puis Ads, et lisez l’onglet Pixels. Notez chaque réseau listé, car chacun peut se charger depuis le script HubSpot.

4. Appliquez une voie de consentement

   Choisissez l’une des quatre voies ci-dessus et appliquez-la à chaque page qui porte le script HubSpot. Avec deux voies sur une même page, le résultat devient difficile à lire.

5. Testez le refus, l’acceptation et le retour

   Refaites la vérification de trois façons : refusez et vérifiez que les cookies et les requêtes de pixels restent absents, acceptez et vérifiez qu’ils arrivent, puis rechargez comme le même visiteur et vérifiez que le choix tient. Comment tester une bannière de cookies avant la mise en ligne donne la séquence complète.

L’aperçu de votre gestionnaire de balises ne montrera rien de tout cela, car il décrit des balises et ces requêtes n’en sont pas. Dans quelle catégorie de consentement placer un script vous aidera si HubSpot côtoie d’autres outils pas encore classés.

Que perdez-vous quand un visiteur refuse ?

HubSpot indique que son code de suivi peut toujours se charger et s’exécuter après le refus des cookies non essentiels, en enregistrant des pages vues agrégées et anonymisées qui ne sont liées ni à un visiteur ni à un contact. La deuxième et la troisième voie diffèrent donc ici. Retenir le script fait perdre ces pages vues pour les personnes qui refusent. Transmettre le choix les conserve, le script continuant de tourner sur la page. Aucune des deux ne ramène le visiteur qui a refusé dans vos fiches de contact : attendez-vous à des rapports de sources plus réduits dans HubSpot après une correction réussie.

Velo retient tout script que vous marquez avec une catégorie de consentement jusqu’à ce que cette catégorie soit accordée, et envoie velo_consent_update pour les déclencheurs Tag Manager. Il n’envoie pas lui-même de signal de consentement à HubSpot, la troisième voie demande donc un petit script de votre part. La page HubSpot couvre l’installation.