Documentation

Poser le bandeau, et ce qu’il faut marquer

Une ligne à poser, et on vous dit quoi corriger. Voici exactement ce que fait le script, et ce qu’il ne peut pas faire seul.

1. La ligne à coller

Tout en haut du <head>, avant toute autre balise <script> :

<script src="https://orbeconsent.com/c/VOTRE-CLE.js"></script>

Pas de async ni de defer : le script doit s’exécuter avant les autres pour pouvoir les retenir. Il pèse environ 18 Ko compressés et contient déjà vos réglages (un seul appel, mis en cache 5 minutes).

2. Ce qui est bloqué tout seul

les scripts ajoutés par d’autres scripts (gestionnaire de balises, extensions, createElement('script'), document.write, innerHTML) ;
les pixels (new Image()), les iframes insérées dynamiquement ;
les envois réseau (fetch, XMLHttpRequest, sendBeacon) vers les services connus ;
Google Consent Mode v2 : la valeur par défaut « refusé » est posée avant tout tag Google.

3. Ce qu’il faut marquer vous-même : les balises écrites en dur

Soyons honnêtes : une balise <script src> ou <iframe src> écrite directement dans le HTML est repérée par le préchargeur du navigateur et téléchargée avant même que notre script ne s’exécute. Le script l’empêche ensuite de s’exécuter, mais la requête est déjà partie : le tiers a reçu l’adresse IP du visiteur et la page visitée, et sa réponse peut lire ou déposer ses propres cookies si le navigateur les accepte. Aucun script, le nôtre compris, ne peut l’empêcher. Pour qu’elle ne parte pas du tout, marquez-la :

Script : ajoutez type="text/plain" et la catégorie.

<!-- avant -->
<script async src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>
<!-- après -->
<script type="text/plain" data-consent="mesure" async src="https://www.googletagmanager.com/gtag/js?id=G-XXXX"></script>

Script en ligne : même chose.

<script type="text/plain" data-consent="marketing">
  fbq('init', '1234'); fbq('track', 'PageView');
</script>

Iframe (vidéo, carte) : remplacez src par data-consent-src. Un cadre « Charger la vidéo » s’affiche à sa place tant que le visiteur n’a pas accepté.

<iframe data-consent="social" data-consent-src="https://www.youtube.com/embed/ID" width="560" height="315"></iframe>

Catégories : mesure (mesure d’audience), marketing (publicité), social (contenus externes). Après la pose, lancez le contre-scan depuis votre tableau de bord : il visite vos pages avec le script en place et liste les balises qui partent encore, avec la correction à faire pour chacune.

4. Consent Mode v2

Par défaut (mode « basique »), les tags Google sont bloqués jusqu’au consentement. En mode « avancé » (réglage du bandeau), ils se chargent en mode refusé, sans cookie, et reçoivent la mise à jour au consentement.

5. Rouvrir le bandeau, lire le choix

Un bouton rond « Gérer mes cookies » reste en bas de page après le choix. Vous pouvez aussi ajouter un lien dans votre pied de page :

<a href="#" onclick="Consent.open();return false">Gérer mes cookies</a>

Consent.get()            // { decided, choices: { mesure, marketing, social }, … }
Consent.on('change', s => { /* nouveau choix */ })
window.addEventListener('consent:change', e => console.log(e.detail))

6. Mode invisible

Si votre site n’utilise que des services exemptés de consentement, aucun bandeau ne s’affiche. Les services non déclarés restent bloqués. C’est vous qui décidez qu’un service est exempté : une mesure d’audience ne l’est que si elle respecte les conditions fixées par la CNIL (finalité limitée à la mesure d’audience du site pour votre seul compte, statistiques anonymes, aucun croisement ni transmission à des tiers, traceurs limités à 13 mois et données à 25 mois). Vous devez toujours informer vos visiteurs de ces traceurs, par exemple dans votre politique de confidentialité.

7. La preuve

Chaque choix est envoyé à https://orbeconsent.com/api/v1/consent (uniquement depuis votre domaine déclaré). L’adresse IP n’est jamais conservée en clair. Le journal est chaîné par empreintes et, selon la formule, scellé chaque nuit (horodatage RFC 3161 et OpenTimestamps). Export CSV et dossier PDF depuis le tableau de bord. Ce scellement prouve que le journal n’a pas été modifié après coup et qu’il existait à une date donnée ; il ne s’agit pas d’un horodatage qualifié au sens du règlement eIDAS et il ne vaut pas, à lui seul, preuve de la conformité de votre bandeau. Le journal est conservé tant que le site figure dans votre compte : à vous de fixer combien de temps vous gardez vos preuves.

8. Politique de cookies

Une page de politique à jour est hébergée pour chaque site : https://orbeconsent.com/politique/VOTRE-CLE. Le bandeau y renvoie par défaut ; vous pouvez indiquer votre propre page dans les réglages.