Ce que les scanners de conformité automatisés peuvent et ne peuvent pas contrôler

Les scanners automatisés sont devenus la première étape par défaut de la conformité des sites web. Ils sont rapides, peu coûteux par rapport à un audit manuel et reproductibles. Il est aussi facile de leur accorder trop de confiance. Ce guide explique ce qu’ils font réellement, afin que vous puissiez lire correctement un rapport et choisir un service adapté.

Comment fonctionne un scanner

La plupart des services chargent vos pages dans un véritable navigateur automatisé, souvent depuis un emplacement situé dans l’UE et avec un profil vierge. Ils enregistrent les cookies, le stockage, les requêtes réseau et le HTML de la page, puis interagissent avec la bannière de consentement : en acceptant, en refusant, ou les deux. Des règles associent ce qu’ils observent à des exigences juridiques, par exemple « une requête vers un hôte publicitaire avant le consentement » à l’article 5, paragraphe 3, de la directive ePrivacy. Les meilleurs services conservent des captures d’écran, des journaux de requêtes et des horodatages à titre de preuve.

Les points forts des scanners

• Suivi avant consentement. Détecter les cookies et les requêtes vers des tiers avant tout choix est leur point fort principal, et il s’agit de l’infraction la plus fréquente en pratique.
• Comportement de la bannière. L’existence d’un bouton « refuser », son bon fonctionnement et le retour éventuel des traceurs après navigation.
• Inventaire. Une liste de chaque cookie, de chaque clé de stockage et de chaque hôte tiers, utile pour votre politique de confidentialité et vos registres.
• Contrôles de présence. La présence de liens vers les mentions légales, la politique de confidentialité et les conditions générales sur chaque page.
• Accessibilité de base. Contraste, absence de texte alternatif, champs sans libellé et critères WCAG similaires testables par une machine.
• Non-régression. Relancer l’analyse après chaque mise en production permet de repérer la balise que quelqu’un a ajoutée vendredi.

Leurs limites

• Documents et contrats. Les registres des activités de traitement (article 30 du RGPD), les contrats de sous-traitance (article 28), les garanties encadrant les transferts et les analyses d’impact (article 35) ne figurent pas sur le site web.
• Traitements côté serveur. Le balisage côté serveur, la synchronisation avec le CRM et le sort réservé aux formulaires envoyés sont invisibles depuis le navigateur.
• Espaces connectés et tunnels de commande. À moins de fournir au scanner des identifiants ou des comptes de test, les pages de compte et les parcours de paiement ne sont pas couverts.
• Le sens. Un outil peut constater qu’une politique de confidentialité mentionne la « conservation » ; il ne peut pas confirmer que la durée indiquée correspond à ce que font vos systèmes.
• L’appréciation juridique. Savoir si un intérêt légitime prévaut sur les droits du visiteur, ou si un cookie est strictement nécessaire à votre service, relève d’une appréciation au cas par cas.
• L’accessibilité manuelle. Les parcours au clavier, l’utilisation avec un lecteur d’écran et la charge cognitive au sens de l’European Accessibility Act nécessitent une intervention humaine.

Comment choisir un service

Les services que nous évaluons se distinguent moins par leur capacité à trouver des cookies que par ce qu’ils font du résultat. Questions utiles à poser :

1. Périmètre. Uniquement les cookies et le consentement, ou aussi la politique de confidentialité, les mentions légales, le droit de la consommation et l’accessibilité ?
2. Interaction avec le consentement. Teste-t-il le parcours de refus, ou se contente-t-il de lister les cookies ?
3. Preuves. Le rapport indique-t-il quand, d’où et comment le site a été testé, avec des captures d’écran ou des journaux de requêtes que vous pourriez présenter à une autorité ?
4. Profondeur européenne. Connaît-il les spécificités nationales, comme les règles relatives aux mentions légales, les langues et les recommandations des autorités dans les pays où vous vendez ?
5. Corrections. Chaque constat est-il accompagné d’indications concrètes que votre développeur peut appliquer ?
6. Transparence des prix. Les prix et les limites sont-ils publiés, ou seulement disponibles sur demande ?

Ces questions constituent, sous forme pondérée, les critères de notre page Méthodologie. Une liste de constats plus longue n’est pas automatiquement meilleure : les faux positifs coûtent du temps de développement, et un rapport incapable de distinguer un cookie strictement nécessaire d’un cookie publicitaire apprend aux équipes à l’ignorer.

Plateforme de consentement ou scanner ?

Une plateforme de gestion du consentement (CMP) fait fonctionner votre bannière ; un scanner vérifie si la bannière et tout le reste du site se comportent comme ils le devraient. Certains fournisseurs proposent les deux, et de nombreuses CMP incluent une analyse des cookies pour alimenter leur liste de cookies. Si vous utilisez déjà une CMP, un test distinct du parcours de refus, réalisé en dehors de la CMP, reste utile, car la défaillance la plus fréquente est une CMP correctement installée avec des balises qui la contournent.