Les cookies tiers n’ont pas disparu — et le remplacement non plus

Sommaire

Depuis 2020, une phrase revient dans toutes les présentations marketing : « les cookies tiers vont disparaître, il faut se préparer ». Elle est fausse depuis avril 2025, et la plupart des contenus disponibles en français ne l’ont pas intégré.

Voici l’état réel, avec ses dates. Puis ce qu’il faut en faire — parce que la conclusion n’est pas « rien n’a changé ».

Ce qui devait arriver

Le plan annoncé était clair. Chrome, qui représente la majorité du trafic web, devait cesser d’accepter les cookies déposés par un domaine autre que celui visité. En remplacement, un ensemble de technologies regroupées sous le nom de Privacy Sandbox devait fournir des mécanismes de ciblage et de mesure respectueux de la vie privée : des thèmes d’intérêt calculés dans le navigateur, des enchères exécutées localement, une interface de mesure des conversions sans identifiant partagé.

L’échéance a été repoussée plusieurs fois — 2022, puis 2023, puis 2024, puis 2025. Chaque report a produit une nouvelle vague de contenus expliquant comment s’y préparer.

Ce qui est arrivé

Deux annonces, à six mois d’intervalle, ont refermé le dossier.

Le 22 avril 2025, Google annonce qu’il maintient l’approche existante : l’utilisateur garde le choix d’accepter ou non les cookies tiers dans les paramètres de Chrome, et aucune invite dédiée ne sera déployée. Autrement dit : pas de suppression, et pas non plus de nouvelle demande à l’utilisateur.

Le 17 octobre 2025, Google annonce le retrait de la plupart des technologies de remplacement, en invoquant leur faible adoption. Sont concernées, entre autres, l’interface de mesure des conversions, l’enchère exécutée dans le navigateur, les thèmes d’intérêt, et l’agrégation privée. Trois briques seulement sont maintenues : le partitionnement des cookies tiers par site (CHIPS), la gestion fédérée d’identité (FedCM) et les jetons d’état privés.

Les trois briques maintenues

Le retrait n’a pas été total. Trois technologies restent, et elles méritent d’être connues parce qu’elles répondent à des besoins précis — aucun n’étant le ciblage publicitaire.

Le partitionnement des cookies tiers par site. Un cookie tiers peut être conservé, mais cloisonné : le même service intégré sur deux sites différents obtient deux cookies distincts, et ne peut plus relier les deux visites. C’est ce qui permet à un lecteur vidéo, à un service de paiement ou à un support de discussion de fonctionner sans devenir un outil de suivi inter-sites.

La gestion fédérée d’identité. Elle sert aux boutons « se connecter avec… », c’est-à-dire à un cas d’usage — l’authentification — qui dépendait des cookies tiers sans avoir de rapport avec la publicité.

Les jetons d’état privés. Ils permettent de transmettre une information très limitée d’un site à l’autre — typiquement « ce visiteur a déjà été reconnu comme humain » — sans identifiant. Leur usage principal est la lutte contre la fraude.

La lecture est nette : ce qui survit relève du fonctionnement du web, pas du ciblage. Ce qui a été retiré relevait du ciblage.

Le cas du reciblage

C’est l’usage le plus directement concerné, et celui sur lequel les conclusions sont les plus contre-intuitives.

Le reciblage classique — suivre un visiteur d’un site à l’autre grâce à un identifiant partagé — n’a pas été supprimé par Chrome. Mais il ne fonctionne déjà plus sur Safari et Firefox, et il dépend du consentement publicitaire partout. Sa portée réelle s’est réduite de façon continue, pour des raisons qui n’ont rien à voir avec l’annonce.

La conséquence pratique n’a donc pas changé : le reciblage performant repose de plus en plus sur des audiences constituées à partir de vos propres données — clients, inscrits, acheteurs — transmises aux plateformes dans les conditions prévues. C’était vrai avant l’annonce, ça l’est resté après, et c’est le seul chantier de cette catégorie qui méritait l’investissement.

Ce que ça ne veut pas dire

Trois conclusions hâtives circulent déjà. Aucune ne tient.

« Les cookies tiers vont bien. » Non. La décision porte sur Chrome. Safari et Firefox bloquent les cookies tiers par défaut depuis des années, et n’ont rien annoncé qui aille dans l’autre sens. Sur un trafic à forte part d’iPhone — l’e-commerce français, notamment — la contrainte n’a jamais dépendu de Chrome.

« On peut revenir en arrière sur le consentement. » Absolument pas. Le consentement relève du droit, pas des navigateurs. Rien de ce qui a été annoncé ne modifie l’obligation de recueillir un choix avant tout dépôt non essentiel, ni la doctrine de la CNIL sur les bandeaux. C’est la confusion la plus coûteuse du sujet, et elle est fréquente.

« Tout ce qu’on a fait ne servait à rien. » Faux également, et c’est le point suivant.

La vraie contrainte n’était pas le cookie tiers

Ce qui a réellement dégradé la mesure depuis cinq ans, ce n’est pas l’annonce de Chrome. Ce sont trois phénomènes indépendants d’elle :

• Les restrictions des navigateurs sur les cookies first-party — ceux de votre propre domaine, écrits en JavaScript, dont la durée de vie est ramenée à quelques jours sur Safari. Cela n’a rien à voir avec les cookies tiers, et cela touche tout le monde.
• Le consentement, qui retire de la mesure la part des visiteurs qui refuse — une part stable, significative, et qui ne reviendra pas.
• Les bloqueurs, qui coupent des connexions identifiables quelle que soit la politique du navigateur.

Ces trois contraintes sont intactes. C’est pourquoi les chantiers menés « pour l’après-cookie » gardent leur valeur — à condition d’avoir été menés pour les bonnes raisons.

Ce qui reste utile de ces cinq années

La donnée de première partie. Connaître ses clients par son propre CRM plutôt que par un identifiant loué à un tiers reste le seul actif durable du sujet. Rien dans les annonces ne le remet en cause.

La collecte côté serveur. Elle répond aux restrictions sur les cookies first-party, pas à la disparition des cookies tiers. Sa justification est donc intacte — et elle l’a toujours été, même quand on la vendait sous le mauvais argument.

Le mode Consentement et la modélisation. Ils répondent au consentement, pas au navigateur.

Les mesures d’incrémentalité. Une expérience ne dépend d’aucun cookie : c’est la seule méthode dont la fiabilité n’a pas bougé depuis dix ans, et elle est décrite dans l’article sur les modèles d’attribution.

Ce qui perd sa justification

À l’inverse, quelques chantiers reposaient sur l’échéance elle-même et n’ont plus de raison d’être prioritaires : l’intégration des interfaces retirées, les tests d’enchères dans le navigateur, et les outils achetés spécifiquement pour « préparer la fin des cookies ». Si une ligne budgétaire porte ce nom, c’est le moment de la relire.

Ce qu’il faut faire maintenant

Quatre actions, aucune spectaculaire.

1. Mesurer votre exposition réelle. Quelle part de votre trafic vient de navigateurs qui bloquent déjà les cookies tiers par défaut ? Ce chiffre-là, vous l’avez dans votre outil de mesure, et il vaut mieux qu’une prévision.
2. Vérifier la durée de vie de vos identifiants first-party. C’est la contrainte active, celle qui coupe l’attribution des conversions différées.
3. Retirer les mentions périmées de vos supports internes et commerciaux. Une présentation qui annonce encore une échéance annulée décrédibilise le reste.
4. Ne rien accélérer. L’absence d’échéance rend possible ce qui était impossible dans l’urgence : mener les chantiers dans l’ordre, en commençant par le plan de marquage.

Ce qu’on ne sait pas

Une dernière honnêteté s’impose. Google n’a pas dit que les cookies tiers resteraient indéfiniment : il a dit qu’il maintenait son approche actuelle. Les autorités de concurrence et de protection des données continuent d’instruire le sujet, et rien n’interdit une nouvelle inflexion.

La bonne posture n’est donc ni « c’est réglé » ni « ça va revenir », mais : construire un dispositif qui ne dépende pas de la réponse. C’est précisément ce que font les quatre chantiers listés plus haut — et c’est pourquoi ils avaient raison avant l’annonce, et l’ont encore après.

Ce qu’il faut dire en interne

Reste un exercice délicat : expliquer à une direction qu’un sujet présenté pendant cinq ans comme une urgence n’aura pas lieu, sans donner l’impression que le travail engagé était inutile.

Trois phrases suffisent, et elles ont l’avantage d’être vraies. La première : l’échéance annoncée par Chrome n’aura pas lieu, et les technologies de remplacement ont été retirées. La deuxième : les contraintes qui dégradaient réellement notre mesure — le consentement, les restrictions sur nos propres cookies, les bloqueurs — sont intactes. La troisième : nos chantiers répondaient à ces contraintes-là, ils gardent donc leur valeur, et le seul changement est que nous ne les menons plus dans l’urgence.

Ce qu’il faut éviter : le silence. Un sujet qu’on a porté pendant cinq ans et qu’on cesse brusquement de mentionner laisse penser qu’on ne l’a pas suivi.

Les erreurs fréquentes

Relayer l’échéance annulée. Elle figure encore dans une grande partie des contenus en ligne, y compris récents.

Confondre cookie tiers et cookie first-party. Ce sont deux sujets distincts, soumis à des règles différentes, et seul le second concerne votre propre mesure.

Confondre navigateur et droit. Ce que le navigateur autorise et ce que la loi exige sont deux questions séparées. Le RGPD ne se relâche pas parce que Chrome se ravise ; le cadre est indépendant.