Le web tracking est la collecte de données sur l'identité et le comportement des visiteurs sur et entre les sites web. Il utilise cookies, pixels de suivi, fingerprinting de navigateur et scripts d'enregistrement de session pour reconnaître les personnes et enregistrer ce qu'elles font. Le tracking alimente l'analytics, la publicité et la personnalisation — et c'est ce que les bandeaux de consentement, le RGPD et la vague actuelle de sanctions en confidentialité santé existent pour réguler.
Comment fonctionne le web tracking ?
Chaque technique répond à l'une de deux questions : qui est ce visiteur et que fait-il. Les mécanismes principaux :
| Technique | Comment elle vous identifie | Survit à l'effacement des cookies ? |
|---|---|---|
| Cookies | Un identifiant stocké dans le navigateur, envoyé à chaque requête au domaine qui l'a posé | ✗ |
| Pixels de suivi | Une image minuscule ou un beacon qui signale une vue de page ou un événement à un tiers | ✗ (repose sur les cookies) |
| Fingerprinting de navigateur | Combine des attributs de l'appareil et du navigateur (canvas, polices, WebGL, matériel) en un identifiant stable | ✓ |
| Enregistrement de session | Scripts qui capturent clics, défilements et frappes pour replay et cartes de chaleur | n/a — enregistre le comportement, pas l'identité |
| Tagging server-side | Déplace le point de collecte vers le domaine du site, contournant le blocage des tiers | ✓ (vu du navigateur, c'est du first-party) |
La plupart des sites commerciaux en exécutent plusieurs à la fois, généralement chargées via un gestionnaire de balises, souvent par des scripts qui chargent d'autres scripts — c'est pourquoi le tableau complet du tracking n'existe que dans le navigateur, à l'exécution.
Qui suit, et pourquoi ?
- Le site lui-même (first-party) : analytics, tests A/B, mémorisation des paniers et connexions. Largement attendu par les utilisateurs.
- Les plateformes publicitaires : pixels de conversion et balises de remarketing de Google, Meta, Microsoft, TikTok relient le comportement sur site aux enchères publicitaires ailleurs.
- Places de marché et courtiers en données : la longue traîne de domaines dans votre onglet réseau — exchanges, services de résolution d'identité, plateformes de gestion de données — qui relient l'activité sur tous les sites où ils sont présents. Notre guide de terrain des domaines de tracker identifie les plus courants par leur nom.
- Panels de mesure : beacons de mesure d'audience qui alimentent les classements du secteur.
Que demande la loi ?
Dans l'UE, le RGPD et la directive ePrivacy exigent un consentement préalable pour le tracking non essentiel — la raison d'être des bandeaux de consentement. Aux États-Unis, les lois d'États (CCPA/CPRA, Virginie, Colorado et autres) accordent des droits d'opposition, et les régulateurs sectoriels vont plus loin : le suivi santé via Google Analytics et le pixel Meta a produit des sanctions de l'OCR et des recours collectifs, couverts dans notre guide HIPAA du suivi de site web.
Le mode d'échec de la conformité est rarement une décision de trop suivre. C'est un script ajouté pour un usage qui collecte plus que prévu, sur des pages où il n'aurait jamais dû s'exécuter — un problème de visibilité avant d'être un problème juridique.
Comment surveiller le tracking sur votre propre site ?
L'onglet réseau montre un chargement de page ; la vraie réponse change chaque jour au gré des mises à jour de balises et de fournisseurs. La visibilité continue exige d'observer de vraies sessions au niveau du navigateur : quels scripts s'exécutent, quelles données ils peuvent lire, quels domaines les reçoivent. C'est ce que fait la surveillance de la confidentialité de cside — elle inventorie chaque script de vos pages et signale quand l'un d'eux commence à envoyer des données vers une nouvelle destination, la même preuve que demandent les audits de consentement et les revues d'outils RGPD.
Web tracking vs détection du web tracking
Une nuance qui mérite d'être nommée : la même science des signaux que les trackers utilisent pour identifier les visiteurs sert aussi la défense. Le device fingerprinting déployé par le propriétaire d'un site pour reconnaître les fraudeurs récurrents — cside Device Intelligence — est architecturalement proche du fingerprinting publicitaire mais sert l'objectif inverse : protéger comptes et paiements plutôt que construire des profils publicitaires, sans cookies et limité au site qui le déploie.
