Fin des cookies tiers : ce qui a vraiment changé et comment préparer le tracking de vos clients (2026)

Publié par Thomas dans la catégorie Tracking le 23.12.2025 Dernière modification : 29.09.2026 à 09h44


Table des matières

Depuis des années, le marketing digital attend la « fin des cookies tiers » dans Chrome. Elle n'aura pas lieu : Google y a renoncé. Pourtant, vos rapports perdent des conversions : Safari, Firefox, les bloqueurs et le consentement restreignent déjà le suivi. La vraie question pour vos clients n'est donc plus « quand ? », mais « comment mesurer proprement avec leurs propres données ? ».

En bref

  • Google a annoncé en avril 2025 renoncer à supprimer les cookies tiers de Chrome et à l'invite de choix : ils restent disponibles.

  • Safari les bloque par défaut depuis 2020 et Firefox les cloisonne depuis 2022.

  • La plupart des API Privacy Sandbox (Topics, Protected Audience) ont été abandonnées en octobre 2025.

  • La stratégie durable reste la même : données first-party, server-side et consentement bien géré.

Cookies tiers : où en est-on vraiment ?

Chronologie de la fin des cookies tiers : blocage par Safari en 2020, ATT sur iOS 14.5 en 2021, Firefox en 2022, puis Chrome qui renonce en 2024 et 2025 et retrait de la Privacy Sandbox.

Le feuilleton Chrome a connu plusieurs rebondissements. En juillet 2024, Google a abandonné la suppression au profit d'un choix proposé aux utilisateurs. En avril 2025, il a renoncé aussi à cette invite : les cookies tiers restent gérés dans les paramètres de Chrome. Enfin, en octobre 2025, Google a retiré la plupart des technologies Privacy Sandbox, dont Topics et Protected Audience, faute d'adoption.

Mais Chrome n'est pas tout le web. Safari bloque les cookies tiers par défaut depuis mars 2020, et Firefox isole ceux de chaque site depuis 2022 avec sa Total Cookie Protection. Sur iOS, l'App Tracking Transparency impose depuis iOS 14.5 (avril 2021) une autorisation pour le suivi entre applications. Pour une part importante de vos visiteurs, le cookie tiers ne fonctionne déjà plus.

Cookies tiers ou first-party : le rappel utile

  • Cookie tiers : déposé par un domaine externe (une régie publicitaire, un réseau social) sur le site de votre client. Il sert à suivre l'internaute de site en site. Statut : bloqué par Safari, cloisonné par Firefox, encore accepté par défaut dans Chrome.

  • Cookie first-party : déposé par le site lui-même (votreclient.ch) pour le panier, la langue ou l'identifiant de mesure. Statut : accepté partout, mais l'ITP de Safari limite à 7 jours ceux posés en JavaScript.

Vos campagnes dépendent donc surtout de la qualité de vos cookies first-party, bien plus que du sort des cookies tiers dans Chrome.

L'impact concret sur les campagnes de vos clients

  1. Un remarketing plus étroit. Sans suivi d'un site à l'autre sur Safari et Firefox, les audiences construites à partir de cookies tiers se réduisent.

  2. Une attribution fragilisée. Quand le cookie de mesure expire avant l'achat, la vente est attribuée au trafic direct ou à la recherche sur la marque, et la campagne qui l'a déclenchée paraît moins rentable.

  3. Un plafonnement de fréquence moins précis. Sans identifiant stable, la même personne peut voir trop souvent la même annonce.

La stratégie gagnante : reprendre le contrôle de la donnée first-party

Feuille de route first-party après la fin annoncée des cookies tiers : CMP, mesure server-side, conversions améliorées, API de conversion et données consenties ; à éviter : Privacy Sandbox et attentisme.

La réponse n'est pas un outil miracle mais une architecture : maîtriser ses propres données, avec le consentement du visiteur.

1. Une mesure first-party fiable (server-side)

Avec le tracking server-side, les cookies de mesure sont posés par un serveur sur un sous-domaine du site (data.votreclient.ch). Ils résistent mieux aux restrictions des navigateurs, à condition que l'hébergement soit bien configuré. Détails dans notre article qu'est-ce que le tracking server-side.

2. Des données déclaratives, avec consentement

Quand un visiteur donne son e-mail ou son téléphone (commande, formulaire, newsletter), ces identifiants stables peuvent être transmis sous forme hachée via les conversions améliorées de Google et les API de conversion (CAPI) de Meta ou LinkedIn. Cela suppose une information claire et, selon les marchés, un consentement. L'agence de demain aide son client à collecter ces données honnêtement : contenus utiles, newsletter, espace client.

3. Privacy Sandbox : une piste refermée

Les API Topics et Protected Audience de la Privacy Sandbox, présentées comme l'alternative aux cookies tiers, sont abandonnées. Inutile d'en faire un pilier de votre plan : misez sur ce que vous maîtrisez.

Le contexte suisse : une opportunité

En Suisse, la culture de la confidentialité est forte. La LPD révisée est en vigueur depuis le 1er septembre 2023, et l'art. 45c LTC impose d'informer sur les cookies et de permettre de les refuser. Google exige en outre le consentement pour la publicité personnalisée des visiteurs suisses depuis le 31 juillet 2024.

Ce cadre pousse vers des pratiques plus propres et plus robustes. Les agences qui disent à leurs clients « nous avons structuré votre mesure first-party pour qu'elle reste fiable et conforme » gagnent en crédibilité. Pour le cadre complet, voir notre guide de conformité LPD et RGPD.

Conseil A-Track

N'attendez pas un nouvel épisode Chrome. Safari pèse déjà près de la moitié de la navigation mobile en Suisse (StatCounter, août 2026) : c'est là que vos clients perdent aujourd'hui le plus de signal. Commencez par auditer la durée réelle de vos cookies de mesure sur iPhone.

Conclusion : votre feuille de route first-party

  1. Vérifiez la CMP et le Consent Mode v2 : sans signal de consentement valide, le reste ne sert à rien.

  2. Passez la mesure en first-party (server-side) sur un sous-domaine du site.

  3. Branchez les conversions améliorées et les API de conversion (voir notre guide Facebook CAPI).

  4. Développez la collecte de données déclaratives consenties, et suivez les résultats dans votre stratégie de mesure de performance.

Votre mesure first-party tient-elle sur iPhone ?

A-Track évalue la durée réelle de vos cookies de mesure, puis met en place CMP, server-side sur votre sous-domaine, conversions améliorées et API de conversion.

Point de départ : un audit tracking et conformité offert, restitué en 48 h.

Auditer ma mesure first-party

Services liés

Tracking & Conformité

Server-side et conformité LPD / RGPD : environ 40 % de données récupérées en moyenne (mesuré sur plus de 100 installations), dès CHF 1'200.

Questions fréquemment posées

Le bandeau cookie est-il obligatoire pour un site 100% suisse?

▾
Pas au sens strict de la LPD, mais en pratique presque toujours. En Suisse, l'art. 45c LTC impose d'informer les visiteurs sur les cookies et de leur permettre de les refuser, et la LPD exige une information transparente (politique de confidentialité). La loi suisse n'impose donc pas un bandeau de consentement préalable pour un public purement suisse.

En revanche, Google applique sa politique de consentement de l'utilisateur de l'UE à la Suisse depuis le 31 juillet 2024 : pour utiliser pleinement Google Ads (remarketing, audiences, mesure des conversions), il faut recueillir le consentement et le transmettre via le Consent Mode v2. Dès que vous ciblez aussi des visiteurs de l'UE, le consentement préalable est exigé. Pour un site commercial, une CMP reste donc la solution la plus sûre.

Peut-on mesurer après un refus de cookies?

▾
Oui, de façon limitée et toujours dans le respect du choix du visiteur. Avec le Consent Mode v2 en mode advanced, les balises Google envoient après un refus des signaux sans cookie, et Google modélise une partie des conversions manquantes.

Le tracking server-side ne permet pas de mesurer davantage un visiteur qui a refusé : il sert à fiabiliser et à minimiser les données des visiteurs qui ont accepté. Un refus reste un refus.

La CAPI fonctionne sans cookies?

▾
En partie. La CAPI envoie les événements depuis un serveur et peut s'appuyer sur des données first-party hachées (email, téléphone), pas seulement sur les cookies du navigateur. Les identifiants _fbp et _fbc restent utiles pour améliorer la correspondance.

Dans tous les cas, elle respecte le choix du visiteur : après un refus, aucun événement marketing ne part vers Meta.

Le "Cookieless Tracking" signifie-t-il la fin du tracking ?

▾
Non. Le « cookieless » désigne surtout la fin de la dépendance aux cookies tiers. Safari et Firefox les bloquent déjà ; Google a en revanche renoncé en avril 2025 à les supprimer de Chrome, où ils restent disponibles.

La tendance de fond ne change pas : la mesure s'appuie de plus en plus sur des données first-party, des cookies posés par votre propre domaine et des envois depuis le serveur (API de conversion). On mesure différemment, dans le respect du consentement.

Mon entreprise est 100% suisse, dois-je installer une bannière de cookies ?

▾
Dans la plupart des cas, oui. En Suisse, l'art. 45c LTC impose d'informer les visiteurs sur les cookies et de leur permettre de les refuser, et la LPD exige une information transparente sur les traitements.

De plus, Google applique à la Suisse sa politique de consentement de l'utilisateur de l'UE depuis le 31 juillet 2024 : sans bannière (CMP) reliée au Consent Mode v2, les fonctions publicitaires de Google Ads sont limitées, même pour un public suisse. Si vous ciblez aussi l'UE, le consentement préalable est obligatoire.

Pourquoi mes cookies expirent-ils après 24h ou 7 jours sur Safari ?

▾
À cause de l'ITP (Intelligent Tracking Prevention) d'Apple. Safari bloque les cookies tiers et limite à 7 jours les cookies first-party créés en JavaScript, voire à 24 heures lorsque le visiteur arrive via un lien portant des paramètres de suivi (par exemple gclid ou fbclid).

Un cookie posé par votre serveur dans la réponse HTTP, sur votre propre sous-domaine, peut durer plus longtemps. Attention : depuis Safari 16.4, si le serveur qui pose le cookie a une adresse IP trop différente de celle de votre site, Safari le plafonne aussi à 7 jours. L'architecture du serveur de tagging doit donc être prévue en conséquence.

Le Server-Side Tracking expose-t-il mon serveur à des failles de sécurité ?

▾
Non, s'il est bien configuré. Le conteneur GTM Server-Side fonctionne dans un environnement isolé (Docker/Sandboxed). Il n'a pas d'accès direct à votre base de données client ou à votre back-office, il ne fait que recevoir des requêtes HTTP filtrées.