Leçon 10 sur 24
10 min

Leçon 3.2 : Le blocage préalable des scripts : comment ça fonctionne

Le cœur technique de la conformité consentement

Le blocage préalable des scripts est l’exigence technique centrale de la Loi 25 : aucun script de suivi ne peut s’exécuter dans le navigateur de l’utilisateur avant qu’il ait activement cliqué sur « Accepter ». Cette obligation transforme l’architecture frontale d’un site web.

siteqc-loi25-blocage-prealable-scripts

Comment fonctionne le blocage préalable?

Le mécanisme repose sur l’interception du tampon de sortie HTML (output buffering) avant envoi au navigateur :

  1. Le serveur intercepte le HTML rendu.
  2. Toutes les balises <script> non essentielles voient leur attribut type muté de text/javascript en text/plain, ce qui neutralise leur exécution.
  3. Un attribut data-cookieconsent=« analytics » (ou marketing) est ajouté.
  4. La page est envoyée au navigateur : scripts présents dans le DOM mais inactifs.
  5. Quand l’utilisateur clique « Accepter » (catégorie correspondante), le JavaScript côté client réactive les scripts autorisés dynamiquement, sans rechargement de page.

Scripts concernés par le blocage

  • Analytiques : Google Analytics (GA4), Matomo, Hotjar, Microsoft Clarity.
  • Marketing et reciblage : Meta Pixel, TikTok Pixel, Google Ads, LinkedIn Insight Tag.
  • Réseaux sociaux : Boutons de partage Facebook/Twitter/LinkedIn (si traceurs).
  • Chatbots : Intercom, Zendesk, Drift (si collecte identifiante).

Scripts exemptés (essentiels)

  • Cookie de session (authentification, panier WooCommerce).
  • Cookie anti-CSRF (sécurité des formulaires).
  • Cookie de préférence de langue.
  • Scripts de fonctionnalité pure sans composante de suivi.

Charger Google Analytics en arrière-plan pendant l’affichage de la bannière, même sans déclencher de collecte complète, est une violation de la Loi 25 selon la CAI.

Google Consent Mode v2

Google Consent Mode v2 est une technologie complémentaire qui permet aux balises Google d’exister dans un état restreint avant le consentement. Le script gtag('consent', 'default', {...}) doit être injecté avant tout autre script, en tout début de <head>. En état restreint, Google utilise la modélisation statistique plutôt que les données individuelles, conformité et mesure des conversions préservées.

siteqc-requete-reseau-avant-consentement

SiteQC : blocage natif intégré

SiteQC gère le blocage préalable à l’architecture, tous les scripts tiers sont bloqués avant consentement, Google Consent Mode v2 est configuré automatiquement, et l’activation post-consentement se fait sans rechargement de page.

Points clés

  • Aucun script non essentiel ne peut s’exécuter avant le clic « Accepter ».
  • Mécanisme : mutation type=« text/plain » → réactivation JS post-consentement.
  • Scripts essentiels (session, sécurité) sont exemptés.
  • Google Consent Mode v2 doit être injecté avant tous les autres scripts.