Ce que Leyzly détecte sur votre site

Nous détectons les cookies tiers déposés dès la première visite, avant même que l'internaute n'ait interagi avec le bandeau. Déposer des cookies non strictement nécessaires sans consentement préalable est l'infraction la plus sanctionnée par la CNIL au titre de l'article 82 de la loi Informatique et Libertés.

Leyzly distingue les cookies strictement nécessaires (session, CSRF, langue, gestion du consentement) des cookies de mesure d'audience ou de marketing. Les lignes directrices cookies de la CNIL sont claires : seuls les premiers peuvent être déposés sans recueillir le consentement.

Pour chaque constat, nous indiquons précisément quel cookie a été déposé, son domaine, sa durée de vie et, lorsque c'est possible, quel fournisseur le place. Vous pouvez ainsi remonter directement au plugin ou au script responsable.

Pour être conforme, la pratique la plus courante consiste à déployer une plateforme de gestion du consentement (CMP) et à bloquer les scripts tant que l'internaute n'a pas donné un consentement granulaire, finalité par finalité.

Nous identifions les traceurs les plus répandus qui déclenchent des cookies ou des requêtes avant le consentement : Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, Microsoft Clarity, DoubleClick, LinkedIn Insight Tag, TikTok Pixel et X/Twitter Analytics.

Chaque traceur déclenché avant le consentement génère un constat distinct, accompagné des preuves capturées dans le trafic réseau et le DOM. Vous pouvez ainsi prioriser les scripts à placer derrière le bandeau.

L'arrêt Planet49 (CJUE C-673/17) et les lignes directrices de la CNIL sont sans équivoque : le consentement doit être préalable, libre, spécifique, éclairé et univoque. Charger Google Analytics « anonymisé » avant le consentement reste une infraction.

Nous vérifions la présence du bandeau dès le premier niveau d'information, l'équivalence visuelle entre les boutons « Accepter » et « Refuser », ainsi que la présence d'un bouton « Paramétrer » pour un choix granulaire.

Les lignes directrices cookies de la CNIL interdisent explicitement les dark patterns : refuser ne peut pas exiger plus de clics qu'accepter, ni être relégué à un second niveau, ni présenter un contraste moindre. Le simple défilement de la page ne vaut pas non plus consentement implicite.

Si le bandeau permet d'accepter toutes les finalités mais pas de les refuser aussi facilement, Leyzly le signale comme une infraction de sévérité élevée, car c'est l'un des schémas les plus sanctionnés.

Nous vérifions que votre site propose trois documents essentiels : les mentions légales (LCEN art. 6-III), la politique de confidentialité (RGPD art. 13 et 14) et la politique de cookies (lignes directrices CNIL).

Nous recherchons les liens dans le pied de page et dans les zones du DOM les plus courantes. Si le document existe, nous effectuons une requête HEAD pour nous assurer qu'il ne renvoie pas une erreur 404. S'il est absent ou renvoie une erreur, nous générons un constat critique avec la citation textuelle de l'article concerné.

Ces trois documents ne sont pas facultatifs. Les mentions légales s'imposent à tout prestataire de services de la société de l'information, même si votre site est purement informatif.

Pour chaque formulaire détecté, nous vérifions la présence d'une case de consentement explicite reliée à la politique de confidentialité, et nous contrôlons que la base juridique du traitement est clairement indiquée.

L'article 7 du RGPD exige que le consentement soit libre, spécifique, éclairé et univoque, et qu'il puisse être démontré. Une case pré-cochée n'est pas valable (arrêt CJUE Planet49) et un texte vague non plus.

Nous détectons également les champs sensibles (e-mail, téléphone, adresse, numéro fiscal) dans les formulaires dépourvus de lien vers la politique de confidentialité, ce qui constitue un manquement à l'obligation d'information de l'article 13 du RGPD.

L'article 32 du RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques appropriées. Un site sans HTTPS ou dépourvu d'en-têtes de sécurité de base manque à ce principe de sécurité par défaut.

Nous contrôlons le HTTPS obligatoire, la présence de HSTS, X-Content-Type-Options, Referrer-Policy et des attributs Secure/HttpOnly sur les cookies de session.

Nous n'avons pas vocation à remplacer un audit de sécurité offensif, mais nous détectons les oublis les plus courants, qui figurent aussi souvent comme circonstance aggravante dans les décisions de la CNIL.