Scanner / analyseur de cookies

Le Scanner / Analyseur de Cookies est un outil en ligne gratuit qui permet de coller des en-têtes Set-Cookie ou document.cookie pour analyser les attributs, les indicateurs de sécurité, les catégories, la conformité au RGPD et générer des modèles de bannières de consentement. Il fonctionne entièrement dans votre navigateur, sans installation ni inscription.

En-têtes Set-Cookie (un par ligne) ou chaînes document.cookie brutes. Détection automatique du format.

Par heuristiques basées sur le nom pour plus de 30 motifs : _ga/_gid → Analytique, _fbp → Marketing, __cf/csrf/session → Nécessaires, pref/lang → Préférences.

Non. Toute l'analyse et le traitement s'exécutent dans votre navigateur.

Oui, le Scanner / Analyseur de Cookies est 100 % gratuit, sans inscription, sans frais cachés et sans limite d'utilisation. Tout le traitement se fait localement dans votre navigateur, garantissant une confidentialité totale.

Oui, le Scanner / Analyseur de Cookies est entièrement adaptatif et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur tout appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le Scanner / Analyseur de Cookies dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni barrière d'inscription ni restriction d'usage.

Saisissez simplement votre entrée dans le champ prévu, ajustez les options à votre convenance et l'outil la traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le Scanner / Analyseur de Cookies fonctionne dans tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Parce que le navigateur les masque délibérément. La propriété document.cookie en JavaScript n'expose que les paires nom=valeur que vos scripts sont autorisés à lire ; elle ne révèle jamais d'attributs comme HttpOnly, Secure, SameSite, Domain, Path ou Expires. Les cookies HttpOnly, ceux qui contiennent les jetons de session, sont exclus de document.cookie par conception, donc une chaîne copiée depuis la console ne peut pas montrer leurs drapeaux de sécurité. C'est pourquoi ce scanner n'affiche que les noms et valeurs quand il détecte une entrée document.cookie, et donne à chaque cookie une image partielle plutôt qu'une note de sécurité complète. Pour auditer correctement les drapeaux, récupérez les en-têtes de réponse Set-Cookie bruts depuis l'onglet Réseau de votre navigateur (sous Response Headers) ou via une requête curl -I, puis collez-les à la place pour obtenir une analyse complète des attributs et de la sécurité.

Chaque cookie part de 100 points et en perd pour chaque protection manquante. L'absence du drapeau Secure coûte 30 points, car le cookie peut alors transiter en HTTP non chiffré. L'absence de HttpOnly coûte aussi 30 points, car JavaScript peut alors le lire et n'importe quelle faille XSS devient un vol de session. L'absence de SameSite coûte 25 points, exposant le cookie au CSRF. SameSite=Lax perd 5 points ; SameSite=None en perd 10, ou 15 s'il lui manque le drapeau Secure requis ; SameSite=Strict obtient le score le plus propre, sans aucune déduction. L'attribut Partitioned (CHIPS) ajoute un petit bonus de 5 points. Les scores par cookie sont ensuite moyennés en une note de A à F. Collez vos en-têtes Set-Cookie pour voir exactement quels drapeaux font baisser le score de chaque cookie.

SameSite=None signifie que le cookie est délibérément envoyé lors de requêtes cross-site, ce qui est nécessaire pour des cas légitimes comme les widgets intégrés, le SSO ou les iframes tiers. Le scanner le signale tout de même car les cookies cross-site comportent plus de risques, et les navigateurs appliquent une règle stricte : SameSite=None ne fonctionne que si le drapeau Secure est également présent, et les navigateurs modernes rejettent les cookies None qui en sont dépourvus. L'outil déduit donc 10 points pour un None accompagné de Secure, et 15 points plus un avertissement quand Secure manque, puisque ce cookie sera tout simplement rejeté. Ce signalement ne veut pas dire que vous avez tort, seulement que ce cookie mérite une attention particulière et un couplage Secure valide. Si un cookie peut rester same-site, préférez Lax ou Strict. Collez vos en-têtes pour vérifier que vos cookies None portent bien Secure.

Un cookie de session n'a pas de date d'expiration, donc le navigateur le supprime lorsque l'utilisateur ferme le navigateur ; un cookie persistant porte une date Expires ou un Max-Age et survit jusqu'à l'échéance. Le scanner lit ces deux attributs, marque chaque cookie comme Session ou Persistant, et pour les cookies persistants, calcule le nombre de jours avant expiration à partir du Max-Age ou de l'horodatage Expires. Cela compte à la fois pour la sécurité et la confidentialité : les cookies de session à courte durée limitent l'exposition en cas de fuite d'un jeton, tandis que les cookies persistants de longue durée, notamment analytiques et marketing, attirent une attention RGPD accrue car une conservation prolongée doit rester proportionnée à sa finalité. L'outil signale également que les cookies persistants devraient avoir des durées d'expiration raisonnables. Collez vos en-têtes Set-Cookie pour voir lesquels de vos cookies persistent, et pendant combien de temps.

Selon le RGPD et la directive ePrivacy, seuls les cookies strictement nécessaires sont exemptés de consentement. Le scanner classe chaque cookie en Nécessaire, Analytique, Marketing, Préférences ou Inconnu à l'aide de plus de 30 modèles de noms, puis y attache l'obligation de consentement correspondante. Les cookies Nécessaires, comme ceux de session, CSRF et d'authentification, peuvent être posés sans consentement mais doivent tout de même figurer dans votre politique de confidentialité. Les cookies Analytiques comme _ga et _gid, ainsi que les cookies Marketing comme _fbp ou _gcl_au, exigent un opt-in explicite et préalable et ne doivent pas être posés avant que l'utilisateur ait donné son accord. Les cookies Préférences nécessitent généralement un consentement, sauf s'ils servent directement une fonction demandée par l'utilisateur comme la langue. Tout ce qui reste Inconnu devrait être examiné et traité comme non essentiel. Collez vos cookies pour voir les recommandations de consentement par catégorie et générer une bannière de consentement assortie.