consentement cookies pour Lovable
Lovable construit l’app et le suivi que vous avez demandés, sans aucune étape de consentement. Demandez-lui une bannière et vous obtenez une boîte qui affiche un choix et ne bloque rien. Cette page règle les deux en dix minutes.
la règle
Un projet Lovable par défaut dépose des cookies d’analyse et de marketing dès que ces scripts sont ajoutés. C’est exactement le comportement que les autorités européennes sanctionnent, et l’obligation légale pèse sur vous, l’exploitant, pas sur l’outil qui a généré le code.
La règle est la même partout dans l’UE et au Royaume-Uni : rien au-delà du strictement nécessaire ne peut être stocké sur l’appareil d’un visiteur ni lu depuis celui-ci avant son accord. C’est l’article 5(3) de la directive ePrivacy, et cet accord doit répondre à la définition du consentement du RGPD : libre, spécifique, éclairé et univoque, avec un refus aussi simple que l’acceptation. Le Royaume-Uni conserve la même règle dans PECR, avec d’étroites exemptions pour les statistiques à faible risque depuis le 5 février 2026. La Californie et les autres lois des États américains fonctionnent à l’inverse : pas d’opt-in, mais un lien d’opt-out et la prise en charge du signal Global Privacy Control.
Trois choses en découlent pour un site. Les scripts d’analyse, de publicité et de réseaux sociaux doivent attendre un choix. Ce choix doit être enregistré de façon à pouvoir être montré plus tard, car l’article 7(1) met la charge de la preuve sur vous. Et retirer son consentement doit être aussi simple que le donner, ce qui suppose un contrôle qui rouvre la bannière sur chaque page. Une bannière qui affiche deux boutons et charge quand même Google Analytics échoue au premier test, et c’est précisément ce manquement que les autorités sanctionnent, des décisions de la CNIL contre Google et SHEIN aux contrôles des autorités néerlandaise et belge.
comment ça marche
Lovable génère une app React sur Vite avec Tailwind et shadcn/ui, généralement avec Supabase derrière, et la publie sur un sous-domaine lovable.app ou votre propre domaine. Le runtime de consentement appartient au seul fichier que toute app Vite possède : index.html, en premier dans le head. Lovable modifie ce fichier quand vous le demandez, et conserve le changement lors des prompts suivants.
Ce que Lovable ne fera pas tout seul, c’est bloquer. Si vous demandez « une bannière cookies », le modèle écrit un composant qui affiche deux boutons et stocke un booléen, tandis que le snippet Google Analytics ou Meta Pixel ajouté plus tôt continue de tourner à chaque chargement. C’est pire qu’aucune bannière : cela semble conforme et ne l’est pas. Le prompt ci-dessous fait les deux choses qui comptent, dans le bon ordre : le runtime d’abord, puis chaque traceur transformé en script soumis au consentement.
Ensuite, le scanner prend le relais. Il charge votre app publiée dans un vrai navigateur, dans chaque état de consentement, et liste ce qui se déclenche encore avant le consentement, s’il y a quelque chose. Comme les apps Lovable sont mono-page, le scan suit les routes côté client qu’il découvre dans le DOM rendu ; ajoutez des URL de départ dans le tableau de bord pour les routes inaccessibles depuis l’accueil. Le journal de consentement enregistre chaque choix dès que la bannière est en ligne.
mise en place
Dix minutes, un prompt, pas de npm.
Inscrivez-vous, ajoutez le domaine sur lequel votre app est publiée et copiez la clé de production depuis Installation. L’offre gratuite couvre deux domaines.
Il place la balise en premier et transforme chaque traceur en script soumis au consentement. Lisez le diff qu’il produit ; rien d’autre ne devrait changer.
Add this script tag as the very first element inside <head> of index.html:
<script src="https://app.cookiecrumbs.eu/runtime/cc.js"
data-cc-site="pk_live_…"
data-cc-env="production"></script>
Then change every analytics, advertising and social script (Google Analytics, gtag, Meta Pixel, TikTok, Hotjar, HubSpot) to type="text/plain" and add data-cc-category="analytics" or data-cc-category="marketing" to each one. Do not change anything else.Publiez l’app. Dans le tableau de bord, lancez le premier scan : il charge l’app en ligne dans un vrai navigateur et liste ce qui se déclenche encore avant le consentement, s’il y a quelque chose.
Classez chaque fournisseur dans une catégorie, renseignez vos liens mentions légales et confidentialité, publiez. La bannière est en ligne et le journal de consentement enregistre.
Elle charge votre page comme un visiteur et confirme que la bannière s’est exécutée avant tout traceur. Cette coche est la preuve.
Les projets Lovable avec Google Ads ou GA4 reçoivent les valeurs par défaut de Consent Mode du runtime avant le chargement de ces balises, si bien que la mesure continue de fonctionner pour les visiteurs qui disent oui.
Google Consent Mode v2 est la couche de signalisation entre la bannière et les balises Google. Avant qu’une balise ne s’exécute, sept signaux (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) sont positionnés sur « denied » pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse. Dès que quelqu’un choisit, le runtime les met à jour et les balises Google s’adaptent. Depuis le 15 juin 2026, Google utilise ad_storage comme signal déterminant pour les données Ads, donc la valeur par défaut compte plus qu’avant.
CookieCrumbs fixe les valeurs par défaut de façon synchrone, avant tout gestionnaire de balises, les met à jour à chaque décision et fournit un modèle Google Tag Manager pour que les déclencheurs de consentement existent sans écouteurs écrits à la main. En mode avancé, les pings sans cookies de Google maintiennent les conversions modélisées pour les visiteurs qui ont refusé. Ce qu’il ne fait pas : se faire passer pour une CMP certifiée Google. Pour AdSense, Ad Manager ou AdMob dans l’EEE, il vous en faut toujours une avec IAB TCF, et CookieCrumbs ne l’est pas aujourd’hui.
attention
Chacune apparaît dans le premier scan comme un traceur déclenché avant le consentement.
avant de publier
Huit lignes. Le tableau de bord coche les deux dernières à partir de données réelles.
type="text/plain" avec une catégorie, soit l’hôte figure dans la carte de blocage issue du scan.ce que vous obtenez
Deux domaines, 100 sous-pages scannées par mois et par domaine, toutes les réglementations, la CLI, les SDK et le serveur MCP.
Chaque page, dans chaque état de consentement, dans un vrai navigateur. Cookies, pixels, iframes et clés de stockage, avec la page et le script qui les ont posés. Rescanné selon un planning.
La déclaration cookies s’écrit d’elle-même à partir du résultat.
Les balises restent inertes tant que leur catégorie n’est pas accordée. « Tout refuser » est aussi visible que « Tout accepter ». Sept mises en page, 25 langues, Consent Mode v2 et la bonne règle par région.
21 ko, un seul fichier, aucune requête tierce de son propre chef.
Chaque choix est stocké avec un horodatage, la version de la bannière et un hachage des textes affichés, chaîné à l’enregistrement précédent. Les exports sont signés. Hébergé à Francfort.
Article 7(1), dans l’offre gratuite.
vérification gratuite
Le HTML de la page d’accueil, confronté à la base de traceurs. Pas de compte, rien n’est stocké. Le scan complet du tableau de bord fait de même pour chaque page, dans un vrai navigateur.
questions
étape suivante
Offre gratuite, deux domaines, pas de carte. Scannez d’abord l’app en ligne si vous voulez voir ce qu’elle charge aujourd’hui.