Le consentement cookies pour Next.js,
en une commande

Une app Next.js n’a pas de couche de consentement. next/script charge GA4 ou le pixel Meta dès que la page s’hydrate, et chaque visiteur de l’UE est suivi avant d’avoir dit quoi que ce soit.

La règle est la même partout dans l’UE et au Royaume-Uni : rien au-delà du strictement nécessaire ne peut être stocké sur l’appareil d’un visiteur ni lu depuis celui-ci avant son accord. C’est l’article 5(3) de la directive ePrivacy, et cet accord doit répondre à la définition du consentement du RGPD : libre, spécifique, éclairé et univoque, avec un refus aussi simple que l’acceptation. Le Royaume-Uni conserve la même règle dans PECR, avec d’étroites exemptions pour les statistiques à faible risque depuis le 5 février 2026. La Californie et les autres lois des États américains fonctionnent à l’inverse : pas d’opt-in, mais un lien d’opt-out et la prise en charge du signal Global Privacy Control.

Trois choses en découlent pour un site. Les scripts d’analyse, de publicité et de réseaux sociaux doivent attendre un choix. Ce choix doit être enregistré de façon à pouvoir être montré plus tard, car l’article 7(1) met la charge de la preuve sur vous. Et retirer son consentement doit être aussi simple que le donner, ce qui suppose un contrôle qui rouvre la bannière sur chaque page. Une bannière qui affiche deux boutons et charge quand même Google Analytics échoue au premier test, et c’est précisément ce manquement que les autorités sanctionnent, des décisions de la CNIL contre Google et SHEIN aux contrôles des autorités néerlandaise et belge.

Next.js n’offre qu’un seul bon emplacement pour un runtime de consentement : une balise next/script avec strategy="beforeInteractive". Les scripts avec cette stratégie sont injectés dans le HTML initial et s’exécutent avant toute hydratation, le seul moment assez tôt. afterInteractive (par défaut) s’exécute après l’hydratation, quand un gestionnaire de balises ajouté avec la même stratégie a peut-être déjà tiré. lazyOnload est encore pire.

Dans l’App Router, la balise va dans app/layout.tsx, qui enveloppe chaque route. Dans le Pages Router, elle va dans pages/_document.tsx. La CLI détecte lequel vous utilisez et affiche le bon snippet ; @cookiecrumbs/next enveloppe la balise dans un composant et ajoute des helpers serveur, si bien qu’un Server Component ou un route handler peut lire le cookie de consentement et décider quoi rendre avant que le client ne s’exécute.

À partir de là, le verrouillage est une question de catégorie. Une balise tierce devient type="text/plain" avec data-cc-category ; un sous-arbre React qui charge un traceur passe dans ConsentGate. Le runtime libère les deux quand la catégorie est accordée, dans l’ordre du document, si bien qu’un conteneur GTM qui attend les statistiques s’exécute exactement comme il l’aurait fait, juste plus tard. Tout ce que le scan a trouvé sur votre domaine de production est compilé dans une carte de blocage à la publication, donc les scripts non balisés dont l’hôte est connu sont aussi neutralisés sur place.

Les sites Next.js portent souvent Google Ads ou GA4 via GTM, ajouté avec afterInteractive. Avec le runtime de consentement en premier, ces balises se chargent avec les bonnes valeurs par défaut, sans changement de code de votre côté.

Google Consent Mode v2 est la couche de signalisation entre la bannière et les balises Google. Avant qu’une balise ne s’exécute, sept signaux (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) sont positionnés sur « denied » pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse. Dès que quelqu’un choisit, le runtime les met à jour et les balises Google s’adaptent. Depuis le 15 juin 2026, Google utilise ad_storage comme signal déterminant pour les données Ads, donc la valeur par défaut compte plus qu’avant.

CookieCrumbs fixe les valeurs par défaut de façon synchrone, avant tout gestionnaire de balises, les met à jour à chaque décision et fournit un modèle Google Tag Manager pour que les déclencheurs de consentement existent sans écouteurs écrits à la main. En mode avancé, les pings sans cookies de Google maintiennent les conversions modélisées pour les visiteurs qui ont refusé. Ce qu’il ne fait pas : se faire passer pour une CMP certifiée Google. Pour AdSense, Ad Manager ou AdMob dans l’EEE, il vous en faut toujours une avec IAB TCF, et CookieCrumbs ne l’est pas aujourd’hui.