C’est 1994. Lou Montulli a vingt-trois ans, un bureau chez Netscape Communications à Mountain View, et un problème d’une banalité désarmante : comment éviter de retaper son mot de passe à chaque clic sur un site web ? Il résout l’affaire en quelques semaines. Il invente le cookie informatique. Personne, ce jour-là, ne mesure ce qu’il vient de lâcher dans la nature.
Trente ans plus tard, ces petits fichiers invisibles sont littéralement partout. Sur chaque site que nous visitons, à chaque ouverture de navigateur, à chaque recherche. Ils mémorisent nos préférences, suivent notre parcours, alimentent les régies publicitaires. Et la majorité d’entre nous ne sait pas vraiment ce que c’est ni comment ça marche.
Ce n’est pas de l’ignorance. C’est juste que personne n’a pris la peine d’expliquer clairement. On va corriger ça maintenant.
Qu’est-ce qu’un cookie informatique, vraiment ?
Un cookie informatique est un petit fichier texte stocké sur notre ordinateur ou notre téléphone. C’est tout. Pas de code malveillant, pas de virus tapi dans l’ombre. Du texte brut. Des données. Quelques kilobytes, soit l’équivalent de quelques lignes griffonnées dans un carnet.
Ce fichier contient des informations simples : un identifiant de session, nos préférences de langue, le contenu de notre panier d’achat, ou l’heure de notre dernière visite. Rien de spectaculaire en soi. Mais c’est précisément cette simplicité qui le rend si efficace.
Le cookie informatique est créé par le serveur du site que nous visitons. Notre navigateur le reçoit, le stocke dans un dossier dédié, puis le renvoie automatiquement chaque fois qu’on retourne sur ce site. C’est un système d’étiquette numérique : le site nous colle une étiquette dans le dos, et chaque fois qu’on revient, il nous reconnaît à cette étiquette. Comme au camp de vacances, mais en beaucoup moins romantique.
Lou Montulli, donc. 1994. Netscape. Il voulait juste éviter de retaper son mot de passe. Il a posé, presque par accident, les fondations d’une industrie publicitaire de plusieurs centaines de milliards de dollars. La vie est pleine de surprises.
Comment fonctionne un cookie informatique concrètement ?
Le mécanisme est basique mais redoutablement efficace. Suivons le fil étape par étape.
Quand nous arrivons pour la première fois sur un site, notre navigateur envoie une requête au serveur web. Le serveur répond en renvoyant le contenu de la page, mais aussi une instruction discrète : crée un cookie informatique contenant, disons, l’ID utilisateur 12345 et l’heure actuelle. Notre navigateur reçoit cette instruction, crée le fichier texte et le sauvegarde localement.
Le cookie reste invisible. On ne le voit pas, on ne le sent pas. Il est juste là, silencieux, comme un assistant zélé qui prend des notes en coulisses sans jamais se faire remarquer.
Maintenant, fermons le navigateur. Quittons le site. Allons prendre un café, regarder un épisode, dormir une nuit entière. Revenons le lendemain sur le même site.
Notre navigateur se souvient. Avant même que le serveur ne demande qui nous sommes, le navigateur lui envoie automatiquement le cookie informatique stocké. Le serveur lit l’ID 12345, sait que c’est nous, et affiche notre compte, notre historique, nos paramètres personnalisés. Aucune authentification supplémentaire. Le site nous reconnaît comme si on ne l’avait jamais quitté.
C’est le cookie qui a prévenu de notre retour. Petit fichier, grand effet.
Les trois types de cookies informatique (et leurs rôles bien distincts)
Il existe trois catégories principales de cookie informatique. Chacune joue un rôle différent, et il est utile de les distinguer pour comprendre ce qui se passe vraiment dans notre navigateur.
Les cookies de session
Les cookies de session disparaissent quand on ferme le navigateur. Temporaires, éphémères, amnésiques. Ils gèrent notre connexion active, notre panier d’achat en temps réel, notre progression dans un formulaire.
Une fois le navigateur fermé, ils s’effacent sans laisser de trace. Ces cookies sont généralement considérés comme sûrs, précisément parce qu’ils ne persistent pas. Ils font leur job, puis ils partent. On aimerait que tous les invités soient aussi discrets.
Les cookies persistants
Les cookies persistants, eux, s’installent. Ils restent sur notre ordinateur pendant des mois ou des années, selon une date d’expiration définie à l’avance. Ils permettent au site de nous reconnaître à long terme.
C’est le cookie « souviens-toi de moi » qu’on coche avant de se connecter. Amazon, par exemple, utilise des cookies persistants pour mémoriser les produits consultés pendant 90 jours. Pratique pour nous. Encore plus pratique pour leurs algorithmes de recommandation.
Les cookies tiers
Les cookies tiers, c’est là que ça devient intéressant, et un peu moins confortable. Ces cookies ne viennent pas du site que nous visitons, mais d’un acteur externe.
Si nous sommes sur un blog et qu’il contient une publicité Google, Google peut placer son propre cookie informatique sur notre navigateur. Ce cookie permet à Google de nous suivre à travers des milliers de sites différents, de construire un profil publicitaire précis, et de nous afficher des publicités ciblées où que nous allions sur le web. C’est pour ça que la paire de chaussures qu’on a regardée un mardi soir nous suit pendant trois semaines sur chaque page qu’on ouvre.
Or c’est précisément ce type de cookie qui est au coeur des grands débats sur la vie privée numérique. Google a d’ailleurs annoncé leur suppression progressive dans Chrome, avant de faire marche arrière en 2024. L’histoire continue.
À quoi servent les cookies informatique dans la vraie vie ?
On associe souvent le cookie informatique à la publicité ciblée, et c’est compréhensible. Mais leur utilité dépasse largement ce seul cas d’usage.
Sans cookies, chaque page d’un site serait une ardoise vierge. Notre panier d’achat se viderait à chaque clic. Notre session bancaire expirerait toutes les trente secondes. Nos préférences de langue reviendraient en anglais par défaut à chaque visite. Les cookies maintiennent ce qu’on appelle l’état de la session : ils donnent au web une mémoire qu’il n’a pas nativement.
D’ailleurs, HTTP, le protocole de base du web, est dit « sans état ». Chaque requête est techniquement indépendante des précédentes. Le cookie informatique est donc le patch qui corrige cette lacune essentielle. Sans lui, l’expérience web telle qu’on la connaît n’existerait tout simplement pas.
Concrètement, les cookies servent à :
- Maintenir une session utilisateur active (connexion à un compte)
- Mémoriser les préférences de langue et d’affichage
- Conserver le contenu d’un panier d’achat
- Mesurer l’audience d’un site via des outils comme Google Analytics
- Personnaliser le contenu affiché selon notre historique
- Cibler les publicités en fonction de notre comportement de navigation
La réglementation autour des cookies informatique
Depuis mai 2018, le RGPD européen a changé les règles du jeu. Tout site web ciblant des utilisateurs européens doit obtenir un consentement explicite avant de déposer des cookies non essentiels sur notre navigateur. C’est l’origine de ces bandeaux qui nous accueillent désormais sur chaque site visité.
La CNIL, en France, précise que les cookies strictement nécessaires au fonctionnement du site, les cookies de session par exemple, ne nécessitent pas de consentement. En revanche, les cookies publicitaires et analytiques le requièrent obligatoirement.
Pourtant, dans les faits, beaucoup de sites pratiquent ce qu’on appelle le « dark pattern » : un bouton « Tout accepter » bien visible, et un bouton « Refuser » caché sous trois menus déroulants. La loi est là. Son application reste perfectible.
La CNIL a d’ailleurs sanctionné plusieurs grandes entreprises pour non-conformité, dont Google et Facebook, à hauteur de 150 et 60 millions d’euros respectivement en janvier 2022. Le signal est clair, même si la route est encore longue.
Comment gérer ses cookies informatique au quotidien ?
Bonne nouvelle : nous ne sommes pas totalement passifs dans cette histoire. Tous les navigateurs modernes offrent des options de gestion des cookies accessibles en quelques clics.
Dans Chrome, Firefox, Safari ou Edge, on peut consulter les cookies stockés, les supprimer manuellement, ou configurer le navigateur pour les bloquer automatiquement. La navigation privée, elle, empêche les cookies persistants de s’enregistrer, mais ne supprime pas les cookies de session actifs pendant la navigation.
Des extensions comme uBlock Origin ou Privacy Badger bloquent les cookies tiers de manière plus agressive. Pour ceux qui veulent reprendre un contrôle plus total, des navigateurs comme Brave bloquent les traqueurs par défaut.
Supprimer ses cookies régulièrement a un effet secondaire souvent sous-estimé : on se fait déconnecter de tous les sites où l’on était restés connectés. Un petit prix à payer pour un peu plus de tranquillité numérique, à chacun d’évaluer.
Questions fréquentes sur les cookies informatique
Un cookie informatique peut-il contenir un virus ?
Non. Un cookie informatique est un fichier texte brut, sans code exécutable. Il ne peut donc pas contenir de virus ni être utilisé directement pour infecter un appareil. En revanche, certains cookies malveillants peuvent être utilisés pour voler des données de session, une technique appelée « session hijacking ». C’est pourquoi naviguer sur des sites en HTTPS reste une précaution utile.
Quelle est la durée de vie maximale d’un cookie informatique ?
Techniquement, un cookie persistant peut être configuré pour durer très longtemps. Mais depuis 2020, Safari limite la durée de vie des cookies à 7 jours pour les cookies créés via JavaScript. La réglementation européenne pousse les acteurs à limiter cette durée à 13 mois maximum pour les cookies soumis à consentement, conformément aux recommandations de la CNIL.
Quelle est la différence entre un cookie first-party et un cookie third-party ?
Un cookie first-party est déposé directement par le site que nous visitons. Il sert à gérer notre session, nos préférences, notre panier. Un cookie third-party est déposé par un acteur tiers présent sur la page, comme une régie publicitaire ou un outil d’analyse externe. Ce second type peut nous suivre sur des milliers de sites différents, ce qui en fait l’objet principal des débats sur la vie privée numérique.
Que change la suppression des cookies tiers annoncée par Google ?
Google avait annoncé la suppression des cookies tiers dans Chrome d’ici 2024, avant de faire marche arrière en juillet 2024. L’entreprise a finalement décidé de maintenir les cookies tiers tout en proposant aux utilisateurs des options de contrôle renforcées. Cette volte-face illustre la tension entre les intérêts publicitaires qui représentent l’essentiel des revenus de Google et les impératifs croissants de protection des données personnelles.
Ce que le cookie dit de nous, et de notre rapport au web
Lou Montulli voulait juste ne plus retaper son mot de passe. Trente ans plus tard, le cookie informatique qu’il a inventé dans un bureau californien est devenu l’un des mécanismes les plus discutés de l’histoire d’internet. Pas parce qu’il est mauvais en soi. Mais parce qu’il est puissant, et que la puissance appelle toujours des questions.
Car comprendre ce que sont les cookies, c’est aussi comprendre comment le web fonctionne, comment nos données circulent, et comment les choix technologiques d’un jeune ingénieur peuvent structurer des décennies d’économie numérique.
La prochaine fois qu’un bandeau de consentement s’affiche, on sait maintenant ce qui se joue vraiment. Ce n’est pas une simple formalité légale ennuyeuse. C’est une question sur ce qu’on accepte de laisser derrière soi en naviguant.
À propos de l'auteur
Directeur de publication : Cédric Rouaud, responsable éditorial de CuriositéWeb.com.
