Rien ne suit votre visiteur tant qu’il n’a pas dit oui.

Installation

MevvLegal exige WordPress 6.0 ou plus récent et PHP 8.1 ou plus récent. Il n’y a aucune autre exigence et aucune bibliothèque externe.

1. Téléversez l’extension et activez-la. Une table pour le journal de consentement anonyme est créée à l’activation.
2. Ouvrez MevvLegal → Assistant de configuration et parcourez les cinq étapes : les informations de votre structure, les catégories et le texte du bandeau, une analyse du front-end, les suggestions de rétention issues de cette analyse, et les pages légales.
3. Vérifiez le résultat sous Audit du front-end. Le chiffre que vous visez est « scripts tiers s’exécutant sans consentement : 0 ».

Deux intégrations facultatives : l’extension WP Consent API, si vous utilisez des extensions qui la parlent, et WPML ou Polylang pour traduire le titre et le texte de la bannière.

Pro est une extension distincte installée à côté de la version gratuite, et elle déclare l’extension gratuite comme une exigence stricte. En l’absence de Pro, MevvLegal ne contacte jamais nos serveurs.

Comment ça marche

La plupart des bannières de cookies posent la question puis chargent le code de suivi quelle que soit la réponse. Le visiteur a dit non et a été suivi quand même.

1. Avant le consentement, chaque script de suivi de la page est réécrit pour que le navigateur ne l’analyse pas, ne le télécharge pas et ne l’exécute pas. Son adresse est mise de côté, pas supprimée — le consentement doit pouvoir la rétablir.
2. La bannière est imprimée pour chaque visiteur, octets identiques, et démarre masquée. C’est le script dans le navigateur qui décide de l’afficher ou non.
3. Lorsque le visiteur fait un choix, la décision est écrite dans son propre navigateur et les scripts des catégories qu’il a acceptées sont libérés.
4. La décision est liée au texte exact qui a été montré. Modifiez les catégories, le texte de la bannière ou l’inventaire des cookies et les anciens consentements cessent de compter — la question est reposée.
5. S’il retire ensuite son consentement, les cookies nommés dans votre inventaire sont supprimés là où c’est possible, et la page se recharge pour que rien de ce qui tournait déjà ne continue de tourner.

Le serveur ne fait jamais varier la page selon le visiteur : sur le front-end, aucun cookie n’est lu, aucune session n’est vérifiée, aucun état de connexion n’est inspecté. Une bannière qui modifie le HTML selon le visiteur casse la mise en cache de page entière — et derrière un tel cache, la page du premier visiteur est servie à tout le monde, en silence.

Si le script ne parvient pas du tout à se charger, la bannière reste invisible et les scripts retenus ne sont jamais libérés. Le mode de défaillance est « rien n’est suivi », pas « tout est suivi ».

Retenir les scripts

Trois mécanismes, parce que le code de suivi atteint une page WordPress de trois façons différentes.

Scripts mis en file d’attente par WordPress

Ils sont associés par leur identifiant à une catégorie dans la liste Scripts retenus. MevvLegal réécrit la balise pour que le navigateur la traite comme du texte brut et sort l’adresse de src.

Les balises que vous écrivez vous-même

Écrivez le contrat à la main : donnez au script type="text/plain" et un attribut de catégorie, ou placez l’adresse d’une iframe dans l’attribut de rétention plutôt que dans src.

Les balises que d’autres extensions impriment directement

Certaines extensions impriment leur traceur directement dans la page, là où le mécanisme habituel ne peut pas le voir. Ceux-là sont plutôt repérés par un fragment de leur adresse, dans la liste Balises imprimées par d’autres extensions.

Le troisième cas n’est pas hypothétique. Sur une boutique en production, Google Listings & Ads imprimait la balise Google Ads à une priorité qu’aucun filtre ne peut atteindre, et des cookies marketing sans consentement s’écrivaient sous une bannière qui croyait les avoir bloqués.

Libérer un script retenu exige de remplacer l’élément, pas seulement de le modifier : un script que le navigateur a déjà analysé comme du texte brut ne s’exécutera plus jamais, quoi que vous fassiez à ses attributs. Seul un nœud tout neuf s’exécute. Les éléments qui ne sont pas des scripts — iframes, images — récupèrent simplement leur adresse.

Tant que cette troisième liste est vide, aucune page n’est mise en tampon. La mise en tampon de sortie aux côtés d’une autre extension est l’une des causes d’écran blanc les plus souvent signalées : elle n’est donc activée que lorsqu’il y a réellement quelque chose à attraper.

MevvLegal répare aussi son propre travail. Une balise dont l’adresse semble mise de côté mais qui a perdu son attribut de catégorie est une balise qu’une autre extension a réécrite après nous — le navigateur l’exécuterait. Celles-ci sont détectées, retenues de nouveau et comptées sur l’écran d’audit comme Laissée à moitié faite (AVERTISSEMENT).

La bannière

Les réglages se trouvent sous MevvLegal → Consentement aux cookies, qui est un seul long formulaire plutôt qu’un ensemble d’onglets.

Bandeau de cookies

S’il s’affiche, son titre, son texte, et s’il se place en haut ou en bas. Modifier le texte change la version de la politique et repose la question à tout le monde — c’est le but, pas un effet secondaire.

Apparence du bandeau

Six valeurs : arrière-plan de la bannière, couleur du texte, couleur des boutons, couleur du texte des boutons, rayon des angles et largeur maximale. Un contraste inférieur au seuil WCAG produit un avertissement mais n’empêche pas l’enregistrement.

Catégories

Nécessaires (toujours actives, non désactivables), préférences, statistiques, marketing.

Lien vers les réglages des cookies

Un code court que vous pouvez placer dans votre pied de page pour qu’un visiteur puisse rouvrir la bannière et changer d’avis.

Refuser est aussi facile qu’accepter. Les deux boutons portent la même classe et le refus est imprimé en premier. Il n’y a qu’un seul réglage de couleur, appliqué aux deux — vous ne pouvez pas rendre le bouton de refus plus discret que le bouton d’acceptation. Un consentement obtenu en rendant le refus plus difficile n’est pas libre.

La bannière est une boîte de dialogue, mais elle ne verrouille pas la page derrière elle et ne capture pas le focus. La touche Échap ferme le panneau de détail, jamais la bannière elle-même : traiter l’indécision comme une acceptation ou comme un refus serait faux dans les deux sens.

L’inventaire des cookies

L’inventaire est une liste par catégorie, une ligne par cookie : nom, emplacement, fournisseur, durée de vie et finalité. Tout le reste s’appuie dessus — la page de politique de cookies en est générée, et c’est la liste qui dit ce qui peut être supprimé au retrait du consentement.

MevvLegal ne livre aucune ligne par défaut. Pas de Google Analytics prérempli, pas de Meta Pixel prérempli. Déclarer un traitement que vous n’effectuez pas est pire que d’en déclarer trop peu.

Vous n’avez pas à l’écrire de mémoire. Observation des cookies mesure quels noms de cookies apparaissent dans les navigateurs de vrais visiteurs — un échantillon d’entre eux, au rythme que vous choisissez — et les propose comme suggestions.

Seuls les noms sont lus. La valeur d’un cookie n’est jamais lue, jamais envoyée et jamais conservée. Et un nom découvert n’est jamais écrit tout seul dans votre inventaire : le fournisseur, la durée et la finalité sont des choses que vous seul connaissez, et les inventer reviendrait à poser une déclaration fabriquée sur votre propre page de politique.

Google Consent Mode v2

Désactivé par défaut, et l’activer est un compromis délibéré qu’il vaut mieux comprendre avant de le faire.

Lorsqu’il est activé, quatre signaux sont envoyés — stockage publicitaire, stockage analytique, données utilisateur publicitaires et personnalisation des annonces —, réglés sur « refusé » avant tout choix et mis à jour dès que le visiteur décide. Les statistiques correspondent au stockage analytique ; le marketing correspond aux trois signaux publicitaires. Les préférences et les cookies nécessaires ne correspondent à rien, car envoyer un signal qui ne change le comportement d’aucune balise laisserait croire à un réglage qui ne fait rien.

Ce que cela coûte, dit franchement : avec cette option activée, la balise Google s’exécute sur votre page. Même quand le visiteur refuse tout, une requête part vers Google, et son adresse IP ainsi que l’adresse de la page partent avec elle. Aucun cookie n’est écrit — les quatre signaux disent « refusé » — mais la requête a lieu. Votre audit front-end ne peut alors plus dire « scripts tiers exécutés sans consentement : 0 ».

Ce que cela apporte, c’est la modélisation des conversions de Google, qui a besoin du signal « refusé » pour exister. C’est un véritable choix entre deux positions défendables, et c’est pourquoi il est proposé plutôt qu’activé en silence.

L’exception est étroite : seuls les chargeurs de la balise Google eux-mêmes sont libérés. Meta Pixel, TikTok, Criteo et les domaines publicitaires de Google restent retenus.

Activer cette option n’invalide le consentement existant de personne — elle est délibérément laissée hors du hachage de la version de la politique.

Règles régionales et GPC

Désactivé par défaut. Une fois activé, trois groupes peuvent se comporter différemment.

UE/EEE, le Royaume-Uni et la Turquie

Opt-in, toujours. Ce n’est pas un réglage et cela ne peut pas être assoupli.

États-Unis

Opt-in, ou opt-out — les scripts s’exécutent et la bannière indique que vous pouvez refuser.

Partout ailleurs, et les visiteurs dont la région ne peut être déterminée

Opt-in, ou libre — les scripts s’exécutent et la bannière n’apparaît jamais.

La région est déterminée à partir du fuseau horaire du navigateur. Aucune recherche d’adresse IP, aucun en-tête de pays, aucun service de géolocalisation, rien d’écrit sur l’appareil du visiteur. L’approche habituelle consiste à envoyer l’IP du visiteur à un service de recherche tiers — ce qui est déjà en soi une divulgation, et dans au moins un produit concurrent cela se fait en HTTP simple.

Ce choix a un coût assumé : un fuseau horaire n’est pas un pays. Les États américains ne peuvent pas être distingués, il n’y a donc pas de règle au niveau des États. Et tout cas inconnu — une valeur vide, UTC, un nom non reconnu — tombe dans le groupe opt-in. Le réglage par défaut inverse écrirait des cookies marketing sans consentement pour un visiteur de l’UE dont le navigateur n’a tout simplement pas indiqué de fuseau, et il n’afficherait jamais d’erreur nulle part.

Le Global Privacy Control est toujours respecté et n’a aucun réglage. Quand un navigateur l’envoie, un groupe opt-out ou libre est resserré vers l’opt-in. Il ne fait que resserrer ; il ne libère jamais un script où que ce soit.

Le GPC n’est jamais transformé en enregistrement de consentement. La bannière n’est pas fermée et rien n’est conservé. Un réglage de navigateur n’est pas un consentement éclairé — et fermer la bannière retirerait à ce visiteur la possibilité d’accepter. Do Not Track n’est délibérément pas respecté : certains navigateurs l’envoyaient par défaut sans que l’utilisateur l’ait choisi, et traiter comme une opposition un réglage par défaut que personne n’a choisi est l’image inversée du fait de traiter le silence comme un consentement.

Dans un groupe opt-out ou libre, aucun enregistrement de consentement n’est écrit et rien n’est envoyé au journal. En écrire un transformerait l’enregistrement censé prouver le consentement en déclaration fabriquée. Une décision réellement prise par le visiteur l’emporte toujours sur la règle régionale.

Supprimer les cookies au retrait du consentement

Il n’y a aucun réglage pour cela. Quand un visiteur retire son consentement, les noms de votre inventaire sont supprimés là où le navigateur l’autorise — cookies, stockage local et stockage de session, sur tous les chemins et domaines candidats. Un astérisque final fait office de joker. La suppression s’exécute avant le rechargement de la page, car après le rechargement, rien ne garantit que quoi que ce soit s’exécute encore.

La catégorie « nécessaires » n’est jamais touchée, et l’enregistrement de consentement du visiteur non plus.

Deux sortes de cookies ne peuvent pas être supprimées d’un navigateur, et aucune extension n’y changera rien. Les cookies HttpOnly sont par définition invisibles pour JavaScript : ils n’apparaissent jamais, donc un cookie expiré ne peut pas les écraser. Et les cookies posés sur un autre domaine — doubleclick.net, facebook.com — ne peuvent pas être supprimés par un script exécuté sur votre site ; la séparation des domaines du navigateur l’interdit. Ce sont là la plupart des cookies marketing tiers.

MevvLegal ne dit donc pas « nous les avons tous supprimés ». Le script rapporte ce qu’il a tenté et ce qui reste, et l’écran d’administration imprime la limite telle qu’elle est. Affirmer ce que l’on n’a pas mesuré est le type d’erreur le plus coûteux dans un produit comme celui-ci.

La vraie réponse aux cookies tiers n’est pas de les supprimer mais de ne jamais les laisser s’écrire : c’est à cela que sert la rétention des scripts. La suppression la complète ; elle ne la remplace pas. Et seuls les noms inscrits dans votre inventaire peuvent être supprimés — si l’inventaire d’une catégorie non nécessaire est vide, le retrait arrêtera les scripts mais laissera les cookies déjà présents sur l’appareil.

L’enregistrement du consentement

Deux moitiés, délibérément séparées.

Sur l’appareil du visiteur

Sa décision, la version de la politique à laquelle elle s’applique et le moment où elle a été prise. Stockée dans son propre navigateur, pas dans un cookie.

Sur votre serveur

Des compteurs uniquement : pour chaque jour, chaque version de la politique et chaque combinaison de choix, le nombre de fois où elle s’est produite. Aucune adresse IP, aucun identifiant de visiteur, aucun identifiant d’utilisateur, aucune ligne par personne. À côté, une archive de chaque texte de politique jamais affiché.

Une preuve de consentement au niveau de la personne reviendrait à donner à chaque visiteur une identité durable — à ouvrir un traitement tout neuf, sans consentement propre, pour prouver le consentement à l’ancien. Ce produit ne le fait pas, et ne prétend pas le faire.

La limite est affichée honnêtement à l’écran, dans l’export et dans le code source : les compteurs ne sont pas uniques par personne et peuvent être gonflés par une requête malveillante. Ce n’est pas un compteur de visiteurs. C’est un relevé du nombre de déclarations de consentement données face à tel ou tel texte.

Analyse des consentements lit ces compteurs : taux d’acceptation totale, d’acceptation partielle et de refus total, une ventilation par catégorie, une comparaison entre versions de la politique et une tendance quotidienne. Pro ajoute un export CSV qui emporte les compteurs, les textes de la politique et cette phrase de limite honnête en dernière ligne.

Pages légales

Six modèles, générés à partir de vos propres coordonnées et de votre propre inventaire :

Gratuit

Gizlilik Politikası ve KVKK Aydınlatma Metni · Çerez Politikası

Pro

Kullanım Koşulları · Mesafeli Satış Sözleşmesi · İade ve Değişim Koşulları (Cayma Hakkı) · Teslimat ve Kargo Koşulları

La politique de cookies est gratuite à dessein : une bannière sans elle n’a aucun sens.

Le turc et l’anglais sont disponibles. Les textes anglais ne sont pas des traductions — ce sont des textes distincts, rédigés au regard du RGPD, de la directive ePrivacy et de la directive sur les droits des consommateurs, car les textes turcs sont rédigés au regard de la KVKK et de la réglementation turque sur la vente à distance. Il n’existe pas de Mesafeli Satış Sözleşmesi en anglais, et l’écran explique pourquoi : c’est un document imposé par la réglementation turque, sans obligation équivalente en droit de l’Union.

Les clauses qui ne peuvent pas être connues sont laissées entre crochets plutôt que remplies — droit applicable, tribunal compétent, un représentant dans l’UE, durées de conservation, qui paie les frais de retour. Une clause remplie au jugé est pire qu’une clause laissée vide.

Les pages générées sont des pages WordPress ordinaires. Pas de type de publication personnalisé, pas d’enveloppe de code court, pas de verrou — vous pouvez les modifier, et elles survivent à la suppression de l’extension. En écraser une est toujours un choix explicite et enregistre toujours une révision au préalable.

L’écran vous indique quand une page publiée s’est écartée de ce qui serait généré aujourd’hui, et Afficher la différence montre la différence ligne par ligne. Il vérifie aussi si votre politique de cookies publiée correspond toujours à vos catégories ouvertes.

Ces textes ne constituent pas un conseil juridique, et chaque écran de l’extension le dit.

Demandes des personnes concernées

Un code court place un formulaire de demande sur n’importe quelle page. Le visiteur donne son adresse e-mail et choisit s’il veut une copie de ses données ou leur suppression. Aucune des deux options n’est présélectionnée — en cocher une d’avance l’éloignerait de l’effacement.

1. Le formulaire est envoyé. Il est ouvert aux visiteurs non connectés, car le droit ne dépend pas d’une adhésion.
2. WordPress leur envoie un lien de confirmation par e-mail. Rien ne se passe tant qu’ils ne cliquent pas dessus.
3. Vous traitez la demande depuis Outils → Exporter les données personnelles ou Effacer les données personnelles, les écrans propres à WordPress. Un compteur sur l’écran MevvLegal indique combien de demandes confirmées sont en attente.

La réponse au visiteur est toujours la même phrase, quoi qu’il se soit passé — y compris quand l’adresse ne figure pas dans vos fichiers. Dire autre chose révélerait si une adresse est enregistrée chez vous.

L’export et l’effacement sont réalisés par le cœur de WordPress, pas par MevvLegal. MevvLegal n’enregistre ni exporteur ni effaceur propre, parce qu’il ne stocke aucune donnée personnelle — une section vide dans l’export serait du bruit, pas de l’information.

Le formulaire n’a délibérément pas de nonce : un nonce meurt derrière un cache de page entière et emporte le formulaire avec lui, en silence. Une surface d’exercice des droits qui cesse discrètement de fonctionner n’est pas ici un mode de défaillance acceptable. Les abus sont gérés par un champ pot de miel, un plafond horaire à l’échelle du site et la protection anti-doublons propre à WordPress.

Le formulaire porte la réserve que les documents soumis à une obligation légale de conservation — factures, livres de commerce — peuvent être conservés jusqu’à la fin de ce délai, et qu’il vous sera indiqué quels documents et pourquoi.

L’audit du front-end

Audit du front-end récupère votre propre page d’accueil et compte ce qui s’y trouve réellement : combien de balises de script, combien sont retenues, combien s’exécutent librement et sont tierces, combien sont en ligne, combien sont des blocs de données qui ne sont pas du tout des scripts, et la même chose pour les iframes.

La ligne qui compte est Non retenu et TIERS. Quand elle atteint zéro, l’écran le dit : scripts tiers s’exécutant sans consentement : 0. Ce chiffre est la véritable promesse du produit.

Depuis le même écran, vous pouvez transformer les traceurs reconnus en règles de rétention et inscrire les noms de cookies découverts dans votre inventaire.

Rien n’est activé automatiquement. Retenir le mauvais script casse un site en silence — le script 3-D Secure d’un prestataire de paiement, une intégration d’expédition, un chat en direct : la page s’ouvre, le bouton ne fait rien. Les suggestions sont donc proposées et c’est vous qui les approuvez. Et retirer une règle de rétention est gratuit et inconditionnel dans toutes les éditions, licence ou pas.

Chaque analyse contourne votre cache de page. Sans cela, l’écran lirait du HTML généré il y a des heures et vous dirait que c’est l’état actuel.

Free et Pro — la règle qui ne plie jamais

Cette extension a un invariant, écrit en tête de sa classe de licence :

La bannière de cookies et la rétention des scripts ne sont jamais liées à la licence. Ici, la règle est plus dure que dans nos autres produits. Ailleurs, une licence expirée vous coûte de l’apparence ; ici, elle vous coûterait votre conformité. Si la bannière se taisait sur un site dont la licence a expiré, ce site se mettrait à écrire des cookies d’analyse et de marketing chez ses visiteurs sans autorisation — et l’amende tombe sur le responsable du traitement, pas sur l’éditeur de l’extension. Un produit qui laisse son client juridiquement exposé pour un problème de paiement n’est pas un produit vendable.

Ce que cela signifie en pratique : seule la nouvelle configuration est restreinte. Définir de nouvelles catégories, générer de nouveaux modèles juridiques, ajouter des lignes au tableau des cookies. La configuration qui existe déjà continue de fonctionner exactement telle quelle.

Gratuit, en permanence, sans aucune vérification de licence sur le chemin front-end :

• La bannière de cookies et ses réglages de couleur, de rayon et de largeur
• La rétention des scripts — les trois mécanismes
• L’enregistrement du consentement dans le navigateur du visiteur, et le journal de consentement anonyme
• L’écran d’analyse des consentements
• L’audit front-end, l’observation des cookies, et la transformation d’un traceur reconnu en règle de rétention
• Le retrait d’une règle de rétention, et la désactivation du Consent Mode ou de la règle régionale — sans condition
• Supprimer les cookies au retrait du consentement
• Le pont vers la WP Consent API, et le GPC
• Le formulaire de demande des personnes concernées
• L’assistant de configuration, le comparatif de textes et le texte de bannière multilingue
• Les modèles de politique de confidentialité et de cookies, et la modification de toute page générée

Pro ajoute :

• La modification de l’inventaire des cookies, de la correspondance des scripts et de celle des balises brutes
• Les quatre modèles e-commerce : conditions d’utilisation, contrat de vente à distance, retours et rétractation, livraison et expédition
• L’activation du Consent Mode, et l’activation de la règle régionale
• L’export CSV du journal de consentement

Quand une licence expire :

• Votre conformité n’est pas affectée. La bannière, la rétention des scripts et l’enregistrement du consentement continuent de fonctionner.
• Votre inventaire de cookies est conservé, pas vidé. Le vider rendrait votre politique publiée fausse du jour au lendemain.
• Les règles de rétention existantes continuent de retenir. Les champs de l’inventaire deviennent simplement en lecture seule.
• Les pages légales déjà générées restent publiées et modifiables.
• Le Consent Mode et la règle régionale, s’ils étaient déjà activés, le restent. Seule l’activation est bridée — la désactivation, et le resserrement d’un groupe vers l’opt-in, sont toujours disponibles.

Si nos serveurs sont injoignables, une licence active continue de fonctionner pendant sept jours sur la foi de la dernière vérification réussie — mais seulement si elle avait déjà été vérifiée avec succès.

Quand quelque chose ne fonctionne pas

L’audit affiche « Laissée à moitié faite (AVERTISSEMENT) »

Une autre extension réécrit la même balise de script après MevvLegal et retire la rétention. C’est mesuré, pas théorique — une extension d’assistance d’hébergeur faisait exactement cela sur un site en production. MevvLegal filtre aussi tard qu’il le peut et répare ce qu’il détecte. Si une ligne persiste, désactivez l’extension qui met ce script en file d’attente et relancez l’analyse.

Un traceur s’exécute alors que la bannière est installée

Il est imprimé directement dans la page au lieu d’être mis en file d’attente. Ajoutez un fragment de son adresse à Balises imprimées par d’autres extensions — c’est cette liste qui attrape ces cas.

L’écran d’audit montre une configuration qui n’existe plus

Cela ne devrait pas arriver : chaque analyse contourne le cache de page. Si le front-end paraît toujours périmé aux visiteurs, videz votre cache de page entière — sur LiteSpeed, wp litespeed-purge all.

La règle régionale ne semble pas s’appliquer

Une extension de cache ou d’optimisation diffère et réordonne les scripts, si bien que la décision de région arrive après que la bannière a déjà tranché. Le produit réapplique la règle quand le script de région se charge ; si cela échoue encore, cessez de différer les scripts de MevvLegal.

La bannière n’apparaît pas du tout

L’audit indique Le bandeau n’a pas été trouvé sur la page. lorsqu’il manque. Le plus souvent, le thème n’appelle jamais le hook standard d’ouverture du body — il existe une solution de repli dans le pied de page. Rappelez-vous que, lorsque le bandeau n’est pas imprimé, les scripts retenus ne sont jamais libérés non plus.

Un écran blanc après l’activation de la correspondance des balises brutes

Cette liste est la seule chose qui active la mise en tampon de sortie. Une mise en tampon aux côtés d’une autre extension qui bufferise aussi est une cause connue. Videz la liste pour le confirmer, puis rajoutez les adresses une par une.

Le journal de consentement reste vide

La table est créée à l’activation, et l’activation ne s’exécute pas lors des mises à jour de l’extension. Elle est revérifiée à chaque chargement d’une page d’administration : une seule visite dans l’administration suffit donc généralement. Vérifiez aussi que le journal est activé.

Un bouton ou une étape de paiement a cessé de fonctionner après l’ajout d’une règle de rétention

Vous avez retenu quelque chose qui n’est pas un traceur. Retirez la règle — le retrait est gratuit, inconditionnel et immédiat.

Le Consent Mode est activé et l’audit ne rapporte plus zéro

C’est attendu, et c’est indiqué sur le réglage lui-même : avec le Consent Mode activé, la balise Google s’exécute.

Limites

• Les cookies HttpOnly et les cookies posés sur un autre domaine ne peuvent pas être supprimés d’un navigateur. Aucune extension n’y changera rien.
• Seuls les noms inscrits dans votre inventaire sont supprimés. Un inventaire vide signifie que rien n’est retiré.
• L’observation des cookies lit les noms, jamais les valeurs. Elle n’écrit jamais non plus d’elle-même un cookie découvert dans votre inventaire, et n’invente jamais son fournisseur, sa durée ni sa finalité.
• Les règles de rétention ne sont jamais activées automatiquement, et aucune catégorie n’est suggérée pour un tiers non reconnu.
• Les régions proviennent du fuseau horaire du navigateur. Un fuseau horaire n’est pas un pays, les États américains ne peuvent pas être distingués, et tout cas inconnu retombe sur l’opt-in.
• Le groupe UE/Royaume-Uni/Turquie ne peut pas être assoupli. Il n’existe aucun réglage pour cela.
• Le GPC ne peut pas être désactivé, et Do Not Track n’est pas respecté.
• Aucune preuve de consentement au niveau de la personne. Les compteurs sont anonymes, non uniques par personne, et peuvent être gonflés.
• Le journal ne peut pas vous dire dans quelle langue un consentement a été donné.
• MevvLegal n’écrit aucun moteur d’export ni d’effacement propre. C’est le cœur de WordPress qui fait ce travail.
• Sous le Consent Mode, seuls les chargeurs de la balise Google sont exemptés. Rien d’autre n’est libéré.
• L’audit récupère votre page d’accueil via HTTP. Il ne lance pas de navigateur sans interface sur votre serveur : il voit donc ce que cette seule page imprime.
• Les textes légaux sont statiques. Ils sont corrects aujourd’hui ; quand la loi change, ils ne se mettent pas à jour tout seuls. L’extension vous dit quand une page publiée s’est écartée du modèle, mais elle ne peut pas vous dire quand le modèle lui-même a vieilli.
• Ces textes ne constituent pas un conseil juridique.
• Rien n’est supprimé lors de la désinstallation de l’extension — la table du journal de consentement et vos réglages restent où ils sont.

Et le point le plus important : aucune extension ne peut vous rendre conforme. Celle-ci retient les scripts, consigne les consentements et génère des pages à partir de ce que vous lui avez indiqué. Ce que vous lui avez indiqué reste votre responsabilité, et le dernier écran de l’assistant dit exactement cela au lieu de vous féliciter.