Comment Google prépare la fin des cookies tiers

La question devenait récurrente ces derniers mois : à l’instar d’Apple avec ITP, Google allait-il s’attaquer aux cookies ? La réponse est arrivée au début de l’année. En présentant sa Privacy Sandbox comme une alternative aux cookies tiers, Google emmène l’industrie adtech dans une nouvelle direction. Explications.

C’était la grande question existentielle du moment : Google glissera-t-il un jour dans Chrome un dispositif pour filtrer les cookies tiers ? Ces cookies, lus depuis un autre domaine que celui de l’éditeur du site (contrairement aux cookies first), alimentent une bonne partie des solutions de l’adtech. Les court-circuiter revient à inoculer une bonne grippe à un large éventail de solutions publicitaires (mesure d’audience, retargeting, attribution…). L’industrie adtech en a déjà eu un aperçu avec l’ITP d’Apple.

ITP ? Ces 3 lettres, pour Intelligent Tracking Prevention, désignent le dispositif mis en place par Apple au sein de Safari pour filtrer les cookies. Aujourd’hui dans sa version 2.3, ITP empêche le dépôt de cookies tiers mais limite aussi à 24 heures le cycle de vie des cookies first créés par des tags. De quoi perturber les mesures d’audience, d’attribution ou encore les mécaniques de retargeting. Un caillou dans la chaussure qui n’empêche toutefois pas de marcher, d’une part parce que, toutes plateformes confondues, la part de marché de Safari n’excède pas 20%, d’autre part parce que Commanders Act propose des solutions pour gérer ce caillou.

Des données stockées et traitées dans le navigateur

Appliqué à Chrome, qui affiche une part de marché supérieure à 60%, quel serait l’impact d’un dispositif similaire ? Dans les conversations, cette question faisait donc office de croque-mitaine pour les acteurs de l’adtech. Mais, le 14 janvier, le croque-mitaine est sorti du placard… Google a en effet communiqué sur sa roadmap privacy que nous pouvons résumer en une phrase : « Bye bye cookies, hello Privacy Sandbox ».  Plus précisément, Google prévoit d’ici à deux ans de remplacer les cookies tiers (qui ne seraient donc plus acceptés dans Chrome) par une autre solution – la fameuse Privacy Sandbox – pour laquelle il ouvre une consultation.

Si beaucoup de détails manquent encore pour comprendre cette sandbox, un principe clé est d’ores et déjà établi : la mécanique générale consiste à stocker les données au sein du navigateur. Celles qui sortiront de cette sandbox, via des API, seront anonymisées et versées à des segments d’audience et groupes d’intérêt. Aucun moyen donc, a priori, de récupérer des données individualisées. Avec la Privacy Sandbox, le navigateur devient le coffre-fort des données personnelles.

Des API pour accéder aux données agrégées

Du point de vue de l’utilisateur, la solution prend la forme d’un questionnement similaire à celui d’un Captcha (l’interface qui vous demande si vous êtes ou non un robot pour valider un formulaire). Sauf qu’ici il s’agira – on l’imagine – de fixer des paramètres de confidentialité.

Pour travailler ces données agrégées et anonymisées, plusieurs API seront proposées. « Privacy Budget API » pour déterminer le volume de données collectables. Ou encore « Conversion Measurement API », qui se substitue réellement aux cookies puisqu’elle permettra de savoir si une pub a été vue, une page vue ou un produit acheté dans la foulée, bref si une conversion a été transformée. Sans surprise, c’est cette API qui cristallise les débats. Comment sera-t-elle précisément mise en œuvre ? S’agira-t-il d’une attribution basique au dernier clic avec des biais d’interprétation inévitables ?  Les réponses ne devraient pas tarder puisque c’est la première API que les développeurs Google entendent tester.

La Privacy Sandbox comprend aussi d’autres composants tels que les « The Federated Learning of Cohorts » pour analyser les comportements d’utilisateurs similaires. Ou encore PIGIN (Private Interest Groups, Including Noise) pour suivre des groupes d’intérêt. Google promet de travailler avec l’ensemble des acteurs pour faire de ces API des standards ouverts que l’on pourrait donc, théoriquement, retrouver dans Safari ou Firefox.

De nouvelles règles dès maintenant pour les cookies tiers

Comme le confirme l’article de Digiday consacré à la Privacy Sandbox, cette bonne intention ne répond pas encore à toutes les inquiétudes. Comment seront gérés les agrégats de données ? Les équipes Google auront-elles un accès privilégié à ces données ? Les solutions de Google (Adwords, DV360…) seront-elles soumises aux mêmes règles que le reste du marché ?

Si le planning de transition annoncé (deux ans) laisse le temps de la concertation – et des tests –, notons toutefois que dès ce mois de février la gestion des cookies au sein de Chrome évolue. La version 80 du navigateur rend obligatoire de préciser la valeur de l’attribut SameSite (remis au goût du jour cet été) pour déposer des cookies tiers. Si cette valeur n’est pas indiquée, celle allouée par défaut ne permettra pas d’activer un cookie tiers. Objectif, imposer aux cookies tiers de se déclarer comme tel afin de vérifier aussi qu’ils sont créés et lus depuis des connexions https. Les cookies ne sont pas encore morts, mais leur vie est d’ores et déjà bien encadrée…

 Revoir notre webinar : la fin des cookies est-elle proche ? Avec quels impacts ? Comment s’y préparer ? Cliquez ici.