Guide d'intégration du consentement aux cookies Squarespace : bannière intégrée, CSS personnalisé et injection de code pour 2026
Squarespace se situe dans la même catégorie de produits que Wix et Webflow, mais se différencie sur un axe différent. Là où Wix optimise pour le petit entrepreneur qui veut créer un site vitrine par glisser-déposer, et où Webflow optimise pour l'agence qui veut du développement visuel sans écrire de code front-end, Squarespace optimise pour le designer-fondateur qui gère une entreprise de services créatifs, un site éditorial ou une petite boutique e-commerce. Ce positionnement façonne la surface de consentement dont hérite l'opérateur. Un site Squarespace est généralement livré avec la bannière de cookies native activée, un Squarespace Analytics connecté, un fournisseur de formulaires intégré pour les inscriptions à la newsletter, peut-être une boutique Squarespace Commerce, un arrière-plan YouTube ou Vimeo, un bloc Instagram, et une petite poignée de scripts tiers que l'opérateur a ajoutés via le panneau Code Injection. Chacune de ces surfaces crée une obligation de consentement distincte, et la bannière native est configurée pour en contrôler certaines par défaut, restant entièrement silencieuse sur les autres. Un déploiement Squarespace défendable en 2026 est celui où la bannière native a été correctement configurée, la surface Code Injection auditée, les widgets intégrés encapsulés, et le journal de consentement traité comme un artefact documentaire que l'opérateur peut produire sur demande.
Ce que fait la bannière de cookies native de Squarespace et où elle s'arrête
La Cookie Banner native de Squarespace — accessible sous Settings, Cookies & Visitor Data — prend en charge une interface de bannière configurable, expose le choix de l'opérateur en matière de style de consentement et s'intègre aux surfaces analytiques et marketing propres à Squarespace. Lorsque l'opérateur active la bannière et configure les paramètres de données des visiteurs, les intégrations internes de Squarespace respectent le choix du visiteur sans connexion supplémentaire : Squarespace Analytics est conditionné au signal analytique, les pixels de remarketing Pinterest, Facebook et Google Ads respectent le signal marketing, et la collecte de données comportementales de la plateforme est supprimée pour les visiteurs qui refusent.
Ce que la bannière ne fait pas, et où survient l'échec de conformité le plus courant sur Squarespace, c'est conditionner les scripts tiers que l'opérateur ajoute via Code Injection. Le panneau Code Injection — sous Settings, Advanced — permet à l'opérateur de coller du HTML et du JavaScript arbitraires dans l'en-tête, le pied de page ou des emplacements par page. Les scripts injectés de cette façon s'exécutent avant que le visiteur n'ait vu la bannière, ce qui signifie que toute balise tierce collée dans Code Injection se déclenche indépendamment du consentement. Hotjar, les conteneurs Google Tag Manager personnalisés, les pixels Facebook supplémentaires, les widgets de chat, les fournisseurs de vidéo — tout ce qui ne figure pas dans la liste d'intégration native de Squarespace ne sera pas conditionné par la bannière native, à moins que l'opérateur n'encapsule le script dans une vérification de consentement.
Style de consentement par défaut : opt-in vs implicite
La bannière Squarespace prend en charge les styles de consentement opt-in et implicite, et l'option implicite reste disponible bien qu'elle ait été la source de constatations répétées des régulateurs à l'encontre de sites hébergés sur Squarespace dans tout l'EEA. L'opérateur doit sélectionner l'option opt-in, vérifier que la collecte de données des visiteurs est désactivée par défaut jusqu'à ce que le visiteur accepte, et s'assurer que l'affordance de refus est au moins aussi visible que l'affordance d'acceptation dans l'interface de la bannière. Ces trois paramètres — consentement explicite, désactivé par défaut, refus visible — sont le minimum dont un site Squarespace a besoin pour franchir le seuil fixé par l'EDPB dans ses directives sur les bannières de cookies de 2023.
La surface Code Injection et comment la conditionner
Le modèle d'intégration qui fonctionne sur Squarespace comporte trois parties. Premièrement, configurer correctement la bannière native. Deuxièmement, identifier chaque script dans Code Injection et évaluer à quelle catégorie de consentement il appartient. Troisièmement, encapsuler chaque script Code Injection dans une vérification de consentement avant son exécution — soit en lisant l'état de consentement exposé par Squarespace à l'exécution, soit en insérant l'élément de script conditionnellement uniquement après que la bannière renvoie un signal positif pour la catégorie concernée.
Le modèle le plus propre pour les scripts injectés dans l'en-tête consiste à les convertir en formulaire d'espace réservé : modifier l'attribut type de text/javascript en text/plain, ajouter un attribut data-category identifiant la porte de consentement, et inclure un petit script bootstrap qui écoute l'événement de changement de consentement de Squarespace et réécrit l'attribut type lorsque la catégorie est accordée. Le modèle bootstrap est le même que celui utilisé par Webflow, Drupal et Cloudflare Zaraz.
La surface des widgets tiers que les opérateurs Squarespace manquent habituellement
Les opérateurs Squarespace s'appuient fortement sur les blocs intégrés pour le contenu riche qui constitue l'essentiel de l'attrait de la plateforme. Chacun de ces blocs introduit une surface de consentement distincte que la bannière native ne conditionne pas automatiquement.
- Blocs vidéo — Les vidéos d'arrière-plan YouTube et Vimeo chargent les scripts tiers du fournisseur à chaque rendu de page. Le modèle plus sûr est d'encapsuler le bloc vidéo dans un espace réservé click-to-load qui ne récupère l'iframe du fournisseur que lorsque le visiteur l'active explicitement.
- Blocs sociaux — Les blocs Instagram, Twitter, TikTok et Pinterest récupèrent chacun le script d'intégration du fournisseur et définissent des cookies côté fournisseur. Remplacer le bloc en direct par un aperçu statique qui charge l'intégration uniquement lors de l'interaction de l'utilisateur, derrière la porte de consentement marketing.
- Formulaires d'inscription à la newsletter — Le formulaire intégré de Squarespace est conscient du consentement, mais les intégrations de formulaires tiers Mailchimp, Klaviyo, ConvertKit ne le sont pas. Chacun doit être encapsulé dans une vérification de consentement.
- Widgets de chat — Drift, Intercom, Tidio et autres widgets de chat définissent leurs propres cookies de session et d'identité et chargent leur propre JavaScript. Ils appartiennent au moins derrière la porte de consentement fonctionnel.
Squarespace Commerce et la surface du panier
Squarespace Commerce introduit des cookies strictement nécessaires pour l'état du panier, l'identité de session et le paiement qui ne nécessitent pas de consentement. Les complications surviennent autour des surfaces marketing qu'introduit Commerce : e-mails de paniers abandonnés, intégration de l'API Facebook Conversions, remarketing Google Ads, et intégration Klaviyo ou Mailchimp. Ces éléments ne sont pas essentiels et doivent être conditionnés.
Validation et posture d'audit pour 2026
Un déploiement Squarespace défendable en 2026 doit passer quatre vérifications techniques. Premièrement, une session de navigateur propre servie depuis une adresse IP EEA doit produire zéro cookie non essentiel avant que la bannière ne soit actionnée. Deuxièmement, le chemin de refus doit maintenir cet état. Troisièmement, le chemin d'acceptation doit produire uniquement les balises auxquelles le visiteur a consenti. Quatrièmement, un retrait doit immédiatement arrêter les déclenchements de balises supplémentaires et propager le désabonnement aux destinataires tiers en aval.
La bannière enregistre l'état de consentement du visiteur dans un cookie propriétaire, mais la plateforme ne maintient pas de journal d'audit côté serveur interrogeable par identifiant de visiteur ou de session comme le fait un CMP tiers. Pour les déploiements opérant principalement dans des juridictions aux exigences d'audit plus légères, la bannière native est suffisante si elle est correctement configurée. Pour les déploiements nécessitant un journal de consentement interrogeable — rapports multi-juridictionnels, enregistrements de consentement par fournisseur, intégration avec la norme de documentation attendue de l'EDPB — un CMP tiers superposé à la bannière native est la bonne réponse, avec Cookiebot, OneTrust, Usercentrics ou Iubenda installés via Code Injection. Un site Squarespace qui a délibérément choisi entre les deux voies, conditionné chaque surface Code Injection, adressé le schéma des widgets intégrés et pris en compte les intégrations marketing spécifiques à Commerce a transformé la simplicité conviviale pour les designers de la plateforme en une partie défendable de la posture de consentement de l'opérateur plutôt qu'en une dette de conformité cachée.