Étude : 500 boutiques en ligne en .fr passées au crible en 2026

Les 7 et 8 octobre 2026, notre robot a ouvert la page d’accueil de 500 boutiques en ligne en .fr, sans rien cliquer. Sur 274 d’entre elles, un cookie publicitaire ou de mesure d’audience non exempté était déjà posé avant que le visiteur ait pu dire oui ou non. Côté contrats, la nouveauté de l’année reste presque absente des CGV : la fonctionnalité de rétractation en ligne, obligatoire depuis le 19 juin 2026, n’apparaît que dans 18 CGV sur 397. Voici ce que nous avons mesuré, comment, et ce que ces chiffres ne disent pas.

Les chiffres clés : que révèle l’étude ?

Plus d’une boutique sur deux de l’échantillon dépose des traceurs avant tout choix, et une page de mentions légales sur deux ne réunit pas les quatre éléments recherchés. Les règles anciennes sont mieux reprises dans les CGV que les nouvelles : 360 CGV sur 397 (90,7 %) parlent de rétractation, 18 sur 397 (4,5 %) de la fonctionnalité de 2026.

Les dénominateurs varient : une page illisible (erreur, PDF, lien absent) est retirée du calcul plutôt que comptée comme non conforme.

Les boutiques en ligne déposent-elles des cookies avant le consentement ?

Oui, pour plus de la moitié de l’échantillon : 274 sites sur 500, soit 54,8 %, déposent au moins un cookie publicitaire ou de mesure d’audience non exempté dans les 9 à 15 secondes qui suivent l’arrivée, sans aucun clic. Or l’article 82 de la loi Informatique et Libertés subordonne ces traceurs au consentement préalable de l’internaute. Les cookies les plus fréquents sont ceux de Google Analytics (_ga, 186 sites sur 500, soit 37,2 %), du pixel Meta (_fbp, 113 sur 500, soit 22,6 %) et de Google Ads (_gcl_au, 110 sur 500, soit 22 %). L’indicateur est prudent : il ne retient qu’une liste fermée de cookies connus pour ne pas être exemptés.

Le bandeau. 335 sites sur 500 (67 %) affichent un bandeau visible. Parmi les 165 autres, 107 (64,8 %) déposent pourtant un traceur non exempté. Et le bandeau ne protège pas de tout : 167 des 335 sites qui en affichent un (49,9 %) ont déjà déposé un tel cookie avant le choix du visiteur.

Le refus au premier écran. La CNIL attend qu’on puisse refuser aussi facilement qu’accepter, dès le premier niveau (questions-réponses, questions 37 et 38). Sur les 335 bandeaux visibles, 258 (77 %) proposent un bouton de refus dès le premier niveau et 77 (23 %) non (l’étude ne juge pas si ce bouton est aussi visible que celui d’acceptation). Les libellés les plus courants : « Continuer sans accepter » (71 sur 258, soit 27,5 %), « Refuser » (51 sur 258, soit 19,8 %) et « Tout refuser » (32 sur 258, soit 12,4 %).

Ce qui n’est pas mesuré. Sans clic, le respect d’un refus n’a pas été testé, alors que la CNIL en sanctionne le non-respect (voir notre base des sanctions CNIL). Et 101 sites sur 500 (20,2 %) envoient des requêtes de mesure ou publicitaires sans déposer de cookie de notre liste, notamment par le mode Consentement de Google en état « refusé » : ils ne sont pas comptés parmi les 274, même si ce mode appelle la prudence (voir notre guide du bandeau cookies conforme CNIL).

Les mentions légales des boutiques sont-elles complètes ?

Une sur deux seulement : sur 364 pages de mentions légales analysées, 185 (50,8 %) réunissent les quatre éléments recherchés, à savoir un numéro SIREN ou RCS, l’hébergeur, le directeur de la publication et un moyen de contact. Le manque le plus fréquent est le directeur de la publication.

L’article 1-1 de la LCEN impose à tout éditeur professionnel de donner son identité, son numéro de téléphone, son numéro d’inscription au RCS ou au registre national des entreprises s’il y est assujetti, le nom du directeur de la publication et les coordonnées de l’hébergeur. Un site marchand ajoute les informations de l’article 19, dont une adresse électronique et, s’il est assujetti à la TVA, son numéro de TVA. Ce que montre l’échantillon :

• un lien « mentions légales » est accessible depuis l’accueil sur 394 sites sur 492 (80,1 %) ;
• SIREN ou RCS : 307 pages sur 364 (84,3 %) ;
• hébergeur identifié : 270 sur 364 (74,2 %) ;
• directeur de la publication : 229 sur 364 (62,9 %) ;
• un e-mail ou un téléphone : 342 sur 364 (94 %), mais un numéro de téléphone sur 253 seulement (69,5 %) ;
• numéro de TVA intracommunautaire : 180 sur 364 (49,5 %), sans que l’on sache quels éditeurs y sont assujettis.

Cette « mention complète » est un repère, pas un brevet de conformité : elle ne vérifie ni l’exactitude des informations, ni le siège, ni le capital. La liste exacte selon votre statut est dans notre guide des mentions légales d’un site internet.

Les CGV sont-elles à jour de la rétractation 2026 ?

Sur les règles anciennes, largement ; sur celle de 2026, très peu. 360 CGV sur 397 (90,7 %) parlent du droit de rétractation et 326 (82,1 %) citent le délai de 14 jours, mais seules 18 (4,5 %) décrivent la fonctionnalité de rétractation en ligne obligatoire depuis le 19 juin 2026.

Le délai de quatorze jours vient de l’article L221-18 du Code de la consommation ; la fonctionnalité a été ajoutée à l’article L221-21 par l’ordonnance n° 2026-2 :

L’article L221-5 exige en plus que l’information précontractuelle, donc en pratique les CGV, indique l’existence et l’emplacement de cette fonctionnalité, libellée « renoncer au contrat ici » ou d’une formule aussi claire (art. D. 221-5). Un lien de ce type n’est visible dès la page d’accueil que sur 27 sites sur 500 (5,4 %). Les 18 détections dans les CGV ont toutes été vérifiées à la main.

Des CGV rarement datées. Seules 105 CGV sur 397 (26,4 %) affichent une date de mise à jour lisible. Parmi elles, 30 sur 105 (28,6 %) sont datées du 19 juin 2026 ou après, et 25 sur 105 (23,8 %) d’avant 2024.

Le médiateur. Le professionnel doit communiquer au consommateur les coordonnées du médiateur compétent (art. L616-1, fiche Entreprendre Service Public). 214 CGV sur 397 (53,9 %) parlent de médiation, et 196 (49,4 %) identifient le médiateur par un nom, un site ou une adresse.

La garantie légale de conformité. Les conditions générales doivent mentionner les garanties légales, « en particulier » la garantie légale de conformité (art. L211-2). On la trouve dans 214 CGV sur 397 (53,9 %). Par ailleurs, 34 CGV (8,6 %) citent encore des articles L211-4 et suivants, l’ancienne numérotation des garanties, antérieure à la recodification du Code de la consommation de 2016.

Le contenu complet attendu est détaillé dans notre guide CGV obligatoires ou pas, et la fonctionnalité de 2026 dans celui du bouton de rétractation.

Les politiques de confidentialité informent-elles sur les droits ?

Mal sur les recours : sur 344 politiques analysées, 106 (30,8 %) mentionnent le droit d’introduire une réclamation auprès de la CNIL, alors que l’article 13 du RGPD impose de le signaler dès la collecte des données. Une politique qui parle d’« autorité de contrôle » sans nommer la CNIL n’est pas comptée. Une page de confidentialité est accessible depuis l’accueil sur 383 sites sur 492 (77,8 %).

L’article 13 du RGPD liste ce que la personne doit savoir à la collecte, dont son droit d’introduire une réclamation auprès d’une autorité de contrôle et, « le cas échéant », les coordonnées du délégué à la protection des données. La CNIL est citée dans 155 politiques sur 344 (45,1 %). Un délégué apparaît dans 91 politiques sur 344 (26,5 %), ce qui n’est pas un manquement en soi : seuls les organismes qui en ont désigné un doivent en donner les coordonnées.

Notre modèle commenté de politique de confidentialité en donne la structure.

Les boutiques en ligne déclarent-elles leur accessibilité ?

Rarement, sauf les plus grands sites : un lien ou une mention « Accessibilité » figure sur 73 sites sur 492 (14,8 %). La proportion atteint 28 sites sur 46 (60,9 %) entre les rangs 10 000 et 100 000, mais 41 sur 442 (9,3 %) au-delà du rang 100 000.

Ce faible taux ne vaut pas constat d’infraction, car l’obligation dépend du site :

• l’article 47 de la loi n° 2005-102 impose une mention clairement visible en page d’accueil et une déclaration d’accessibilité aux organismes publics et aux entreprises dont le chiffre d’affaires dépasse un seuil fixé par décret ;
• depuis le 28 juin 2025, les services de commerce électronique entrent en outre dans le champ des exigences d’accessibilité (décret n° 2023-931, art. D. 412-50) et leurs prestataires doivent publier des informations sur cette accessibilité (art. D412-57) ;
• mais l’article L412-13 du Code de la consommation, créé par l’article 16 de la loi n° 2023-171, en dispense les entreprises de moins de dix personnes qui fournissent des services et dont le chiffre d’affaires annuel ou le total du bilan n’excède pas deux millions d’euros.

Une partie des boutiques de l’échantillon relève sans doute de cette dispense, mais nous ne connaissons ni leurs effectifs ni leur chiffre d’affaires. Sur les 66 pages d’accessibilité lues, 43 indiquent un statut : 18 « non conforme », 24 « partiellement conforme » et 1 seule « totalement conforme ».

Les résultats changent-ils selon la plateforme et la taille du site ?

Oui, nettement : les sites les moins fréquentés déposent plus souvent des traceurs avant consentement (259 sur 450 au-delà du rang 100 000, soit 57,6 %, contre 15 sur 46 entre les rangs 10 000 et 100 000, soit 32,6 %), et les boutiques Shopify, PrestaShop et WooCommerce plus souvent que les autres. Les effectifs sont parfois faibles : à lire comme des tendances.

Le groupe « autres » réunit notamment Magento ou Adobe Commerce (57 sites) et les sites sans plateforme reconnue (105). Les cookies statistiques propres à la plateforme ou potentiellement exemptés ne sont pas comptés comme traceurs (relevés sur 58 boutiques Shopify sur 117, soit 49,6 %), et 13 boutiques ont été exclues parce que leur robots.txt interdit les pages de politiques.

Avec 4 sites, la première colonne n’est pas interprétable isolément ; avec 46, la deuxième reste indicative.

Où trouver tous les indicateurs de l’étude ?

Dans le tableau filtrable ci-dessous : chaque indicateur global, avec son résultat, son numérateur et son dénominateur. Tapez par exemple « CGV » ou « Cookies ».

Comment l’étude a-t-elle été menée ?

Par un collecteur automatique dédié, qui a visité les 7 et 8 octobre 2026 la page d’accueil de chaque site, sans interaction, puis les pages légales liées depuis cette page. Les 500 sites viennent de la liste publique Tranco et ont été relus à la main.

L’échantillon. Nous sommes partis de la liste Tranco 26Y29, générée le 6 octobre 2026 à partir de cinq classements sur la période du 7 septembre au 6 octobre 2026. Nous en avons gardé les 10 184 domaines en .fr, moins 132 domaines en .gouv.fr, puis réparti les 10 052 candidats en trois tranches de rang :

Nous visions un tiers de l’échantillon par tranche, sans y parvenir : les deux premières comptent surtout des médias, des services publics, des banques et des opérateurs, et les grands sites marchands bloquent plus souvent les robots. Examinées en totalité, elles ne fournissent que 50 sites ; la troisième en fournit 450 sur 500, soit 90 %.

Un site est retenu s’il est francophone et clairement marchand (plateforme de vente ou panier visible, avec un prix). Les 604 sites ainsi classés ont été relus un par un : 97 ont été retirés (vente aux professionnels, sites non marchands, places de marché…), puis les 7 derniers de la troisième tranche, dans l’ordre aléatoire.

flowchart TD
  A["10 052 domaines .fr candidats (Tranco 26Y29, hors .gouv.fr)"] --> B["3 930 candidats examinés"]
  B --> X1["2 207 sites non marchands"]
  B --> X2["615 bloqués : anti-robots (501) ou robots.txt (114)"]
  B --> X3["345 injoignables, en erreur ou trop lents"]
  B --> X4["159 autres exclusions : adultes, jeux, sites publics, doublons…"]
  B --> C["604 sites classés marchands"]
  C --> D["97 retirés à la relecture manuelle"]
  C --> E["507 disponibles après relecture"]
  E --> F["500 sites analysés : 4 + 46 + 450"]

La collecte. Un navigateur Chromium sans écran, un contexte neuf par site (aucun cookie préexistant), la langue française et une adresse IP dans l’Union européenne. Le collecteur s’annonçait comme « LegalnestBot » avec un lien vers cette page, respectait les robots.txt (les sites qui interdisaient l’accueil ou une page légale ont été exclus), ne contournait aucune protection anti-robots et n’envoyait pas plus d’une requête de navigation par seconde et par domaine. Aucun formulaire, aucun panier, aucun clic.

Sur l’accueil, il cherche le bandeau dans toute la page, cadres compris, puis relève les noms des cookies (jamais leurs valeurs) 9 à 15 secondes après l’arrivée. Les 169 sites sans bandeau détecté ont été rechargés avec 25 secondes d’attente : un bandeau tardif est apparu sur 4 d’entre eux. Les pages légales liées depuis l’accueil sont ensuite lues par des détecteurs de mots-clés.

Les dénominateurs. Les CGV sont évaluées sur 397 sites : 43 sans lien CGV trouvé, 32 accès refusés, 13 pages qui n’étaient pas des conditions de vente, 8 PDF et 7 autres erreurs. Les liens légaux portent sur 492 sites, 8 pieds de page n’ayant pas pu être capturés.

Le contrôle qualité. 25 sites tirés au hasard ont été vérifiés à la main, détecteur par détecteur, puis 10 autres après correction. Les détecteurs de bandeau, de refus et de cookies n’ont presque pas fait d’erreur ; les détecteurs textuels en faisaient 8 sur environ 170 décisions avant correction, et une erreur connue subsiste (le SIRET d’un hébergeur compté à la place de celui, absent, de l’éditeur).

Quelles sont les limites de l’étude ?

Les chiffres décrivent 500 sites en .fr, surtout moyens ou petits, observés sans interaction : ils ne s’extrapolent pas à l’ensemble du e-commerce français et ne disent pas si un site est juridiquement conforme.

• L’échantillon. Domaines en .fr seulement, sans les enseignes en .com ; sites qui bloquent les robots (501) ou les interdisent par robots.txt (114) exclus ; 450 sites sur 500 au-delà du rang 100 000, sans pondération. Des marques étrangères vendant sur un .fr sont incluses, alors que certaines obligations françaises ne s’appliquent pas à elles de la même façon.
• La page d’accueil seulement, sans clic : ni les traceurs déposés après acceptation, ni le respect d’un refus, ni le tunnel de commande n’ont été testés.
• Une fenêtre de temps. Un bandeau ou un cookie tardif n’est pas vu : les traceurs sont plutôt sous-estimés.
• Le mode Consentement de Google et les requêtes sans cookie ne sont pas comptés ; la configuration des outils de mesure potentiellement exemptés n’a pas été vérifiée.
• La présence d’une mention, pas sa conformité. Un médiateur cité peut ne pas être compétent ; une « mention complète » au sens de l’étude ne vaut pas conformité à la LCEN. Les PDF et le texte en image ne sont pas lus : les taux de présence sont des bornes basses.
• Une page par catégorie. Des mentions légales placées dans les CGV peuvent échapper à la mesure.
• Les revisites. Pour corriger la mesure, une centaine de sites ont vu leur page d’accueil visitée de 2 à 4 fois ; seule la dernière mesure complète est conservée.
• La relecture manuelle des 604 sites repose sur un jugement, dont chaque motif a été consigné.

Que faire si votre boutique est dans le lot ?

Refaites les contrôles de l’étude sur votre propre site : navigation privée, page d’accueil, aucun clic, puis relecture de vos pages légales. Chaque point renvoie au guide qui explique comment le corriger.

Pour le reste, le quiz de conformité fait le tour de votre site en quelques questions, et notre tableau des documents obligatoires liste ce que votre entreprise doit tenir à jour.

Reprise des données : citation libre, à condition de mentionner Legalnest avec un lien vers cette page et de garder, pour chaque pourcentage, son numérateur et son dénominateur.