AdSense et RGPD dans WordPress : monter la publicité proprement

Vous voulez de la publicité ou Google AdSense sur votre site WordPress, avec un montage rapide, maintenable et défendable. La méthode habituelle consiste à coller un extrait AdSense quelque part dans le thème et à espérer que cela tienne. La facture arrive plus tard : à la mise à jour suivante, dans le temps de chargement et sur la question du consentement. Cet article montre comment piloter les annonces depuis un seul endroit au lieu de disperser du code, ce qu'il faut surveiller côté protection des données, et à quoi ressemble une configuration propre, étape par étape.

Une précision avant les détails : ceci est une mise en perspective, pas un conseil juridique. Le RGPD s'applique dans toute l'Union avec le même texte, mais la règle qui gouverne réellement les cookies publicitaires vient de la directive ePrivacy, que chaque État membre a transposée à sa manière. Dès que la lettre exacte de votre marché compte, c'est un avocat de ce marché qui a la réponse.

Pourquoi piloter la publicité plutôt que disperser du code

Dès que vous collez le premier bloc publicitaire dans un fichier du thème ou dans un article, un petit désordre s'installe. À la prochaine mise à jour du thème, le code peut avoir disparu. Si vous voulez une annonce à dix endroits, vous la maintenez dix fois. Et si vous voulez savoir si une position rapporte quelque chose, vous n'avez aucune base pour répondre, puisque rien n'est mesuré.

Trois raisons plaident pour gérer la publicité à un seul endroit :

• Maintenance : une annonce, une source. Vous modifiez le code une fois et l'annonce se met à jour partout où vous l'avez placée.
• Performance : les scripts publicitaires sont souvent les éléments les plus lourds d'une page. Les charger de façon maîtrisée, avec le chargement différé, protège votre temps de chargement et donc votre référencement.
• Droit : la publicité, surtout personnalisée, touche à la protection des données. Un pilotage central rend bien plus simple le fait de ne diffuser les annonces qu'après un consentement, au lieu d'y penser dans chaque extrait séparément.

C'est exactement là qu'intervient un gestionnaire de publicité comme Adjet : vous créez les annonces comme des blocs à part, vous décidez de façon centrale des emplacements et des règles, et vous voyez l'effet dans une statistique locale. Fini la fouille dans les fichiers du thème. Si vous voulez d'abord comparer les outils disponibles, notre article sur les alternatives à Advanced Ads passe les principaux en revue. Pour l'outil le plus répandu en insertion de code, notre article sur Ad Inserter entre dans le détail.

Une précision sur le nom, avant de chercher en vain dans votre administration : dans le répertoire officiel de WordPress, la version gratuite s'appelle Hafenstudios Ads, pas Adjet. Vous l'installez depuis Extensions, Ajouter, en cherchant « Hafenstudios Ads », ou directement depuis wordpress.org/plugins/hafenstudios-ads/. Début septembre 2026, la fiche affiche la version 2.5.0, au moins 100 installations actives et 14 avis pour une moyenne de 5,0 ; en août 2026, WordPress.org l'a inscrite sur sa liste des extensions mises en avant.

Ce que le RGPD et l'article 82 attendent vraiment d'une annonce

Les annonces personnalisées, celles qu'AdSense diffuse par défaut, déposent en général des cookies ou lisent des identifiants comparables pour reconnaître un visiteur. En Europe, cela exige une décision active de sa part, le fameux consentement. Deux couches se superposent ici, et les confondre est le malentendu le plus courant.

Le RGPD encadre le traitement des données personnelles et énumère les bases légales possibles. Le consentement pour écrire ou lire quelque chose sur l'appareil du visiteur vient de la directive ePrivacy, qui n'est pas d'application directe et que chaque État a dû transposer. En France, c'est l'article 82 de la loi Informatique et Libertés, appliqué par la CNIL, dont les lignes directrices sont explicites : le consentement se recueille avant le dépôt des traceurs non essentiels, et refuser doit être aussi simple qu'accepter. En Allemagne, la règle équivalente est le TDDDG, successeur du TTDSG. En Espagne, c'est l'article 22.2 de la LSSI, en Italie l'article 122 du Codice privacy, aux Pays-Bas l'article 11.7a de la Telecommunicatiewet. Des lois différentes, des autorités différentes, le même point de départ : la technologie non essentielle seulement après l'accord.

En pratique, cela veut dire :

• Il vous faut normalement un bandeau de consentement, ou une plateforme de gestion du consentement (CMP), par laquelle le visiteur peut accepter ou refuser. Refuser doit être aussi simple qu'accepter : un clic au même niveau, sans détour caché par un écran de réglages.
• La publicité qui repose sur des technologies soumises au consentement ne devrait charger qu'après cet accord, jamais avant.
• Une annonce est de la publicité et doit rester reconnaissable comme telle. Le droit de la consommation exige que l'intention commerciale soit identifiable, et une mention publicité visible est la façon la plus simple d'y répondre. En Allemagne, une mention claire est considérée comme la bonne pratique ; chaque pays a ses propres autorités sur ce terrain. Le même raisonnement vaut pour les liens rémunérés, sujet que nous traitons dans les mentions à porter sur les liens d'affiliation.

Le point faible de la plupart des montages, c'est le moment. Si le script publicitaire se charge à l'ouverture de la page, il est souvent déjà actif avant que quiconque ait accepté quoi que ce soit. C'est pour cela que le blocage par consentement, qui lie les annonces au signal réel d'acceptation, vaut les dix minutes qu'il faut pour l'activer.

Consent Mode v2 et les règles propres à Google

Depuis mars 2024, Google attend Consent Mode v2 des sites qui diffusent des annonces Google ou mesurent avec des balises Google et reçoivent des visiteurs de l'EEE. Techniquement, quatre signaux sont transmis aux balises : ad_storage, analytics_storage, ad_user_data et ad_personalization. Sans eux, vous risquez une mesure incomplète, un remarketing plus faible et, au pire, des restrictions sur votre compte Google Ads ou AdSense.

Google ajoute par-dessus la loi une règle qui lui est propre. Il est attendu de ceux qui diffusent des annonces vers l'EEE et le Royaume-Uni qu'ils utilisent une plateforme de consentement figurant sur sa liste certifiée, et le message lui-même se configure dans Privacy & messaging du compte AdSense. Consultez cette liste avant d'arrêter votre choix de bandeau : changer d'outil de consentement après le lancement demande nettement plus de travail que choisir correctement au départ.

Installer AdSense dans WordPress, étape par étape

Voici comment aborder une configuration propre, en sept étapes. Elles suivent Adjet, mais le principe vaut pour tout montage publicitaire sérieux. Les étapes trois à cinq sont le véritable travail de protection des données, et les confondre revient précisément à creuser la faille dont parle cet article.

1. Créer le bloc publicitaire

Vous avez deux entrées possibles. Soit vous collez votre propre code d'annonce, par exemple celui d'un annonceur direct, soit vous passez par l'assistant AdSense. Pour des bannières que vous vendez vous-même, on passe d'habitude par une extension de rotation, une voie que nous examinons dans notre article sur AdRotate. Vous y saisissez votre identifiant éditeur et l'identifiant de bloc, et vous obtenez une annonce responsive qui s'adapte à la place disponible. Vous pouvez en plus charger les Auto ads de Google, où Google choisit lui-même les positions. AdSense attend également un fichier ads.txt à la racine de votre domaine : cela n'a rien à voir avec le consentement, mais fait partie d'une installation complète.

2. Choisir l'emplacement et le ciblage

Vous décidez maintenant où l'annonce apparaît. Pour un placement automatique, les positions habituelles sont prêtes : avant ou après le contenu, après un paragraphe donné, ou après la première image. Pour un contrôle plus fin, vous placez à la main par shortcode, bloc Gutenberg ou widget :

[adjet_ad id="1"]

Pour des annonces rotatives, vous regroupez plusieurs blocs dans un groupe diffusé selon une pondération :

[adjet_ad_group name="header"]

Le ciblage restreint encore : ordinateur, tablette ou mobile uniquement, certains types de contenu, catégories, étiquettes ou termes, chaque fois avec des exclusions possibles. Vous affichez ainsi une annonce mobile dans une seule catégorie et vous l'écartez de vos pages de vente.

La partie consentement : trois tâches, trois étapes

Vient maintenant la partie que beaucoup sautent, et ce sont trois tâches qui n'ont techniquement rien à voir entre elles. Quelque chose doit recueillir et conserver la décision du visiteur. Cette décision doit être transmise aux balises de Google. Et les annonces doivent être retenues jusque-là. Un bandeau seul ne couvre que la première tâche. C'est exactement là que la plupart des montages échouent : le visiteur clique sur refuser, le bandeau disparaît l'air satisfait, et le script publicitaire tournait depuis un moment en arrière-plan.

3. Recueillir et conserver le signal de consentement

Vous avez ici deux voies, et vous en choisissez exactement une.

• Le bandeau intégré : Adjet fournit un modèle « Consentement cookies ». Vous le créez comme bloc et l'activez ; à partir de là, le bandeau conserve la décision dans le cookie adjet_consent, valable un an, avec SameSite=Lax. Accepter et refuser sont côte à côte, deux boutons au premier niveau ; refuser ne se cache pas derrière un lien de réglages. Dans la version gratuite, c'est une décision tout ou rien ; la répartition par catégories (nécessaires, statistiques, marketing, préférences) avec des cases à cocher relève de Pro.
• Une CMP externe : vous utilisez déjà un outil de consentement ? Il suffit alors d'indiquer dans les réglages d'Adjet le nom du cookie que votre outil écrit après l'accord, et éventuellement la valeur qu'il doit contenir. Adjet vérifie dès lors exactement cela et n'affiche pas de bandeau à lui. Dès qu'un nom de cookie est renseigné, c'est ce cookie qui décide si une annonce peut charger, même si le bandeau intégré restait actif.

Faire tourner les deux en même temps est une mauvaise idée. Deux bandeaux qui posent la même question désorientent le visiteur, et vous finissez par documenter deux décisions qui peuvent diverger.

4. Transmettre la décision à Google : Consent Mode v2

Un cookie posé sur l'appareil ne dit rien à Google. Consent Mode v2 fonctionne avec des signaux qui valent soit granted, soit denied. La version gratuite émet exactement ces quatre :

Deux autres signaux appartiennent au standard, functionality_storage et personalization_storage. Seul Adjet Pro les émet, avec la répartition du bandeau en catégories qui les rattache aux préférences. Dans le code de la version gratuite, aucun des deux n'apparaît.

L'ordre est l'endroit où la plupart des implémentations trébuchent. Avant la première balise Google, il faut un consent default avec ces quatre signaux sur denied. Ce n'est qu'ensuite qu'un consent update peut transmettre la décision. Sans ce default, les balises se déclenchent dès le chargement avec un accès complet au stockage, et le Tag Assistant de Google signale « consent update called before default ». Adjet écrit donc le default très tôt dans le <head>, avant tout gtag.js, et retransmet aussitôt comme update la décision déjà présente dans le cookie. Sans cette retransmission, un refus ne durerait qu'une seule page vue, puisqu'un cache de pages sert le même HTML à tout le monde et ne peut pas connaître le cookie.

Google distingue par ailleurs deux modes de fonctionnement, et c'est un vrai choix :

• Basic : les balises Google ne se chargent pas du tout tant qu'il n'y a pas de consentement. Sans accord, rien ne circule, mais les données manquent totalement. C'est la voie qu'Adjet emprunte avec le bandeau intégré : le chargeur AdSense est retenu et n'est injecté dans la page qu'après l'accord.
• Advanced : les balises se chargent immédiatement mais n'envoient, avant le consentement, que des signaux sans cookie à partir desquels Google modélise les conversions manquantes. Plus de données exploitables, mais une requête vers Google avant que le visiteur ait décidé. Savoir si cela relève déjà, sans accès au stockage, de l'article 82 de la loi Informatique et Libertés est discuté. Ce qui est sûr, c'est que le mode Basic ne pose même pas la question.

Il existe encore une troisième voie qu'Adjet propose sous forme d'interrupteur et que les guides oublient presque toujours : les annonces non personnalisées. Le réglage activé, Adjet pose le drapeau NPA de Google avant le chargeur AdSense tant qu'il n'y a pas de consentement. Le visiteur voit alors de la publicité sans personnalisation au lieu d'un emplacement vide, et les signaux Consent Mode restent sur denied. L'interrupteur est désactivé d'origine, et le réglage explique lui-même pourquoi : les annonces non personnalisées déposent elles aussi des cookies pour la limitation de fréquence, si bien qu'un consentement peut rester nécessaire dans l'Union.

5. Retenir réellement les annonces

Le blocage n'arrive qu'à ce stade. Le blocage actif, Adjet n'écrit pas le code publicitaire dans la page : il le dépose dans un élément template, que le navigateur n'exécute pas. Une fois l'accord donné, le script du frontend en sort le code et l'insère. Sans accord, l'emplacement reste vide au sens propre : aucun script n'y attend un signal. Avec les Auto ads, où Google choisit lui-même les positions et où aucun bloc ne sert d'ancre, Adjet retient à la place l'adresse du chargeur et l'ajoute à l'ensemble du site après la décision.

6. Activer le chargement différé et la mention

Activez le chargement différé pour que les annonces ne se chargent qu'en entrant dans la zone visible. Techniquement, c'est un IntersectionObserver qui observe si le bloc est sur le point d'être visible. Cela économise du temps de chargement, surtout pour une annonce placée loin en bas. Activez aussi la mention publicité optionnelle, pour que les annonces restent identifiables.

7. Vérifier l'effet dans la statistique

Après la mise en ligne, vous regardez la statistique locale, un graphique sur 30 jours en SVG simple qui montre impressions et clics. Les données restent dans votre base, il n'y a aucun appel externe vers Adjet ou hafenstudios. Vous voyez donc quelle position et quel format fonctionnent auprès de vos lecteurs, et vous pouvez couper les emplacements faibles au lieu de deviner. Pour des opérations limitées dans le temps, la planification de campagne prévoit une date de début et de fin facultative. Un chiffre à anticiper : AdSense compte des Ad requests dans son propre tableau de bord, et une requête non remplie ne devient jamais une impression. Les deux tableaux ne coïncideront donc jamais exactement, et c'est normal.

Prouver que le blocage tient vraiment

Une case cochée dans les réglages ne prouve rien. La preuve est dans les outils de développement du navigateur, et elle prend moins de dix minutes. Deux adresses comptent : le chargeur AdSense vient de pagead2.googlesyndication.com, un emplacement Google Ad Manager de securepubads.g.doubleclick.net. C'est là-dessus que vous filtrez.

1. Ouvrez une fenêtre privée neuve. Sinon vous testez contre une décision que vous avez prise vous-même il y a des semaines. Appuyez ensuite sur F12 et passez à l'onglet Réseau.
2. Posez le filtre et rechargez. Tapez googlesyndication dans le champ de filtre et chargez la page. Avant toute décision, la liste doit rester vide. Si une ligne s'y trouve déjà, AdSense charge trop tôt, et aucun bandeau, si beau soit-il, n'y change quoi que ce soit.
3. Regardez les cookies. Dans l'onglet Application (Chrome) ou Stockage (Firefox), il ne devrait y avoir avant la décision que des entrées de votre propre domaine, la session WordPress par exemple. Rien de Google.
4. Cliquez sur refuser. Le filtre réseau reste vide, et le cookie adjet_consent passe à denied.
5. Rechargez sans rien supprimer. Toujours rien de Google, et le bandeau ne doit pas réapparaître. Un nombre étonnant de montages échouent à ce test : un bandeau qui repose la question après un rechargement n'a pas enregistré le refus correctement.
6. Supprimez les cookies, rechargez, acceptez. La ligne doit maintenant apparaître dans l'onglet Réseau, adjet_consent doit valoir granted et l'emplacement doit se remplir. Si ce n'est pas le cas, le blocage est étanche mais autre chose cloche.
7. Contrôlez le Consent Mode. Tapez dataLayer dans la console et dépliez les entrées. La première entrée consent doit être un default avec ces quatre signaux sur denied, l'update portant votre décision vient ensuite. Si l'ordre est inversé, le Tag Assistant de Google le signale également.

Le bandeau doit être utilisable, pas seulement conforme

Un bandeau de consentement se place entre le visiteur et l'ensemble du contenu. Qui ne peut pas s'en servir n'accède pas au site et ne peut donc pas non plus consentir. Protection des données et accessibilité sont ici le même chantier : un consentement qui ne peut être donné qu'à la souris et avec une bonne vue n'est pas vraiment un choix libre. Cinq points que vous vérifiez vous-même en quelques minutes :

• Clavier : chargez la page et n'utilisez que la touche Tab. Atteignez-vous accepter et refuser, et les deux se déclenchent-ils avec Entrée ou la barre d'espace ? Cela suppose de vrais éléments button et non des conteneurs div rendus cliquables. Dans le bandeau intégré d'Adjet, ce sont des boutons.
• Focus visible : voyez-vous où vous êtes pendant la navigation au clavier ? Un outline: none effacé au design est le défaut le plus fréquent sur des bandeaux par ailleurs propres.
• Masquage : le bandeau ouvert, continuez à tabuler dans la page. Un bandeau collé au bord inférieur recouvre volontiers l'élément qui porte justement le focus. WCAG 2.2 a un critère dédié, le 2.4.11 Focus Not Obscured (Minimum), au niveau AA.
• Contraste : le texte du bandeau réclame au moins 4,5:1 face à son fond selon le critère 1.4.3, et la bordure d'un bouton au moins 3:1 selon le 1.4.11. Le gris clair sur blanc échoue ici régulièrement, et des deux boutons c'est souvent celui de refus. Chrome affiche la valeur de contraste directement dans le sélecteur de couleur.
• Lecteur d'écran : le bandeau a besoin d'un nom, sinon il est annoncé comme une région sans nom. Le modèle d'Adjet apporte pour cela role="dialog" avec une étiquette aria-label.

Le point où les deux exigences se rejoignent est celui d'avant : refuser doit être aussi accessible qu'accepter, un clic au même niveau. C'est à la fois de la protection des données et de l'ergonomie. Pourquoi une énigme supplémentaire devant un formulaire produit le même effet ailleurs, c'est le sujet de notre article sur le captcha et l'accessibilité.

Garder la performance en vue

Publicité et temps de chargement sont un équilibre. Quelques règles simples aident :

• Moins, c'est mieux : trois emplacements réfléchis rapportent souvent plus que huit qui encombrent la page et font fuir les lecteurs.
• Utiliser le chargement différé : tout ce qui se trouve sous le premier écran n'a pas besoin de charger immédiatement.
• Tester les positions : servez-vous de la statistique pour retirer les annonces sans effet, au lieu d'en ajouter toujours de nouvelles.

Si vous mettez de toute façon de l'ordre dans votre site WordPress, les URL propres et les redirections méritent un coup d'oeil en même temps. Là aussi, il s'agit de régler une affaire technique de façon centrale plutôt que dispersée : une table de redirections tenue à un seul endroit vaut mieux que des règles éparpillées dans le fichier de configuration du serveur.

Conclusion

Installer de la publicité et AdSense dans WordPress n'est pas une affaire de code copié à la va-vite, mais de pilotage propre. Gérez les annonces de façon centrale, ne les diffusez qu'après consentement, chargez-les tardivement et signalez-les comme publicité : vous êtes alors solide sur le plan technique, juridique et sur le temps de chargement. Et comme vous mesurez ce qui marche, vous gagnez au bout du compte davantage avec moins d'annonces. Adjet est open source sous GPLv2, apporte sa propre permission (manage_adjet) et une API REST (adjet/v1), sans transmettre vos données à l'extérieur. Ce que coûte chaque extension, Adjet compris, se trouve sur notre page tarifs. Et pour redire la phrase qui compte : ceci est une mise en perspective, pas un conseil juridique, donc faites confirmer la lettre exacte de votre marché par une personne compétente sur place.

Questions fréquentes sur AdSense et la publicité dans WordPress