Alternative tarteaucitron : faut-il migrer en 2026 et vers quoi ?

Tarteaucitron a longtemps été le standard de fait des sites institutionnels et associatifs français, parce qu’il est gratuit, open-source et bien documenté. En 2026, son positionnement est plus fragile : pas de support officiel du Consent Mode v2 de Google, maintenance communautaire ralentie, et la CNIL recommande désormais des CMP avec audit trail intégré et gouvernance documentée. Pour autant, tarteaucitron n’est pas mort — il reste pertinent dans certains contextes. Voici comment décider en 2026 si vous gardez tarteaucitron, et si vous migrez, vers quelle alternative.

Pourquoi tarteaucitron reste défendable

Trois cas où je continue de le recommander.

Sites institutionnels / publics / associatifs sans média payant. Si vous n’avez pas de Google Ads, pas de Meta Ads, pas de retargeting actif, le bénéfice du Consent Mode v2 est limité. tarteaucitron suffit techniquement, et il évite les coûts d’une CMP commerciale.

Sites qui valorisent l’open-source comme principe. Pour les structures qui ont une politique IT open-source forte (écoles, universités, ONG, certaines collectivités), tarteaucitron est cohérent avec la stratégie globale.

Budget zéro absolu. tarteaucitron est gratuit à vie. Les CMP commerciales démarrent à 30 €/mois minimum et peuvent monter à plusieurs milliers d’euros. Sur un site low-budget, c’est un facteur réel.

Pourquoi tarteaucitron est de plus en plus fragile

Cinq points qui poussent à migrer.

Pas de Consent Mode v2 natif. Le support doit être codé à la main par-dessus tarteaucitron, ce qui est faisable mais demande une maintenance experte. Les sites qui font ça correctement sont une minorité.

Maintenance communautaire ralentie. Le projet est encore actif mais le rythme de releases s’est ralenti depuis 2023. Les correctifs sur les nouveaux tags publicitaires (TikTok, Pinterest récents) arrivent tard.

Pas d’audit trail intégré. La CNIL recommande explicitement depuis 2024 des CMP qui conservent un historique des consentements (qui a accepté quoi, quand, depuis quelle IP/User-Agent). tarteaucitron ne fournit pas cela nativement.

Pas de scan automatique des trackers. Les CMP commerciales scannent automatiquement votre site pour détecter les nouveaux trackers et les classer dans la bonne catégorie. tarteaucitron demande une déclaration manuelle de chaque tracker.

Pas de support TCF v2.3 IAB. Pour les sites avec des partenaires publicitaires programmatiques (Criteo, RTB House, etc.), le support TCF v2.3 est obligatoire. tarteaucitron ne le couvre pas nativement.

Vers quelle alternative migrer

Profil	Recommandation	Tarif typique
PME / ETI commerce avec média payant Google	Axeptio	30-200 €/mois
Sites multilingues ou multi-pays	Cookiebot	50-250 €/mois
Groupes multi-marques, conformité internationale	Didomi	200-2000 €/mois
Grands groupes cotés, gouvernance enterprise	OneTrust	sur devis (k€/mois)
Site institutionnel sans média payant	Garder tarteaucitron mais ajouter Consent Mode v2 manuel	0 €

Comparatif complet dans la page consultant Consent Mode v2.

Comment maintenir tarteaucitron correctement si vous le gardez

Si vous décidez de garder tarteaucitron, voici les bonnes pratiques pour ne pas mettre votre conformité en danger.

Ajouter le Consent Mode v2 manuellement. Wrapper custom qui pousse gtag('consent', 'default', {...}) au tout début de l’initialisation, puis gtag('consent', 'update', {...}) sur les events tac.success de tarteaucitron. Mission cadrée : ~2 jours consultant.

Mettre à jour vers la dernière version. Vérifier régulièrement sur le repo GitHub de tarteaucitron qu’aucune faille de sécurité n’a été publiée non corrigée.

Auditer la déclaration des trackers. Les nouveaux trackers ajoutés sur le site (par exemple un Hotjar ajouté en cours d’année) doivent être déclarés manuellement à tarteaucitron, sinon ils se chargent sans bloc.

Documenter les choix d’architecture. Le registre des traitements doit expliquer pourquoi vous avez choisi tarteaucitron, comment vous gérez le Consent Mode, et quels sont les compromis acceptés.

Prévoir une revue annuelle. Une revue conformité une fois par an pour valider que l’écosystème (CNIL, Google, navigateurs) n’a pas évolué d’une manière qui rend votre setup non conforme.

Cas concrets

Université publique (~500 K visiteurs/an, sans média payant) : maintien de tarteaucitron + ajout Consent Mode v2 via wrapper custom. Effort 3 jours sur 2 semaines. Coût : 0 € de licence + budget consultant. Choix cohérent.

Association ~50 K visiteurs/an : maintien tarteaucitron, pas d’évolution. Compromis accepté avec le bureau exécutif sur le risque marginal.

E-commerce PME ~2 M€ CA : migration tarteaucitron → Axeptio. ROI Consent Mode v2 Advanced atteint en 4 mois sur la dépense Google Ads.

Foire aux questions

tarteaucitron est-il déconseillé par la CNIL ?

Pas explicitement. La CNIL ne recommande pas ou ne déconseille pas de CMP spécifique. Mais ses lignes directrices 2024-2026 sur le consentement (audit trail, granularité, refus aussi simple que l’acceptation) poussent vers des CMP qui couvrent ces points nativement.

Combien de temps pour migrer ?

Migration standard tarteaucitron → CMP commerciale : 4 semaines calendaires (6 jours consultant). Voir migration CMP pour le détail.

tarteaucitron va-t-il être abandonné ?

Pas d’annonce officielle de fin du projet. Mais le rythme de maintenance ralentit. Pour un site critique, le risque de dépendance à un projet communautaire ralenti est réel.

Pouvez-vous m’aider à garder tarteaucitron correctement ?

Oui. Si la décision est de garder tarteaucitron, je propose une mission de “fiabilisation tarteaucitron” : ajout Consent Mode v2, audit des trackers déclarés, documentation. Forfait ~2 200 € HT pour 3-4 jours.