ConsentOS avis : une CMP à héberger soi-même, encore jeune

ExoClick et JuicyAds passent le bloqueur de ConsentOS sans réglage

Le bloqueur de ConsentOS retient un script seulement s’il le reconnaît. Une balise de régie qu’il ne sait pas classer s’exécute avant le choix du visiteur. La documentation annonce l’inverse : un script inconnu serait rangé en marketing, donc bloqué. Le code du bandeau laisse pourtant passer tout script sans catégorie.

Les motifs intégrés couvrent Google, Meta, X, LinkedIn, TikTok, Hotjar ou Matomo. Aucune régie adulte n’y figure, ni dans l’Open Cookie Database livrée avec le projet. Pour retenir ExoClick, JuicyAds, TrafficStars ou TrafficJunky, il faut ajouter l’attribut data-category="marketing" sur leur balise. La documentation cite un attribut data-consent, que le code ne lit pas.

Les iframes ne sont pas bloquées du tout. Une vidéo intégrée ou un widget publicitaire en iframe se remplace à la main par un encart, que le script du site transforme en iframe après l’accord. Le bloqueur retient en revanche les cookies et le stockage local écrits en JavaScript par des catégories non acceptées.

Ce qu’il faut pour faire tourner ConsentOS

ConsentOS se déploie avec Docker Compose ou un chart Helm pour Kubernetes. La pile comprend une API en Python, un scanner qui pilote un navigateur Playwright, PostgreSQL 17, Redis et des tâches Celery, plus l’interface d’administration. Sur le site, une balise script charge un chargeur d’environ 2 Ko puis un bandeau d’environ 26 Ko, isolé du thème dans un Shadow DOM.

Le logiciel est gratuit. Le coût réel est celui du serveur et du temps passé à le maintenir. Chaque installation envoie chaque jour un signal anonyme de télémétrie, sans consentements ni domaines, que la variable TELEMETRY_ENABLED=false coupe.

Un réseau de sites dans une seule administration

ConsentOS gère des organisations, des groupes de sites et des sites, avec des réglages qui descendent du niveau général vers chaque site puis chaque région. Un éditeur qui exploite plusieurs tubes règle une fois ses catégories et son bandeau, puis ajuste site par site.

Le bandeau change selon la région : accord préalable pour l’Europe, opposition pour la Californie. Derrière Cloudflare, le pays du visiteur arrive par l’en-tête cf-ipcountry sans réglage. Le signal Global Privacy Control est pris en compte. Les textes du bandeau sont livrés en anglais, et le français se saisit site par site.

La licence Elastic 2.0 permet d’héberger ConsentOS pour ses propres sites. Elle interdit de le fournir à des tiers comme service hébergé ou géré, ce qui ferme la porte à une agence qui voudrait le revendre à ses clients.

Un projet en version 0.3.0

Le dépôt GitHub a ouvert en avril 2026. Les versions 0.2.0 et 0.3.0 sont sorties en juin, et des correctifs ont suivi jusqu’à fin septembre, le dernier pour l’API de consentement de Shopify. Le dépôt compte seize étoiles, huit copies et sept tickets ouverts. Rien ne garantit encore le rythme des mises à jour ni la stabilité de la configuration d’une version à l’autre.

Points forts et limites de ConsentOS