Se mettre en règle avec le RGPD : cookies, consentement et polices tierces

Se mettre en règle avec le RGPD côté site web commence par un état des lieux factuel : quels traceurs se déclenchent avant tout consentement, un gestionnaire de cookies est-il en place, quels services tiers sont chargés. Notre audit relève ces faits à la première visite, sans interaction. Il décrit ce qui se passe techniquement ; il ne rend pas de verdict de conformité et ne remplace pas un conseil juridique.

Bloquer les traceurs avant le consentement

L'audit signale en « important » les cookies de suivi connus (statistiques, publicité) déposés avant toute action du visiteur. Il relève aussi les traceurs écrits dans le localStorage ou le sessionStorage et les cookies tiers qu'il ne reconnaît pas.

1. Identifiez, dans le constat, le nom du cookie et le service à l'origine.
2. Configurez votre gestionnaire de consentement pour que le script correspondant ne se charge qu'après acceptation.
3. Pour un script ajouté à la main, ne l'insérer dans la page qu'une fois le consentement obtenu.

Ne comptez pas sur la seule bannière : la preuve est dans le comportement du site. Ouvrez les outils du navigateur, onglet Application, Cookies, rechargez la page sans accepter la bannière, et vérifiez qu'aucun cookie de suivi n'apparaît.

Installer un gestionnaire de consentement

L'audit détecte la présence d'une solution de consentement parmi les plus courantes (Axeptio, Cookiebot, tarteaucitron, Iubenda, Complianz, CookieFirst, Quantcast Choice, CookieConsent). Si aucune n'est trouvée alors que des traceurs non essentiels sont utilisés, installez-en une ; plusieurs existent sous forme de plugin WordPress. Vérifiez qu'elle permet de refuser aussi facilement que d'accepter.

Publier une politique de confidentialité

L'audit cherche un lien vers une page de politique de confidentialité, généralement dans le pied de page. WordPress fournit une page dédiée à compléter dans Réglages, Confidentialité. Son contenu doit refléter les traitements réels de votre site.

Héberger soi-même les polices web

Charger des polices depuis Google Fonts transmet l'adresse IP du visiteur à Google dès l'ouverture de la page. La CNIL a mis en demeure plusieurs sites pour ce transfert, c'est pourquoi l'audit le signale. La solution est d'héberger les fichiers de police sur votre propre serveur.

1. Téléchargez la police au format WOFF2, le plus léger et le mieux pris en charge.
2. Placez les fichiers sur votre serveur et déclarez-les dans votre CSS.
3. Supprimez les balises link vers fonts.googleapis.com et fonts.gstatic.com.

@font-face {
    font-family: "Ma Police";
    src: url("/fonts/ma-police.woff2") format("woff2");
    font-weight: 400;
    font-display: swap;
}

Sous WordPress, des plugins comme OMGF ou Autoptimize automatisent l'opération. Le même raisonnement vaut pour les polices servies par n'importe quel CDN tiers, que l'audit signale à part. Vérifiez la licence de la police avant de la redistribuer depuis votre serveur.

Différer les contenus intégrés tiers

Une vidéo YouTube ou une carte Google Maps intégrée par iframe contacte le service tiers au chargement de la page. L'audit détecte ces iframes chargées avant consentement. Remplacez-les par une image avec un bouton qui ne charge le contenu réel qu'après un clic ; les principaux gestionnaires de consentement proposent ce blocage nativement.

Vérifier

Rechargez le site en navigation privée sans accepter les cookies, puis comparez avec le résultat de l'audit. Pour la sécurité des cookies eux-mêmes, voir le guide cookies Secure, HttpOnly et SameSite. Le périmètre de la catégorie RGPD est détaillé sur la page audit RGPD d'un site web.