Cinq corrections suffisent à mettre la grande majorité des sites en règle : publier les pages légales, bloquer les traceurs tant que le visiteur n'a pas accepté, héberger les polices en local, encadrer le formulaire de contact, et permettre de retirer son consentement à tout moment. Aucune ne demande de refonte, et je les ai toutes appliquées sur mon propre site en une matinée.
Le déclencheur : un confrère m'a envoyé le rapport d'audit de ce site généré par Orilyt. Score global honorable, mais deux lignes en rouge — et les deux étaient des manquements réglementaires. C'est l'inconvénient du métier : on soigne les sites des clients et on laisse traîner le sien. Voici ce que j'ai corrigé, et surtout comment faire l'équivalent sur WordPress.
Précision utile : je suis développeur, pas juriste. Ce qui suit est ce que je mets en place techniquement sur les sites que je livre, pas un avis juridique.
1. Les pages légales : l'oubli le plus fréquent
Mon site n'avait ni mentions légales ni politique de confidentialité. C'est le manquement le plus banal et le plus facile à corriger — et pourtant il expose directement, parce qu'il est visible par n'importe qui en trois secondes.
Deux documents distincts sont attendus :
- Les mentions légales : qui édite le site, comment le joindre, qui l'héberge. Obligation issue de la LCEN, indépendante du RGPD.
- La politique de confidentialité : quelles données vous collectez, pourquoi, combien de temps vous les gardez, et comment le visiteur exerce ses droits.
Sur WordPress : créez deux pages, puis ajoutez-les au menu de pied de page (Apparence → Menus). WordPress génère même un brouillon de politique de confidentialité dans Réglages → Confidentialité — un point de départ à personnaliser, jamais à publier tel quel. Le piège classique : la page existe mais n'est liée depuis nulle part. Elle doit être accessible depuis toutes les pages, pied de page compris.
2. Le consentement aux cookies : le bandeau qui ne bloque rien
Voilà le point le plus mal traité du web francophone, et celui où mon site était le plus en tort : Google Analytics se chargeait dès l'arrivée du visiteur, sans lui demander quoi que ce soit.
C'est aussi l'erreur que je vois le plus souvent chez les clients — sauf qu'elle est déguisée. Le site affiche un joli bandeau cookies, tout le monde se croit couvert, mais le bandeau ne bloque rien du tout : le script Analytics est déjà parti avant même que le visiteur ait cliqué. Le bandeau ne sert alors qu'à décorer une infraction.
Ce qu'il faut réellement :
- Aucun traceur de mesure d'audience ne se charge avant l'acceptation.
- Refuser doit être aussi simple qu'accepter — un bouton « Refuser » au même niveau que « Accepter ».
- Le choix est conservé un temps limité, six mois étant la durée recommandée par la CNIL, puis la question est reposée.
Sur WordPress : une extension de gestion du consentement (Complianz, tarteaucitron, Axeptio) fait le travail, à condition de la configurer en mode blocage, pas en mode information. Le test qui ne ment pas : ouvrez votre site en navigation privée, sans rien cliquer, puis regardez les requêtes réseau de votre navigateur (onglet Réseau, filtre « google »). Si vous voyez partir une requête vers Google avant votre clic, votre bandeau est cosmétique.
Sur mon site, qui n'est pas sous WordPress, j'ai écrit le script moi-même : Analytics n'existe tout simplement pas dans la page tant que le consentement n'est pas donné.
3. Les polices Google : le transfert de données que personne ne voit
Celui-là surprend presque tous les clients à qui j'en parle. Si votre thème charge ses polices depuis les serveurs de Google, alors l'adresse IP de chacun de vos visiteurs est transmise à Google, sans consentement et sans que personne ne l'ait décidé. Un tribunal allemand a condamné un éditeur de site sur ce motif précis en 2022, et l'affaire a fait jurisprudence en Europe.
La correction prend dix minutes : télécharger les fichiers de police et les servir depuis votre propre serveur. J'ai rapatrié les quatorze fichiers de mes deux polices en local ; plus aucune requête ne sort vers Google.
Sur WordPress : l'extension OMGF automatise le rapatriement des polices en local. Vérifiez ensuite le reste de la page : une carte Google Maps, une vidéo YouTube intégrée ou un widget de réseau social posent exactement le même problème. Les intégrations YouTube ont un mode de confidentialité avancée à activer ; les cartes se chargent idéalement après un clic du visiteur.
4. Le formulaire de contact : dire ce que deviennent les données
Un formulaire de contact collecte des données personnelles. Le visiteur doit savoir, au moment où il l'envoie, ce que vous en faites et combien de temps vous les gardez.
En pratique, trois choses :
- Une phrase sous le formulaire indiquant la finalité (répondre à votre demande) et renvoyant vers la politique de confidentialité.
- Une case de consentement jamais pré-cochée si vous inscrivez la personne à une newsletter au passage — et l'inscription ne doit pas être la condition de l'envoi du message.
- Une durée de conservation, et son application réelle.
Sur WordPress, l'angle mort est ici : Contact Form 7, WPForms et consorts enregistrent souvent une copie de chaque message dans la base de données du site, en plus de l'e-mail envoyé. Beaucoup de sites que je reprends stockent ainsi plusieurs années de messages, avec noms, e-mails et numéros, dans une base que personne ne surveille. Décidez si vous en avez besoin ; sinon, désactivez l'enregistrement et purgez l'historique.
5. Le droit de changer d'avis
Un consentement se retire aussi facilement qu'il se donne. Concrètement, cela veut dire un lien ou un bouton « Cookies » accessible en permanence, dans le pied de page, qui rouvre le panneau de choix.
C'est trois lignes de code ou une simple case à cocher dans votre extension, et c'est le détail que la plupart des sites oublient. Sur le mien, le bouton est dans le pied de page de chacune des vingt pages, à côté des mentions légales.
Les 3 corrections que je n'ai pas pu faire (et pourquoi ça vous concerne)
L'audit signalait trois autres points, que je préfère assumer publiquement plutôt que de les passer sous silence :
| Point signalé | Ce que ça demande |
|---|---|
| Mise en cache navigateur | Des en-têtes HTTP personnalisés |
| En-têtes de sécurité (CSP, Referrer-Policy) | Des en-têtes HTTP personnalisés |
| HSTS (HTTPS strict) | Des en-têtes HTTP personnalisés |
Ce site est un site statique, et son hébergement ne permet pas de définir d'en-têtes HTTP personnalisés. Ce n'est pas une négligence, c'est une limite de la plateforme. Je vais faire passer le domaine derrière un service qui les ajoute, ce qui réglera les trois d'un coup.
Et c'est là que WordPress reprend l'avantage : sur un hébergement classique, ces trois points se règlent en quelques lignes dans le fichier .htaccess ou la configuration Nginx. Le Referrer-Policy en particulier a un intérêt directement lié à la vie privée : sans lui, l'URL complète de la page que consulte votre visiteur est transmise aux sites tiers vers lesquels il clique.
Combien de temps ça prend réellement
Pour un site WordPress standard, ces cinq corrections tiennent dans une demi-journée : deux heures pour les pages légales et leur rédaction, une heure pour configurer et vérifier le consentement, une demi-heure pour les polices et les intégrations, le reste pour le formulaire.
Ce qui prend du temps, ce n'est jamais la correction : c'est de découvrir ce qui ne va pas. C'est pour cette raison que je fais désormais passer chaque site dont je m'occupe dans un outil d'audit automatisé avant d'ouvrir le code — quelques secondes pour obtenir la liste, au lieu d'une inspection manuelle page par page. Sur des lots de plusieurs sites, j'automatise même le déclenchement des audits et la remontée des résultats, avec les mêmes outils que ceux que je compare dans Zapier vs Make vs n8n.
Si vous préférez déléguer, c'est typiquement le genre d'intervention que je prends en charge dans le cadre du développement WordPress ou d'un suivi régulier en assistance technique.
FAQ
Un site vitrine sans formulaire est-il concerné par le RGPD ?
Oui, dès qu'il dépose un cookie de mesure d'audience ou charge une ressource depuis un serveur tiers — une police Google suffit à transmettre l'adresse IP du visiteur. Un site réellement sans traceur ni formulaire reste soumis à l'obligation de mentions légales, qui relève de la LCEN et non du RGPD.
Une extension de bandeau cookies suffit-elle à être conforme ?
Non, pas si elle est mal configurée. La plupart affichent le bandeau sans bloquer les scripts en amont, ce qui ne protège de rien. Testez toujours en navigation privée : aucune requête ne doit partir vers un service tiers avant votre clic sur « Accepter ».
Que risque concrètement un petit site non conforme ?
Le risque principal n'est pas un contrôle spontané de la CNIL, rare pour un petit site, mais la plainte d'un visiteur ou d'un concurrent — et la perte de crédibilité auprès de clients qui vérifient. Les corrections décrites ici étant peu coûteuses, le calcul est vite fait.
Je fais le tour des cinq points ci-dessus sur votre site et je vous dis ce qui manque, sans jargon. Le premier rendez-vous est gratuit — on étudie votre besoin ensemble.
Démarrons votre projet ↗
Freelance expert No-Code, WordPress et Go High Level — 6 ans d'expérience, 50+ projets livrés pour des clients en France, au Canada et en Espagne.