Conformité et cookies

Comment fonctionne cette vérification

Scanaris effectue deux tests sur le HTML de ta page, tous deux volontairement larges pour éviter les faux positifs. Premier : il cherche n'importe quel lien dont la destination ou le texte contient des mots comme privacy, confidentialité, cookies, mentions légales, legal notice, Datenschutz, RGPD, GDPR, terms, términos ou condiciones, dans plusieurs langues. S'il n'en trouve aucun, il ouvre un constat de sévérité moyenne : le signal qu'il n'y a pas de page légale est fort. Second : si la réponse de ton serveur pose des cookies (en-tête Set-Cookie) et que le HTML ne montre aucune plateforme de consentement connue (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron et une vingtaine d'autres) ni les textes habituels d'un bandeau (« we use cookies », « accept cookies », « cookie policy »), il ouvre un constat de sévérité faible. Faible parce que beaucoup de bandeaux sont chargés par JavaScript et ne sont pas dans le HTML initial ; le constat lui-même le précise.

Pourquoi c'est important

Dans l'Union européenne, et dans un nombre croissant de pays, traiter des données personnelles oblige à informer qui les traite, pour quoi et combien de temps : c'est la politique de confidentialité, et un formulaire de contact, une inscription ou un outil d'analyse sont déjà un traitement de données. Les règles sur les cookies ajoutent que les non essentiels (analyse, publicité, réseaux sociaux) ne peuvent être déposés qu'avec un consentement préalable, éclairé et révocable. Les amendes existent et les autorités de protection des données les infligent aussi aux petites entreprises, généralement après la plainte d'un utilisateur. Mais la raison la plus pratique est la confiance : un site sans mentions légales ni politique de confidentialité paraît abandonné ou peu sérieux, et les clients professionnels le vérifient avant de payer.

Comment corriger

Politique de confidentialité et mentions légales

Quoi inclure : qui tu es (nom, identifiant fiscal, adresse, e-mail), quelles données tu collectes et dans quel but, sur quelle base légale, à qui tu les transmets (ton hébergeur, ton fournisseur d'e-mail, ton outil d'analyse), combien de temps tu les gardes, comment exercer les droits d'accès et de suppression, et s'il y a des transferts hors UE.
Comment : un générateur de politiques te donne une base ; adapte-la à ce que tu fais vraiment. Une page /privacy et une page /legal ou /terms, liées depuis le pied de toutes les pages.

Consentement aux cookies

D'abord, un inventaire : quels cookies tu déposes et lesquels sont essentiels (session, panier, la préférence de consentement elle-même) et lesquels ne le sont pas (Google Analytics, pixels publicitaires, vidéos intégrées).
Si tu n'utilises que des essentiels, pas besoin de bandeau ; mais une politique de cookies qui le dit.
Si tu utilises des non essentiels, un gestionnaire de consentement qui les bloque jusqu'à acceptation, avec « refuser » aussi visible qu'« accepter ». Cookiebot, iubenda, Termly ou CookieYes pour commencer ; Complianz ou Borlabs sous WordPress. Si tu utilises Google Analytics ou Ads, configure le mode consentement pour qu'il respecte le choix.
Charge le bandeau dans le HTML initial ou avec un script dans le <head>, pas en différé : ainsi il apparaît avant les cookies et cette vérification le détecte aussi.

Vérifie que c'est corrigé

curl -s https://tondomaine.com | grep -oiE '<a[^>]*href="[^"]*(privac|confidentialite|legal|mentions|cookie|terms|cgu)[^"]*"[^>]*>'
curl -sI https://tondomaine.com | grep -i set-cookie
curl -s https://tondomaine.com | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|tarteaucitron|accept cookies|accepter les cookies" | head -3

La première doit montrer au moins un lien légal. Si la deuxième montre des cookies, la troisième doit montrer ton gestionnaire de consentement.

Questions fréquentes

Mon site est un projet personnel sans but lucratif. Ça s'applique aussi ?

Si tu collectes des données d'autres personnes (un formulaire, une inscription, un outil d'analyse), oui. Si c'est une page statique sans formulaire ni analyse, tu ne traites pas de données personnelles et une mention de qui tu es suffit. Mais la plupart des sites « sans rien » embarquent Google Analytics.

J'ai le bandeau mais le constat apparaît.

Il est probablement chargé par JavaScript après l'arrivée du HTML, et cette vérification n'exécute pas de JavaScript. Le constat est de sévérité faible précisément pour ça. Si ton bandeau fonctionne et bloque les cookies jusqu'à acceptation, tu peux le marquer comme accepté ; mieux encore, charge le script du gestionnaire dans le <head>.

Les cookies de session ont-ils besoin d'un consentement ?

Non : ceux strictement nécessaires au fonctionnement du service en sont exemptés. Mais ils doivent être bien configurés, ce que vérifie cookies non sécurisés. Le reste de la liste juridique et technique avant le lancement est dans la checklist avant de lancer.