Ressources tierces : ce que votre site transmet vraiment.

Il n'y a là ni piratage ni négligence, seulement le fonctionnement normal du web. Personne ne vous a prévenu, et ça se corrige en une matinée.

Ce qui se passe vraiment quand une page se charge

Quand quelqu'un ouvre votre site, son navigateur ne télécharge pas un fichier unique. Il récupère votre page, la lit, y trouve une liste d'éléments à aller chercher, une police, une feuille de style, une icône, un script, une carte, une vidéo, puis lance une requête pour chacun.

Si l'un de ces éléments est hébergé ailleurs que chez vous, le navigateur de votre visiteur contacte directement ce serveur tiers. Et en le contactant, il lui transmet nécessairement trois choses : son adresse IP, son navigateur et son système, et souvent l'adresse de la page d'où vient la demande.

Vous n'avez rien transmis. Vous avez simplement écrit une ligne dans votre code qui a fait faire le trajet à votre visiteur.

Et en droit européen, l'adresse IP est une donnée personnelle.

Le cas d'école : les polices distantes

L'exemple le plus documenté est celui des polices chargées depuis les serveurs de Google. Une ligne dans le code, la typographie s'affiche, tout le monde est content. Sauf que chaque visiteur y laisse son adresse IP.

Le 20 janvier 2022, le tribunal régional de Munich a condamné l'exploitant d'un site qui procédait ainsi (LG München I, affaire 3 O 17493/20). Cent euros de dommages et intérêts, mais le montant n'est pas le sujet. Ce qui compte, c'est le raisonnement : le tribunal a écarté l'intérêt légitime de l'exploitant parce que la transmission n'était pas nécessaire. Les polices peuvent être hébergées sur son propre serveur. Il existait une alternative, elle n'a pas été prise.

Le tribunal n'a pas sanctionné le transfert lui-même, mais le fait qu'il était évitable.

Une précaution sur cette décision : c'est un jugement allemand de première instance, pas de la jurisprudence française, et il ne s'applique pas automatiquement ailleurs en Europe. Ne le brandissez pas comme une loi. Retenez plutôt le raisonnement, parce que celui-là est solide et transposable : on ne justifie pas un transfert de données quand il existe une solution simple pour l'éviter.

Le test, dans l'onglet Réseau

Ouvrez votre site dans Chrome ou Firefox, faites un clic droit puis « Inspecter », et allez dans l'onglet Réseau. Rechargez la page.

Vous voyez apparaître la liste complète de ce que votre site va chercher. Regardez la colonne des domaines et repérez tout ce qui n'est pas le vôtre. Chaque ligne étrangère est une conversation entre votre visiteur et un tiers.

Si l'inspecteur vous rebute, il existe plus simple : affichez le code source de la page et cherchez https://. Les adresses qui ne commencent pas par votre nom de domaine sont vos suspects.

Faites l'essai sur cette page, tant que vous y êtes : les polices que vous êtes en train de lire sont servies depuis ce serveur, pas depuis ceux de Google.

Ce qu'on fait de cette liste

• Rapatrier. Une police, une icône, une petite bibliothèque : téléchargez les fichiers, posez-les sur votre serveur, changez l'adresse dans le code. Vous gardez exactement le même rendu. Sous WordPress, des extensions font ce rapatriement automatiquement. Sur un site écrit à la main, c'est un copier-coller de fichiers.
• Remplacer. Une carte intégrée peut devenir une image fixe cliquable qui ouvre l'itinéraire dans un nouvel onglet. Une vidéo peut n'être chargée qu'au clic, sur une simple vignette. Le visiteur qui ne clique pas n'est jamais mis en relation avec le tiers.
• Retirer. Vous allez reconnaître la liste des candidats, parce que c'est exactement celle de l'article sur l'INP. Ce n'est pas un hasard : ce qui vous ralentit est aussi ce qui vous fait parler à l'extérieur. Une seule décision règle les deux problèmes.

Le rapport avec la vitesse

Chaque domaine tiers coûte du temps avant même de servir à quelque chose : le navigateur doit résoudre son adresse, ouvrir une connexion, négocier le chiffrement. Ce trajet a lieu pendant que votre page attend. Rapatrier vos ressources supprime ces allers-retours, et le détail de ce que ça change se lit dans l'article précédent.

Le principe, en une phrase

On passe beaucoup de temps à écrire des politiques de confidentialité et à empiler des bandeaux de consentement. C'est souvent traiter le symptôme.

La question de fond est en amont, et elle est très simple : qu'est-ce que mon site charge, et depuis où ? Ce que vous ne chargez pas ne peut fuiter nulle part, ne demande aucun consentement, et n'a pas besoin d'être expliqué dans une page juridique que personne ne lit.

Ouvrez l'onglet Réseau. Vous serez peut-être surpris de la longueur de la liste. Le même raisonnement vaut pour les services que vous utilisez au quotidien : je tiens une liste de ceux que j'emploie et recommande, sans aucun lien d'affiliation.

Sources

• LG München I, 20 janvier 2022, affaire 3 O 17493/20, tribunal régional de Munich I. Source primaire, décision de justice citée dans l'article.
• Analyse de la décision et de sa portée, dr-datenschutz.de. Presse juridique spécialisée, pour la lecture du jugement.
• Note des services scientifiques du Bundestag sur Google Fonts, Bundestag. Source publique.
• Article 6 du RGPD, EUR-Lex. Source primaire pour la base légale discutée.

Questions fréquentes

Une adresse IP est-elle une donnée personnelle ?

En droit européen, oui. C'est ce qui rend juridiquement discutable la transmission d'une adresse IP à un service tiers, sans consentement et sans nécessité.

Comment savoir ce que mon site charge depuis l'extérieur ?

Ouvrez votre site, faites un clic droit puis Inspecter, allez dans l'onglet Réseau et rechargez la page. Tout domaine qui n'est pas le vôtre est une requête vers un tiers.

Héberger ses polices soi-même change-t-il quelque chose à la vitesse ?

Oui. Chaque domaine tiers impose au navigateur une résolution d'adresse puis l'ouverture d'une connexion avant de servir le fichier. Rapatrier supprime ces allers-retours.

Sur le même sujet : la note de réactivité que votre site rate, et ce qu'on écrit dans les mentions légales.