Contrôle RGPD pour WordPress

WordPress lui-même n'est pas problématique — les enjeux de protection des données viennent presque toujours des thèmes, des extensions et des contenus intégrés.

En pratique, la plupart des problèmes de protection des données sous WordPress se situent dans trois sources : le thème, qui charge souvent Google Fonts ou des kits d'icônes depuis des CDN externes ; les plugins marketing et d'analyse qui écrivent leur code de suivi directement dans le <head> sans interroger un état de consentement ; et l'éditeur de blocs, qui résout immédiatement les intégrations YouTube, Maps et Twitter au chargement de la page. Chacune de ces sources peut être désamorcée individuellement.

Un plugin de consentement seul ne suffit pas s'il ne bloque pas réellement les scripts. De nombreux plugins de bandeau se contentent d'afficher l'avis pendant que les plugins de suivi se chargent en parallèle. Ce qui fonctionne, ce sont des solutions qui retiennent les traqueurs connus via un bloqueur de scripts ou qui s'intègrent en profondeur aux plugins concernés (par exemple via leurs API de consentement).

Les fonctions de base de WordPress sont elles-mêmes sans problème, à une exception près : les scripts d'emoji chargent s.w.org par défaut et peuvent — selon la configuration — déclencher une connexion externe. Les gravatars dans la zone de commentaires transmettent en outre un hash de l'adresse e-mail à automattic.com. Les deux peuvent être désactivés avec quelques lignes dans functions.php ou un petit plugin.

Est-ce un risque ?

Sources fréquentes : thèmes qui chargent Google Fonts depuis Google ; extensions d'analyse ou de marketing sans logique de consentement ; blocs YouTube/Maps intégrés ; emojis et Gravatars depuis des serveurs externes. Pour tout accès non nécessaire, § 25 al. 1 TDDDG s'applique.

Ce que vous pouvez faire

• Localiser Google Fonts (p. ex. extension « OMGF »), désactiver les scripts d'emoji externes.
• Ne charger analyse/marketing que via une extension de consentement qui bloque les balises jusqu'à l'accord.
• Passer les blocs YouTube/Maps à une intégration à deux clics.
• Après chaque installation d'extension, vérifier le code source de la page d'accueil.

Questions fréquentes

L'outil officiel de protection des données de WordPress rend-il mon site conforme ?

Non. L'outil intégré aide seulement à créer une page de politique de confidentialité et à exporter/supprimer les données des utilisateurs. Il ne bloque aucun traqueur et ne vérifie aucun plugin.

Quels plugins sont les points les plus fréquents ?

Les plugins d'analyse (Google Site Kit, MonsterInsights), les plugins marketing avec intégration de pixel, les plugins de polices qui chargent depuis Google, ainsi que les page builders avec des CDN d'icônes ou de polices intégrés.

Suffit-il de localiser Google Fonts via un plugin ?

Pour les polices, oui — des plugins comme OMGF téléchargent les fichiers une fois et les intègrent localement. Ensuite, le code source doit tout de même être vérifié pour les appels restants vers fonts.googleapis.com que certains thèmes ont câblés en dur.

Comment vérifier rapidement si quelque chose se charge avant le consentement ?

Ouvrez la page d'accueil dans une fenêtre privée, outils de développement, onglet « Réseau », filtrez sur « google », « facebook », « doubleclick ». Si des requêtes apparaissent avant le clic sur « Accepter », un traqueur se déclenche trop tôt.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.