RGPD et WordPress : rendre un site WordPress conforme

Pourquoi ce sujet concerne autant de sites français

WordPress alimente plus de 43 % de l'ensemble des sites web dans le monde, et environ 61 à 62 % des sites construits avec un CMS identifiable — loin devant Shopify, Wix ou Squarespace. Une part importante des TPE/PME françaises construit donc son site sur cette base, souvent via un thème ou des plugins ajoutés sans expertise technique poussée, ce qui explique pourquoi les points de ce guide reviennent aussi fréquemment.

Les polices Google Fonts chargées à distance

De nombreux thèmes WordPress chargent par défaut les polices Google Fonts depuis les serveurs de Google plutôt que depuis votre propre hébergement. Ce chargement transmet l'adresse IP du visiteur à Google avant toute interaction, sans consentement ni information — une pratique déjà pointée par des juridictions européennes. L'alternative consiste à héberger les polices localement plutôt que de les appeler depuis un domaine externe.

Les plugins qui ajoutent des traceurs sans le signaler

Statistiques, réseaux sociaux, cartes, avis clients, chat en ligne : beaucoup de plugins populaires embarquent leurs propres scripts tiers, parfois activés par défaut dès l'installation. Chaque plugin ajouté au site doit être passé en revue pour savoir s'il dépose un cookie ou appelle un service tiers — et, si oui, relié à votre gestionnaire de consentement plutôt que laissé à se charger librement.

Le formulaire de commentaires WordPress

Le formulaire de commentaires natif de WordPress collecte par défaut le nom, l'e-mail, le site web du commentateur et son adresse IP, et propose une case « Enregistrer mon nom… pour mon prochain commentaire », qui dépose un cookie. Si les commentaires sont activés, ce traitement doit être mentionné dans la politique de confidentialité, et la case de mémorisation doit rester un choix réel de l'internaute, pas une case pré-cochée.

Gravatar : une donnée envoyée à un service tiers sans que le commentateur agisse

WordPress interroge par défaut le service Gravatar pour afficher un avatar associé à l'adresse e-mail d'un commentateur ou d'un utilisateur — un hachage de l'e-mail est transmis à ce service tiers en arrière-plan. C'est un point souvent oublié dans l'audit d'un site WordPress, car il ne dépend d'aucune extension ajoutée volontairement.

La page de politique de confidentialité intégrée à WordPress

WordPress propose un modèle de page « Politique de confidentialité » généré automatiquement, qui liste les traitements standards du cœur logiciel (commentaires, cookies de session) — un point de départ utile, mais insuffisant seul : il doit être complété avec les traitements réels du site (formulaires, newsletter, plugins ajoutés, outils de mesure), pas laissé tel quel.

Le bandeau de consentement sur WordPress

Un plugin de gestion du consentement est la solution la plus courante sur WordPress pour bloquer les traceurs non essentiels avant accord et proposer un refus aussi accessible que l'acceptation. Certains plugins « cookies » se contentent d'afficher un bandeau informatif sans réellement bloquer les scripts avant consentement — ce qui ne suffit pas : vérifier que le blocage est technique, pas seulement visuel.

Cas pratique : un changement de thème qui réintroduit des traceurs

Un site vitrine WordPress, audité et corrigé une première fois, change de thème un an plus tard pour moderniser son design. Le nouveau thème charge par défaut les polices Google Fonts à distance et active un widget de réseaux sociaux en pied de page — deux traceurs que l'ancien thème ne comportait pas, réintroduits sans qu'aucune modification volontaire du bandeau de consentement n'ait été faite.

Ce scénario est l'une des raisons pour lesquelles un site déjà audité une fois doit l'être de nouveau après tout changement structurel (thème, migration, ajout de plugins majeurs) — la conformité d'un site WordPress n'est jamais acquise définitivement, elle dépend de chaque élément ajouté à la configuration.