Loi 25 · WordPress

WordPress et Loi 25

WordPress n’est ni conforme ni non conforme : tout dépend des extensions installées et de leur configuration. Ce guide montre où regarder, et ce que la base conserve sans qu’on le sache.

Analyser mon site WordPress Voir la checklist

Mis à jour le 26 août 2026 Lecture : 13 minutes

Sommaire
  1. Ni conforme ni non conforme
  2. Les formulaires et leur base
  3. Mesure d’audience et balises
  4. Les appels externes
  5. WooCommerce
  6. Les extensions de bannière
  7. Checklist WordPress
  8. La page et l’administration
  9. Questions fréquentes

WordPress n’est
ni conforme ni non conforme

C’est un gestionnaire de contenu. Livré nu, il ne dépose aucun traceur publicitaire et n’appelle aucun service externe. Tout ce qui pose question arrive ensuite, par le thème et les extensions.

Un site, quarante décisions

Un site de PME sous WordPress compte couramment entre vingt et quarante extensions. Chacune peut ajouter un script, déposer un témoin, appeler un domaine externe ou conserver des données dans la base, le plus souvent sans le signaler ailleurs que dans sa documentation.

S’y ajoute le thème, et surtout le constructeur de pages, qui charge ses propres ressources. La question « mon site est-il conforme ? » n’a donc pas de réponse générale : elle dépend de la pile installée et de sa configuration.

L’idée à retenir

Personne ne peut affirmer qu’un site WordPress est conforme ou non par le seul fait qu’il tourne sous WordPress. Ce qui se vérifie, c’est ce que la page charge et ce que la base conserve.

Par où commencer

L’inventaire est plus rapide qu’il n’y paraît. Trois listes suffisent à couvrir l’essentiel :

  • les extensions actives, dans Extensions → Installées ;
  • les formulaires publiés, et ce que chacun conserve ;
  • les domaines externes appelés par une page publique.

La troisième liste se lit dans l’onglet Réseau du navigateur, et donne souvent une surprise : des services que personne dans l’entreprise n’a consciemment installés.

Les formulaires,
et ce qu’ils gardent

C’est la différence la moins connue entre les extensions de formulaire, et celle qui compte le plus : certaines n’envoient qu’un courriel, d’autres conservent chaque envoi dans votre base.

Extensions de formulaireComportement par défaut

Ce que chacune conserve dans la base du site

  • Contact Form 7Envoi seulN’enregistre rien par défaut. L’extension Flamingo, souvent installée avec, conserve les envois.
  • Gravity FormsConserveChaque envoi est enregistré dans la base et consultable dans l’administration.
  • WPFormsConserveSelon la version et les réglages, les envois sont stockés en plus d’être expédiés.
  • Elementor FormsConserveLes envois s’accumulent dans la zone Soumissions, sans limite de durée.
  • Ninja FormsConserveEnregistrement des envois actif par défaut.

Comportements par défaut, à vérifier sur votre installation : ils changent d’une version à l’autre.

Une base qui conserve trois ans d’envois de formulaire contient des noms, des courriels, des numéros de téléphone et des messages libres. Elle est accessible à tout compte administrateur, incluse dans chaque sauvegarde, et rarement purgée, parce que personne ne sait qu’elle existe.

Un renseignement personnel se conserve le temps nécessaire à la fin poursuivie, puis se détruit ou s’anonymise. La plupart des extensions permettent de fixer une durée ; presque personne ne l’active.

Recommandation Repère

Ouvrir l’écran des envois de votre extension de formulaire aujourd’hui. Si le plus ancien date d’il y a trois ans, vous avez trouvé votre premier chantier, et il se règle en un réglage.

Formulaires de contact et Loi 25 →

Mesure d’audience
et balises

Sur WordPress, une même balise peut arriver par cinq chemins différents. C’est ce qui rend son retrait si compliqué : on la désactive à un endroit, elle revient d’un autre.

Cinq chemins pour une balise

  • Site Kit de Google : l’extension officielle, qui installe GA4 en quelques clics depuis l’administration.
  • Une extension de statistiques : MonsterInsights, Jetpack et leurs équivalents, avec leurs propres réglages de consentement.
  • Le thème : un champ « scripts d’en-tête » dans les options, où quelqu’un a collé le code il y a deux ans.
  • Le constructeur de pages : Elementor et ses semblables ont leur propre section d’intégrations.
  • Un conteneur Tag Manager : qui charge à son tour GA4, un pixel et le reste.

Une balise en double n’est pas rare : Site Kit installe GA4, et le conteneur le charge aussi. Le résultat est une mesure faussée, et deux fois plus d’envois avant le consentement.

Recommandation Repère

Choisir un seul chemin d’installation et retirer les autres. Tant que la balise arrive par trois voies, aucune extension de consentement ne pourra la bloquer de façon fiable.

Vérifier quand GA4 se déclenche →

Les appels externes
qu’on n’a pas choisis

Ce sont les découvertes les plus fréquentes d’un scan sur WordPress. Aucun n’a été installé volontairement : ils viennent avec un thème, un bloc ou une extension.

Chacun de ces services reçoit l’adresse IP du visiteur et la page consultée, du seul fait que la page se charge. Aucune interaction n’est nécessaire.

Les polices distantes méritent une mention particulière : WordPress les sert localement depuis plusieurs versions, mais de nombreux thèmes et constructeurs continuent de les appeler chez leur fournisseur.

Les contenus intégrés, vidéo ou carte, se règlent par un chargement différé : afficher une image, et ne charger le service qu’au clic.

  1. 01YouTubeVidéo intégrée
  2. 02Google MapsCarte de contact
  3. 03Google FontsPolices distantes
  4. 04reCAPTCHAProtection de formulaire
  5. 05GravatarAvatars de commentaires
  6. 06Font AwesomeIcônes
  7. 07VimeoVidéo intégrée
  8. 08FacebookWidget ou pixel
  9. 09MailchimpBloc d’inscription
  10. 10StripePaiement
  11. 11JetpackStatistiques
  12. 12CloudflareDiffusion et scripts

WooCommerce change
l’échelle

Une boutique ne recueille plus des messages : elle recueille des identités, des adresses et un historique d’achat. Le volume et la sensibilité changent, les obligations aussi.

Ce que la base contient

  • Les comptes clients : identifiants, adresses de facturation et de livraison, téléphone.
  • Les commandes : conservées indéfiniment par défaut, avec les coordonnées et le détail des achats.
  • Les notes de commande : champ libre où le personnel écrit ce qu’il veut, y compris ce qu’il ne devrait pas.
  • Les paniers abandonnés : lorsqu’une extension les enregistre, avec le courriel saisi avant l’abandon.
  • Les exports : fichiers de commandes téléchargés puis oubliés dans un dossier ou une boîte de réception.

WooCommerce dispose d’outils d’effacement et d’export de données personnelles, hérités des fonctions de WordPress, ainsi que de réglages de conservation des commandes. Ils existent, ils sont rarement configurés.

Ce que dit la loi

Une entreprise doit pouvoir répondre à une demande d’accès ou de rectification et, depuis septembre 2024, communiquer dans un format technologique structuré et couramment utilisé les renseignements informatisés recueillis auprès de la personne. Sur une boutique, cela suppose de savoir où se trouvent les données d’un client : dans les commandes, dans l’infolettre, dans l’outil d’avis.

Le passage en caisse ajoute enfin les pixels de conversion, qui transmettent le montant de l’achat. Ce que transmet un événement d’achat →

Les extensions de bannière

Complianz, CookieYes, Real Cookie Banner, Borlabs et les autres font correctement ce qu’on leur demande. Le problème est presque toujours ce qu’on ne leur a pas demandé.

Ce qu’elles bloquent

Une extension de consentement bloque les scripts qu’elle sait reconnaître, dans les emplacements où elle peut intervenir. Elle agit bien sur les scripts ajoutés par les extensions qu’elle connaît.

Elle n’agit pas, ou mal, sur :

  • un script collé directement dans l’en-tête du thème ;
  • une balise chargée par un conteneur Tag Manager non relié à la bannière ;
  • une intégration configurée dans le constructeur de pages ;
  • un service appelé côté serveur par une extension.

L’idée à retenir

Installer une extension de bannière ne suffit pas à déterminer si les traceurs sont réellement bloqués. La seule vérification qui tranche est celle du navigateur : charger la page, ne rien cliquer, regarder ce qui est parti.

Cookies et Loi 25 : la vérification en cinq minutes →

Les sauvegardes

Une sauvegarde complète contient tout : comptes, commandes, envois de formulaire, commentaires. Elle est souvent déposée chez un fournisseur externe, parfois hors Québec, et conservée bien plus longtemps que les données d’origine.

Purger la base sans revoir la politique de sauvegarde ne change donc pas grand-chose : les renseignements supprimés continuent d’exister dans des archives que personne ne consulte, jusqu’au jour où quelqu’un y accède sans autorisation.

Recommandation Repère

Aligner la durée de conservation des sauvegardes sur celle des données, et savoir où elles sont déposées. C’est une mesure de sécurité autant qu’une question de conservation.

Checklist
WordPress

Douze contrôles propres à WordPress. Les six premiers se lisent depuis une page publique, les six autres depuis votre administration.

  1. Traceurs avant le choixCharger la page en navigation privée et lire ce qui s’est déposé.
  2. Domaines externes appelésPolices distantes, vidéos, cartes, icônes, avatars.
  3. Balise de mesure en doubleGA4 installé par deux chemins à la fois.
  4. Bannière et blocage réelL’extension de consentement bloque-t-elle ce qui se charge.
  5. Politique accessible et à jourUn lien au pied de page, une date postérieure à la dernière refonte.
  6. Responsable publiéTitre et coordonnées présents sur le site.
  7. Extensions activesCe qui est installé, et ce qui ne sert plus depuis longtemps.
  8. Envois de formulaire conservésCe que garde l’extension, depuis quand, et qui peut le lire.
  9. Durée de conservation configuréeUne purge réellement active, pas seulement disponible.
  10. Comptes administrateursQui a un accès, et si les anciens prestataires en ont encore un.
  11. Commandes et données clientConservation WooCommerce, exports, paniers abandonnés.
  12. SauvegardesOù elles sont déposées, combien de temps, et par qui elles sont lisibles.

Six de ces douze points se lisent de l’extérieur.

Le huitième réserve presque toujours une surprise.

Le dixième est le plus négligé après une refonte.

Que charge votre site WordPress ?

Le scan Repère lit vos pages publiques et liste les services externes appelés, avant toute interaction.

Lancer le scan gratuit

La page, et l’administration

Sur WordPress, la moitié du sujet se lit de l’extérieur. L’autre moitié vit dans le tableau de bord, et personne d’autre que vous ne peut l’ouvrir.

Lisible depuis une page publique

  • Les témoins déposés avant toute interaction
  • Les domaines externes appelés au chargement
  • Les balises de mesure et de publicité présentes
  • La bannière de consentement et son effet réel
  • Les formulaires publiés et leurs champs
  • La politique publiée, sa date et son contenu
  • La mention d’un responsable
  • La connexion chiffrée du site

Demande l’accès au tableau de bord

  • La liste des extensions actives
  • Les envois de formulaire conservés en base
  • Les durées de conservation configurées
  • Les comptes utilisateurs et leurs rôles
  • Les données clients de WooCommerce
  • Le contenu du conteneur Tag Manager
  • La destination et la durée des sauvegardes
  • Les intégrations du constructeur de pages

Le scan Repère travaille sur vos pages publiques. Il établit ce que votre site charge et dépose ; l’inventaire des extensions, des envois conservés et des sauvegardes se fait dans votre administration. Les obligations citées viennent des textes québécois, les recommandations sont signalées comme telles.

Guides connexes

Les sujets que WordPress rend concrets : ce que les formulaires gardent, ce que les extensions chargent.

Formulaires Ce qu’ils recueillent et ce qu’ils gardent Cookies et traceurs Vérifier ce qui se dépose vraiment Google Analytics GA4, Site Kit et Tag Manager

Questions fréquentes

Les questions propres à WordPress, posées par des personnes qui administrent leur site.

WordPress est-il conforme à la Loi 25 ?

La question n’a pas de réponse générale. WordPress est un gestionnaire de contenu : livré nu, il ne dépose aucun traceur publicitaire et n’appelle aucun service externe. Ce qui pose question vient du thème, des extensions et de leur configuration.

Deux sites WordPress identiques en apparence peuvent donc être dans des situations opposées. C’est la pile installée qui se vérifie, pas la plateforme.

Mon extension de bannière bloque-t-elle vraiment les traceurs ?

Elle bloque ce qu’elle sait reconnaître, aux endroits où elle peut intervenir. Un script collé dans l’en-tête du thème, une intégration configurée dans le constructeur de pages ou une balise chargée par un conteneur non relié à la bannière lui échappent.

La vérification qui tranche prend une minute : ouvrez votre site en navigation privée, ne cliquez sur rien, et regardez les témoins déposés.

Contact Form 7 conserve-t-il les messages reçus ?

Pas par défaut : il envoie un courriel et n’enregistre rien. L’extension Flamingo, du même auteur et souvent installée en même temps, conserve en revanche chaque envoi dans la base.

D’autres extensions enregistrent par défaut : Gravity Forms, Elementor Forms, Ninja Forms. Vérifiez sur votre installation : le comportement change d’une version à l’autre.

Faut-il retirer Google Fonts ?

Ce n’est pas une obligation québécoise. Le point technique est réel : une police appelée sur un serveur distant transmet l’adresse IP du visiteur à ce fournisseur, au chargement, sans interaction.

Recommandation Repère : héberger les polices localement. C’est simple, cela retire un appel externe de l’inventaire, et cela accélère souvent l’affichage.

Combien de temps garder les commandes WooCommerce ?

Le temps nécessaire à la fin poursuivie, en tenant compte des obligations comptables et fiscales qui peuvent imposer une conservation plus longue. Il n’y a pas de durée unique.

Ce qui se corrige facilement, ce sont les données qui n’ont pas de justification comptable : paniers abandonnés, exports oubliés, notes de commande contenant des informations sans rapport avec l’achat.

Une refonte de site règle-t-elle la question ?

Elle règle l’apparence, rarement le reste. Une refonte reprend souvent la même base de données, donc les mêmes comptes, les mêmes envois de formulaire, les mêmes commandes, et réinstalle les mêmes extensions.

C’est en revanche le meilleur moment pour faire l’inventaire : les décisions sont ouvertes, et retirer un service à ce moment coûte beaucoup moins cher qu’après.

Sources officielles

Les obligations décrites dans ce guide viennent des organismes québécois responsables. Les recommandations techniques sont celles de Repère et sont signalées comme telles.

Ce guide décrit des pratiques de vérification web. Il ne remplace pas la lecture des textes officiels ni l’accompagnement d’un conseiller juridique pour une situation particulière.

Que charge votre
site WordPress ?

Le scan Repère liste les services externes appelés par vos pages, avant toute interaction.

Scanner mon site gratuitement