Exécuter une vérification de conformité

Deux façons d'exécuter la vérification des éléments réglementaires : une version gratuite portant sur une seule page et ne nécessitant aucun compte, et la version complète dans le tableau de bord. Cette page traite les deux, et indique quoi faire lorsqu'un résultat n'est pas celui que vous attendiez.

Lisez d'abord Éléments réglementaires : vue d'ensemble si ce n'est pas déjà fait, en particulier le passage sur ce que « No issue detected » signifie, et ne signifie pas.

La vérification gratuite

Aucun compte nécessaire. Accessible depuis le menu d'en-tête, dans les outils gratuits, et depuis le champ d'analyse de la page d'accueil en choisissant l'option UE ou Californie.

1. Saisissez une URL.
2. Choisissez un marché - Allemagne, autre pays de l'UE ou de l'EEE, ou Californie. La page californienne est rattachée à ce marché et n'affiche pas le sélecteur.
3. Confirmez que vous êtes propriétaire ou gestionnaire du site. La vérification ne s'exécutera pas sans cela.
4. Lisez le résultat.

Limites, pour que le résultat ne soit pas mal interprété. La vérification examine une page représentative, ainsi que les pages légales qui y sont liées. Les résultats sont mis en cache pendant 24 heures : relancer la même URL renvoie le même résultat au lieu de relancer une analyse. La limite est de trois vérifications par adresse IP et par jour.

Le résultat gratuit indique ce qui appelle une action. Lorsqu'il n'y a rien à traiter, il présente un point méritant examen. Les vérifications restantes sont comptées mais non détaillées : c'est la vérification complète qui conserve le relevé d'éléments complet.

La confirmation de l'étape 3 n'est pas une formalité. Un résultat de conformité nomme un domaine, nomme un texte, et porte un horodatage et une citation. En Allemagne, c'est la forme même d'une pièce jointe à une mise en demeure (Abmahnung), et en produire une contre un domaine que vous ne maîtrisez pas, depuis notre infrastructure, n'est pas quelque chose que nous ferons.

La vérification complète

Dans le tableau de bord, sur l'onglet Confidentialité et conformité d'un site. Trois conditions préalables :

• La fonctionnalité est activée pour votre offre. Elle est en bêta et déployée offre par offre ; si l'onglet n'apparaît pas, elle n'a pas encore atteint la vôtre.
• Le site est vérifié. Pour la même raison que ci-dessus - et cette condition-là n'est pas optionnelle : voir Vérification de domaine.
• Au moins un marché est déclaré. Sans marché, aucun résultat.

Déclarer des marchés

Un marché est une juridiction associée à l'URL à partir de laquelle commencent les pages de ce marché.

La plupart des sites ont un seul marché et une seule racine - l'URL du site elle-même, qu'il ne coûte rien de renseigner. Un site qui dessert différentes régions depuis différents chemins déclare une ligne par région : l'Allemagne sur /de, la Californie sur /us. Chaque racine est contrôlée au regard du domaine du site.

Choisissez vos marchés d'après l'endroit où vous exercez réellement votre activité. Déclarer des marchés supplémentaires ne rend pas un site plus sûr : cela ajoute des vérifications dont les échecs peuvent ne pas vous concerner.

Lancer la vérification

L'onglet Confidentialité et conformité comporte une commande d'exécution. La collecte se déroule sur un service distinct, et l'exécution se poursuit si vous changez de page ou fermez l'onglet : la progression et le résultat sont relus depuis le serveur plutôt que conservés dans le navigateur.

Une exécution examine jusqu'à cinq pages, choisies pour se répartir entre les sections du site plutôt que pour être cinq variantes d'un même gabarit, ainsi que les pages légales qu'elle trouve liées.

Après la première exécution

Les sites vérifiés sont recontrôlés chaque semaine, automatiquement. La fréquence est délibérée : une surface juridique change lorsque quelqu'un la modifie, ce qui est rare, tandis qu'une surface d'accessibilité change à chaque mise à jour de contenu. Un recontrôle quotidien relirait sept fois les mêmes mentions légales sans rien apprendre.

Si un point jusque-là satisfait cesse de l'être, vous recevez un courriel. C'est là le véritable produit : la première exécution vous dit où vous en êtes, le recontrôle hebdomadaire vous dit quand un déploiement l'a discrètement changé.

Lire un résultat

Chaque résultat porte quatre éléments :

• Un statut : Action needed, Needs review, No issue detected, ou Not evaluated.
• Les pages sur lesquelles il a été observé, pour savoir s'il concerne tout le site ou un seul gabarit.
• Une ligne d'élément recueilli : l'observation précise à l'origine du verdict - le nom du cookie, l'hôte tiers, le champ absent.
• Une citation, pour tout ce qui n'est pas une réussite. Elle est obligatoire, et imposée par la base de données plutôt que par convention.

« Needs review » n'est pas un échec atténué

Ce statut a deux causes distinctes, qui appellent des réponses différentes.

Parfois, l'observation était réellement ambiguë : la détection des bandeaux est heuristique, faute de balisage normalisé pour un bandeau cookies. Si l'outil n'est pas certain d'en avoir trouvé un, il n'affirmera pas une violation à l'encontre de quelque chose qui pourrait ne pas en être un.

Parfois, l'observation était nette mais la portée juridique ne l'est pas. L'Allemagne dispose d'une décision accordant des dommages et intérêts pour des polices Google chargées à distance ; d'autres États membres connaissent le même raisonnement sans précédent comparable. Même observation, mêmes éléments - mais rapporter les deux comme des violations surévaluerait la seconde. La portée la plus faible plafonne le résultat à « Needs review » plutôt que d'inventer une certitude.

Donc : lisez la ligne d'élément recueilli. Si elle décrit quelque chose de réel sur votre site, l'observation tient, quel que soit le statut.

Quand une exécution ne revient pas nette

Le site n'a pas pu être lu. Une protection anti-robots en est la cause habituelle. Les pages intermédiaires de fournisseurs comme Imperva sont servies avec un code HTTP 200 : le seul code de statut ne permet donc pas de distinguer une page de défi d'une vraie page - l'outil lit assez de la page pour trancher. Autorisez l'outil, ou exécutez la vérification sur un environnement de préproduction non protégé.

Une page légale n'a pas été trouvée. L'outil suit d'abord les liens. Si rien ne renvoie vers votre politique de confidentialité, il essaie les chemins conventionnels - ce qui prouve que la page existe, mais ne dit rien de la capacité d'un visiteur à la trouver : l'accessibilité du document est donc rapportée séparément de son contenu. Si une page existe sans avoir été trouvée, vérifiez que quelque chose, sur le site, y renvoie effectivement.

Une adresse de courriel a été signalée comme absente alors qu'elle figure sur la page. C'était une véritable anomalie, désormais corrigée : les adresses publiées sous forme de liens mailto: dont le texte visible est le nom d'une personne sont lues depuis le lien, et pas seulement depuis le texte de la page. Si le cas persiste, l'adresse ne figure ni dans le texte ni dans un mailto: - vérifiez la façon dont elle est affichée.

Une vérification indique « Not evaluated ». Elle n'a aucune portée dans les marchés que vous avez déclarés, ou l'observation dont elle a besoin n'était pas disponible. Ce n'est ni une réussite, ni un échec.

Récupérer les éléments

Les résultats restent attachés au site après l'exécution : une question posée plus tard sur l'état du site au mois d'août trouve ainsi une réponse. Le rapport destiné au client comporte une section conformité dès que la fonctionnalité est activée pour votre offre - c'est la forme partageable, voir Partage et badges. Ce rapport est public pour quiconque détient le lien : la même condition de déploiement est donc recontrôlée à son affichage, plutôt que reprise de confiance depuis le tableau de bord.

Une chose à garder à l'esprit

Chaque résultat porte un avertissement, et il dit ce qu'il dit. Il s'agit de vérifications automatisées portant sur des conditions nommées précises. Elles constituent une information générale et non un conseil juridique, et leur réussite ne signifie pas que votre site est conforme. Pour votre situation, consultez un avocat.