Introduction

Un site mis en ligne est une publication. Il engage votre entreprise comme un contrat, une affiche ou un courrier. Les manquements les plus courants ne viennent pas de la mauvaise foi. Ils viennent d’un oubli la veille du lancement : un bandeau cookies mal réglé, une photo prise sur internet, un formulaire qui collecte trop, une extension jamais mise à jour.

Ce chapitre rassemble ce qu’il faut vérifier avant d’appuyer sur « Publier ». Les pages légales. Les cookies et les formulaires. Les droits sur les images. L’accessibilité. La sécurité. Puis un test complet du site.

Chaque sujet juridique fait l’objet d’un module Acadigit dédié. Ce chapitre n’en recopie pas le détail : il vous dit quoi vérifier et où aller plus loin.

1. Les pages légales

Quatre documents répondent à quatre questions différentes.

Les mentions légales disent qui édite le site. Elles sont obligatoires sur tout site professionnel. L’obligation figure à l’article 1er-1 de la loi pour la confiance dans l’économie numérique (LCEN) depuis mai 2024. Le manquement est puni d’un an d’emprisonnement et de 75 000 € d’amende. Le détail des informations à afficher, identité de l’hébergeur comprise, est dans le module Mentions légales.

La politique de confidentialité dit ce que vous faites des données personnelles. Elle devient nécessaire dès qu’un formulaire, un outil de statistiques ou une lettre d’information collecte des données. Voir le module Protection des données personnelles.

Les conditions générales de vente disent à quelles conditions vous vendez. Elles concernent les sites qui vendent ou qui affichent des offres. Voir le module CGV.

Les conditions générales d’utilisation disent comment le site s’utilise. Elles sont facultatives pour un site vitrine, obligatoires pour certaines plateformes. Voir le module CGU.

Toutes ces pages sont accessibles depuis le pied de page de chaque page du site, comme prévu dans la checklist du chapitre 3.

Exemples :

• Site vitrine sans formulaire : mentions légales.
• Site vitrine avec formulaire : mentions légales et politique de confidentialité.
• Boutique en ligne : les deux, plus les CGV.
• Mise en relation d’artisans et de particuliers : les trois, plus des CGU.

2. Cookies, statistiques et formulaires

Les cookies

Un cookie, ou plus largement un traceur, est un petit fichier déposé sur l’appareil du visiteur. Certains sont nécessaires au fonctionnement du site : panier, connexion, mémorisation du choix du visiteur. D’autres servent à mesurer l’audience, à cibler la publicité ou à intégrer des contenus de réseaux sociaux.

La règle, rappelée par la CNIL, tient en quatre points.

Pas de dépôt avant le choix : les traceurs soumis au consentement ne sont pas déposés tant que le visiteur n’a pas accepté.

Refuser aussi simplement qu’accepter : un bouton « Tout refuser » au même niveau et de même apparence que « Tout accepter ».

Un choix libre et informé : le visiteur sait à quoi servent les traceurs et peut choisir finalité par finalité.

Un choix modifiable : un lien permanent, souvent dans le pied de page, permet de revenir sur sa décision.

Continuer à naviguer ne vaut pas acceptation. Un bandeau qui ne propose que « J’ai compris » ne suffit pas.

La mesure d’audience

Les statistiques de fréquentation déposent des traceurs. Google Analytics nécessite le consentement du visiteur. Certains outils de mesure peuvent en être dispensés, à condition d’être configurés selon les conditions fixées par la CNIL : finalité strictement limitée à la mesure, données non recoupées, durée de conservation limitée. La CNIL publie ces conditions et des exemples d’outils compatibles.

Les formulaires

Un formulaire de contact collecte des données personnelles. Trois réflexes suffisent dans la plupart des cas.

Minimiser : ne demander que ce qui sert à répondre. Nom, adresse électronique ou téléphone, message. Pas de date de naissance pour un devis de fenêtres.

Informer : une phrase sous le formulaire indique qui traite les données, pourquoi et pendant combien de temps. Elle renvoie à la politique de confidentialité.

Séparer les consentements : si vous voulez envoyer une lettre d’information, ajoutez une case dédiée, non cochée par défaut.

Avec l’IA. Collez le texte de votre bandeau cookies et de votre formulaire dans un assistant d’IA. Demandez-lui de les comparer aux quatre règles ci-dessus et de lister les écarts. Vérifiez ensuite ses conclusions sur le site de la CNIL : il ne connaît pas forcément les dernières recommandations.

Exemples :

• Bandeau conforme : « Tout accepter », « Tout refuser », « Personnaliser », de même taille.
• Bandeau non conforme : un seul bouton « OK » et un lien discret « Paramètres ».
• Formulaire minimal : nom, courriel, message, case lettre d’information non cochée.
• Mention sous le formulaire : responsable, finalité, durée, lien vers la politique de confidentialité.

3. Droits sur les images et les textes

Tout texte, toute photo, tout logo a un auteur. Sans son autorisation, le reproduire est interdit. Le Code de la propriété intellectuelle le pose en principe. La contrefaçon est un délit puni jusqu’à trois ans d’emprisonnement et 300 000 € d’amende. En pratique, le risque le plus fréquent pour une TPE est plus prosaïque. Des sociétés spécialisées détectent automatiquement les images utilisées sans licence et adressent une demande d’indemnisation de plusieurs centaines ou milliers d’euros.

Les erreurs classiques sont connues.

Prendre une image sur un moteur de recherche : elle n’est pas libre de droits parce qu’elle est visible.

Copier le texte d’un concurrent ou la fiche produit d’un fournisseur sans autorisation.

Reprendre un logo ou une charte qui ressemble trop à ceux d’une autre entreprise.

Les bonnes pratiques aussi.

Utiliser vos propres contenus, ou des banques d’images dont vous avez lu la licence.

Conserver la preuve : capture de la licence, facture, autorisation écrite du photographe ou des personnes photographiées.

Vérifier les conditions des outils d’IA générative pour les images que vous produisez avec eux.

Exemples :

• Photo de chantier prise par vous : libre, avec l’accord des personnes reconnaissables.
• Photo d’une banque gratuite : licence lue et capturée le jour du téléchargement.
• Image d’un article de presse : à ne pas reprendre sans autorisation.

4. L’accessibilité

Un site accessible peut être utilisé par tous, y compris par les personnes aveugles, malvoyantes, sourdes ou ayant des difficultés motrices. Le chapitre 3 en a donné les règles de base.

Pour certaines entreprises, c’est désormais une obligation. La directive européenne sur l’accessibilité des produits et services, dite European Accessibility Act, s’applique depuis le 28 juin 2025. Elle vise notamment les services de commerce électronique : une boutique en ligne qui vend à des consommateurs est concernée. Les microentreprises qui fournissent des services en sont exemptées : moins de dix salariés et un chiffre d’affaires ou un bilan annuel qui n’excède pas deux millions d’euros.

Un site vitrine de TPE n’est donc généralement pas soumis à cette obligation. L’accessibilité reste une bonne pratique : elle élargit votre public, améliore la lisibilité pour tous et aide le référencement.

Exemples :

• Boutique en ligne d’une PME de 25 salariés : concernée par l’obligation.
• Site vitrine d’un artisan seul : non concerné, mais les règles de base restent utiles.
• Boutique d’une microentreprise de 4 personnes : exemptée pour ses services.

5. La sécurité

Un site piraté affiche des publicités douteuses, redirige vers des arnaques ou envoie des courriels frauduleux à votre nom. Les attaques visent rarement votre entreprise en particulier. Des robots cherchent en permanence les sites mal protégés. Le support résume les bonnes pratiques en quelques règles.

Le HTTPS : le certificat SSL, inclus chez la plupart des hébergeurs, doit être actif sur tout le site.

Les mises à jour : outil, thème et extensions, dès leur publication. La plupart des piratages de sites WordPress passent par une extension obsolète.

Les accès : des mots de passe longs et uniques, l’authentification à deux facteurs pour chaque administrateur, un compte par personne, le moins de droits possible pour chacun.

Les extensions : peu nombreuses, issues de sources officielles, supprimées quand elles ne servent plus.

Les sauvegardes : automatiques, stockées hors du serveur du site. Testez une restauration au moins une fois : une sauvegarde jamais restaurée est une promesse, pas une garantie.

Le plan d’urgence : savoir qui appeler et quoi faire en cas d’attaque. Le dispositif public Cybermalveillance.gouv.fr aide les entreprises victimes.

Avec l’IA. Demandez à un assistant d’IA de transformer ces six règles en une procédure mensuelle de quinze minutes adaptée à votre outil. Notez-la dans votre agenda. La sécurité d’un site n’est pas un réglage : c’est une routine.

Exemples :

• Mise à jour : chaque lundi, vérification des extensions à mettre à jour.
• Accès : l’ancien prestataire n’a plus de compte administrateur.
• Sauvegarde : copie quotidienne chez l’hébergeur, copie mensuelle sur un autre support.

6. Tester avant de publier

Un site se teste comme un produit, avant le client. Le support rappelle l’erreur à éviter : lancer le site sans test utilisateur préalable.

Sur un vrai téléphone : chaque page s’affiche, se lit et se clique.

Les liens : aucun lien cassé, aucune page vide ou « en construction ».

Le formulaire : envoyez-vous un message et vérifiez qu’il arrive, y compris dans le dossier des indésirables.

La vitesse : la page d’accueil s’affiche en quelques secondes sur une connexion mobile.

Le bandeau cookies : il bloque bien les traceurs tant que le visiteur n’a pas choisi.

Les statistiques : l’outil de mesure est installé et respecte le choix du visiteur. Le chapitre 6 s’en sert.

Un regard extérieur : demandez à deux personnes qui ne connaissent pas votre entreprise de trouver un service et de vous contacter. Observez sans aider.

La checklist en annexe reprend tous ces points. Elle se remplit avant la mise en ligne, puis chaque année.

Exemples :

• Test du formulaire : message reçu en 30 secondes, pas dans les indésirables.
• Test extérieur : une personne n’a pas trouvé le téléphone, ajouté dans l’en-tête.
• Test cookies : aucun traceur déposé avant le clic sur « Tout accepter ».

Résumé

Avant la mise en ligne, vérifiez cinq sujets. Les pages légales : mentions légales toujours, politique de confidentialité dès qu’il y a collecte, CGV si vous vendez. Les cookies et formulaires : pas de traceur avant le choix, refus aussi simple que l’acceptation, collecte minimale. Les droits : aucune image ni aucun texte sans autorisation, preuves conservées. L’accessibilité : obligatoire pour la plupart des boutiques en ligne, utile pour tous. La sécurité : HTTPS, mises à jour, double authentification, sauvegardes testées.

Testez enfin le site sur un vrai téléphone, avec un regard extérieur. Remplissez la checklist en annexe. Elle devient votre revue annuelle.

Questions fréquentes

Quelles pages légales sont obligatoires sur un site vitrine ?

Les mentions légales, toujours. Une politique de confidentialité dès que le site collecte des données personnelles, par exemple avec un formulaire de contact ou un outil de statistiques. Les CGV si vous vendez. Les CGU sont facultatives pour un site vitrine.

Un bandeau cookies est-il obligatoire ?

Il l’est dès que le site dépose des traceurs soumis au consentement : publicité, réseaux sociaux, la plupart des outils de statistiques. Il doit permettre de refuser aussi simplement que d’accepter. Un site qui n’utilise que des traceurs nécessaires ou exemptés peut s’en passer.

Peut-on utiliser Google Analytics sur son site ?

Oui, avec le consentement préalable du visiteur. Aucun traceur de mesure ne doit être déposé avant qu’il ait accepté. Certains outils de mesure configurés selon les conditions de la CNIL peuvent être dispensés de consentement.

Que risque-t-on à utiliser une image trouvée sur Google ?

Une demande de retrait et d’indemnisation de l’auteur ou de son représentant, souvent de plusieurs centaines ou milliers d’euros. Dans les cas graves, des poursuites pour contrefaçon. Utilisez vos propres images ou des banques dont vous avez lu et conservé la licence.

Mon site doit-il être accessible aux personnes handicapées ?

Si vous vendez en ligne à des consommateurs et que votre entreprise n’est pas une microentreprise, oui, depuis le 28 juin 2025. Pour un site vitrine de TPE, ce n’est généralement pas une obligation, mais les règles de base améliorent le site pour tous.

Termes clés

• Mentions légales : page qui identifie l’éditeur et l’hébergeur d’un site, obligatoire sur tout site professionnel.
• Politique de confidentialité : page qui explique quelles données personnelles le site collecte, pourquoi, combien de temps et avec quels droits.
• Traceur : fichier ou technique qui enregistre des informations sur l’appareil du visiteur, comme un cookie.
• Consentement : accord libre, spécifique, éclairé et univoque du visiteur, donné par un geste actif.
• Mesure d’audience exemptée : outil de statistiques configuré selon les conditions de la CNIL, dispensé de consentement.
• Licence : autorisation d’utiliser une œuvre (image, texte, police) dans des conditions définies par son auteur.
• Sauvegarde : copie complète du site et de sa base de données, stockée hors du serveur et restaurable.
• Authentification à deux facteurs : connexion qui exige, en plus du mot de passe, un code ou une validation sur un second appareil.

Références

• Légifrance — Article 1er-1 de la LCEN (identification de l’éditeur)
• CNIL — Cookies et autres traceurs
• CNIL — Cookies : solutions pour les outils de mesure d’audience
• EUR-Lex — Directive (UE) 2019/882 relative aux exigences en matière d’accessibilité
• Cybermalveillance.gouv.fr — Assistance et prévention
• Acadigit — Mentions légales · Protection des données · CGV · CGU

QCM (une seule bonne réponse par question)

Question 1 — Quelle page est obligatoire sur tout site professionnel ?

1. Les conditions générales d’utilisation
2. La page « À propos »
3. Les mentions légales

Question 2 — Un site vitrine ajoute un formulaire de contact. Il doit alors publier :

1. Une politique de confidentialité
2. Des conditions générales de vente
3. Un règlement intérieur

Question 3 — Selon la CNIL, un bandeau cookies conforme :

1. Propose seulement « J’ai compris »
2. Permet de refuser aussi simplement que d’accepter
3. Considère la poursuite de la navigation comme un accord

Question 4 — Les traceurs soumis au consentement peuvent être déposés :

1. Dès l’arrivée du visiteur
2. Après 30 secondes de navigation
3. Seulement après l’accord du visiteur

Question 5 — Dans un formulaire de contact, la case d’inscription à la lettre d’information doit être :

1. Non cochée par défaut
2. Cochée par défaut
3. Supprimée, l’inscription étant automatique

Question 6 — Une image affichée par un moteur de recherche est :

1. Libre de droits
2. Protégée, sauf licence ou autorisation de son auteur
3. Utilisable si l’on cite le moteur de recherche

Question 7 — Depuis le 28 juin 2025, l’obligation d’accessibilité européenne vise notamment :

1. Tous les sites vitrines d’artisans
2. Uniquement les sites publics
3. Les services de commerce électronique, hors microentreprises

Question 8 — La plupart des piratages de sites WordPress passent par :

1. Une extension ou un thème non mis à jour
2. Le nom de domaine
3. Le choix des couleurs

Question 9 — Une sauvegarde n’est fiable que si :

1. Elle est stockée sur le même serveur que le site
2. Sa restauration a été testée
3. Elle date de la création du site

Question 10 — Le meilleur test avant la mise en ligne consiste à :

1. Relire le site sur l’ordinateur de l’agence
2. Demander l’avis de l’IA uniquement
3. Faire utiliser le site par des personnes extérieures, sur téléphone

Voir les réponses et les explications

Réponses : 1→3 · 2→1 · 3→2 · 4→3 · 5→1 · 6→2 · 7→3 · 8→1 · 9→2 · 10→3

Explications.

1. L’article 1er-1 de la LCEN impose d’identifier l’éditeur de tout site professionnel.
2. Un formulaire collecte des données personnelles : le RGPD impose d’informer les personnes.
3. Le refus doit être aussi simple que l’acceptation ; la navigation ne vaut pas accord.
4. Le consentement précède le dépôt, pas l’inverse.
5. Une case pré-cochée ne traduit pas un consentement actif.
6. Visible ne veut pas dire libre : chaque image a un auteur.
7. La directive vise notamment le commerce électronique ; les microentreprises de services sont exemptées.
8. Les extensions obsolètes sont la porte d’entrée la plus fréquente.
9. Une sauvegarde jamais restaurée peut se révéler inutilisable le jour où l’on en a besoin.
10. Un regard extérieur sur un vrai téléphone révèle ce que le créateur ne voit plus.

Exercices

Exercice 1 — Contrôler vos pages légales (15 min) Pour votre site, listez les pages légales obligatoires selon votre situation : formulaire ou non, vente ou non, contenus d’utilisateurs ou non. Vérifiez qu’elles existent et qu’elles sont accessibles depuis le pied de page.

Exercice 2 — Tester votre bandeau cookies (15 min) Ouvrez votre site dans une fenêtre de navigation privée. Notez les boutons proposés, leur taille et leur couleur. Refusez tout, puis cherchez le moyen de changer d’avis. Comparez avec les quatre règles de la section 2.

Exercice 3 — Faire le point sécurité (15 min) Répondez par oui ou non : HTTPS actif partout ? Mises à jour faites ce mois-ci ? Double authentification pour chaque administrateur ? Anciennes personnes retirées des accès ? Sauvegarde hors serveur ? Restauration déjà testée ? Classez les « non » du plus urgent au moins urgent.

Corrections des exercices

Exercice 1 — Exemple fictif d’un traiteur qui prend des commandes en ligne. Obligatoires : mentions légales, politique de confidentialité (formulaire de commande), CGV (vente à des consommateurs). Facultatives : CGU. Constat : la politique de confidentialité existe, mais n’est pas liée dans le pied de page. Une page légale introuvable ne remplit pas son rôle d’information.

Exercice 2 — Même traiteur. Constat : un gros bouton vert « Accepter », un lien gris « Continuer sans accepter » en petit, aucun lien pour changer d’avis. Écarts : refus moins visible que l’acceptation, choix non modifiable. Correction : trois boutons de même apparence et un lien « Gestion des cookies » dans le pied de page. Les deux écarts relevés sont parmi les plus fréquents.

Exercice 3 — Même traiteur. Non : double authentification, ancien prestataire toujours administrateur, restauration jamais testée. Ordre : retirer l’accès de l’ancien prestataire aujourd’hui, activer la double authentification cette semaine, tester une restauration ce mois-ci. Un compte administrateur oublié est une porte ouverte que personne ne surveille.

Annexe — Checklist de mise en ligne

Domaine	Point à vérifier	Oui / Non
Légal	Mentions légales complètes, hébergeur compris
Légal	Politique de confidentialité (si collecte de données)
Légal	CGV (si vente) ; CGU (si plateforme ou contenus d’utilisateurs)
Légal	Pages légales accessibles depuis le pied de page
Cookies	Aucun traceur soumis au consentement avant le choix
Cookies	« Tout refuser » aussi visible que « Tout accepter »
Cookies	Lien permanent pour modifier son choix
Formulaires	Champs limités au nécessaire
Formulaires	Mention d’information sous le formulaire
Formulaires	Case lettre d’information non cochée
Droits	Licence ou autorisation conservée pour chaque image
Droits	Aucun texte copié d’un autre site
Accessibilité	Obligation vérifiée (vente en ligne, taille de l’entreprise)
Accessibilité	Contraste, textes alternatifs, titres hiérarchisés
Sécurité	HTTPS actif sur toutes les pages
Sécurité	Outil, thème et extensions à jour
Sécurité	Double authentification pour chaque administrateur
Sécurité	Sauvegarde automatique hors serveur, restauration testée
Tests	Chaque page testée sur un vrai téléphone
Tests	Aucun lien cassé, aucune page vide
Tests	Formulaire testé, message reçu
Tests	Statistiques installées, respect du choix cookies
Tests	Test par deux personnes extérieures

Google est cité à titre d’exemple. Acadigit n’est ni affiliée, ni sponsorisée, ni approuvée par cette société. Ce module a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.