RGPD et WordPress : rendre votre site conforme en 2026

WordPress fait tourner près d'un site sur deux en France. C'est puissant, mais chaque thème, plugin et formulaire ajoute des traitements de données personnelles que vous ne voyez pas forcément. Résultat : la majorité des sites WordPress sont non conformes au RGPD sans que leur propriétaire le sache. Voici la méthode concrète pour corriger ça en 2026, sans compétence technique avancée.

Pourquoi WordPress pose un problème RGPD particulier

Un WordPress « vide » est plutôt sobre. Le problème vient de ce qu'on lui ajoute :

• Les plugins : un plugin de statistiques, de chat, de réseaux sociaux ou de cache peut déposer des cookies et envoyer des données vers des serveurs tiers, souvent hors UE.
• Les thèmes premium : beaucoup chargent des polices Google Fonts, des cartes Google Maps ou des vidéos YouTube directement, ce qui transfère l'adresse IP du visiteur avant tout consentement.
• Les formulaires : Contact Form 7, WPForms ou Gravity Forms collectent des données personnelles. Sans mention d'information ni base légale claire, vous êtes en infraction.
• Les commentaires : par défaut, WordPress stocke l'IP des commentateurs et peut charger les avatars Gravatar (un service tiers).

Le piège classique : on installe un simple bandeau cookie, on pense être tranquille, mais les scripts continuent de se charger avant le clic de l'utilisateur. Ça, la CNIL le sanctionne.

Étape 1 : savoir ce que votre site collecte vraiment

Avant de toucher à quoi que ce soit, faites l'inventaire. Vous ne pouvez pas mettre en conformité ce que vous ne mesurez pas. Le plus rapide est de passer votre URL dans un scanner RGPD gratuit : il liste les cookies déposés, les trackers tiers et les requêtes sortantes, page par page.

Vous découvrirez presque toujours des choses que vous ignoriez : un pixel Meta laissé par une ancienne campagne, Google Fonts chargé en CDN par le thème, un plugin de partage social qui piste les visiteurs, etc.

Étape 2 : maîtriser les cookies et les scripts tiers

C'est le cœur du sujet. La règle RGPD est simple : aucun cookie ou script non essentiel ne doit se charger avant le consentement explicite de l'utilisateur. Le consentement doit être libre, spécifique, éclairé et aussi facile à refuser qu'à accepter.

Concrètement, sur WordPress :

1. Bloquez les scripts par défaut. Les trackers (analytics, publicité, réseaux sociaux) ne se déclenchent qu'après acceptation.
2. Affichez une bannière conforme avec trois choix de même poids visuel : Accepter, Refuser, Personnaliser. Un bouton « Refuser » caché ou grisé invalide le consentement.
3. Conservez une preuve de consentement horodatée. En cas de contrôle CNIL, c'est à vous de prouver que l'utilisateur a consenti.

Beaucoup de plugins gratuits affichent une bannière mais ne bloquent pas réellement les scripts en amont — ils se contentent du cosmétique. C'est exactement le faux sentiment de sécurité qui mène aux mises en demeure. Pour comprendre ce qu'une bannière doit vraiment faire, lisez notre guide Bannière cookie conforme : ce qu'elle doit contenir.

Étape 3 : régler les pièges spécifiques WordPress

Google Fonts en local. Les tribunaux européens ont jugé que charger Google Fonts depuis les serveurs Google sans consentement transmet l'IP de façon illicite. Solution : hébergez les polices localement (la plupart des thèmes ou un plugin d'optimisation le permettent en une case à cocher).

Google Analytics. C'est le sujet le plus sensible. Ne le chargez jamais avant consentement, et vérifiez votre configuration. On détaille tout dans Google Analytics et RGPD : est-ce encore légal en 2026 ?.

Embeds YouTube / Maps. Utilisez le mode « confidentialité renforcée » de YouTube ou un système de chargement différé (l'iframe ne se charge qu'au clic). Idem pour les cartes.

Commentaires. Désactivez le stockage de l'IP si vous n'en avez pas besoin, ajoutez une case de consentement explicite, et désactivez Gravatar ou informez-en l'utilisateur.

Formulaires. Chaque formulaire doit indiquer : qui collecte, pourquoi, combien de temps les données sont conservées, et comment exercer ses droits. Un lien vers votre politique de confidentialité suffit, accompagné d'une phrase d'information claire.

Étape 4 : les documents obligatoires

Un site WordPress conforme a besoin de trois pages, accessibles depuis le pied de page :

• Mentions légales — obligatoires pour tout site professionnel (loi LCEN). Voir la check-list des mentions légales 2026.
• Politique de confidentialité — décrit les traitements, les bases légales, les durées de conservation et les droits des personnes.
• Politique cookies — la liste des cookies utilisés et leur finalité, souvent intégrée à la bannière.

Rédiger ces documents à la main est long et risqué juridiquement. Un générateur les produit à partir de votre activité réelle et reste à jour des évolutions réglementaires.

Étape 5 : maintenir la conformité dans le temps

La conformité RGPD n'est pas un projet ponctuel. Chaque mise à jour de plugin, chaque nouvelle campagne marketing, chaque thème modifié peut réintroduire un tracker. Les sites qui restent conformes sont ceux qui rescannent régulièrement leur site et reçoivent une alerte quand un nouveau cookie apparaît.

C'est précisément le rôle d'un outil comme ConformeRGPD : scan automatique récurrent, bannière qui bloque réellement les scripts, et génération des documents légaux — le tout pensé pour les indépendants et petites structures, à un tarif sans rapport avec les solutions « entreprise ».

En résumé

| Risque WordPress | Action | | --- | --- | | Scripts tiers chargés avant consentement | Bannière qui bloque par défaut | | Google Fonts en CDN | Héberger les polices en local | | Formulaires sans information | Mention + lien politique de confidentialité | | Trackers réintroduits par une mise à jour | Scan récurrent + alerte | | Pas de pages légales | Générateur de documents |

Un site WordPress conforme en 2026, c'est faisable en une après-midi si vous suivez ces étapes dans l'ordre. Commencez par l'inventaire : scannez votre site gratuitement, vous saurez exactement par où commencer.

Pour aller plus loin

• Guide RGPD complet pour les sites web
• Google Analytics et RGPD : est-ce encore légal en 2026 ?
• Combien coûte vraiment la mise en conformité RGPD ?
• Cookies tiers : ce qui change et comment s'y conformer