cdnjs
cdnjs est un réseau de diffusion de contenu gratuit et open source opéré par Cloudflare qui héberge plus de quatre mille bibliothèques JavaScript et CSS, dont jQuery, Bootstrap, Font Awesome, lodash, Moment.js, popper.js et bien d'autres. Les développeurs y accèdent via cdnjs.cloudflare.com et reçoivent le fichier depuis le point Cloudflare le plus proche. cdnjs lui-même ne pose pas de cookies marketing, mais le réseau Cloudflare sous-jacent peut déposer le cookie de gestion des bots __cf_bm et journalise chaque requête HTTP, ce qui soulève les mêmes questions RGPD que tout CDN américain.
Que fait cdnjs ?
Ce que fait cdnjs et comment il apparaît sur un site
cdnjs est un CDN gratuit et open source maintenu par Cloudflare qui héberge plus de quatre mille bibliothèques JavaScript et CSS. Les développeurs collent une URL comme https://cdnjs.cloudflare.com/ajax/libs/jquery/3.7.1/jquery.min.js dans une balise script et Cloudflare sert le fichier depuis son edge mondial. cdnjs est très utilisé pour jQuery, Bootstrap, Font Awesome, lodash, Moment.js, anime.js, popper.js, Chart.js, Highlight.js, etc.
Cookies et données collectés par cdnjs
cdnjs ne déploie pas de cookies analytiques ou marketing. Le réseau Cloudflare peut déposer le cookie de gestion des bots __cf_bm (30 minutes) sur le domaine cdnjs.cloudflare.com en cas de trafic suspect. Chaque requête HTTP est journalisée pour les statistiques de cache et la prévention des abus, incluant l'IP du visiteur, le User-Agent, l'URL demandée et le Referer.
Implications RGPD et ePrivacy
L'article 5, paragraphe 3 ePrivacy s'applique car __cf_bm, même classifié en bot protection, est stocké sur le terminal. Cloudflare argue qu'il est strictement nécessaire, mais plusieurs autorités de contrôle européennes préfèrent un consentement éclairé. La transmission de l'IP à un fournisseur sous contrôle américain déclenche aussi les règles RGPD sur les transferts et la base légale.
Transferts internationaux
Cloudflare Inc. est une société américaine soumise au CLOUD Act et à FISA 702. Elle est certifiée sous le EU-US Data Privacy Framework, base d'adéquation pour les transferts vers les États-Unis. Cloudflare signe les clauses contractuelles types dans son DPA entreprise et propose la Data Localization Suite qui épingle les logs aux régions UE pour ses clients payants ; cdnjs en tant que service gratuit n'en bénéficie pas.
Consentement et base légale
L'intérêt légitime (article 6, paragraphe 1, point f du RGPD) est défendable pour charger des bibliothèques essentielles, mais l'affaire Bonn Google Fonts et d'autres décisions suggèrent que l'opt-in préalable est le chemin le plus sur quand le CDN est dans un pays tiers. L'auto-hébergement ou un CDN UE (Bunny CDN, Scaleway Edge, jsDelivr Europe Edge) élimine la question.
Étapes pratiques de conformité
Inventorier chaque URL cdnjs présente dans le code, décider si chaque bibliothèque est critique pour le premier rendu ou peut être chargée en lazy, télécharger les versions correspondantes et les héberger sur votre origine ou un CDN UE, ajouter des hashes Subresource Integrity pour garder la garantie de sécurité et mentionner Cloudflare dans la politique de confidentialité si cdnjs est conservé. Sinon, intégrer les tags script dans la CMP pour qu'ils ne se déclenchent qu'après opt-in.
cdnjs et le RGPD
cdnjs est classé dans la catégorie « Non classé ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Legitimate interest under Article 6(1)(f) GDPR can be argued for fetching technical assets, but the Bonn Regional Court ruling on Google Fonts and similar decisions across the EU have made consent the safer path when a third party US CDN receives the visitor IP.
- Niveau de risque
- medium
- Textes applicables
- GDPR, ePrivacy Directive, German TTDSG / TDDDG, EU-US Data Privacy Framework, French CNIL 2020 cookie guidelines
Analyse d'impact (AIPD)
Une AIPD autonome est rarement requise pour cdnjs. Une évaluation d'impact des transferts ciblée sur Cloudflare Inc. est recommandée, couvrant la certification EU-US Data Privacy Framework, la journalisation des IP, la rétention des logs edge et les mesures supplémentaires. Si plusieurs bibliothèques cdnjs sont utilisées en production, intégrer l'analyse à une revue globale du JavaScript tiers.
Exemple de texte pour votre bannière
Ce site charge certaines bibliothèques JavaScript et CSS depuis cdnjs, un réseau de diffusion de contenu exploité par Cloudflare Inc. Quand votre navigateur récupère un fichier, votre adresse IP, votre User-Agent et l'URL demandée sont traités par Cloudflare sous le EU-US Data Privacy Framework. En cliquant sur Accepter, vous autorisez cette requête technique. Vous pouvez aussi Refuser et nous servirons les bibliothèques depuis notre propre serveur UE.
Ce que cdnjs dépose et contacte
- Méthode de suivi
- Content delivery network hosting open source JavaScript and CSS libraries. Operates through HTTP requests; Cloudflare bot management cookie __cf_bm may be set on the cdnjs.cloudflare.com domain.
- Localisation des serveurs
- Global Cloudflare anycast edge network with more than 300 cities including Frankfurt, Amsterdam, Paris, Madrid, Stockholm, Warsaw and Milan. Origin servers are operated by Cloudflare Inc.
- Transfert de données hors UE
- cdnjs.cloudflare.com is operated by Cloudflare Inc. (San Francisco, USA). Each request logs the visitor IP, User-Agent, requested file and referrer. Cloudflare is certified under the EU-US Data Privacy Framework and signs Standard Contractual Clauses through its customer DPA.
Cookies déposés (1)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| __cf_bm | HTTP cookie | 30 minutes | Cloudflare bot management cookie set on cdnjs.cloudflare.com when suspicious traffic is detected. |
Domaines tiers contactés (3)
cdnjs.cloudflare.comcdnjs.comcloudflare.com
Questions fréquentes sur cdnjs
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies cdnjs dépose-t-il ?
cdnjs lui-même ne pose pas de cookies marketing ou analytiques. Le réseau Cloudflare peut poser __cf_bm (30 minutes) sur cdnjs.cloudflare.com pour la gestion des bots. Les logs serveurs capturent IP, User-Agent, URL demandée et Referer.
Faut-il un consentement pour utiliser cdnjs ?
La bonne pratique pour les sites européens est d'obtenir un opt-in avant de charger tout script tiers depuis cdnjs, surtout dans les juridictions suivant la jurisprudence Bonn. L'auto-hébergement est l'alternative la plus simple.
Quelle base légale ?
L'intérêt légitime (article 6, paragraphe 1, point f du RGPD) peut être invoqué pour charger des bibliothèques essentielles. Le consentement (article 6, paragraphe 1, point a) est plus sûr, notamment en France et en Allemagne, et requis si __cf_bm est considéré comme non strictement nécessaire.
cdnjs transfère-t-il des données aux États-Unis ?
Oui. Cloudflare Inc. est sous contrôle américain et certifié EU-US Data Privacy Framework. Les logs edge peuvent être répliqués vers des datacenters américains. L'auto-hébergement sur une origine UE ou un CDN UE évite le transfert.
Faut-il une AIPD ?
Une AIPD autonome est rarement nécessaire. Une évaluation d'impact des transferts sur Cloudflare Inc. est recommandée, intégrée dans une revue plus large du JavaScript tiers si plusieurs bibliothèques sont chargées.
Comment déployer cdnjs conformément ?
Inventorier les URLs cdnjs, auto-héberger les bibliothèques sur votre origine ou un CDN UE, ajouter des hashes Subresource Integrity et une CSP. Si cdnjs est conservé, intégrer les tags script dans la CMP.
Existe-t-il des alternatives a cdnjs ?
L'auto-hébergement est le plus simple. Alternatives UE : Bunny CDN, Scaleway Edge, jsDelivr Europe Edge. Beaucoup de bibliothèques sont aussi distribuées via npm et peuvent être bundle.
Comment mettre à jour ma politique cookies pour cdnjs ?
Lister Cloudflare Inc. comme sous-traitant, décrire le cookie __cf_bm et sa finalité, mentionner la journalisation IP à chaque requête, la certification EU-US Data Privacy Framework et lier la politique de confidentialité de Cloudflare.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.