jsDelivr

Ce qu'est jsDelivr

jsDelivr est un CDN open source gratuit exploité par Prospect One Sp. z o.o., société polonaise basée à Cracovie. Il mirroirise les paquets npm, les releases GitHub, les plugins WordPress, les modules esm et une large gamme d'actifs publics, servis depuis un réseau edge multi fournisseurs (Cloudflare, Fastly, Bunny.net et un load balancer interne) avec plus de 750 points de présence. Les développeurs référencent les scripts avec des URLs comme https://cdn.jsdelivr.net/npm/<package>@<version> au lieu de les installer et de les bundler localement.

Aucun cookie, aucun tracking

jsDelivr ne dépose aucun cookie et n'intègre aucun pixel de suivi. Le CDN ne journalise que des compteurs de requêtes agrégés par pays et par paquet pour le tableau de statistiques publiques; l'IP du visiteur est traitée par les fournisseurs CDN sous jacents uniquement pour le routage et n'est pas conservée comme identifiant de suivi. Il n'y a aucun profil visiteur, aucun matching d'audience, aucun SDK analytique, aucun tag marketing.

Implications RGPD et ePrivacy

Charger un script open source public depuis jsDelivr s'apparente à charger un fichier statique depuis un CDN: cela nécessite une connexion réseau mais aucun cookie ou stockage n'est écrit par jsDelivr. Au titre de l'article 5(3) ePrivacy, aucun consentement n'est requis car rien n'est stocké sur le terminal. Au titre de l'article 6(1)(f) RGPD, le traitement de l'IP pour le routage repose sur l'intérêt légitime de l'éditeur. L'arrêt Google Fonts de Munich ne s'applique pas car jsDelivr est hébergé en UE par Prospect One.

Fournisseurs CDN sous jacents et leur posture privacy

jsDelivr équilibre le trafic entre Cloudflare, Fastly et Bunny.net. Les trois respectent les signaux HTTP et n'introduisent pas de tracking supplémentaire pour un fichier statique. Cloudflare et Fastly sont basés aux États Unis mais offrent des services régionaux UE; Bunny.net est slovène et uniquement UE par défaut. Pour une prévisibilité maximale, l'éditeur peut épingler le chargement à l'empreinte Subresource Integrity Bunny.net via les paramètres d'URL jsDelivr ou auto héberger le fichier.

Bonnes pratiques pour éditeurs européens

Ajouter l'attribut integrity à vos balises script (SRI) pour prévenir les attaques de chaîne d'approvisionnement, épingler la version exacte du paquet au lieu d'un tag major mouvant, lister jsDelivr dans la mention d'information comme sous traitant avec l'edge Bunny.net uniquement UE si confirmé, et auto héberger les actifs critiques si le projet a une CSP stricte interdisant les domaines CDN tiers.