Microsoft Ajax Content Delivery Network

Qu'est-ce que le Microsoft Ajax CDN

Le Microsoft Ajax Content Delivery Network, servi depuis ajax.aspnetcdn.com, est un CDN public exploité par Microsoft Corporation qui héberge des copies cachées de bibliothèques JavaScript populaires (jQuery, jQuery UI, Modernizr, ASP.NET AJAX, Microsoft Ajax Library). Il a été lancé pour accélérer le chargement de ces bibliothèques via une edge mondiale Microsoft. Il est largement référence dans les applications ASP.NET historiques, les sites SharePoint et les tutoriels. Microsoft a annoncé la fin de ce service et recommande la migration vers un CDN générique.

Données et cookies collectés

Le Microsoft Ajax CDN ne dépose pas de cookies, ne réalise pas d'analytique côté visiteur, ne réalise pas de fingerprinting et n'inclut pas de script de tracking. Les seules données personnelles vues sont les métadonnées HTTP que tout serveur observe lors de la livraison d'un actif: adresse IP, User Agent, Referer et Accept Language. Microsoft utilise ces éléments pour le routage CDN, l'anti DDoS et le reporting agrégé, et peut les conserver dans des journaux opérationnels pendant une durée limitée.

Implications RGPD et ePrivacy

Puisque rien n'est stocké ou lu sur le terminal du visiteur, la règle ePrivacy strictement nécessaire ne s'applique pas. Le RGPD reste applicable à l'IP du visiteur partagée avec Microsoft. Après Schrems II et la jurisprudence Google Fonts en Allemagne, même l'exposition passive d'une IP UE à un responsable américain est traitée comme un transfert nécessitant soit une base et une information claires, soit, de préférence, une alternative auto-hébergée. La même logique s'applique au Microsoft Ajax CDN.

Consentement et base légale

Pour un équivalent auto-hébergé, la base légale est l'intérêt légitime (article 6(1)(f) RGPD). Pour le Microsoft Ajax CDN, le pattern le plus sur est de migrer les scripts vers une copie auto-hébergée ou vers un CDN UE seulement, pour éliminer le transfert hors UE. Si l'opérateur conserve la référence à ajax.aspnetcdn.com, la politique de confidentialité doit mentionner Microsoft Corporation comme destinataire, citer la certification EU US Data Privacy Framework comme mécanisme et idéalement proposer un gate de consentement pour les visiteurs qui refusent le transfert.

Transferts et hébergement

Le Microsoft Ajax CDN est servi depuis Microsoft Azure Front Door et Azure CDN dans des edges mondiaux, dont des edges UE, avec des origines aux États-Unis. Microsoft Corporation est responsable de traitement pour les journaux opérationnels et participe au EU US Data Privacy Framework. Même si le CDN sert souvent les visiteurs européens depuis une edge UE, la société mère est établie aux États-Unis et engage des équipes de support et d'ingénierie américaines, ce qui justifie de traiter le transfert comme réel vers les États-Unis dans la politique de confidentialité.

Mise en conformité pratique

Microsoft ayant annoncé la fin du CDN Ajax, l'étape recommandée est d'embarquer jQuery et autres bibliothèques localement via votre build ou de les charger depuis un CDN UE avec routage UE seulement. Si la migration n'est pas immédiate, listez ajax.aspnetcdn.com dans la section ressources tierces de la politique de confidentialité, mentionnez Microsoft Corporation comme destinataire, citez le EU US Data Privacy Framework et indiquez comment bloquer la requête via le navigateur ou une extension.