CDN

unpkg

unpkg est un réseau de diffusion de contenu rapide et global pour tout ce qui est publié sur npm. Créé par Michael Jackson, mainteneur de React Router et Remix, il s'appuie sur Cloudflare. Les développeurs référencent n'importe quelle version d'un paquet npm via une URL comme https://unpkg.com/react@18/umd/react.production.min.js et reçoivent le fichier depuis le edge Cloudflare le plus proche. unpkg ne pose pas de cookies marketing mais Cloudflare peut déposer __cf_bm et journalise chaque requête, soulevant les mêmes questions RGPD que tout CDN américain.

Bloquer unpkg jusqu'au consentement Scanner mon site

Présentation

Que fait unpkg ?

Ce que fait unpkg et comment il apparaît sur un site

unpkg est un CDN gratuit qui sert n'importe quel fichier de n'importe quel paquet publié sur npm. Très utilisé pour le prototypage rapide, les pages de documentation, les démos et le matériel pédagogique. Une URL comme https://unpkg.com/lodash@4 télécharge la dernière version mineure de lodash depuis le edge Cloudflare le plus proche. unpkg est exploité par Michael Jackson, mainteneur de React Router et Remix, en collaboration avec Cloudflare qui fournit l'infrastructure.

Cookies et données collectés par unpkg

unpkg ne pose pas de cookies marketing ou analytiques. Le edge Cloudflare peut déposer le cookie de gestion des bots __cf_bm (30 minutes) sur unpkg.com en cas de trafic suspect. Chaque requête est journalisée pour le cache et la prévention d'abus : IP, User-Agent, URL demandée, Referer.

Implications RGPD et ePrivacy

Comme cdnjs et jsDelivr, le chargement depuis unpkg transmet l'IP du visiteur à un fournisseur américain. Le jugement de Bonn sur Google Fonts et des décisions similaires montrent que le consentement préalable est l'interprétation la plus sûre quand aucune autre base légale claire ne s'applique.

Transferts internationaux

Cloudflare Inc. est un fournisseur américain certifié sous le EU-US Data Privacy Framework, base d'adéquation pour les transferts vers les États-Unis. unpkg est exploité par une personne physique américaine sur l'infrastructure Cloudflare ; aucun DPA n'est publié pour les utilisateurs gratuits.

Consentement et base légale

Les déploiements en production ne devraient pas dépendre d'unpkg. Le pattern recommandé est d'installer les paquets via npm ou pnpm, de les bundler avec le reste de l'application et de les servir depuis la même origine ou un CDN UE. Si unpkg est utilisé dans un prototype ou une démo, recueillir un opt-in avant chaque tag script ou afficher une notice claire.

Étapes pratiques de conformité

Auditer chaque tag script ou link pointant vers unpkg.com en production, le remplacer par un équivalent bundlé ou auto-hébergé, ajouter des hashes Subresource Integrity pour les URLs unpkg qui doivent rester dans les outils de développement et documenter le choix dans la politique de confidentialité si unpkg est utilisé sur des pages client.

Conformité

unpkg et le RGPD

unpkg est classé dans la catégorie « Non classé ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.

Base légale: Legitimate interest under Article 6(1)(f) GDPR can be argued for fetching technical packages. Consent under Article 6(1)(a) is the safer route in EU jurisdictions that follow the Bonn Regional Court approach to third party scripts.
Niveau de risque: medium
Textes applicables: GDPR, ePrivacy Directive, German TTDSG / TDDDG, EU-US Data Privacy Framework, French CNIL 2020 cookie guidelines

Analyse d'impact (AIPD)

Une AIPD est rarement nécessaire pour unpkg seul. Documenter une évaluation d'impact des transferts sur Cloudflare Inc. et unpkg LLC, couvrant la journalisation IP, la rétention des logs edge, la certification EU-US Data Privacy Framework et les mesures supplémentaires. En cas de nombreux paquets, intégrer l'analyse à une revue globale du JavaScript tiers.

Exemple de texte pour votre bannière

Ce site charge certains scripts depuis unpkg, un réseau de diffusion de paquets npm sur Cloudflare. Votre adresse IP, votre User-Agent et l'URL demandée sont traités par Cloudflare sous le EU-US Data Privacy Framework. En cliquant sur Accepter, vous autorisez cette requête technique. Vous pouvez aussi Refuser et nous bundlerons les bibliothèques avec notre propre code applicatif.

Cookies et traceurs

Ce que unpkg dépose et contacte

Méthode de suivi: Content delivery network for npm packages. Files are served on demand from the latest published versions; Cloudflare may set __cf_bm bot management cookie on the unpkg.com domain.
Localisation des serveurs: Cloudflare global anycast edge network with EU points of presence. Origin operated by unpkg / Michael Jackson on Cloudflare infrastructure.
Transfert de données hors UE: unpkg.com is fronted by Cloudflare Inc. (United States). Each fetch logs the visitor IP, User-Agent, requested URL and Referer. Cloudflare is certified under the EU-US Data Privacy Framework and signs Standard Contractual Clauses through its DPA.

Cookies déposés (1)

Nom	Type	Durée	Finalité
__cf_bm	HTTP cookie	30 minutes	Cloudflare bot management cookie set on unpkg.com when suspicious traffic is detected.

Domaines tiers contactés (2)

unpkg.com
cloudflare.com

Questions

Questions fréquentes sur unpkg

Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.

Nous écrire

Quels cookies unpkg dépose-t-il ?

unpkg ne pose pas de cookies. Cloudflare peut déposer __cf_bm (30 minutes) sur unpkg.com pour la gestion des bots. Les logs serveurs capturent IP, User-Agent, URL et Referer.

Faut-il un consentement pour utiliser unpkg ?

Pour le trafic en production, le plus sûr est d'éviter unpkg et de bundler les paquets. Si unpkg est conservé, recueillir un opt-in ou documenter un intérêt légitime.

Quelle base légale ?

L'intérêt légitime (article 6, paragraphe 1, point f du RGPD) est défendable pour charger des bibliothèques essentielles. Le consentement (article 6, paragraphe 1, point a) est plus sûr dans les juridictions Bonn-line.

unpkg transfère-t-il des données aux États-Unis ?

Oui. Cloudflare Inc. est sous contrôle américain et certifié EU-US Data Privacy Framework. Éviter le transfert en bundlant les paquets.

Une AIPD est-elle requise ?

Pas pour unpkg seul. Une évaluation d'impact des transferts courte suffit.

Comment déployer unpkg conformément ?

Installer les paquets localement, les bundler avec l'application, déployer depuis votre domaine ou un CDN UE et retirer toutes les références à unpkg.com du HTML de production.

Existe-t-il des alternatives a unpkg ?

Bundling via Vite, Webpack, esbuild ou Rollup. CDN UE : Bunny CDN, Scaleway Edge. jsDelivr offre un service similaire sur Cloudflare et Fastly.

Comment mettre à jour ma politique cookies pour unpkg ?

Mentionner Cloudflare Inc. comme sous-traitant, décrire __cf_bm, la journalisation IP à chaque requête, le EU-US Data Privacy Framework et lier la politique Cloudflare.

Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

Créer ma bannière Scanner mon site