> Craft CMS et le RGPD : comment ce CMS PHP commercial et auto-hébergé gère les cookies, où résident les données et ce qui dépend de votre configuration. > > Canonical: https://www.flowconsent.com/fr/services/cms/craft-cms CMS # Craft CMS Non classé · [Site officiel](https://craftcms.com/) Craft CMS est un système de gestion de contenu PHP commercial auto-hébergé édité par Pixel & Tonic, conçu pour les sites éditoriaux et offrant une excellente compatibilité RGPD lorsqu'il est hébergé dans l'Union européenne. [Bloquer Craft CMS jusqu'au consentement](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=cms) · [Scanner mon site](https://www.flowconsent.com/fr/scan) En bref - Catégorie [CMS](https://www.flowconsent.com/fr/services/cms) - Consentement Non classé - Consentement préalable Non requis - Cookies documentés 3 - Domaines tiers 4 - Serveurs Self hosted (customer chosen) or Craft Cloud (DigitalOcean, customer chosen region) Présentation ## Que fait Craft CMS ? ## Qu'est-ce que Craft CMS Craft CMS est un système de gestion de contenu commercial écrit en PHP et bâti sur le framework Yii. Il a été créé en 2013 par Pixel & Tonic, Inc., société basée à Bend, Oregon, aux États-Unis. La plateforme vise les sites éditoriaux professionnels et est largement adoptée par les agences digitales, particulièrement en Europe, pour les sites corporate riches en contenu, les magazines et les publications de marque. Craft CMS est distribué sous licence commerciale en trois paliers : Solo (gratuit pour les projets personnels ou mono-éditeur), Pro (payant, multi-utilisateurs) et Enterprise (sur mesure). La même société édite Craft Commerce, une extension e commerce, et Craft Cloud, un service d'hébergement infogéré base sur DigitalOcean. ## Quelles données Craft CMS stocke par défaut Par défaut, Craft CMS ne traite que des données liées à l'administration. Il stocke les comptes d'administrateurs et d'éditeurs (email, mot de passe haché, nom, champs de profil optionnels), le contenu créé par ces utilisateurs et les informations de session basiques pour les requêtes administratives authentifiées. Le CMS dépose un petit nombre de cookies strictement nécessaires au panneau d'administration : un jeton CSRF pour protéger des falsifications de requête inter sites, un identifiant de session pour les utilisateurs connectés et un cookie d'authentification persistant optionnel si la fonction se souvenir de moi est utilisée. Le site public ne reçoit aucun cookie de suivi de la part de Craft, et il n'existe ni analytique, ni télémétrie, ni profilage de visiteurs intégrés. ## Auto-hébergé ou Craft Cloud Craft CMS peut être installé sur toute infrastructure compatible PHP avec une base de données adéquate, ce qui laisse au responsable de traitement une totale liberté sur la région d'hébergement et la résidence des données. Les agences européennes déploient fréquemment Craft chez des hébergeurs base en UE comme Hetzner, OVH, Scaleway ou Combell afin de garantir que les données personnelles restent dans l'Espace économique européen. Alternativement, Pixel & Tonic propose Craft Cloud, une plateforme d'hébergement infogérée clé en main bâtie sur DigitalOcean, qui permet de choisir une région incluant l'UE. Quel que soit le choix, l'activation de licence et la boutique de plugins communiquent avec les systèmes de Pixel & Tonic aux États-Unis ; ces échanges concernent les clés de licence et les métadonnées logicielles, pas les données personnelles des visiteurs. ## Implications RGPD Du point de vue RGPD, le cœur de Craft CMS est l'une des solutions grand public les plus respectueuses de la vie privée. Il n'y a aucun cookie de suivi, aucun appel réseau vers des tiers sur le site public, et le responsable de traitement peut conserver l'ensemble du flux de données à l'intérieur de l'UE. Les bases légales applicables aux données effectivement traitées sont l'exécution du contrat (art. 6.1.b RGPD) pour la relation administrative avec les éditeurs, et l'intérêt légitime (art. 6.1.f RGPD) pour la sécurisation du back office. Le tableau change dès qu'on intègre des services tiers comme Google Analytics, Meta Pixel, des lecteurs YouTube ou Vimeo, des formulaires marketing ou un tag manager : chacun peut nécessiter une bannière de consentement au titre de la directive ePrivacy et une base légale documentée. Les plugins de la Craft Plugin Store peuvent également étendre le périmètre de traitement, chaque ajout doit donc être évalué. ## Étapes de conformité pour le responsable Pour déployer Craft CMS de manière pleinement conforme : choisir une région d'hébergement en UE ou une région Craft Cloud UE ; signer un accord de traitement des données avec l'hébergeur ; documenter l'échange de licence avec Pixel & Tonic comme traitement accessoire ; tenir un inventaire des plugins installés et des données qu'ils traitent ; déployer une plateforme de gestion du consentement pour tout script tiers ajouté en front end ; configurer les attributs sécurisés (Secure, HttpOnly, SameSite) sur les cookies d'administration ; activer les sauvegardes et une procédure de réponse aux incidents ; et mettre à jour la politique de confidentialité pour refléter les flux réels, région d'hébergement et sous-traitants inclus. ## Craft Commerce : considérations supplémentaires Si le site utilise Craft Commerce, l'empreinte de traitement s'étend de manière significative. Les comptes clients, l'historique de commandes, les adresses de facturation et de livraison sont stockés dans la même base. Le traitement des paiements est généralement délégué à des tiers comme Stripe, PayPal, Mollie ou Adyen, chacun agissant comme responsable indépendant ou sous-traitant et devant figurer dans la politique de confidentialité. Les fonctions marketing (relances de panier abandonné, notifications transactionnelles) peuvent nécessiter un consentement distinct. Une AIPD dédiée est recommandée lorsque Craft Commerce est déployé à grande échelle ou lorsque des catégories de produits sensibles sont concernées. Conformité ## Craft CMS et le RGPD - Base légale Performance of contract (Art. 6(1)(b) GDPR) and legitimate interest (Art. 6(1)(f) GDPR) for administrative authentication; no consent required because no tracking cookies are set by the core CMS - Niveau de risque low - Textes applicables GDPR, ePrivacy Directive (Cookie Law), CCPA ### Analyse d'impact (AIPD) Une AIPD n'est généralement pas requise pour une installation Craft CMS par défaut, car le cœur du CMS ne dépose que des cookies essentiels pour l'authentification administrative et la protection CSRF, sans analytique ni télémétrie. L'analyse doit porter sur l'environnement d'hébergement choisi par le client (infrastructure auto-hébergée ou région Craft Cloud), les plugins installés susceptibles d'ajouter des services tiers, les intégrations front end telles que l'analytique, les vidéos embarquées ou les formulaires marketing, ainsi que le module Craft Commerce s'il est utilisé pour le commerce électronique. Documentez la région d'hébergement, l'inventaire des plugins et les sous-traitants impliqués. ### Exemple de texte pour votre bannière > Aucune bannière de consentement n'est requise pour le cœur de Craft CMS car il ne dépose que des cookies strictement nécessaires au back office administratif. Si votre site ajoute de l'analytique, de la publicité, des vidéos embarquées ou d'autres technologies de suivi, mettez en place une plateforme de gestion du consentement qui ne charge ces scripts qu'après opt-in explicite. Cookies et traceurs ## Ce que Craft CMS dépose et contacte - Méthode de suivi Self hosted PHP CMS (Yii framework) with optional Craft Cloud managed hosting - Localisation des serveurs Self hosted (customer chosen) or Craft Cloud (DigitalOcean, customer chosen region) - Mode sans cookie disponible Oui ### Cookies déposés (3) | Nom | Type | Durée | Finalité | | ------------------ | ------------------ | -------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CRAFT\_CSRF\_TOKEN | Strictly necessary | Session | Cross site request forgery (CSRF) protection token used by the Craft CMS administration panel to validate form submissions and AJAX requests originating from authenticated users. | | CraftSessionId | Strictly necessary | Session | Administrative session identifier used to maintain the authenticated state of editors and administrators in the Craft CMS control panel. Not set on visitors who do not log in to the back end. | | CraftAuthorization | Strictly necessary | Up to 14 days (configurable, only when remember me is enabled) | Persistent authentication cookie set when an administrator checks the remember me option at login, allowing the back end to recognise the user across sessions without requiring a fresh password entry. Duration is configurable via the userSessionDuration setting in Craft CMS. | ### Domaines tiers contactés (4) - `craftcms.com` - `plugins.craftcms.com` - `elliptic.io` - `packagist.org` Questions ## Questions fréquentes sur Craft CMS Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Craft CMS dépose-t-il des cookies de suivi ? Non. Le cœur de Craft CMS ne dépose que des cookies strictement nécessaires au panneau d'administration : CRAFT\_CSRF\_TOKEN pour la protection contre la falsification de requête inter-sites, CraftSessionId pour les sessions administratives authentifiées, et un cookie CraftAuthorization optionnel quand la fonction se souvenir de moi est activée. Le site public ne reçoit aucun cookie de suivi, d'analytique ou de marketing de la part de Craft. Tout suivi en front end provient des intégrations que vous ajoutez (scripts d'analytique, vidéos embarquées, pixels marketing), pas du CMS. ### Faut-il une bannière de consentement pour Craft CMS ? Non pour le cœur du CMS. Les cookies déposés par Craft sont strictement nécessaires et entrent dans l'exemption de l'article 5.3 de la directive ePrivacy, aucune bannière n'est donc requise. Une bannière de consentement devient indispensable dès que vous ajoutez en front end des technologies non essentielles comme Google Analytics, des pixels publicitaires, des lecteurs sociaux embarqués, des formulaires marketing ou tout tag tiers. ### Quelle est la base légale du traitement avec Craft CMS ? Pour le back office administratif, les bases pertinentes au titre du RGPD sont l'exécution du contrat (art. 6.1.b) pour la relation avec les éditeurs et administrateurs, et l'intérêt légitime (art. 6.1.f) pour la sécurisation de la plateforme contre les attaques. Si vous collectez des données de visiteurs via des formulaires ou des comptes sur le site public, identifiez une base spécifique (consentement, contrat ou intérêt légitime) et documentez-la dans votre registre des traitements. ### Des données personnelles sont-elles transférées hors de l'UE avec Craft CMS ? Cela dépend entièrement de l'hébergement choisi. Comme Craft CMS est auto-hébergé, vous décidez où tourne l'application : choisissez un hébergeur en UE (Hetzner, OVH, Scaleway, Combell, etc.) ou une région UE de Craft Cloud, et les données des visiteurs restent en UE. Le seul flux sortant systématique vers les États-Unis est la validation de licence et la communication avec la boutique de plugins de Pixel & Tonic, qui ne concerne que les clés de licence et les métadonnées logicielles, pas les données personnelles des visiteurs. ### Une AIPD est-elle requise pour Craft CMS ? Une AIPD n'est en règle générale pas requise pour une installation par défaut, car le cœur du CMS ne traite que des données administratives à faible risque. Elle devient appropriée lorsque Craft Commerce est déployé à grande échelle, lorsque des données sensibles sont traitées (santé, biométrie, larges communautés d'utilisateurs), lorsque des plugins tiers introduisent du profilage ou un suivi étendu, ou lorsque le front end intègre de nombreux services marketing et analytiques. ### Comment déployer Craft CMS de manière conforme au RGPD ? Hébergez Craft sur une infrastructure UE ou une région UE de Craft Cloud, signez un contrat de sous-traitance avec l'hébergeur, tenez un inventaire des plugins à jour, configurez les attributs Secure, HttpOnly et SameSite sur les cookies d'administration, déployez une plateforme de gestion du consentement pour tout script tiers en front end, documentez l'échange de licence avec Pixel & Tonic, activez les sauvegardes automatiques, définissez une procédure de réponse aux incidents, et reflétez le tout dans une politique de confidentialité claire. ### Quelles sont les alternatives à Craft CMS ? Parmi les CMS auto-hébergés comparables figurent Kirby (fichiers plats, éditeur allemand), Statamic (base Laravel, fichiers plats ou base de données), ExpressionEngine (PHP, historique), ProcessWire (PHP open source) et Wagtail (Python, base Django) pour un usage CMS classique. Pour des approches headless, considérez Sanity, Storyblok ou Strapi. Beaucoup partagent les forces de Craft CMS : contrôle total de la région d'hébergement et suivi minimal par défaut. ### Que doit dire ma politique de cookies à propos de Craft CMS ? Listez les cookies strictement nécessaires déposés par le back office (CRAFT\_CSRF\_TOKEN, CraftSessionId et CraftAuthorization quand se souvenir de moi est active), expliquez qu'ils servent uniquement à l'authentification administrative et à la protection CSRF, et précisez qu'ils ne sont pas déposés chez les visiteurs qui ne se connectent pas au back office. Ajoutez au même document les cookies front end introduits par des intégrations ou des plugins, avec leur finalité, leur durée et leur base légale. Dans la même catégorie ## Autres services : CMS [Voir toute la catégorie](https://www.flowconsent.com/fr/services/cms) ### [Miniflat](https://www.flowconsent.com/fr/services/cms/miniflat) [CMS](https://www.flowconsent.com/fr/services/cms/miniflat) · ### [LiveSite](https://www.flowconsent.com/fr/services/cms/livesite) [CMS](https://www.flowconsent.com/fr/services/cms/livesite) · ### [QoreAI](https://www.flowconsent.com/fr/services/cms/qoreai) [CMS](https://www.flowconsent.com/fr/services/cms/qoreai) · ### [SOBI 2](https://www.flowconsent.com/fr/services/cms/sobi-2) [CMS](https://www.flowconsent.com/fr/services/cms/sobi-2) · ### [Mintlify](https://www.flowconsent.com/fr/services/cms/mintlify) [CMS](https://www.flowconsent.com/fr/services/cms/mintlify) · ### [Simple.ink](https://www.flowconsent.com/fr/services/cms/simple-ink) [Mesure d'audience](https://www.flowconsent.com/fr/services/cms/simple-ink) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)