Storyblok

Ce qu'est Storyblok et comment il livre le contenu

Storyblok est un système de gestion de contenu headless fondé à Linz, en Autriche, en 2017. Les rédacteurs composent les pages dans un éditeur visuel et le contenu publié est exposé via une API de livraison sous forme de JSON. Le frontend, construit avec n'importe quel framework (Next.js, Nuxt, Astro, Hugo et autres), récupère ce JSON côté serveur ou côté client et rend le HTML. Comme la couche publique de livraison est une API REST et GraphQL sans état, elle n'écrit pas de cookies sur le navigateur des visiteurs et se comporte comme une requête de ressource classique.

Cookies et identifiants déposés sur les visiteurs

Sur le site public, Storyblok ne dépose aucun cookie. Le CDN ne conserve que des journaux de requêtes standard (adresse IP, horodatage, user agent) pour la mise en cache et la prévention des abus. Les cookies n'apparaissent que dans deux contextes précis. D'abord, lorsqu'un rédacteur est connecté sur app.storyblok.com, un cookie de session l'identifie. Ensuite, lorsque l'aperçu de l'éditeur visuel est chargé pour la rédaction, le script bridge app.storyblok.com/f/storyblok-v2-latest.js ouvre une iframe dans l'aperçu pour permettre le click to edit. Ce mode est réservé aux rédacteurs connectés, jamais visible des visiteurs anonymes.

Implications RGPD et ePrivacy

Comme l'API publique de Storyblok ne dépose pas d'identifiants sur le terminal du visiteur, l'article 5(3) de la directive ePrivacy (transposé en France dans la LCEN, en Allemagne dans le TTDSG, en Espagne dans la LSSI) n'exige pas de consentement préalable. L'article 6(1)(f) du RGPD (intérêt légitime) couvre le traitement limité de l'IP du visiteur côté CDN pour la livraison et la sécurité. Storyblok GmbH agit en tant que sous traitant pour stocker le contenu éditorial, et un contrat de sous traitance Article 28 est disponible dans le tableau de bord Storyblok.

Transferts de données et Schrems II

Storyblok propose deux régions de livraison. La région UE tourne sur AWS Francfort et sert le contenu depuis l'Espace économique européen, ce qui dispense le projet d'une analyse Schrems II sur le chemin de livraison. La région US tourne sur AWS Virginie et nécessite des clauses contractuelles types ainsi qu'une évaluation des lois de surveillance américaines (FISA 702, décret 12333). Pour les projets européens, nous recommandons de sélectionner la région UE à la création de l'espace, le changement n'étant pas possible ultérieurement sans export et réimport du contenu.

Étapes pratiques de mise en conformité

Documenter Storyblok comme sous traitant dans le registre des activités de traitement (RoPA), avec finalité, région UE et CDN d'actifs (Cloudflare). Signer le DPA Storyblok depuis le tableau de bord. Restreindre les comptes rédacteurs avec le SSO ou la double authentification. Si vous embarquez des scripts tiers (Google Analytics, Meta Pixel, vidéos) via des composants Storyblok, ces scripts ont leurs propres exigences de consentement et doivent être gouvernés par votre plateforme de gestion du consentement, la livraison Storyblok elle même reste hors périmètre. Assurez vous que l'URL de l'éditeur visuel est protégée par authentification afin que les cookies du bridge ne soient jamais déposés sur des visiteurs anonymes.