> CFML (Adobe ColdFusion et Lucee) et RGPD : cookies CFID et JSESSIONID, exemption des cookies strictement nécessaires, hébergement et déploiement conforme. > > Canonical: https://www.flowconsent.com/fr/services/framework/cfml Frameworks # CFML Non classé · [Site officiel](https://adobe.com/products/coldfusion-family.html) CFML (ColdFusion Markup Language) est un langage de script côté serveur et une plateforme applicative utilisés pour développer applications web, intranets et API. Les deux principales implémentations sont Adobe ColdFusion et le moteur open source Lucee. CFML n'est pas un traceur : il s'exécute entièrement sur l'infrastructure de l'opérateur et ne dépose que des cookies de session techniques (CFID, CFTOKEN, JSESSIONID) que la directive ePrivacy classe comme strictement nécessaires, ce qui dispense ces cookies précis de consentement préalable. Les obligations de confidentialité concernent les données collectées par l'application développée au dessus de CFML. [Bloquer CFML jusqu'au consentement](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=framework) · [Scanner mon site](https://www.flowconsent.com/fr/scan) En bref - Catégorie [Frameworks](https://www.flowconsent.com/fr/services/framework) - Consentement Non classé - Consentement préalable Non requis - Cookies documentés 3 - Domaines tiers 4 - Serveurs Self hosted by the operator on premises or any cloud region; the CFML engine itself does not call external endpoints Présentation ## Que fait CFML ? ## **Qu'est ce que CFML et où s'exécute t il** CFML (ColdFusion Markup Language) est un langage à balises et à script qui s'exécute sur une machine virtuelle Java. Les deux principales implémentations sont Adobe ColdFusion (commerciale) et Lucee (open source). Le moteur reçoit la requête HTTP, exécute la page ou le composant CFML, interroge les bases via ORM ou cfquery et renvoie HTML, JSON ou XML au navigateur. Comme chaque exécution se fait côté opérateur, aucun point de terminaison tiers n'est sollicité par défaut et aucune donnée comportementale ne quitte le réseau de l'opérateur. ## **Cookies et stockage déposés par une application CFML** Par défaut, une application CFML dépose deux cookies first party, CFID et CFTOKEN, qui identifient la session côté serveur, plus le cookie standard JSESSIONID lorsque les sessions J2EE sont activées. Ces cookies contiennent des identifiants opaques, sont HttpOnly et sont indispensables pour maintenir l'authentification et protéger les formulaires contre la CSRF. Ils relèvent de l'exemption « strictement nécessaire » de l'article 5(3) ePrivacy. Tout cookie supplémentaire posé par le code applicatif (analytics, AB testing, marketing) est sous la responsabilité de l'opérateur et doit être classé séparément. ## **Traitement des cookies de session selon le RGPD et ePrivacy** La CNIL, l'AEPD, l'ICO et le CEPD considèrent les cookies d'authentification et de gestion de session comme strictement nécessaires : ils peuvent être déposés sans consentement préalable tant que leur durée se limite à la session et qu'ils ne sont pas réutilisés à des fins comportementales. La base légale du traitement sous jacent est l'exécution du contrat (article 6(1)(b) RGPD) lorsque l'utilisateur est connecté, et l'intérêt légitime (article 6(1)(f)) pour la robustesse technique sur les pages publiques. L'application doit néanmoins faire figurer ces cookies dans la politique de confidentialité et l'inventaire cookies. ## **Région d'hébergement et transferts internationaux** CFML s'exécute là où l'opérateur déploie son moteur : datacenter on premises, région cloud UE, région cloud US. Les obligations de transfert international dépendent donc de la topologie choisie. Les opérateurs qui souhaitent maintenir les données européennes dans l'EEE doivent retenir une région UE pour le serveur applicatif et la base de données, et désactiver la télémétrie « Adobe Server Auto Lockdown » ou les statistiques d'usage Lucee si ces fonctions sont activées par défaut dans leur profil d'installation. ## **Sécurité et durcissement orienté vie privée** Pour respecter les principes RGPD d'intégrité, de confidentialité et de minimisation, les applications CFML doivent activer HttpOnly, Secure et SameSite=Lax (ou Strict) sur tous les cookies de session, faire pivoter CFID et CFTOKEN à la connexion et à la déconnexion, restreindre la portée des cookies au domaine applicatif, désactiver le browsing de répertoires, limiter CFADMIN aux réseaux internes, appliquer les bulletins de sécurité Adobe ou les correctifs Lucee, et activer une journalisation applicative purgée des données personnelles. ## **Checklist pratique de conformité** Documentez CFID, CFTOKEN et JSESSIONID comme cookies techniques strictement nécessaires dans votre politique cookies. Vérifiez qu'aucune balise tierce n'est chargée par la page CFML elle même avant le consentement. Cartographiez chaque intégration cfhttp, cfldap, cfmail ou REST pour identifier les flux sortants et les ajouter au registre des activités de traitement. Tenez à jour le serveur CFML et la JVM, séparez la base de production de CFML avec des comptes à privilèges minimaux et pseudonymisez les données personnelles conservées dans le scope application ou session. Conformité ## CFML et le RGPD - Base légale Article 6(1)(b) GDPR (performance of a contract) or Article 6(1)(f) (legitimate interest) for the strictly necessary session cookies CFID, CFTOKEN and JSESSIONID. Consent under Article 6(1)(a) is required only for any non essential cookies or analytics tags that the application chooses to set. - Niveau de risque low - Textes applicables GDPR, ePrivacy Directive 2002/58/EC (strictly necessary cookie exemption), French CNIL guidelines on technical cookies, German TDDDG, Spanish AEPD cookie guide, ISO 27001 and OWASP ASVS for application security ### Analyse d'impact (AIPD) Une AIPD spécifique à CFML n'est pas nécessaire car le moteur n'effectue ni décision automatisée ni profilage à grande échelle. Une AIPD peut toutefois être requise pour l'application développée sur CFML si elle traite des catégories particulières de données, score des individus, surveille des salariés ou des visiteurs, ou s'interconnecte à des traceurs externes. L'analyse doit porter sur la logique applicative, les magasins de données accessibles depuis CFML (cfquery, ORM, uploads), la région d'hébergement du serveur CFML et les contrôles d'accès protégeant CFADMIN et le conteneur de servlets. ### Exemple de texte pour votre bannière > Notre site est développé en CFML et utilise des cookies techniques strictement nécessaires (CFID, CFTOKEN, JSESSIONID) pour maintenir votre session, vous identifier et protéger les formulaires contre la falsification de requêtes intersites. Ces cookies ne nécessitent pas de consentement au titre des règles européennes sur les cookies. Les éventuels cookies optionnels d'analyse, de marketing ou de personnalisation sont listés séparément dans la bannière et chargés uniquement après votre choix explicite. Cookies et traceurs ## Ce que CFML dépose et contacte - Méthode de suivi Server side session cookies (CFID, CFTOKEN, JSESSIONID) issued by the CFML application server, application scope variables and form/URL token validation - Localisation des serveurs Self hosted by the operator on premises or any cloud region; the CFML engine itself does not call external endpoints - Mode sans cookie disponible Oui ### Cookies déposés (3) | Nom | Type | Durée | Finalité | | ---------- | ------------ | ------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CFID | first\_party | Session (or up to 30 days when persistence is enabled) | Identifies the server side ColdFusion or Lucee session that holds variables, login state and shopping cart. Strictly necessary for the application to function. | | CFTOKEN | first\_party | Session (or up to 30 days when persistence is enabled) | Companion of CFID, validates the session integrity to prevent session hijacking. Strictly necessary technical cookie. | | JSESSIONID | first\_party | Session | Java servlet container session identifier issued when J2EE sessions are enabled in CFML. Strictly necessary for keeping authenticated users logged in. | ### Domaines tiers contactés (4) - `www.adobe.com` - `helpx.adobe.com` - `lucee.org` - `cfunited.com` Questions ## Questions fréquentes sur CFML Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Quels cookies une application CFML dépose t elle ? Par défaut, une application CFML dépose deux cookies first party, CFID et CFTOKEN, ainsi que le cookie Java standard JSESSIONID lorsque les sessions J2EE sont activées. Ils stockent des identifiants opaques utilisés pour rattacher une requête HTTP à une session serveur. Les installations Lucee qui utilisent LuceeSession reprennent le même modèle sous les noms cfid et cftoken. Le code applicatif peut ajouter d'autres cookies, à classer séparément. ### Le consentement est il nécessaire pour CFID, CFTOKEN et JSESSIONID ? Non. Ce sont des cookies de session et d'authentification considérés comme strictement nécessaires au sens de l'article 5(3) de la directive ePrivacy et des Lignes directrices 2/2023 du CEPD sur les cookies techniques. Ils peuvent être déposés sans consentement préalable tant que leur durée se limite à la session ou à la persistance légitime de l'authentification et qu'ils ne sont pas réutilisés à des fins analytiques ou publicitaires. ### Quelle base légale pour le traitement via une application CFML ? La base légale dépend du cas d'usage : article 6(1)(b) RGPD (exécution du contrat) lorsque l'utilisateur est connecté, article 6(1)(f) (intérêt légitime) pour la sécurité et l'intégrité, article 6(1)(c) (obligation légale) pour les logs comptables ou d'audit. Les données particulières exigent une condition au titre de l'article 9, par exemple le consentement explicite ou l'intérêt public important. ### CFML transfère t il des données vers les États Unis ? Pas par lui même. CFML s'exécute sur l'infrastructure de l'opérateur, donc les transferts ne surviennent que si l'opérateur choisit une région cloud US ou intègre des services externes. Adobe ColdFusion peut contacter les serveurs Adobe pour la licence et la recherche de mises à jour : cette télémétrie est à examiner et des CCT à exiger si nécessaire. Lucee est totalement autonome et ne renvoie rien sauf activation explicite des statistiques d'usage. ### Une AIPD est elle obligatoire avant le déploiement d'une application CFML ? Une AIPD sur le langage n'est pas requise. Elle peut l'être sur l'application développée en CFML si celle ci effectue une surveillance systématique à grande échelle, traite des données particulières, score automatiquement des personnes ou combine plusieurs sources de tracking, conformément à l'article 35 du RGPD et à la liste locale d'AIPD obligatoires. ### Comment implémenter CFML en conformité avec le droit européen ? Activez HttpOnly, Secure et SameSite sur les cookies de session, faites pivoter les identifiants à la connexion, hébergez le serveur CFML dans une région UE pour les données européennes, appliquez rapidement les patches Adobe ColdFusion ou Lucee, restreignez CFADMIN aux réseaux internes, documentez CFID et CFTOKEN comme strictement nécessaires et faites passer toute balise optionnelle d'analyse ou de marketing par une CMP. ### Existe t il des alternatives à CFML ? Des stacks serveur équivalentes incluent Java avec Spring Boot, .NET (C#) avec ASP.NET Core, Python avec Django ou FastAPI, PHP avec Laravel ou Node.js avec NestJS. Du point de vue de la conformité, tout langage serveur se comporte de manière similaire : la posture de confidentialité dépend surtout de la conception applicative, de la région d'hébergement et de la stratégie cookies, pas du langage. ### Comment mettre à jour la politique cookies d'un site CFML ? Listez CFID, CFTOKEN et JSESSIONID comme cookies techniques strictement nécessaires dans la politique cookies, avec finalité (gestion de session, authentification), durée (session ou durée du navigateur) et portée first party. Ajoutez séparément tout cookie applicatif. Précisez de façon transparente que ces cookies strictement nécessaires ne requièrent pas de consentement, et mettez la politique à jour à chaque évolution applicative. Dans la même catégorie ## Autres services : Frameworks [Voir toute la catégorie](https://www.flowconsent.com/fr/services/framework) ### [Dancer](https://www.flowconsent.com/fr/services/framework/dancer) [Frameworks](https://www.flowconsent.com/fr/services/framework/dancer) · ### [AlertifyJS](https://www.flowconsent.com/fr/services/framework/alertifyjs) [Frameworks](https://www.flowconsent.com/fr/services/framework/alertifyjs) · ### [Highstock](https://www.flowconsent.com/fr/services/framework/highstock) [Frameworks](https://www.flowconsent.com/fr/services/framework/highstock) · ### [SweetAlert](https://www.flowconsent.com/fr/services/framework/sweetalert) [Frameworks](https://www.flowconsent.com/fr/services/framework/sweetalert) · ### [Normalize.css](https://www.flowconsent.com/fr/services/framework/normalize-css) [Frameworks](https://www.flowconsent.com/fr/services/framework/normalize-css) · ### [PubSubJS](https://www.flowconsent.com/fr/services/framework/pubsubjs) [Frameworks](https://www.flowconsent.com/fr/services/framework/pubsubjs) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)