React

Ce que fait React et comment il apparaît sur un site

React est une bibliothèque JavaScript open source publiée par Meta en 2013 sous licence MIT. Elle construit des interfaces utilisateur à base de composants réutilisables, utilise un DOM virtuel pour calculer des mises à jour minimales et expose des hooks pour la gestion d'état, les effets de bord et le contexte. React est la fondation de Next.js, Remix, Gatsby, React Native et de nombreuses applications internes. Sur un site React apparaît typiquement sous forme d'un fichier JavaScript bundle produit par Vite, Webpack, esbuild ou Turbopack, servi depuis la même origine que le HTML.

Cookies et données collectés par React

React ne pose pas de cookies, ne fait pas d'appel vers les serveurs Meta et ne collecte pas de télémétrie. Le rendu côté serveur via ReactDOMServer reste sur l'infrastructure de l'éditeur. La bibliothèque est autonome une fois téléchargée. Les seules données personnelles échangées viennent de la requête HTTP qui télécharge le bundle JavaScript : IP du visiteur, en-tête User-Agent, métadonnées TLS traitées par l'hébergeur du fichier.

Implications RGPD et ePrivacy

Comme React n'écrit pas sur le terminal, la règle stricte de l'article 5, paragraphe 3 ePrivacy ne s'applique pas. Cependant, quand le build UMD de React est chargé depuis unpkg.com, cdn.jsdelivr.net ou cdnjs.cloudflare.com, l'IP est transmise au CDN. Le jugement du tribunal de Bonn sur Google Fonts du 20 janvier 2022 a montré que les tribunaux européens peuvent considérer cette transmission comme un traitement de données personnelles nécessitant un consentement ou un intérêt légitime documenté. Le bundling de React évite totalement la question.

Transferts internationaux de données

Les déploiements en production empaquettent presque toujours React au lieu de le charger depuis un CDN, éliminant le transfert transfrontalier. Quand un CDN est utilisé pour le prototypage ou la documentation, Cloudflare Inc. (opérateur de cdnjs et d'une part importante de jsDelivr et unpkg) et Fastly Inc. sont sous contrôle américain et certifiés EU-US Data Privacy Framework, fournissant une base d'adéquation pour les données limitées transmises.

Consentement et base légale

L'intérêt légitime (article 6, paragraphe 1, point f du RGPD) est la base standard pour React en production : la bibliothèque est bundle, servie depuis le domaine de l'éditeur et indistinguable du reste du JavaScript applicatif. Aucun consentement spécifique n'est requis. Si le build UMD est chargé depuis un CDN public, traiter ce cas comme jQuery et soit bundler, soit intégrer le tag script dans la CMP.

Étapes pratiques de conformité

Empaqueter React avec le code applicatif via npm ou yarn, déployer le JavaScript résultant sur le même domaine ou sur un CDN UE comme Bunny CDN ou Scaleway Edge, configurer une Content Security Policy qui restreint les sources de scripts, auditer régulièrement qu'aucun outil développeur ne réimporte React depuis unpkg en production et mentionner le framework dans la politique de confidentialité si des fonctionnalités construites sur React traitent des cookies ou des données.