Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Nginx est un serveur web open source haute performance, reverse proxy et load balancer initialement développé par Igor Sysoev et désormais maintenu par F5 Networks. C'est l'une des briques les plus déployées sur Internet, qui propulse plus de 30 % des sites web mondiaux. Côté privacy, Nginx est un logiciel serveur : il ne dépose aucun cookie côté client, mais écrit des journaux d'accès contenant adresses IP, URLs, user agents et referer, qui constituent des données personnelles au sens du RGPD.
Nginx est un serveur web open source haute performance, reverse proxy, load balancer, proxy mail et cache HTTP. Il a été écrit en 2004 par Igor Sysoev pour résoudre le problème C10K (gérer dix mille connexions simultanées sur un seul serveur), et il est aujourd''hui maintenu par Nginx Inc., filiale de F5 Networks. Nginx propulse plus de 30 % des sites web publics, et il est aussi très utilisé dans les conteneurs (le Nginx Ingress Controller est l''un des ingress Kubernetes les plus déployés). Point clé : Nginx est un logiciel serveur, il tourne sur l''infrastructure de l''opérateur et n''envoie aucune donnée à Nginx Inc. ou F5 par défaut.
Nginx ne dépose aucun cookie côté client. Les cookies que voit le visiteur dans son navigateur viennent des backends applicatifs (Express, Django, Rails, PHP) tournant derrière Nginx, ou de balises tierces chargées par le HTML. Ce que Nginx produit, ce sont des journaux d''accès : par défaut le format combined enregistre l''IP, l''horodatage, la méthode HTTP et l''URI, le code de statut, les octets envoyés, l''en-tête referer et le user agent. Ces journaux sont des données personnelles au sens du RGPD car l''IP est rattachable à une personne dans la plupart des contextes. Les journaux d''erreur ajoutent les lignes de requête, qui peuvent contenir paramètres de requête ou données POST selon la configuration.
Comme Nginx ne stocke ni ne lit d''information sur le terminal du visiteur, l''article 5(3) de la directive ePrivacy (consentement cookies) ne s''applique pas à Nginx en tant que tel. Les journaux serveur sont régis par le RGPD et reposent sur l''intérêt légitime de l''art. 6(1)(f) : exploiter un site implique le droit de journaliser les accès pour la sécurité, la prévention de la fraude, le dépannage et la gestion du trafic. La CNIL accepte des durées de 6 à 12 mois pour les investigations sécurité, des durées plus courtes étant préférées et des durées plus longues nécessitant une justification documentée. Là où une loi sectorielle impose une rétention plus longue (télécoms, finance, anti blanchiment), l''obligation légale de l''art. 6(1)(c) s''applique en plus.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Configurer Nginx pour anonymiser les IP là où le cas d''usage le permet. Pattern courant : définir un log_format custom qui masque le dernier octet IPv4 ou les 80 derniers bits IPv6, puis l''utiliser dans la directive access_log sur les serveurs face visiteur, en gardant l''IP complète uniquement pour les endpoints d''administration. Configurer log_format pour omettre les query strings sur les routes qui transportent des jetons ou des données personnelles. Mettre access_log off; sur les assets statiques qui n''ont pas besoin d''audit. Piper les journaux dans logrotate avec une politique alignée sur la durée documentée. Si les logs partent vers un SIEM externe, ce SIEM doit figurer dans le registre des traitements et le mécanisme de transfert doit être documenté.
Nginx en lui-même ne transfère pas de données. Le régime de transfert applicable dépend de la localisation de l''infrastructure de l''opérateur. Un hébergement UE (OVH, Scaleway, Hetzner, Ionos, etc.) maintient les journaux en UE. AWS, Google Cloud et Azure proposent des régions UE, mais l''opérateur doit aussi considérer l''exposition au CLOUD Act américain lorsque le fournisseur de cloud est basé aux États-Unis. F5 Networks (Nginx Plus, support commercial) a sa propre politique de confidentialité avec des mécanismes de transfert US (CCT, EU US Data Privacy Framework), pertinents uniquement si l''opérateur achète du Nginx commercial.
Indiquer que vous exploitez un serveur web (Nginx) qui journalise les données d''accès pour la sécurité et l''exploitation, les catégories de données (IP, URL de requête, user agent, referer), la base légale (intérêt légitime, éventuellement obligation légale), la durée de conservation et les destinataires (hébergeur, SIEM, partenaires sécurité). Vous n''avez pas à nommer Nginx spécifiquement, mais vous devez documenter le traitement sous jacent. Nginx n''a pas à figurer sur la bannière cookies car il n''en dépose pas.
Les sites web utilisant Nginx doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Nginx en lui-même ne nécessite pas d'AIPD car c'est un logiciel d'infrastructure serveur. Ses journaux d'accès méritent toutefois attention : (1) le format combined par défaut contient l'adresse IP complète, donnée personnelle au sens du RGPD ; (2) la durée de conservation doit se limiter à ce qui est nécessaire pour la sécurité et l'exploitation (typiquement 30 à 90 jours pour l'investigation, plus long uniquement avec justification documentée) ; (3) l'anonymisation IP peut être configurée au niveau Nginx (log_format personnalisé avec masquage du dernier octet) là où la sécurité le permet ; (4) les journaux peuvent être traités par des outils aval (Splunk, Elastic, Datadog) avec leurs propres implications privacy ; (5) si Nginx fait reverse proxy devant des backends qui posent des cookies, ces cookies doivent être évalués pour eux-mêmes, pas comme cookies Nginx. Une AIPD est généralement requise pour l'architecture de logs et de sécurité globale, pas pour Nginx spécifiquement.
Exemple de texte de consentement
Nous exploitons Nginx comme serveur web et reverse proxy sur notre propre infrastructure. Nginx ne dépose pas de cookies sur votre appareil. Comme tout serveur web, il écrit des journaux d'accès contenant votre adresse IP, la page demandée, le type de navigateur et la page de renvoi. Ces journaux servent à exploiter le site, enquêter sur les incidents de sécurité et satisfaire les obligations légales de conservation. Ils sont conservés [XX] jours puis supprimés ou anonymisés, et vous disposez d'un droit d'accès à vos données journalisées sur demande.
Ce service peut collecter des donnees utilisateur. Assurez votre conformite RGPD avec FlowConsent.
Non. Nginx en lui-même ne dépose ni ne lit de cookies sur l'appareil du visiteur. Les cookies visibles dans le navigateur viennent des backends applicatifs tournant derrière Nginx, ou de balises tierces chargées par le HTML. Si l'opérateur configure Nginx pour ajouter des cookies (proxy_set_header, add_header), ces cookies doivent être évalués pour eux-mêmes.
Non. Comme Nginx ne stocke ni ne lit d'informations sur le terminal du visiteur, l'article 5(3) de la directive ePrivacy (consentement cookies) ne s'applique pas. Les journaux serveur sont régis par le RGPD et reposent sur l'intérêt légitime pour la sécurité et l'exploitation.
Intérêt légitime sous l'art. 6(1)(f) RGPD, justifié par la sécurité, la prévention de la fraude, le dépannage et la gestion du trafic. Lorsque la loi sectorielle impose une rétention (télécoms, finance, anti blanchiment), l'obligation légale (art. 6(1)(c)) s'ajoute. La durée doit se limiter au nécessaire, typiquement 30 à 90 jours pour la sécurité.
Pas en lui-même. Nginx est un logiciel open source qui tourne là où l'opérateur l'héberge. Si l'opérateur utilise un cloud américain, le transfert d'hébergement s'applique (à évaluer pour le cloud, pas pour Nginx). F5 Networks détient le Nginx commercial ; si l'opérateur achète Nginx Plus ou un support, la politique de F5 et ses CCT s'appliquent à cette relation.
Une AIPD n'est pas requise pour Nginx en lui-même, infrastructure serveur. Elle peut l'être pour l'architecture globale de logs et de sécurité si les logs sont traités pour de la détection de fraude, de l'analyse comportementale ou du profilage à risque élevé, ou s'ils sont exportés vers des systèmes hors UE. Inscrire Nginx dans le registre des traitements avec catégories de logs, durée et destinataires.
Utiliser un log_format custom qui anonymise les IP là où c'est possible (masquer le dernier octet IPv4 ou les 80 derniers bits IPv6). Omettre les query strings des routes qui transportent des jetons. Mettre access_log off; sur les assets statiques. Tourner les logs agressivement avec logrotate. Éviter de logger les corps de requête par défaut. Régler le niveau d'error_log en production. Envoyer les logs uniquement à des SIEM inscrits au registre.
Autres serveurs web et reverse proxy open source : Apache HTTP Server, Caddy (HTTPS automatique, origine UE friendly), HAProxy (load balancer), Traefik (cloud native, origine UE), Envoy (proxy moderne). Tous génèrent des journaux d'accès similaires avec les mêmes considérations RGPD. L'architecture d'hébergement et de logs compte plus que le logiciel serveur lui-même.
Nginx ne doit pas figurer sur la bannière cookies puisqu'il ne dépose pas de cookies. Dans la politique de confidentialité, indiquer que le site est servi par un serveur web (Nginx) qui journalise les données d'accès pour la sécurité et l'exploitation, lister les catégories, la base légale, la durée et les destinataires. Nommer Nginx n'est pas obligatoire, sauf transparence sur la stack technique.