AddThis

Ce que faisait AddThis

AddThis a été le widget de partage social le plus utilisé du web entre 2008 et 2022. Racheté par Oracle en 2016, il proposait des boutons de partage, des boutons de suivi, des modules Contenus recommandés et des sondages inline. Sous le capot, le script remontait l'URL, le titre, l'IP, le user agent et les signaux d'engagement vers le graphe d'audience Oracle Data Cloud (anciennement BlueKai), monétisé via des accords programmatiques. Oracle a officiellement arrêté AddThis le 31 mai 2023; le domaine addthis.com affiche un avis de fin de vie et le JavaScript n'est plus maintenu.

Cookies déposés par AddThis

Lorsque le service fonctionnait, le script déposait les cookies __atuvc (compteur de partages, 13 mois), __atuvs (compteur de session, 30 minutes), bt2 (id audience, 1 an), di2 (id appareil Oracle Data Cloud, 1 an) et uvc (compteur visiteur, 13 mois). Le widget appelait addthis.com, addthisedge.com et le réseau Oracle BlueKai (bk.bluekai.com, tags.bluekai.com), alimentant la pile programmatique Oracle avec un comportement inter sites détaillé.

Base légale à l'époque où AddThis était actif

Comme AddThis combinait les données visiteur avec le graphe publicitaire Oracle Data Cloud, le consentement au sens de l'article 6 1 a RGPD et 5(3) ePrivacy était la seule base légale réaliste. L'intérêt légitime était écarté par le CEPD et la CNIL car les utilisateurs ne pouvaient pas raisonnablement s'attendre à ce que leurs partages alimentent une enchère programmatique. Après Schrems II (CJUE C 311/18, juillet 2020), le transfert vers Oracle Corporation aux États Unis a perdu son safe harbour Privacy Shield, ce qui a contribué à la décision d'Oracle de retirer le produit.

Risque résiduel sur les pages historiques

Les éditeurs qui ont laissé le script AddThis (s7.addthis.com/js/300/addthis_widget.js) chargent une ressource non fonctionnelle qui peut désormais rediriger ou échouer; la requête cassée divulgue toujours l'IP et le Referer à l'infrastructure Oracle. Auditez votre base de code, les plugins WordPress, les partials de thème et les widgets tiers pour retirer toute référence à addthis.com, addthisedge.com et ot.addthis.com. Remplacez les boutons par des liens statiques pointant vers les URLs de partage de Facebook, X, LinkedIn ou email, ou par une alternative privacy first.

Liste de contrôle de désinstallation

Recherchez et supprimez chaque occurrence de addthis_widget.js, addthis_widget#, _atc, ATInternet, et toute référence au namespace addthis. Désinstallez les plugins WordPress Share Buttons by AddThis ou AddThis Sharing Buttons. Mettez à jour la politique cookies pour supprimer les entrées __atuvc, __atuvs, bt2, di2 et uvc, et informez les utilisateurs du remplacement. Documentez la décommissionnement dans votre registre des traitements (art. 30 RGPD) et le journal de modifications du site. Vérifiez dans l'onglet réseau du navigateur qu'aucune requête addthis.com ou bluekai.com ne subsiste.

Alternatives privacy first

Le remplacement le plus simple consiste en une série de liens statiques pointant vers les URLs d'intention de partage (boîte de dialogue Facebook, composer X, partager LinkedIn, WhatsApp click to chat, mailto:). Pour plus de fonctionnalités sans tracking, optez pour Shariff (allemand, développé par Heise pour la conformité RGPD), social-share-kit (open source), Sharetoolkit ou l'API Web Share native sur mobile.