Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Kasada est une plateforme de protection contre les bots et l'automatisation malveillante qui utilise des scripts JavaScript côté client pour détecter les robots, les attaques de credential stuffing et les menaces automatisées. Elle dépose des cookies KP_* et collecte des signaux comportementaux et d'empreinte d'appareil traités sur des infrastructures américaines et australiennes.
Kasada est une plateforme de mitigation des bots et de sécurité anti-automatisation développée par la société australienne Kasada Pty Ltd. Elle protège les applications web et les API contre le credential stuffing, la prise de contrôle de comptes, le scraping et d''autres menaces automatisées en injectant un script JavaScript challenge côté client dans les pages web. Ce script collecte des signaux d''empreinte d''appareil, des comportements de souris et de clavier, des propriétés de navigateur et des métadonnées réseau, puis les transmet aux serveurs cloud Kasada pour une évaluation en temps réel. Les requêtes identifiées comme provenant de bots sont bloquées ou challengées avant d''atteindre l''application protégée.
Kasada dépose des cookies dans l''espace de noms KP_* (par exemple KP_UIDz et KP_SESSIONID) pour associer les sessions d''appareils à des scores de risque bot. Le script JavaScript collecte également un large ensemble de signaux d''appareils : version du navigateur, polices installées, empreintes canvas et WebGL, résolution d''écran, nombre de coeurs processeur, capacité tactile et caractéristiques temporelles. Des signaux comportementaux tels que l''entropie des mouvements de souris et le rythme de frappe sont également échantillonnés. Ces signaux sont transmis à l''infrastructure Kasada à des fins de scoring et ne sont pas utilisés à des fins publicitaires ou de suivi au-delà de la détection de bots et de la prévention de la fraude.
L''empreinte d''appareil et le dépôt d''identifiants de stockage sur les appareils des utilisateurs finaux sont régis par l''article 5(3) de la directive ePrivacy, qui exige soit le consentement de l''utilisateur, soit une justification de stricte nécessité. Kasada et de nombreux prestataires de sécurité soutiennent que les cookies de détection de bots et l''empreinte digitale sont strictement nécessaires car ils protègent la sécurité des communications et préviennent la fraude. Toutefois, plusieurs autorités de protection des données européennes ont estimé que la prise d''empreinte d''appareil allant au-delà de la simple intégrité de session vers une identification persistante n''est pas automatiquement exemptée et peut nécessiter un consentement. La base juridique la plus couramment invoquée est l''intérêt légitime au titre de l''article 6(1)(f), étayé par une analyse d''intérêts légitimes.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
La pratique dominante parmi les opérateurs européens consiste à classifier Kasada comme strictement nécessaire à des fins de sécurité et à s''appuyer sur l''intérêt légitime plutôt que sur le consentement. Cette approche est défendable lorsque le script est déployé uniquement pour la prévention des bots et de la fraude, qu''aucune donnée n''est partagée avec des réseaux publicitaires, que les cookies KP_* sont limités à la session ou de courte durée, et qu''une analyse des intérêts légitimes est documentée. Si le déploiement implique une identification persistante inter-sessions ou si les données sont utilisées au-delà de la détection de bots, l''exemption de stricte nécessité s''affaiblit et le consentement peut devenir nécessaire.
Kasada est basé à Sydney, en Australie, et exploite une infrastructure cloud aux États-Unis et en Australie. L''UE n''a pas adopté de décision d''adéquation pour l''Australie, de sorte que les transferts de données personnelles depuis l''UE vers Kasada en Australie doivent reposer sur des clauses contractuelles types ou un autre mécanisme de l''article 46. Les transferts vers l''infrastructure américaine relèvent du cadre de protection des données UE-États-Unis si Kasada est certifié, ou sinon des clauses contractuelles types. Les opérateurs doivent vérifier le statut de certification DPF actuel de Kasada et s''assurer que l''accord de traitement des données fait référence aux garanties de transfert appropriées.
Pour déployer Kasada en conformité avec le RGPD : signer un accord de traitement des données avec Kasada au titre de l''article 28, compléter et documenter une analyse des intérêts légitimes, informer les utilisateurs dans votre politique de confidentialité que Kasada est un sous-traitant de sécurité recevant des données d''appareils et comportementales, répertorier les cookies KP_* dans votre politique de cookies sous la catégorie strictement nécessaire, vérifier les garanties de transfert international (CCT pour l''AU, DPF ou CCT pour les US), et envisager une AIPD si Kasada est déployé sur des pages grand public à fort trafic. Révisez votre audit de cookies au moins annuellement.
Les sites web utilisant Kasada doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Une analyse d'impact sur la protection des données (AIPD) est recommandée pour les déploiements Kasada impliquant une collecte à grande échelle d'empreintes d'appareils. Les facteurs de risque clés comprennent la collecte systématique de signaux d'appareils et comportementaux auprès de tous les visiteurs sans consentement préalable, le transfert de ces données vers des serveurs aux États-Unis et en Australie sans décision d'adéquation de l'UE pour l'Australie, et l'ambiguïté de l'article 5(3) de la directive ePrivacy quant au caractère strictement nécessaire de la détection de bots par empreinte digitale. L'AIPD doit évaluer si une analyse des intérêts légitimes atténue suffisamment les risques et documenter la proportionnalité par rapport à des alternatives moins intrusives.
Exemple de texte de consentement
Nous utilisons la technologie de protection contre les bots Kasada sur ce site. Le script client de Kasada collecte des caractéristiques d'appareil et des signaux comportementaux afin de distinguer les visiteurs humains des robots automatisés et de prévenir les attaques de credential stuffing. Ce traitement est fondé sur notre intérêt légitime à protéger la sécurité et l'intégrité de nos services (article 6(1)(f) du RGPD). Kasada dépose des cookies KP_* techniquement nécessaires à cette fonction de sécurité. Les données sont transférées vers l'infrastructure Kasada aux États-Unis et en Australie dans le cadre de clauses contractuelles types. Contactez-nous à [[email protected]] pour exercer vos droits.
Domaines tiers contactes
kasada.ioips.kasada.iokasadapartners.comCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| KP_UIDz | Security | 1 year | Stores a device session identifier used by Kasada to associate the device with a bot-risk score across sessions. Enables persistent bot-risk profiling of the device. |
| KP_SESSIONID | Security | Session | Session-scoped cookie that holds the current Kasada challenge session token. Cleared when the browser session ends. |
| KP_UIDz-o | Security | 1 year | Secondary Kasada device identifier cookie used in conjunction with KP_UIDz for cross-session bot detection continuity. |
| KP_CH | Security | Session | Kasada challenge response cookie set after a client-side JavaScript challenge is completed successfully. Verifies that the visitor passed the bot-detection challenge. |
Kasada est un service essentiel, mais la transparence compte. Gerez tous vos consentements avec FlowConsent.
Kasada dépose des cookies dans l'espace de noms KP_*, généralement KP_UIDz et KP_SESSIONID. Ces cookies stockent un identifiant de session d'appareil et un score de risque bot utilisé par le mécanisme de challenge Kasada. Ce ne sont pas des cookies publicitaires et ils ne sont pas partagés avec des réseaux publicitaires tiers.
Dans la plupart des déploiements européens, Kasada est traité comme strictement nécessaire à des fins de sécurité au titre de l'exemption de l'article 5(3) de la directive ePrivacy, ce qui signifie que le consentement n'est pas recueilli avant l'exécution du script. Cette position est défendable lorsque Kasada est utilisé uniquement pour la détection de bots et la prévention de la fraude. Cependant, certaines autorités de protection des données considèrent que l'empreinte persistante des appareils est en dehors de l'exemption de stricte nécessité, de sorte qu'une analyse des intérêts légitimes documentée est indispensable.
La base juridique principale au titre du RGPD est l'intérêt légitime (article 6(1)(f)), fondée sur la nécessité de protéger la sécurité et l'intégrité des services en ligne contre les attaques de bots et le credential stuffing. Une analyse des intérêts légitimes doit documenter que l'avantage sécuritaire l'emporte sur l'atteinte à la vie privée liée à la prise d'empreinte d'appareil, que les données sont utilisées uniquement à des fins de scoring de sécurité, et que des alternatives moins intrusives ont été examinées.
Oui. Kasada traite les données sur une infrastructure aux États-Unis et en Australie. Les transferts vers les États-Unis peuvent être couverts par le cadre de protection des données UE-États-Unis si Kasada détient une certification DPF en cours de validité, ou par des clauses contractuelles types. Les transferts vers l'Australie doivent reposer sur des clauses contractuelles types ou un autre mécanisme de l'article 46, car l'UE n'a pas émis de décision d'adéquation pour l'Australie.
Une AIPD est conseillée, bien que non automatiquement obligatoire, lorsque Kasada est utilisé pour la prise d'empreinte d'appareils à grande échelle. La combinaison d'une collecte systématique de signaux sur tous les utilisateurs, de transferts internationaux de données vers des pays sans décision d'adéquation de l'UE, et du débat juridique en cours sur la prise d'empreinte au titre de l'article 5(3) ePrivacy crée des indicateurs de risque suffisants pour recommander une AIPD.
Signez un accord de traitement des données avec Kasada au titre de l'article 28 du RGPD. Réalisez et documentez une analyse des intérêts légitimes. Indiquez Kasada dans votre politique de confidentialité en tant que sous-traitant de sécurité. Listez les cookies KP_* dans votre politique de cookies sous la catégorie strictement nécessaire avec une description claire de l'objectif. Confirmez les garanties de transfert international. Envisagez une AIPD pour les sites grand public à fort trafic.
Les alternatives comprennent la détection de bots côté serveur utilisant la réputation d'IP, la limitation du débit et la détection d'anomalies sans empreinte côté client. Ces options peuvent être moins précises mais ont un impact ePrivacy plus faible. Si des solutions basées sur l'empreinte sont nécessaires pour leur efficacité, documentez dans votre analyse d'intérêts légitimes pourquoi les alternatives moins intrusives sont insuffisantes.
Effectuez un audit de vos cookies au moins une fois par an ou chaque fois que Kasada met à jour son script. Assurez-vous que les cookies KP_* sont listés individuellement par nom, avec des informations précises sur la durée, l'objectif et le responsable de traitement. Si Kasada introduit de nouveaux noms de cookies ou prolonge leur durée de vie, mettez à jour votre politique dans un délai raisonnable.