Google Fonts et RGPD : faut-il héberger ses polices soi-même ?

Ce qui se passe réellement

Quand votre page contient une ligne comme celle-ci :

<link href="https://fonts.googleapis.com/css2?family=Inter" rel="stylesheet">

le navigateur de chaque visiteur ouvre une connexion vers un serveur de Google pour y chercher la police. Cette connexion transporte nécessairement l’adresse IP du visiteur, ainsi que la page d’où part la requête et des informations sur son navigateur.

Aucun cookie n’est déposé. Il ne s’agit donc pas d’un problème de consentement au sens de la règle sur les traceurs. Mais une adresse IP est une donnée personnelle au sens du RGPD, et sa transmission à un tiers est un traitement, qui doit avoir une base légale et être mentionné.

La décision qui a fait du bruit

En janvier 2022, le tribunal régional de Munich a condamné l’exploitant d’un site à verser 100 € de dommages et intérêts à un visiteur, au motif que le chargement d’une police depuis le CDN de Google avait transmis son adresse IP sans son consentement.

Deux précisions s’imposent, parce que cette décision est souvent mal citée. C’est une décision allemande, de première instance, et le montant est symbolique. Elle ne s’impose pas aux juridictions françaises et ne crée pas d’obligation en France.

Son effet réel a été ailleurs : elle a déclenché en Allemagne une vague de mises en demeure automatisées, envoyées en masse par des cabinets à tous les sites détectés comme chargeant des polices Google. Le risque n’était pas le procès, c’était la nuisance industrialisée. Et c’est un scénario reproductible partout.

La position française

La CNIL n’a pas publié de position spécifique sur les polices web. Le raisonnement général s’applique : la transmission d’une adresse IP à un tiers est un traitement, il lui faut une base légale — l’intérêt légitime est défendable ici — et il doit figurer dans votre politique de confidentialité.

Autrement dit : en France, charger une police depuis un CDN n’est pas une infraction en soi. En revanche, le faire sans le mentionner dans votre politique de confidentialité en est un manquement, celui-là parfaitement caractérisé.

Pourquoi héberger vos polices reste le bon choix

Le débat juridique masque un fait technique : l’argument historique en faveur du CDN ne tient plus.

On chargeait les polices depuis Google parce que le fichier était probablement déjà en cache chez le visiteur, ayant été téléchargé sur un autre site. Ce raisonnement est mort en 2020, quand les navigateurs ont cloisonné leur cache par site pour empêcher le pistage. Chaque site retélécharge désormais la police pour son propre compte.

Ce qui reste, c’est le coût : une résolution DNS supplémentaire, une négociation TLS supplémentaire, et une dépendance à un serveur tiers avant que le premier caractère s’affiche. Héberger la police vous-même est plus rapide, pas seulement plus conforme. C’est l’un des rares cas où l’option la plus respectueuse est aussi la plus performante.

Comment procéder, en dix minutes

1. Récupérez les fichiers de la police. Les polices de Google Fonts sont sous licence libre — vous avez le droit de les télécharger et de les servir depuis votre serveur. Le format woff2 suffit : il est pris en charge par tous les navigateurs actuels et c’est le plus compact.
2. Déposez-les dans votre site, par exemple /assets/fonts/.
3. Déclarez-les en CSS :

   @font-face {
     font-family: 'Inter';
     src: url('/assets/fonts/inter-400.woff2') format('woff2');
     font-weight: 400;
     font-display: swap;
   }

4. Supprimez la balise <link> vers fonts.googleapis.com, et vérifiez qu’aucun autre fichier CSS ne contient un @import vers ce domaine — c’est la cause d’échec la plus fréquente.

font-display: swap mérite un mot : il affiche le texte immédiatement avec une police de secours, puis bascule quand la vôtre est prête. Sans lui, le texte reste invisible le temps du chargement.

Sur WordPress

De nombreux thèmes chargent Google Fonts sans le dire. Plusieurs extensions savent détecter ces appels, télécharger les polices et réécrire les URL automatiquement. Vérifiez le résultat après coup : un thème et deux extensions peuvent chacun charger leur propre police, et il en reste souvent une.

Les autres ressources du même type

Le raisonnement vaut pour tout ce qui se charge depuis un domaine tiers sans être un traceur : bibliothèques JavaScript servies par un CDN, jeux d’icônes, feuilles de style de composants. Chacune transmet l’adresse IP de vos visiteurs à son fournisseur, chacune ajoute une dépendance externe, et pour chacune l’auto-hébergement est presque toujours la meilleure option.

Les cartes et vidéos intégrées, elles, relèvent d’une autre catégorie : elles déposent des cookies et sont soumises au consentement. Ce cas est traité dans notre guide sur les cookies déposés avant consentement.

Vérifier votre site

Notre outil d’analyse signale les ressources tierces détectées sur votre page d’accueil, en distinguant celles qui déposent un traceur de celles qui se contentent de transmettre une adresse IP. Et si vous en gardez, notre générateur de politique de confidentialité inclut la clause correspondante — c’est le minimum à faire si vous ne changez rien d’autre.