Checklist conformité : avant de lancer ton site (2026)

Tu as fini ton site. Le design tient la route, les pages chargent vite, le formulaire de contact fonctionne. Tu es à deux clics du bouton « publier ». Et c'est précisément le moment où la plupart des entrepreneurs zappent la partie qui peut leur coûter le plus cher : la conformité légale.

Un site en ligne, c'est une publication officielle. Dès la première seconde, il doit respecter une série d'obligations : mentions légales, traitement des données, cookies, conditions de vente si tu vends. Et la sanction ne dépend pas du nombre de tes visiteurs. Un site à 10 visites par jour est exposé exactement comme un site à 10 000.

Voici la checklist à dérouler avant de mettre ton site en ligne, pilier par pilier. Pour chaque point : ce que tu dois vérifier, et pourquoi (le risque réel, chiffré). Coche tout, et tu lances sereinement.

Pilier 1 — Mentions légales

C'est le socle, et le manquement le plus fréquent. Les mentions légales sont obligatoires pour tout site accessible au public, même un simple blog ou un portfolio sans aucune vente.

À vérifier :

• L'identité de l'éditeur est complète. Pour un particulier ou un auto-entrepreneur : nom, prénom, adresse. Pour une société : raison sociale, forme juridique, capital, adresse du siège, numéro RCS et SIREN.
• Les coordonnées de contact sont présentes : adresse e-mail et/ou téléphone.
• L'hébergeur est identifié : nom, raison sociale, adresse et téléphone de l'hébergeur (OVH, Vercel, o2switch, etc.).
• Le directeur de la publication est nommé (souvent le dirigeant ou l'éditeur lui-même).
• Le lien est accessible depuis toutes les pages, généralement en pied de page.

Pourquoi c'est sérieux : l'article 6 VI de la LCEN (Loi pour la confiance dans l'économie numérique) rend ces informations obligatoires. L'absence de mentions légales est un délit pénal, pas une simple négligence. Tu risques jusqu'à 75 000 € d'amende en tant que personne physique, 375 000 € pour une société, et théoriquement un an d'emprisonnement. La prison n'est quasiment jamais prononcée, mais le montant, lui, est bien réel.

Le piège classique : copier les mentions légales d'un concurrent ou d'un générateur gratuit générique. Si elles ne correspondent pas à ta vraie situation (mauvais statut, hébergeur erroné), elles ne te protègent pas et peuvent même t'accuser.

Pilier 2 — CGV et CGU (si tu vends ou as des comptes)

Ce pilier ne concerne pas tous les sites. Mais dès que tu encaisses un paiement ou que tu proposes la création d'un compte, il devient incontournable.

À vérifier si tu vends (produits, services, abonnements) :

• Tes CGV (Conditions Générales de Vente) sont rédigées et accessibles avant la validation du paiement.
• Le prix TTC est affiché clairement, avec les frais de livraison éventuels.
• Le droit de rétractation est mentionné : 14 jours pour un consommateur, sauf exceptions (services entièrement exécutés, biens personnalisés, contenu numérique fourni immédiatement).
• Les modalités de paiement, de livraison et de réclamation sont décrites.
• Le processus de commande respecte le double clic : le client doit confirmer explicitement sa commande et son obligation de payer (bouton « Commander avec obligation de paiement » ou équivalent).

À vérifier si tu as des comptes utilisateurs ou un service en ligne :

• Des CGU (Conditions Générales d'Utilisation) encadrent l'usage de ton service.

Pourquoi c'est sérieux : le Code de la consommation encadre strictement la vente à distance. L'absence d'information précontractuelle ou le non-respect du droit de rétractation expose à des amendes administratives de la DGCCRF pouvant atteindre 15 000 € pour une personne physique et 75 000 € pour une société, par manquement. Une mention manquante sur le droit de rétractation peut aussi prolonger ce délai jusqu'à 12 mois, ce qui te force à rembourser des clients longtemps après la vente.

Pilier 3 — RGPD et politique de confidentialité

Dès que ton site collecte la moindre donnée personnelle — un e-mail dans un formulaire de contact, une inscription newsletter, un compte client, voire une simple adresse IP via tes statistiques — tu traites des données personnelles. Et le RGPD s'applique.

À vérifier :

• Une politique de confidentialité est en ligne et accessible, distincte des mentions légales.
• Elle indique quelles données tu collectes, dans quel but, et combien de temps tu les conserves.
• La base légale de chaque traitement est précisée (consentement, contrat, intérêt légitime).
• Les droits des personnes sont expliqués : accès, rectification, suppression, opposition, portabilité, et comment les exercer.
• Chaque formulaire ne collecte que le strict nécessaire (principe de minimisation) : pas de champ « date de naissance » obligatoire si tu n'en as pas besoin.
• Le consentement est recueilli sans case pré-cochée pour la newsletter ou la prospection.
• Tes sous-traitants sont mentionnés (outil d'e-mailing, hébergeur, solution de paiement) et un transfert hors UE éventuel est encadré.

Pourquoi c'est sérieux : le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour un petit site, la CNIL prononce plus souvent des sanctions de quelques milliers à quelques dizaines de milliers d'euros — mais elles tombent, même sur des TPE, généralement après une simple plainte d'un visiteur.

La CNIL n'attend pas que tu sois une grande entreprise. Un formulaire de contact sans information sur le traitement des données suffit à constituer un manquement.

Pilier 4 — Cookies et traceurs

C'est le pilier le plus visible pour le visiteur, et l'un des plus contrôlés. Le simple bandeau « En continuant, vous acceptez les cookies » ne suffit plus depuis des années.

À vérifier :

• Un bandeau de consentement s'affiche dès l'arrivée, avant tout dépôt de cookie non essentiel.
• Aucun cookie de mesure d'audience ou publicitaire n'est déposé avant le consentement (Google Analytics, pixels Meta, etc. doivent attendre le « oui »).
• Refuser est aussi simple qu'accepter : un bouton « Tout refuser » est visible au même niveau que « Tout accepter ». Pas de bouton refus caché ou en gris pâle.
• Le consentement est granulaire : le visiteur peut choisir par catégorie (mesure d'audience, marketing, etc.).
• Le choix peut être retiré aussi facilement qu'il a été donné.
• Les cookies strictement nécessaires (panier, session) sont exemptés de consentement, ce qui est normal.

Pourquoi c'est sérieux : les règles cookies découlent de la directive ePrivacy et des lignes directrices de la CNIL. Elle a multiplié les sanctions sur ce sujet précis. Les manquements liés aux cookies relèvent ici de la loi Informatique et Libertés, avec un plafond pouvant aller jusqu'à 2 % du chiffre d'affaires mondial. La CNIL a notamment infligé des amendes de plusieurs dizaines à plusieurs centaines de millions d'euros à de grands acteurs pour un bouton « refuser » manquant ou trop compliqué à trouver.

Pilier 5 — Sécurité et HTTPS

La conformité, ce n'est pas que du juridique : c'est aussi technique. Et le minimum vital, c'est le chiffrement de ton site.

À vérifier :

• Ton site est servi en HTTPS : le cadenas est présent dans la barre d'adresse, l'URL commence par https://.
• Le certificat SSL/TLS est valide et non expiré. Un certificat périmé affiche un avertissement rouge effrayant à tes visiteurs.
• Tout le trafic HTTP est redirigé vers HTTPS : aucune page ne reste accessible en clair.
• Aucun contenu mixte (images ou scripts chargés en http:// sur une page sécurisée), qui casse le cadenas.
• Les formulaires qui collectent des données passent bien par HTTPS.

Pourquoi c'est sérieux : le RGPD impose une obligation de sécurité des données (article 32) : tu dois mettre en œuvre des mesures techniques appropriées. Transmettre un e-mail ou un mot de passe en clair, sans chiffrement, est un manquement direct à cette obligation. Au-delà du risque de sanction, un site en HTTP simple est déclassé par les navigateurs (« Non sécurisé » affiché à côté de l'URL) et par les moteurs de recherche. La bonne nouvelle : le HTTPS est aujourd'hui gratuit (Let's Encrypt) et activé par défaut chez la plupart des hébergeurs.

Pilier 6 — Accessibilité de base

Souvent oubliée, l'accessibilité monte en puissance dans les obligations légales. Pour un site privé classique, ce n'est pas encore aussi contraignant que pour le secteur public, mais certaines règles s'imposent à de plus en plus d'acteurs, et c'est un signal de qualité.

À vérifier dès le lancement :

• Toutes les images informatives ont un texte alternatif (alt) lisible par un lecteur d'écran.
• Les contrastes de couleur sont suffisants entre le texte et le fond (un texte gris clair sur fond blanc est illisible pour beaucoup).
• Le site est navigable au clavier : on peut atteindre les liens et formulaires sans souris.
• La structure des titres est logique (un seul h1, puis h2, h3 imbriqués correctement).
• Les formulaires ont des libellés (label) associés à chaque champ.
• La langue de la page est déclarée (lang="fr").

Pourquoi c'est important : le RGAA (Référentiel Général d'Amélioration de l'Accessibilité) s'impose au secteur public et, sous l'effet de l'European Accessibility Act, à un nombre croissant d'acteurs privés du e-commerce et des services en ligne. Pour les entités concernées, l'absence de mise en conformité peut entraîner des sanctions administratives de l'ordre de 20 000 € à 50 000 €. Même si tu n'es pas encore légalement obligé, une base accessible élargit ton audience et améliore ton référencement.

Le récap : ta checklist avant de cliquer sur « publier »

Avant la mise en ligne, assure-toi d'avoir coché :

• Mentions légales complètes, accessibles partout, conformes à ta vraie situation.
• CGV / CGU rédigées et accessibles si tu vends ou proposes des comptes.
• Politique de confidentialité + formulaires conformes au RGPD.
• Bandeau cookies avec refus aussi simple que l'acceptation, et aucun traceur avant consentement.
• HTTPS actif partout, certificat valide, redirection en place.
• Accessibilité de base : alt, contrastes, navigation clavier, structure de titres.

Faire ce tour à la main est long, et il est facile d'oublier un point précis (un cookie qui se déclenche trop tôt, une mention absente). C'est exactement pour ça que Lumiq existe : tu colles l'URL de ton site, et en 30 secondes tu obtiens une analyse gratuite avec un score de conformité pilier par pilier. Tu vois d'un coup d'œil ce qui manque, et tu peux générer dans la foulée les documents qui te font défaut (mentions légales, CGV, politique de confidentialité, gestion des cookies).

Questions fréquentes

Dois-je vraiment tout ça pour un simple site vitrine sans vente ?

Oui, en grande partie. Même sans vente, les mentions légales sont obligatoires (LCEN), et dès qu'un formulaire de contact existe, le RGPD et la politique de confidentialité s'appliquent. Les cookies aussi, si tu utilises un outil de statistiques. Seules les CGV/CGU peuvent être mises de côté tant que tu ne vends rien et n'ouvres pas de comptes. Un site vitrine n'est donc jamais totalement dispensé.

Combien de temps faut-il pour mettre un site en conformité avant le lancement ?

À la main, compte plusieurs heures, voire une journée, surtout pour rédiger des documents corrects et vérifier le comportement des cookies. Avec une analyse automatisée comme Lumiq, le diagnostic prend 30 secondes et te dit précisément ce qu'il reste à faire. La rédaction des documents manquants se fait ensuite en quelques minutes plutôt qu'en partant d'une page blanche.

Que se passe-t-il si je lance sans être en conformité ?

La sanction ne dépend pas de ta taille ni de ton trafic. Une seule plainte d'un visiteur, un contrôle aléatoire de la CNIL, ou un client qui signale tes CGV à la DGCCRF suffit. Les montants vont de quelques milliers d'euros à plusieurs dizaines de milliers pour une TPE, et les plafonds légaux montent à 375 000 € (mentions légales) et jusqu'à 20 millions d'euros ou 4 % du CA (RGPD). Le risque est réel dès le premier jour de mise en ligne.

Les générateurs gratuits de mentions légales suffisent-ils ?

Ils peuvent servir de point de départ, mais ils produisent des textes génériques qui ne collent pas toujours à ta situation réelle (statut juridique, hébergeur, traitements de données spécifiques). Des documents inexacts ne te protègent pas, et peuvent même se retourner contre toi en cas de litige. L'important n'est pas seulement d'avoir un document, mais d'avoir le bon document, à jour et cohérent avec ton activité.