Google Fonts et RGPD : héberger vos polices en local sur WordPress

Si votre site WordPress charge Google Fonts depuis les serveurs de Google, le navigateur de chaque visiteur se connecte à Google et lui révèle son adresse IP. C’est tout l’enjeu de Google Fonts au regard du RGPD : il vous faut une base légale pour transmettre cette adresse, et un tribunal allemand a jugé qu’un site qui procédait ainsi n’en avait aucune. La solution propre est simple : héberger les fichiers de polices sur votre propre serveur.

Ce guide présente le jugement et ce qui a changé depuis, explique comment vérifier si votre site charge encore des polices depuis Google, et décrit trois façons de les héberger vous-même sous WordPress.

Ce qu’a décidé le tribunal de Munich sur Google Fonts et le RGPD

Le 20 janvier 2022, le tribunal régional de Munich I (Landgericht München I, affaire 3 O 17493/20) a statué sur le cas d’un site web qui intégrait Google Fonts directement depuis les serveurs de Google. Chaque page vue transmettait l’adresse IP du visiteur à Google. D’après le jugement publié (en allemand), le tribunal a retenu les points suivants :

• Pour l’exploitant du site, l’adresse IP dynamique du visiteur est une donnée personnelle.
• Le visiteur n’avait pas consenti à sa transmission à Google.
• L’exploitant n’avait pas d’intérêt légitime, puisque les polices pouvaient être utilisées sans aucune connexion aux serveurs de Google, en les hébergeant localement.
• Le visiteur a obtenu 100 € de dommages et intérêts.

Il s’agit du jugement d’un tribunal régional dans une seule affaire, et non d’une décision de la Cour de justice de l’Union européenne. Mais le raisonnement est facile à suivre, et ses conséquences ont largement dépassé ce dossier.

La vague de mises en demeure de 2022

Fin 2022, le jugement a été suivi en Allemagne d’une vague de mises en demeure en série, l’« Abmahnwelle ». Ces courriers réclamaient de l’argent aux propriétaires de sites qui chargeaient encore Google Fonts à distance. Plusieurs d’entre eux ont ensuite été considérés comme abusifs.

Si vous recevez un tel courrier, ne payez rien et ne signez rien dans la précipitation : faites-le examiner par un avocat. Dans tous les cas, corrigez la cause pour que la question ne se pose plus.

Le Data Privacy Framework ne règle-t-il pas la question ?

En partie seulement. Le cadre de protection des données UE–États-Unis (Data Privacy Framework, DPF), qui repose sur la décision d’adéquation de la Commission européenne du 10 juillet 2023, offre une base d’adéquation aux transferts vers les entreprises américaines certifiées, et Google LLC est certifiée. Le Tribunal de l’Union européenne a rejeté un recours contre le DPF (affaire T-553/23, Latombe/Commission) le 3 septembre 2025. Un pourvoi devant la Cour de justice a été formé le 31 octobre 2025 et reste pendant : la situation pourrait donc évoluer.

Le jugement de Munich est antérieur au DPF. Le DPF affaiblit l’argument du pays tiers, c’est-à-dire la crainte que les données aboutissent aux États-Unis sans protection adéquate. Il ne touche pas à l’autre argument : il vous faut d’abord une base légale pour envoyer l’adresse IP à Google, et un intérêt légitime est difficile à invoquer quand vous pourriez tout simplement héberger les polices vous-même.

L’hébergement local reste donc la solution propre. C’est aussi un exemple type de protection des données dès la conception (article 25 du RGPD) : les données ne quittent tout simplement jamais votre serveur.

Comment vérifier si votre site charge Google Fonts

Avec les outils de développement du navigateur

1. Ouvrez votre site dans une fenêtre de navigation privée.
2. Ouvrez les outils de développement (F12, ou Cmd+Option+I sur Mac) et passez à l’onglet Réseau.
3. Cochez Désactiver le cache et rechargez la page.
4. Saisissez fonts.googleapis.com dans le champ de filtre, puis fonts.gstatic.com.

Toute requête vers ces domaines signifie que la page charge Google Fonts : fonts.googleapis.com fournit le CSS, fonts.gstatic.com les fichiers de polices eux-mêmes.

Refaites l’opération sur plusieurs types de pages : page d’accueil, article de blog, page de contact, boutique et tunnel de commande, page de connexion. Les sliders, générateurs de formulaires, extensions de cartes ou bannières de cookies chargent parfois leurs propres polices, uniquement sur les pages où ils apparaissent.

Avec le code source de la page et les fichiers du thème

Affichez le code source de la page (Ctrl+U, ou Cmd+Option+U sur Mac) et recherchez les deux mêmes domaines. Vous trouverez ainsi les balises <link> et les indications de preconnect, mais pas les polices importées dans des fichiers CSS ou chargées par JavaScript : l’onglet Réseau reste le test fiable.

Avec un accès shell, vous pouvez aussi lister les fichiers de thèmes et d’extensions qui les mentionnent :

grep -rl -e "fonts.googleapis.com" -e "fonts.gstatic.com" wp-content/themes wp-content/plugins

Les constructeurs de pages enregistrent souvent le choix des polices dans la base de données : un résultat vide ici ne prouve donc pas que le site est propre.

Héberger Google Fonts en local sur WordPress

Trois voies s’offrent à vous, de la plus simple à la plus exigeante. Après chacune, refaites la vérification dans l’onglet Réseau.

Option 1 : thème, constructeur de pages ou bibliothèque de polices

Beaucoup de thèmes et de constructeurs de pages proposent désormais un réglage qui charge Google Fonts localement. L’intitulé varie (« load fonts locally », « self-host fonts » ou leur traduction) : parcourez l’outil de personnalisation du thème ainsi que les réglages de performance ou de confidentialité du constructeur.

Si vous utilisez un thème de blocs, la bibliothèque de polices de WordPress 6.5 et des versions ultérieures s’en charge pour vous. Dans l’éditeur de site, ouvrez Styles, puis Typographie, et gérez vos polices. La première fois que vous parcourez la collection Google Fonts, vous autorisez WordPress à se connecter à Google ; les polices que vous installez sont ensuite téléchargées et stockées sur votre site, et c’est de là que les visiteurs les chargent (Learn WordPress).

Option 2 : une extension de polices locales

Plusieurs extensions du répertoire WordPress.org détectent les requêtes vers Google Fonts, téléchargent les fichiers sur votre serveur et réécrivent les références. Cherchez « local Google Fonts » dans le répertoire. Choisissez-la avec le même soin que n’importe quelle autre extension ; notre guide sur les extensions WordPress vulnérables explique ce qu’il faut vérifier.

Option 3 : des règles @font-face dans un thème enfant

Cette méthode vous donne un contrôle total, sans extension supplémentaire :

1. Téléchargez la famille de polices et ne gardez que les styles et graisses que vous utilisez. Pour le web, le format WOFF2 est le plus compact.
2. Copiez les fichiers dans un dossier fonts de votre thème enfant, avec le fichier de licence de la police.
3. Ajoutez des règles @font-face dans une feuille de style chargée par votre thème enfant, en général son style.css.
4. Empêchez le thème de charger la copie distante.

Un exemple minimal pour deux graisses de la police Inter :

@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url("fonts/inter-400.woff2") format("woff2");
}
@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 700;
  font-display: swap;
  src: url("fonts/inter-700.woff2") format("woff2");
}
body {
  font-family: "Inter", system-ui, sans-serif;
}

Le chemin indiqué dans url() est relatif au fichier CSS : fonts/ désigne donc le dossier situé à côté de style.css.

Pour bloquer la copie distante, utilisez l’option du thème s’il en propose une. Sinon, repérez dans le code source de la page la balise <link> qui pointe vers fonts.googleapis.com : son id ressemble à themename-fonts-css, et l’identifiant (handle) de la feuille de style correspond à cet id sans -css. Ajoutez ensuite ceci au functions.php du thème enfant :

add_action( 'wp_enqueue_scripts', function () {
    wp_dequeue_style( 'themename-fonts' ); // remplacez par le véritable identifiant
}, 20 );

Supprimez aussi les indications preconnect vers fonts.gstatic.com : un preconnect ouvre une connexion au serveur de Google même si aucune police n’en est téléchargée.

À propos de la licence : selon le dépôt Google Fonts, la plupart des polices de la collection sont sous SIL Open Font License 1.1, certaines sous licence Apache 2 ou Ubuntu Font License. L’OFL autorise l’utilisation, l’intégration et la redistribution des polices : les héberger vous-même ne pose donc pas de problème. Les polices d’autres origines peuvent avoir des conditions différentes, alors lisez toujours la licence.

Vérifiez aussi les autres requêtes vers des tiers

La même logique vaut pour tout ce qu’une page charge depuis le serveur d’une autre entreprise : l’adresse IP du visiteur y part dès l’ouverture de la page. L’onglet Réseau toujours ouvert, repérez :

• Google Maps et les autres cartes intégrées
• les vidéos YouTube ou Vimeo intégrées
• les scripts, feuilles de style ou polices d’icônes chargés depuis des CDN publics
• reCAPTCHA et les vérifications anti-robots similaires
• les images Gravatar dans les commentaires (Réglages → Discussion → Avatars)
• les widgets de chat et les outils de mesure d’audience

Pour chacun, décidez s’il faut l’héberger vous-même (scripts, feuilles de style, polices d’icônes), ne le charger qu’après un clic (cartes et vidéos derrière une image de remplacement) ou demander le consentement là où il est requis, et décrivez ce qui subsiste dans votre politique de confidentialité.

Les scripts externes posent aussi une question de sécurité, car ils s’exécutent avec un accès complet à vos pages. Notre checklist de sécurité WordPress couvre cet aspect.

FAQ

Faut-il un consentement pour des polices hébergées en local ?

Les polices servies depuis votre propre serveur fonctionnent comme vos images et vos feuilles de style : aucune donnée de visiteur ne part chez Google, et le problème soulevé dans l’affaire de Munich ne se pose donc pas.

Le DPF suffit-il pour continuer à charger les polices depuis Google ?

Tant qu’il tient, il fournit une base d’adéquation pour le transfert vers les États-Unis. Il ne dit pas s’il est nécessaire d’envoyer l’adresse IP à Google en premier lieu. L’hébergement local évite les deux questions.

Héberger les polices en local va-t-il ralentir mon site ?

En général, non. Le navigateur n’a plus besoin d’ouvrir une connexion distincte vers les domaines de Google, et vous ne livrez que les graisses que vous utilisez réellement.

Cet article est une information générale et ne constitue pas un conseil juridique.