Qu'est-ce qu'un audit de conformité de site web ? Guide pratique pour PME

Si vous gérez une PME avec un site internet, les règles à respecter se sont multipliées ces cinq dernières années. Les lois d'accessibilité atteignent désormais les entreprises privées dans l'UE, au Royaume-Uni, aux États-Unis, au Canada et en Australie. Les régulateurs de la vie privée sont passés des lettres d'avertissement aux amendes proportionnelles au chiffre d'affaires. Le consentement aux cookies, jadis casse-tête purement européen, apparaît désormais en Californie, dans le Colorado, le Connecticut, le Texas et une liste croissante d'États.

Un audit de conformité vous indique si votre site respecte vraiment les lois qui le concernent. Cet article décrit ce que couvre l'audit, comment le mener sans des semaines de prestation, et ce qu'une PME doit corriger en priorité.

Ce que l'audit vérifie réellement

Il n'existe pas de loi mondiale unique sur la « conformité web ». L'audit est une check-list issue des règlements applicables là où vivent vos visiteurs. Pour les PME opérant en UE, au UK ou aux US, les quatre listes ci-dessous couvrent 90 % du risque réel.

1. Accessibilité

La cible de travail est WCAG 2.1 Niveau AA, encore faut-il savoir quelle loi renvoie à quelle version. L'Acte européen sur l'accessibilité (en vigueur depuis le 28 juin 2025) atteint WCAG 2.1 AA via la norme harmonisée EN 301 549. L'AODA impose WCAG 2.0 AA, pas 2.1 (O. Reg. 191/11 art. 14, à l'exception des critères 1.2.4 et 1.2.5). Le UK Equality Act 2010 ne nomme aucun standard technique : au Royaume-Uni, WCAG 2.1 AA ne s'impose qu'au secteur public, par les Accessibility Regulations 2018. Et l'ADA Title III n'adopte pas davantage de standard, la règle du ministère de la Justice américain d'avril 2024 fixe WCAG 2.1 AA pour les seules entités publiques relevant du Title II. Viser 2.1 AA satisfait les quatre, d'où son statut de cible raisonnable.

Un scan automatisé couvre la part de WCAG testable par machine, que l'on chiffre classiquement à environ un tiers des critères de succès : contraste de couleur, alt manquants, étiquettes de formulaire, liens et boutons sans nom accessible, langue de page absente, mauvais usage d'ARIA. Il ne détecte ni les pièges au clavier, ni l'ordre de tabulation, ni la visibilité du focus, ni le reflow, ni la qualité réelle d'un texte alternatif. Veracly classe 29 critères WCAG comme manuels et neutres au score précisément pour cette raison. Un scan vous dit si les problèmes évidents existent ; aucun scan ne vous déclare conforme.

À lire : l'audit d'accessibilité WCAG 2.1 AA expliqué.

2. Vie privée et consentement

Pour les visiteurs UE/UK, le consentement aux cookies et trackers non essentiels est requis avant le déclenchement du script. Un véritable audit capture le trafic réseau au tout premier chargement, avant tout clic. Les bannières du type « en poursuivant la navigation, vous acceptez » ou celles qui posent des trackers au load sont les défaillances les plus fréquentes, et les plus visibles pour la CNIL.

À lire : qu'est-ce qu'un audit RGPD cookies ?

3. Tracking et analytics

Sont passés au crible les pixels (Meta, TikTok, LinkedIn, Google Ads), les session-recorders (Hotjar, FullStory, Microsoft Clarity), les tags publicitaires et tout outil qui transmet le comportement visiteur à un tiers. Chacun a des implications RGPD, ePrivacy et de plus en plus de droit US d'État. La solution n'est presque jamais de les retirer, mais de les charger après consentement et de les divulguer.

À lire : audit des pixels de tracking : RGPD et ePrivacy.

4. Pages légales obligatoires

• Politique de confidentialité conforme à ce que fait réellement le site
• Politique cookies avec inventaire à jour
• Déclaration d'accessibilité (obligatoire sous l'Acte européen sur l'accessibilité depuis juin 2025)
• Mentions légales (obligatoires en France pour les e-commerces et services pros)
• CGV/CGU si vous vendez quoi que ce soit

Reste à savoir quelle moitié de cette liste un scanner peut réellement trancher. Veracly vérifie que la politique de confidentialité, la déclaration d'accessibilité et les mentions légales existent et répondent sur votre propre domaine, et signale les traqueurs observés dont le nom n'apparaît nulle part dans votre texte de confidentialité. Il ne lit pas la politique à la recherche d'un responsable de traitement, d'une base légale ou d'une durée de conservation ; il ne compare pas votre tableau de cookies aux cookies réellement déposés ; et il ne contrôle pas du tout les CGV. Cela relève d'une lecture humaine. Nous préférons le dire plutôt que laisser une coche verte suggérer qu'un juriste a validé.

Audit manuel vs. scan continu

Un audit par un cabinet coûte 5 000 to 20 000 € et prend 2 à 6 semaines pour un site PME. Très bien comme photographie ponctuelle, mais la plupart des régressions arrivent après l'audit, dans les sorties produit normales. Un nouveau widget, un formulaire redessiné, un outil d'analytics ajouté par le marketing sans prévenir la tech. Le scan continu détecte ces régressions le jour même, plutôt que des mois plus tard avec la lettre du régulateur.

Ce qu'une PME doit corriger en premier

1. Cesser de déclencher des trackers avant consentement. Risque le plus élevé, correctif le plus simple. Mettez chaque pixel Meta/TikTok/LinkedIn et tout analytics non essentiel derrière une vérification de consentement.
2. Remplacer la bannière « en poursuivant vous acceptez » par une bannière à boutons Accepter et Refuser de poids égal. La CNIL a sanctionné l'inverse.
3. Corriger les principales infractions WCAG. Contraste, alt manquants, labels, focus, pièges clavier. Cinq points qui concentrent l'essentiel des plaintes.
4. Publier une déclaration d'accessibilité. L'Acte européen sur l'accessibilité (EAA) l'impose depuis juin 2025 pour les produits dans son périmètre.
5. Mettre à jour la politique de confidentialité. La plupart des politiques PME sont des templates sans rapport avec le site réel.

Erreurs fréquentes

Faire confiance à un overlay d'accessibilité. La FTC a infligé 1 M$ à accessiBe en janvier 2025 pour marketing trompeur. Les overlays masquent les problèmes au runtime, le code reste défaillant et reste une base de plainte juridique.

Traiter la conformité comme un sujet US ou UE seulement. La plupart des sites PME accueillent aujourd'hui des visiteurs de plusieurs juridictions.

Auditer une seule fois. Le scénario le plus fréquent : un audit sérieux, un rapport propre, six mois de releases, puis une lettre du régulateur. Intégrez l'audit au processus de release.

Comment Veracly aborde le problème

Veracly a été conçu pour la version PME de cette problématique. Un scan produit simultanément des rapports Acte européen sur l'accessibilité, RGPD et ePrivacy, ADA, UK Equality Act et AODA. Les lois de confidentialité des États américains ne sont pas dans le moteur, et nous préférons nommer le manque plutôt que gonfler la liste.

Le scan gratuit couvre une page, une fois par adresse e-mail sur sept jours glissants. Il utilise les mêmes analyseurs, les mêmes packs de règles et le même calcul de score qu'un scan payant, les constats sont donc réels, mais il est livré volontairement avec des explications IA limitées à ses trois principaux constats, sans les captures de preuve et sans les correctifs prêts à coller, et il s'agit d'un instantané, pas d'un monitoring continu. Cela vient avec une formule payante. Lancez le scan gratuit et voyez votre site comme un régulateur le verrait, avant qu'il ne le voie.