Boutiques en ligne : les quatre risques, là où l'argent change de mains
Le site d'une boutique est sa caisse. Il reçoit les données de carte, fait tourner des balises publicitaires et, depuis juin 2025, doit fonctionner pour les clients en situation de handicap. C'est là que les quatre risques coûtent le plus aux boutiques, décisions à l'appui.
d'une centaine des plus grandes boutiques en ligne néerlandaises n'étaient pas accessibles aux clients qui utilisent une technologie d'assistance, lors du contrôle de l'ACM, l'autorité néerlandaise de la consommation et des marchés, en 2026.
ACM, 24 mars 2026d'amende de la CNIL contre Fnac Darty et Fnac Direct en octobre 2026, pour un traceur utilisé sans consentement et des refus ignorés.
CNIL, 29 oct. 2026du million de pages d'accueil les plus fréquentées présentaient des défauts d'accessibilité détectables en février 2026.
WebAIM, mis à jour 30 mars 2026À quoi ressemble chacun dans votre activité
E-mails en votre nom
Un client demande où en est son remboursement. Une réponse arrive de votre adresse exacte et lui demande de confirmer sa carte sur une page qui ressemble à votre page de paiement. Sans politique DMARC contraignante, rien n'empêche cet e-mail d'être distribué.
- Les e-mails de commande, d'expédition et de remboursement sont ceux que vos clients attendent de vous : un faux est donc cru.
- Gmail, Yahoo et Outlook refusent désormais ou classent en spam les envois en masse des domaines sans SPF, DKIM et DMARC : ces mêmes enregistrements décident donc aussi si vos newsletters arrivent (DMARC Report, 2025).
- En France, 72 % des domaines surveillés n'avaient pas de protection DMARC efficace en septembre 2026 (DmarcDkim.com, sept. 2026).
Suivi avant consentement
Vos pages produits font tourner un pixel Meta et des balises Google Ads. S'ils se déclenchent avant que le visiteur ait répondu au bandeau, ou si refuser demande plus de clics qu'accepter, c'est le manquement que les régulateurs sanctionnent le plus souvent.
- L'AP, l'autorité néerlandaise de protection des données, a infligé 600 000 € d'amende à la société derrière Kruidvat pour avoir suivi des visiteurs au moyen de cases cookies précochées ; la société a contesté (Autoriteit Persoonsgegevens, 16 juil. 2024).
- La CNIL a infligé 7 millions d'euros d'amende à Fnac Darty et Fnac Direct en octobre 2026 pour un traceur utilisé sans consentement et des refus ignorés (CNIL, 29 oct. 2026).
- Une boutique qui intègre un plugin de réseau social peut partager la responsabilité de ce qu'il collecte : la Cour de justice de l'UE l'a dit à propos de Fashion ID, un vendeur de vêtements en ligne (Court of Justice of the EU, 29 juil. 2019).
Clients en situation de handicap
Un client aveugle fait ses achats avec un lecteur d'écran. Le choix de la taille est une image, le bouton du panier n'a pas de nom et le formulaire d'adresse piège le clavier. La vente est perdue et, depuis le 28 juin 2025, la loi s'en mêle.
- Les boutiques en ligne qui vendent aux consommateurs entrent pleinement dans le champ de l'European Accessibility Act (EAA, directive (UE) 2019/882), sauf si elles ont moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan (EUR-Lex, 17 avr. 2019).
- En juin 2026, un tribunal français a ordonné à Carrefour France de rendre son site et son application entièrement accessibles, avec une astreinte de 500 € par jour passé six mois (Tribunal judiciaire de Caen, 4 juin 2026).
- L'ACM a constaté en 2026 que 61 % d'une centaine des plus grandes boutiques en ligne néerlandaises n'étaient pas accessibles (ACM, 24 mars 2026).
Paiement et sécurité du site
Votre page de paiement charge un widget de chat, une balise d'analyse d'audience et un formulaire de paiement. Si l'un de ces scripts est modifié par quelqu'un d'autre, il peut copier les données de carte pendant que les clients les saisissent, et les commandes passent quand même.
- L'ICO, l'autorité britannique de protection des données, a infligé 1,25 million de livres d'amende à Ticketmaster UK après qu'un chatbot tiers installé sur sa page de paiement a servi à voler des données de carte en 2018 (Hunton Andrews Kurth, 16 nov. 2020).
- Depuis le 31 mars 2025, les règles du secteur des cartes imposent aux boutiques qui hébergent leurs pages de paiement d'inventorier, d'autoriser et de surveiller chaque script qui s'y trouve : ce sont les exigences 6.4.3 et 11.6.1 de PCI DSS 4.0.1 (Deepstrike, 4 nov. 2026).
- En 2024, un script très répandu, polyfill.io, a changé de propriétaire et s'est mis à diffuser du code malveillant sur plus de 100 000 sites (Sansec, 25 juin 2024).
L'European Accessibility Act s'applique-t-il à vous ?
Oui, dans la plupart des cas. La vente en ligne aux consommateurs fait partie des services que le texte cite.
L'EAA couvre les services de commerce électronique : les services fournis à distance, par des sites web et des applications, à la demande d'un consommateur, en vue de conclure un contrat de consommation. Le texte s'applique depuis le 28 juin 2025. Les microentreprises qui fournissent des services en sont exemptées : moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires annuel ou de total de bilan. Les contrats de services conclus avant le 28 juin 2025 peuvent continuer sans changement jusqu'à leur échéance, pendant cinq ans au plus (EUR-Lex, 17 avr. 2019).
Probablement concerné
- Une boutique en ligne qui vend aux consommateurs, avec 10 salariés ou plus, ou plus de 2 millions d'euros de chiffre d'affaires et de total de bilan.
- L'application, le compte client, le paiement et les retours de cette même boutique.
Probablement hors champ
- Une microentreprise : moins de 10 salariés et au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan.
- Les ventes aux seules entreprises, sans contrat de consommation.
Au Royaume-Uni, l'EAA ne s'applique pas aux boutiques britanniques qui vendent au Royaume-Uni, mais l'Equality Act 2010 s'applique : un prestataire de services ne doit pas discriminer et doit procéder à des aménagements raisonnables, quelle que soit sa taille (Equality Act 2010, consulté 8 nov. 2026).
Notre lecture de la directive et des lignes directrices des régulateurs, pas un conseil juridique. Si votre cas est proche de la limite, consultez un avocat.
Des vérifications à faire en une minute
Quelqu'un peut-il envoyer des e-mails en votre nom ?
Lancez la vérification e-mail gratuite sur le domaine de votre boutique. Vous visez DMARC en p=quarantine ou p=reject, et une clé DKIM pour chaque service qui envoie vos e-mails de commande et vos newsletters.
Les balises démarrent-elles avant la réponse du visiteur ?
Ouvrez votre boutique dans une fenêtre de navigation privée et ne touchez pas au bandeau. Dans les outils de développement du navigateur, l'onglet Réseau montre si Meta, Google Ads ou l'analyse d'audience se chargent quand même. Le bouton Refuser est-il aussi facile à trouver que le bouton Accepter ?
Pouvez-vous acheter au clavier seul ?
Rangez la souris. Avec Tab, Maj+Tab et Entrée, choisissez un produit et une taille, ajoutez-le au panier, remplissez l'adresse et allez jusqu'à l'étape du paiement.
Qui a validé chaque script de votre page de paiement ?
À l'étape du paiement, listez chaque domaine extérieur que la page charge (outils de développement, onglet Réseau). Chacun doit avoir un nom, une raison d'être et un responsable.
À quand remonte la dernière mise à jour du logiciel de la boutique ?
Vérifiez la version de votre plateforme et de chaque extension. Un logiciel en fin de vie ne reçoit plus de correctifs : des milliers de boutiques Magento 1 ont été piratées en un seul week-end en septembre 2020, trois mois après la fin du support (Sansec, 14 sept. 2020, mis à jour 18 sept. 2020).
Y a-t-il une déclaration d'accessibilité ?
Si l'EAA s'applique à vous, vous devez publier la façon dont votre boutique respecte les exigences, dans vos conditions générales ou un document équivalent (EUR-Lex, 17 avr. 2019).
Cadenas et en-têtes
Tapez http:// suivi de votre domaine : vous devez arriver sur https:// sans avertissement. Un outil gratuit de vérification des en-têtes montre quels en-têtes de sécurité votre boutique envoie.
Ce que se disent les dirigeants de ce secteur
Website Exposure Bundle
Les trois, plus une mise en relation avec notre avocat partenaire pour vos mentions légales et votre politique de confidentialité, à son forfait, facturé par lui.
Maintenir dans la durée : à partir de 39 € par mois
Confirmez-le par une vraie analyse
Nous lisons seulement ce que montrent n'importe quel visiteur et les enregistrements DNS publics : aucun accès à vos comptes, aucun test de vos systèmes. Vous recevez par e-mail un rapport privé avec captures d'écran, un score par risque et des prix fixes.
Le détail, pour qui veut aller plus loin
Deux mille boutiques en un après-midi
Le 11 juin 2024, Adobe a publié un correctif pour une faille du logiciel qui fait tourner de nombreuses boutiques Magento et Adobe Commerce. Une semaine plus tard, une société de sécurité constatait que 75 % des boutiques ne l'avaient toujours pas installé. Le 14 octobre, plus de 2 000 boutiques ont été piratées en quelques heures, dans ce que cette société a appelé le plus grand piratage automatisé à ce jour (Sansec, 2024).
Aucune de ces boutiques n'avait été choisie. Un script les a trouvées, parce qu'elles n'avaient pas été mises à jour.
Ce qui s'applique, marché par marché
Cookies et traceurs
La CNIL contrôle le consentement aux traceurs non essentiels. Refuser doit être aussi simple qu'accepter. Ses amendes en matière de cookies vont jusqu'à 325 millions d'euros (CNIL, 2025 à 2026), et sa procédure simplifiée sanctionne les petites entreprises de quelques milliers d'euros à chaque fois (Journal de l'économie, 7 juil. 2026).
Accessibilité
L'EAA s'applique en France depuis le 28 juin 2025, et les tribunaux français en sont désormais saisis : en juin 2026, l'un d'eux a ordonné à un distributeur de rendre son site et son application entièrement accessibles (Tribunal judiciaire de Caen, 4 juin 2026).
Paiements par carte
PCI DSS s'applique dans tous les pays. Même une boutique qui confie tous ses paiements à son prestataire doit valider sa conformité, en général avec un questionnaire d'auto-évaluation (PCI Security Standards Council, consulté 8 nov. 2026).
Décisions et jugements dans ce secteur
| Marché | Date | Qui a décidé | Contre | Résultat | Motif | Source |
|---|---|---|---|---|---|---|
| FR | sept. 2025 | CNIL | Shein (Infinite Styles Services) | 150 000 000 € | Cookies déposés sans consentement | CNIL |
| FR | juin 2026 | Tribunal judiciaire de Caen | Carrefour France | Obligation d'être entièrement accessible sous six mois, sous astreinte journalière | Boutique en ligne et application non accessibles (EAA) | PinMeTo |
| FR | mai 2026 | Tribunal de Lille | Auchan | Demande rejetée pour un motif de procédure ; appel en cours | Le tribunal a relevé que le site ne respectait pas les normes d'accessibilité | PinMeTo |
| FR | déc. 2025 | CNIL | Un distributeur (anonymisé par la CNIL) | 3,5 millions d'euros | Données des membres du programme de fidélité transmises à un réseau social pour du ciblage publicitaire sans consentement valable | CNIL |
| FR | oct. 2026 | CNIL | Fnac Darty et Fnac Direct | 7 millions d'euros | Cookies et traceurs, y compris dans l'application mobile | CNIL |
| NL | déc. 2024 | Autoriteit Persoonsgegevens | Coolblue | 40 000 € | Cookies de suivi sans consentement valable | Privacy-web |
| NL | juil. 2024 | Autoriteit Persoonsgegevens | Kruidvat | 600 000 € (selon la presse) | Cookies de suivi sans consentement | Dutch IT Channel |
| NL | mai 2024, réduction en mai 2025 | Autoriteit Persoonsgegevens | AS Watson | Montant non publié supérieur à 50 000 €, ramené à 50 000 € après recours | Manquements en matière de cookies | PPC Land |
| NL | mars 2026 | ACM | Une centaine des plus grandes boutiques en ligne | 61 % jugées non accessibles | Contrôle EAA avec des utilisateurs en situation de handicap | ACM |
| EU | juil. 2019 | Cour de justice de l'UE (C-40/17) | Fashion ID, un vendeur de vêtements en ligne | Décision de responsabilité conjointe | Intégrer un plugin de réseau social sur une page de boutique a rendu la boutique responsable conjointe de la collecte et de la transmission des données des visiteurs | Court of Justice of the EU |
| UK | nov. 2020 | ICO | Ticketmaster UK | 1 250 000 £ | Un chatbot tiers sur la page de paiement a été compromis et utilisé pour voler des données de carte en 2018 | Hunton Andrews Kurth |
Les questions à se poser
Vos réponses restent sur cette page. Chacune montre pourquoi elle compte.
Qui tient à jour le logiciel et les extensions de votre boutique ?
Combien de scripts extérieurs se chargent sur votre page de paiement ?
Où vos clients saisissent-ils leur numéro de carte ?
Avez-vous 10 salariés ou plus, ou plus de 2 millions d'euros de chiffre d'affaires ?
réponses signalent un point à corriger.
L'évaluation complète note les quatre risques et établit votre liste pour les 30 prochains jours.
Ceci n'est pas un conseil juridique. L'application de l'EAA à une boutique donnée dépend de sa taille et de sa façon de vendre ; dans les cas limites, un avocat doit le confirmer.