Un script tiers peut changer du jour au lendemain, et vous n'en saurez rien
Vous n'auditez pas un fichier, vous auditez une adresse dont le contenu est mis à jour par quelqu'un d'autre. Ce que cela implique.
contient une mesure de notre moteur
C’est le risque le moins discuté des scripts tiers : ce n’est pas leur contenu d’aujourd’hui qui compte, c’est celui de demain.
Le mécanisme
Vous collez une balise qui pointe vers l’adresse d’un script. À chaque chargement de votre page, le fichier actuel est récupéré chez le tiers.
Ce fichier peut changer sans que rien ne vous prévienne : nouvelle fonctionnalité, nouveau partenaire de mesure, nouvelle collecte, ou compromission de l’hébergeur.
Le script s’exécute dans votre page, avec les mêmes droits que votre propre code : il peut lire votre page, ses formulaires, et ce que le visiteur y saisit.
Ce que cela a produit dans la vraie vie
Des compromissions de bibliothèques tierces ont conduit à des vols de données de paiement sur des sites qui n’avaient rien modifié. Le site était intact ; le fichier appelé ne l’était plus.
Les trois protections
1. Le contrôle d’intégrité. Un attribut sur la balise déclare l’empreinte attendue du fichier. Si le fichier change, le navigateur refuse de l’exécuter.
Sa limite : il est incompatible avec un script conçu pour évoluer, ce qui est le cas des outils de mesure et de publicité. Il est parfait pour une bibliothèque figée et pointée par version.
2. Une politique de sécurité de contenu. Elle déclare les domaines autorisés à fournir des scripts. Un nouveau domaine introduit par un script existant est alors bloqué.
C’est la protection la plus efficace contre l’introduction en cascade, et la plus laborieuse à mettre en place.
3. L’auto-hébergement, quand c’est possible. Vous prenez la responsabilité des mises à jour, et vous supprimez le risque de changement à votre insu.
Le raisonnement de fond
Chaque script tiers est une délégation de confiance permanente, pas un téléchargement unique. La question n’est donc pas « est-ce que ce script est propre » mais « est-ce que je fais confiance à cette organisation pour les cinq prochaines années ».
Le contrôle
Notre moteur regarde le socle technique, notamment la présence d’une politique de sécurité de contenu. C’est le pilier qui pèse le moins, 8 %, et sur notre propre page il est à 90 sur cent, mesuré le 10 septembre 2026 : nous n’avons pas tout mis en place non plus.
Nous préférons publier cette note que la taire : 0 organisation tierce sur notre page réduit le risque à peu près à zéro, mais ce n’est pas une raison de prétendre que le reste est parfait.