Agreely
FR EN

Vérification et sécurité

Vérification par balise (« snippet »)

Vérifier un site, c'est confirmer que votre balise est bien installée. Vous collez le tag dans votre <head>, vous cliquez sur Vérifier l'installation, et le balayeur d'Agreely ouvre la page et constate la présence de la balise data-agreely portant votre clé.

Il n'y a aucun enregistrement DNS, aucun fichier TXT ni aucun fichier à téléverser pour vérifier une bannière de témoins. La vérification par balise est la seule étape.

À ne pas confondre. La liaison de domaine par DNS décrite dans Le protocole concerne le DID d'entreprise et la signature des racines d'époque, une fonction distincte du reste de la plateforme Agreely. Elle ne s'applique pas à l'installation de la bannière de témoins, qui se vérifie uniquement par la balise.

Liaison d'origine (appliquée côté serveur)

La clé de site (agr_pub_...) est publique : elle vit en clair dans le HTML de votre page. Ce qui la protège n'est pas le secret, mais la liaison d'origine appliquée côté serveur.

Quand la bannière soumet une décision au point de terminaison POST /e/v1/consent, le serveur compare l'origine de la requête au domaine enregistré du site (et à ses origines supplémentaires déclarées). Si l'origine ne correspond pas :

  • la requête est refusée avec un code HTTP 403 (origin_mismatch) ;
  • le refus est fermé par défaut : aucun en-tête Access-Control-Allow-Origin n'est renvoyé, de sorte qu'une page hostile d'un autre domaine ne peut même pas lire la réponse ;
  • l'en-tête d'origine autorisé n'est jamais renvoyé en * : seule l'origine exacte et reconnue est échoée.

Autrement dit, un consentement soumis pour un mauvais domaine est refusé : copier votre clé publique sur un autre site ne permet pas d'enregistrer de consentement en votre nom.

Avertissement côté client

Côté navigateur, si le serveur répond 403 origin_mismatch, le client de la bannière émet un avertissement explicite dans la console :

[Agreely] Consentement refusé (403). Le domaine « exemple.com » n'est pas
autorisé pour cette clé Agreely (data-agreely). Vérifiez que la clé correspond
au domaine enregistré dans votre tableau de bord.

C'est le signal à chercher si vous déployez sur un nouveau domaine ou un sous-domaine que vous n'avez pas encore déclaré (voir les origines supplémentaires dans Autovérification).

La clé de site : publique et sans capacité

La clé agr_pub_... est un identifiant public, sans capacité. Elle ne permet que deux choses, toutes deux limitées :

  • lire la configuration publique de la bannière (aucun renseignement personnel) ;
  • soumettre un enregistrement de consentement, borné par la liaison d'origine et par des limites de taux.

Elle ne donne accès à aucune donnée de compte, à aucun tableau de bord et à aucune API privilégiée. Elle est sans danger dans le code HTML de la page. Pour la faire tourner, générez-en une nouvelle dans les paramètres du site ; une période de grâce de 24 heures laisse les deux clés fonctionner en parallèle, puis vous révoquez l'ancienne (voir Installation).

Isolation de la bannière

Les styles et le balisage de la bannière vivent dans une racine fantôme (Shadow DOM) en mode open. Cela isole la bannière du CSS de votre page : le CSS de la page ne peut ni casser la mise en page de la bannière ni masquer la mention du palier gratuit. Le mode open reste toutefois accessible au JavaScript de la page ; nous ne prétendons donc pas à une isolation absolue, seulement à une isolation vis-à-vis du CSS.

Aucun style inline, aucun eval, aucune origine autre que cdn.agreely.ca : c'est ce qui permet une CSP stricte sans unsafe-inline (voir CSP et CORS).

Les limites honnêtes

  • La bannière est du JavaScript côté client : elle ne peut pas lire ni supprimer les témoins httpOnly, ni empêcher votre serveur d'émettre un Set-Cookie. Le traitement de vos témoins côté serveur reste votre responsabilité (voir Côté serveur).
  • Le balayage zéro clic est un constat ponctuel, revérifié mensuellement : il documente une posture, il ne garantit pas l'exécution en tout temps (voir Autovérification).
  • L'ancrage sur la chaîne prouve qu'une décision n'a pas été modifiée depuis son enregistrement, pas la validité juridique du consentement (voir Vérifier une preuve).

Agreely aide à documenter et à démontrer votre conformité à la Loi 25 ; votre organisation, à titre de responsable, en demeure imputable.