Divi 5 a considérablement amélioré sa gestion des polices d’écriture. Depuis juin 2026, le Visual Builder prend notamment en charge les Google Variable Fonts et permet d’accéder directement à leurs différents axes : graisse, largeur, inclinaison, taille optique ou encore certains réglages propres à chaque police.
C’est une évolution très intéressante que je ne vais pas détailler ici : WPMarmite a publié un article en français présentant cette nouveauté et Elegant Themes propose également un guide complet sur les polices variables dans Divi 5.
La question qui m’intéresse davantage est différente, pour profiter pleinement de ces nouveaux réglages, Divi 5 s’appuie aujourd’hui sur les Google Variable Fonts. Faut-il pour autant recommencer à charger ses polices directement depuis Google ?
Pour un site destiné à un public européen, la question du RGPD se pose.
Divi 5 rend les Google Fonts beaucoup plus intéressantes
Jusqu’à présent, une police variable utilisée dans Divi restait assez limitée si l’on voulait exploiter ses différents axes sans ajouter de CSS personnalisé. Divi 5 change réellement la donne. Lorsqu’une Google Variable Font compatible est sélectionnée, le Builder détecte les possibilités de cette police et affiche directement les réglages correspondants.
C’est confortable, puissant et très simple à utiliser.
Il existe cependant une limite importante, les nouveaux contrôles de polices variables de Divi 5 sont actuellement réservés aux Google Variable Fonts prises en charge par Divi. Une police personnalisée hébergée localement peut toujours être utilisée, mais elle ne bénéficie pas de cette même interface de réglage des axes dans le Builder.
Autrement dit, l’auto-hébergement peut aujourd’hui faire perdre une partie des nouveautés typographiques les plus intéressantes de Divi 5. Cela mérite donc de se demander si l’auto-hébergement de Google Fonts, que je recommandais déjà dans mon article de 2024, reste pertinent.
Charger une Google Font à distance crée toujours une connexion vers Google
Lorsqu’une Google Font est utilisée directement depuis le service Google Fonts, elle n’est pas fournie par votre propre hébergement. Le navigateur du visiteur demande d’abord une feuille de style à l’API Google Fonts, puis télécharge le fichier de police correspondant depuis l’infrastructure de Google. Cette connexion implique nécessairement la transmission de données techniques permettant d’établir la communication avec le serveur distant. Parmi elles figure notamment l’adresse IP du visiteur, que la CNIL considère comme une donnée à caractère personnel.
C’est précisément ce flux qui disparaît lorsque la police est auto-hébergée. Dans ce cas, le navigateur demande simplement le fichier de police à votre propre site, comme il le ferait pour une image ou une feuille CSS.
Google Fonts n’est pas pour autant « interdit par le RGPD »
Il faut cependant nuancer ce que l’on pouvait lire il y a encore quelques années. Après l’invalidation du Privacy Shield en 2020, les transferts de données personnelles vers les États-Unis étaient devenus juridiquement beaucoup plus complexes.
La situation a changé le 10 juillet 2023, lorsque la Commission européenne a adopté une nouvelle décision d’adéquation concernant les États-Unis : le EU-U.S. Data Privacy Framework, ou DPF.
La CNIL explique que les données personnelles peuvent désormais être transférées depuis l’Union européenne vers les entreprises américaines participant à ce dispositif sans avoir à mettre en place un mécanisme supplémentaire spécifique au transfert. Cela ne concerne toutefois pas automatiquement toutes les entreprises américaines. L’organisme destinataire doit figurer sur la liste officielle des entreprises certifiées tenue par le Department of Commerce américain. Google LLC figure actuellement parmi les organisations participant au EU-U.S. Data Privacy Framework.
Il serait donc aujourd’hui trop catégorique d’écrire que le simple fait qu’une adresse IP soit transmise à Google aux États-Unis rend automatiquement l’utilisation de Google Fonts illégale.
Alors pourquoi continuer à auto-héberger Google Fonts ?
Parce que le RGPD ne se limite pas à déterminer si un transfert de données est juridiquement possible. La CNIL insiste également sur le principe de protection des données dès la conception, plus connu sous le nom de Privacy by Design.
Ce principe demande d’intégrer la protection des données dès la conception d’un service et, notamment, de limiter la quantité de données personnelles traitées au strict nécessaire : c’est le principe de minimisation. Appliqué aux polices d’écriture, le raisonnement est finalement assez simple, si mon site peut afficher exactement la même police :
- soit en demandant le fichier à un serveur Google et en créant ainsi un flux de données vers un tiers ;
- soit en servant directement le fichier depuis mon propre hébergement ;
La seconde architecture limite naturellement les échanges de données. L’auto-hébergement ne sert donc pas uniquement à éviter un éventuel problème juridique. Il permet simplement de ne pas transmettre une donnée à un tiers lorsqu’il n’est pas nécessaire de le faire. C’est une application très concrète du Privacy by Design.
L’auto-hébergement simplifie aussi la conformité du site
Utiliser Google Fonts à distance ne signifie pas nécessairement être en infraction, mais cela ajoute un acteur supplémentaire dans les traitements de données réalisés par le site. La CNIL rappelle que les personnes doivent notamment être informées des destinataires ou catégories de destinataires de leurs données et, lorsque des données sont transférées hors de l’Union européenne, de l’existence de ce transfert et des garanties qui l’encadrent.
Si votre site utilise directement Google Fonts, ce flux doit donc être pris en compte dans votre démarche de conformité et dans les informations fournies aux visiteurs, généralement dans la politique de confidentialité. En auto-hébergeant la police, cette problématique disparaît tout simplement : aucun visiteur n’a besoin de contacter Google uniquement pour afficher la typographie du site.
Comment mentionner Google Fonts dans une politique de confidentialité ?
Si vous choisissez de profiter des Google Fonts directement depuis Divi 5, je recommande de ne pas laisser cette utilisation invisible dans votre politique de confidentialité. Une formulation peut par exemple prendre cette forme :
Google Fonts
Ce site utilise le service Google Fonts afin d’afficher certaines polices d’écriture. Lors de l’affichage d’une page, le navigateur de l’utilisateur se connecte aux serveurs de Google afin de télécharger les ressources typographiques nécessaires. Cette connexion entraîne la transmission à Google LLC de données techniques de connexion, notamment l’adresse IP.
Google LLC est établie aux États-Unis et participe au EU-U.S. Data Privacy Framework. Les transferts de données vers cette société peuvent ainsi bénéficier de la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023.
Pour davantage d’informations sur le traitement des données par Google, vous pouvez consulter sa politique de confidentialité.
Cette mention doit naturellement être adaptée à la politique de confidentialité globale du site, notamment à la base juridique retenue pour ses différents traitements et aux autres informations imposées par le RGPD.
Comment vérifier qu’une entreprise américaine est couverte par le Data Privacy Framework ?
Il n’est pas nécessaire de se fier à ce qu’affirme un plugin, un hébergeur ou un article de blog. Le Department of Commerce américain tient une liste publique et officielle des organisations participant au Data Privacy Framework. Il suffit d’y rechercher le nom de l’entreprise, par exemple Google LLC, puis de vérifier que la ligne EU-U.S. Data Privacy Framework apparaît avec un statut actif.
Cette liste est particulièrement utile dès qu’un service Web utilisé sur un site entraîne un transfert de données personnelles vers une entreprise américaine.
Mon choix reste donc l’auto-hébergement
Divi 5 me donne aujourd’hui une vraie raison technique d’hésiter. Les nouveaux réglages appliqués aux Google Variable Fonts sont particulièrement intéressants et leur intégration directe dans le Visual Builder est beaucoup plus agréable que l’utilisation de CSS personnalisé. Pourtant, pour mes sites et ceux de mes clients, je continue à privilégier l’auto-hébergement des polices lorsque cela est possible.
Ce choix ne repose plus sur l’affirmation selon laquelle Google Fonts serait nécessairement incompatible avec le RGPD : ce serait aujourd’hui trop simpliste compte tenu du Data Privacy Framework. Il repose plutôt sur une logique de Privacy by Design : lorsqu’un appel à un service tiers peut être supprimé facilement sans empêcher le site de fonctionner, je préfère ne pas créer ce flux de données.
Dans le cas de Divi 5, cela signifie pour le moment accepter de perdre une partie des nouveaux contrôles visuels dédiés aux Google Variable Fonts. J’espère donc qu’Elegant Themes permettra à terme d’appliquer ces mêmes réglages aux polices variables auto-hébergées. Nous pourrions alors profiter à la fois des nouvelles possibilités typographiques de Divi 5 et d’une architecture dans laquelle les fichiers de police restent entièrement hébergés sur notre propre serveur.
