Accessibilité et vie privée

Le site d'un office de tourisme est un service public numérique : il doit être utilisable au clavier et avec un lecteur d'écran, et il ne doit pas suivre ses visiteurs sans leur accord. Cette page décrit ce que le code met réellement en place, et ce qui manque. Le cadre légal (RGAA, directive ePrivacy, RGPD) est traité dans Accessibilité numérique et Cookies, mentions et CGU.

#Accessibilité

#Structure et navigation clavier

#Composants interactifs

#Mouvement réduit

base.css respecte la préférence système prefers-reduced-motion: reduce :

@media (prefers-reduced-motion: reduce) {
  html {
    scroll-behavior: auto;
  }
  *,
  *::before,
  *::after {
    transition-duration: 0.01ms !important;
    animation-duration: 0.01ms !important;
  }
}

Les animations d'apparition (.reveal), les transitions du menu et du bandeau sont ainsi neutralisées. Les défilements déclenchés en JavaScript avec behavior: 'smooth' (boutons des carrousels, retour en haut, surbrillance d'une offre, changement de page des résultats) ne sont pas concernés par cette règle CSS et restent animés.

#Contrastes et images

Les ratios de contraste sont détaillés dans Charte graphique et médias. Les photos ont un alt="" parce qu'elles accompagnent toujours un titre textuel. Aucune information n'est portée par l'image seule.

#Limites connues

Le pied de page affiche « Accessibilité : partiellement conforme » et la page des mentions légales indique que le site « vise la conformité RGAA ». Aucun audit RGAA n'a été mené. Points relevés à la lecture du code :

#Cookies et consentement

#Ce que fait le bandeau

modules/cookies.js insère le bandeau à la fin du <body> et l'ouvre tant qu'aucun choix n'est enregistré :

Le refus se fait en un clic, au même niveau que l'acceptation, comme le recommande la CNIL. Un bouton flottant « Gérer mes cookies » rouvre le bandeau à tout moment, avec le choix précédent pré-coché. Le choix est daté au format ISO.

#Ce qui se passe réellement

Le site ne dépose aucun cookie : aucun appel à document.cookie dans le code, aucun script tiers. Les « cookies essentiels » du bandeau sont en réalité des entrées du localStorage. La « mesure d'audience anonyme » n'existe pas : le choix audience est enregistré mais aucun module ne le lit.

#Données stockées dans le navigateur

Toutes les données que le visiteur produit restent dans le localStorage de son navigateur, sous des clés préfixées etherbay. :

Ces données ne sont transmises à aucun serveur, ce que rappellent le formulaire de commande (« elles restent enregistrées dans votre navigateur et ne sont envoyées à aucun serveur »), les CGU et la rubrique « Données personnelles » des mentions légales. Elles n'ont pas de durée de conservation et le site n'offre pas de bouton pour les effacer : seul l'effacement des données du site dans le navigateur les supprime.

Le stockage utilisé pour les favoris et le panier sert une fonction demandée par le visiteur. Il relève de l'exemption de consentement prévue pour les traceurs strictement nécessaires, ce qui explique que la case « essentiels » soit cochée d'office et grisée.

#Absence de tiers

La politique de sécurité de contenu verrouille cette situation : le navigateur refuserait tout script, police, style ou connexion venant d'un autre domaine (voir Servir et déployer). L'en-tête Permissions-Policy de l'image Docker désactive en plus la caméra, le micro, la géolocalisation, le paiement, l'USB et interest-cohort. Referrer-Policy: strict-origin-when-cross-origin limite l'adresse transmise quand le visiteur suit le lien vers la loterie.

#Signalement

La page des mentions légales invite à signaler toute difficulté d'accessibilité à contact@tourisme-etherbay.fr, adresse fictive. L'image Docker publie un fichier .well-known/security.txt qui renvoie vers securite@etherbay.fr et la politique de sécurité du dépôt (voir Signaler une vulnérabilité).