Le SEO québécois est-il mort ? Loi 25, souveraineté et le futur du référencement

Le verdict : mort ? Non, en mutation

Non, le SEO québécois n'est pas mort. Mais il vit une mutation aussi profonde que le passage du desktop au mobile. La Loi 25 ne détruit pas le référencement — elle force les entreprises à choisir entre deux chemins : continuer à utiliser des outils US qui violent la loi, ou adopter une stack souveraine qui protège les données.

Le problème, c'est que la plupart des agences SEO et développeurs québécois ne savent même pas qu'ils ont un problème. Ils installent GA4, branchent Search Console, mettent Cloudflare devant leur site, chargent Google Fonts — et croient être conformes parce qu'ils ont une politique de confidentialité.

Google Analytics 4 : le cas scolaire de violation

Google Analytics 4 est le cas le plus flagrant. Chaque visiteur qui arrive sur votre site envoie son adresse IP, son comportement, sa durée de session et un identifiant unique aux serveurs de Google aux États-Unis. L'adresse IP est un renseignement personnel selon la CAI. Le transfert se fait sans évaluation de l'article 17, sans clause contractuelle (article 21), et sans consentement libre et éclairé (article 8.1).

Trois violations en un seul script.

Et le pire : la plupart des propriétaires de sites ignorent même qu'ils ont GA4. Il était déjà installé dans le template WordPress qu'ils ont acheté, ou l'agence SEO l'a configuré « par défaut ».

Cloudflare : le proxy invisible

Cloudflare est encore plus pernicieux que GA4, parce qu'il est invisible. Cloudflare agit comme un proxy reverse : tout le trafic de votre site passe par leurs serveurs avant d'atteindre le vôtre. Cela signifie que chaque requête — chaque adresse IP, chaque cookie, chaque formulaire soumis — transite par les États-Unis.

Le problème double :

• Article 17.3 : Cloudflare est un sous-traitant qui traite des RP aux États-Unis. Sans évaluation préalable, c'est un manquement.
• Article 18.1 : La transparence. Si vos utilisateurs ne savent pas que leurs données passent par Cloudflare avant votre serveur, vous violez l'obligation de transparence.

Le plus ironique ? Beaucoup de sites utilisent Cloudflare précisément pour se protéger des attaques, pensant améliorer leur sécurité. Mais en réalité, ils viennent de créer un canal de transfert de données vers les États-Unis qu'ils n'ont pas documenté.

Cas réels : les 5 problèmes trouvés sur 43 859 sites

Notre scanner a analysé 43 859 sites québécois. Voici les 5 problèmes les plus fréquents, classés par occurrence :

Le constat est frappant : les outils SEO et marketing sont la première source de non-conformité Loi 25. Ce ne sont pas les bases de données ou les serveurs qui posent problème — ce sont les scripts tierce partie que les agences installent « par défaut ».

Le cas Google Fonts : l'angle mort technique

Personne n'en parle, mais Google Fonts est l'une des violations les plus répandues. Quand vous chargez fonts.googleapis.com sur votre site, chaque visiteur envoie son adresse IP à Google. Ce n'est pas un cookie — c'est une requête HTTP directe vers un serveur américain. L'IP est un renseignement personnel.

Des tribunaux européens ont déjà condamné des sites pour l'utilisation de Google Fonts sans consentement (affaire landmark en Allemagne, 2022). Au Québec, la CAI n'a pas encore statué sur ce cas précis, mais l'interprétation préventive est claire : l'IP de vos visiteurs est envoyée à Google sans évaluation article 17.

La solution ? Auto-héberger vos polices. Téléchargez les fichiers .woff2 et servez-les depuis votre propre serveur. C'est plus rapide (un moins de requête DNS), plus respectueux (zéro transfert), et tout aussi beau.

La vision de la CAI

La Commission d'accès à l'information ne cible pas les outils SEO spécifiquement. Mais ses principes sont clairs et s'appliquent à tous les transferts de données :

• Consentement (article 8.1) : Avant de collecter une donnée personnelle, vous devez obtenir un consentement libre, éclairé et spécifique. GA4 ne le fait pas — il collecte d'abord, demande après (quand il le fait).
• Transparence (article 18.1) : Vous devez informer les personnes des finalités de la collecte. « Analyser le trafic pour améliorer le site » est une finalité, mais le transfert aux États-Unis doit être documenté.
• Transfert (article 17) : Avant de communiquer un RP hors Québec, vous devez évaluer si la juridiction offre un niveau de protection équivalent. Les États-Unis, non.
• Minimalisation (article 3.2) : Vous ne devez collecter que ce qui est strictement nécessaire. GA4 collecte par défaut bien plus que nécessaire pour « améliorer le référencement ».

En clair : la CAI ne va pas frapper à votre porte demain matin pour GA4. Mais lors d'une inspection (déclenchée par une plainte ou aléatoirement), le premier chose qu'elle vérifiera, c'est si vos outils respectent ces principes.

Ce qui se fait au Québec : le paysage actuel

Le Québec a déjà des outils souverains matures pour la plupart des besoins SEO. Le problème n'est pas le manque d'alternatives — c'est l'ignorance de leur existence.

Analytics (alternative à GA4)

CDN (alternative à Cloudflare)

Polices (alternative à Google Fonts)

Le cas Veridy.ca : transparence radicale

Avant de prêcher la souveraineté, commençons par balancer devant notre propre porte. Voici la stack technique réelle de Veridy.ca, avec notre score de souveraineté pour chaque composant :

Le paradoxe du développeur souverainiste

Voici le dilemme de tout développeur québécois qui veut faire du bon SEO tout en respectant la Loi 25. La matrice de décision :

Plan d'action : devenir souverain en 30 jours

Voici une feuille de route concrète, semaine par semaine :

Semaine 1 : Diagnostic

1. Lancez le scan gratuit Veridy pour identifier tous les scripts US présents sur votre site
2. Inventoriez vos outils : GA4 ? Cloudflare ? Google Fonts ? Facebook Pixel ?
3. Vérifiez si vous avez une évaluation article 17 pour chaque transfert US

Semaine 2 : Analytics

1. Remplacez GA4 par Matomo ou Plausible auto-hébergé
2. Si vous gardez GA4 temporairement : ajoutez un bandeau de consentement conforme (pas juste un bannière qui dit « on utilise des cookies »)
3. Documentez chaque outil dans votre registre de traitement (article 35.2)

Semaine 3 : Scripts et polices

1. Auto-hébergez vos polices : téléchargez les .woff2, supprimez les balises fonts.googleapis.com
2. Remplacez reCAPTCHA par une alternative auto-hébergée (hCaptcha, ou mieux : validation côté serveur)
3. Auditez chaque script <script src="..."> de votre site et éliminez ceux qui pointent vers des serveurs US

Semaine 4 : CDN et infrastructure

1. Si vous utilisez Cloudflare : évaluez si le proxy est nécessaire. Un cache nginx local peut souvent faire le travail
2. Si vous gardez Cloudflare : documentez le transfert (article 17), ajoutez une clause dans votre politique de confidentialité (article 21), informez les utilisateurs (article 18.1)
3. Mettez en place un monitoring souverain (logs locaux, pas Datadog)

Proposition : le standard llms-qc.txt

Veridy propose un standard ouvert : llms-qc.txt. Extension du format llms.txt émergent, ce fichier déclare publiquement la souveraineté numérique d'un site :

# llms-qc.txt — Souveraineté numérique Veridy.ca
# Déclare la conformité Loi 25 et la localisation des données

## Hébergement
- Localisation: Montréal, Québec (serveur dédié)
- Sous-traitants: Aucun (100% local)

## Analytics
- Outil: Aucun tracker externe
- Conforme: Oui (aucune collecte de RP)

## Polices
- Source: Auto-hébergées (.woff2)
- Transfert US: Non

## CDN
- Outil: Cache nginx local
- Transfert US: Non

## Exceptions documentées
- Google Search Console: Données agrégées, aucun RP transféré
- Claude Code (dev): Code source uniquement, aucun RP

## Score de souveraineté: 90%

Ce fichier, placé à la racine de votre site (/llms-qc.txt), permet aux scanners, aux IA et aux régulateurs de vérifier instantanément votre niveau de souveraineté. C'est la transparence machine-lisible.

Conclusion : le SEO souverain est né

Le SEO québécois n'est pas mort. Il est en train de naître à nouveau — sous une forme plus respectueuse, plus transparente, et plus souveraine. Les entreprises qui comprennent cette mutation aujourd'hui auront une longueur d'avance quand la CAI commencera les inspections systématiques.

Les outils sont là. Les alternatives existent. Le plan d'action est clair. Ce qui manque, c'est la volonté de changer les habitudes. Mais la Loi 25 ne vous laisse plus le choix.