Session replay : masquer les formulaires sensibles
Rejeu de session : vérifiez le masquage avant transmission, excluez les parcours sensibles et contrôlez les nouveaux champs et contenus dynamiques.
La démonstration d’un outil de rejeu masque les champs de formulaire. Sur votre site, le nom du client peut pourtant apparaître dans un titre, un message de confirmation ou un élément ajouté après chargement. Une vérification limitée aux zones de saisie laisse ces surfaces ouvertes.
Définir l’observation nécessaire
Cherchez-vous un bouton inutilisable, une erreur de validation ou la compréhension d’un parcours ? Commencez par les éléments nécessaires à ce diagnostic. Une reconstitution intégrale de toute navigation ne doit pas être retenue par défaut.
La CNIL décrit les outils de rejeu et leur intrusion potentielle dans sa consultation de février 2026. Cette page présente un projet de recommandation, qui ne doit pas être cité comme un texte définitif adopté. Les obligations existantes de minimisation restent applicables.
Contrôler les surfaces exposées
| Surface | Scénario à vérifier avec des données fictives |
|---|---|
| Champ texte | Saisie, correction et autocomplétion |
| Confirmation | Réaffichage du nom, de l’email ou du contenu envoyé |
| Espace connecté | Données déjà présentes à l’ouverture |
| Message d’erreur | Valeur personnelle reprise dans le texte |
| Contenu dynamique | Élément ajouté après le démarrage du rejeu |
| URL | Identifiant, recherche ou paramètre sensible |
Vérifier où intervient le masquage
Demandez si la valeur est retirée avant transmission ou seulement cachée lors de la consultation du replay. Dans le second cas, le fournisseur peut encore détenir l’information brute. Examinez aussi les exports, les accès d’assistance et les possibilités de démasquage.
L’Art. 25(1)-(2) du RGPD sur la protection dès la conception conduisent à limiter la collecte et l’accessibilité. Pour certains parcours, l’exclusion complète peut être plus robuste qu’une accumulation de règles de masquage.
Organiser la revue après chaque changement
Un nouveau composant ou formulaire peut échapper aux règles existantes. Inscrivez la vérification du rejeu dans le circuit de publication, avec un propriétaire des exclusions. La revue des pages sensibles aide à choisir les parcours à écarter.
Le régime des traceurs et les choix nécessaires doivent être analysés séparément du masquage. Le guide du retrait des scripts vérifie l’arrêt effectif ; celui des journaux serveur couvre les copies techniques.
Ce qu’il faut retenir
- Vérifiez les données affichées autant que les champs saisis.
- Contrôlez le masquage avant transmission et les possibilités de démasquage.
- Revoyez les exclusions lorsque le site change.
FAQ
Un replay masqué est-il automatiquement anonyme ?
Non. Identifiants, contexte et parcours peuvent encore permettre un rapprochement avec une personne.
Le masquage dispense-t-il du consentement aux traceurs ?
Pas à lui seul. Le régime dépend du dispositif et de sa finalité ; minimisation et consentement sont des contrôles distincts.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.