« Consultation de suivi diabète, mardi 14h » : ce genre de fragment de texte, affiché en aperçu sur une page de confirmation de rendez-vous, ne devrait jamais se retrouver chargé en arrière-plan avant qu’un patient n’ait cliqué volontairement sur le lien correspondant. C’est pourtant le risque identifié lors de la revue technique d’un site de prise de rendez-vous médical, quelques semaines après l’activation par défaut du Speculative Loading sur l’ensemble du parc de thèmes blocs de l’éditeur.
Le site propose un espace patient où figurent, une fois connecté, l’historique des rendez-vous passés et le motif renseigné à la prise de rendez-vous. Ce contenu constitue une donnée de santé au sens du RGPD, une catégorie particulière de données personnelles qui impose un niveau de vigilance largement supérieur à une simple donnée de contact.
Ce que le Speculative Loading pouvait déclencher ici
Le menu de navigation de l’espace patient affiche des liens vers « Mes rendez-vous », « Mon profil » et « Prendre rendez-vous ». Avec les réglages par défaut du cœur de WordPress, un survol prolongé de ces liens, ou une forte probabilité de clic estimée par le navigateur, pouvait suffire à déclencher un prérendu complet de la page « Mes rendez-vous », affichant potentiellement en arrière-plan un motif de consultation avant même la confirmation explicite du clic.
Pourquoi ce cas dépasse la prudence habituelle
Sur un site public classique, le risque d’un préchargement prématuré reste généralement limité à une gêne mineure. Sur des données de santé, la même mécanique technique change de nature : un chargement anticipé et invisible d’une page affichant un motif de consultation, sur un poste partagé ou dans une salle d’attente équipée d’un écran public, constitue potentiellement une divulgation non consentie d’une donnée de santé, avec les obligations renforcées que cela implique.
Les mesures mises en place
La première mesure a consisté à désactiver purement et simplement le mode prerender pour l’ensemble de l’espace patient, en conservant uniquement le mode prefetch, nettement moins risqué puisqu’il ne construit pas la page à l’avance, se limitant à récupérer ses ressources sans exécuter son rendu :
add_filter( 'wp_speculation_rules_configuration', function ( $configuration ) {
if ( is_user_logged_in() ) {
unset( $configuration['prerender'] );
}
return $configuration;
} );Cette condition, appliquée uniquement pour les utilisateurs connectés, préserve le bénéfice du préchargement spéculatif sur les pages publiques du site (présentation du cabinet, informations pratiques), tout en l’excluant totalement de la zone où circulent des données de santé.
Un audit complet du parcours patient
Au-delà du réglage global, chaque lien du parcours patient a fait l’objet d’une vérification individuelle, pour s’assurer qu’aucune page accessible en un clic depuis l’espace connecté n’affiche de motif de consultation en aperçu ou en fragment visible avant chargement complet, y compris sur les pages exclues du prérendu par la règle ci-dessus.
Ce qui reste hors du périmètre de cette précaution
Cette mesure porte uniquement sur le comportement du navigateur côté front-end. Elle ne remplace ni les exigences d’hébergement propres aux données de santé, encadrées séparément selon la nature exacte des informations traitées par la plateforme, ni la question du dossier patient informatisé lui-même, qui relève d’un système distinct non couvert par ce site de prise de rendez-vous.
- Désactiver le mode
prerenderpour tout visiteur authentifié sur l’espace patient. - Vérifier individuellement chaque lien du parcours pour tout contenu affiché en aperçu.
- Documenter cette exclusion dans le registre de traitement du site, à destination du délégué à la protection des données.
Sur un projet touchant à des données de santé, la question à se poser n’est jamais « ce risque est-il probable ? » mais « ce risque est-il acceptable, même rare ? ». La réponse, ici, ne pouvait être que non.
En résumé
Le Speculative Loading reste une fonctionnalité de performance légitime et largement bénéfique sur la majorité des sites. Sur un projet manipulant des données de santé, son comportement par défaut mérite d’être questionné avant activation, en particulier sur tout ce qui touche à l’espace connecté du patient, où la vitesse perçue ne doit jamais primer sur la maîtrise de ce qui s’affiche, même en arrière-plan.
