Session replay & analytics conformes RGPD (consent-gated)

Le conflit : conformité vs observabilité produit

Tu veux du session replay (rejouer le parcours d'un utilisateur, ex. via PostHog) pour comprendre les bugs et l'UX. Mais le RGPD impose que le tracking non essentiel attende le consentement — géré par un Consent Management Platform (CMP) comme Axeptio. Par défaut, avant consentement, l'analytics tourne en mode cookieless.

Et là, surprise technique : le cookieless casse le session replay. La cause est mécanique — pas de cookie persistant → pas de session_id stable entre les événements → l'outil de replay (rrweb sous le capot) ne peut pas coudre (stitch) les événements en une session rejouable. Tu captures des fragments orphelins, pas un parcours. Le replay est techniquement désactivé par le mode conforme, pas par un bug.

Le pattern : consent-gated, dégradé par défaut

La bonne architecture n'oppose pas les deux — elle les séquence sur le consentement :

1. par défaut (avant consentement) : analytics en mode cookieless/dégradé — pas de replay, pas d'identify, pas d'session_id persistant. Conforme, minimal, aucun cookie non essentiel.
2. à l'acceptation (on_accept du CMP) : on réactive ce qui était bridé — session_id persistant (donc replay qui stitch de nouveau), identify de l'utilisateur, et les feature flags qui dépendent de l'identité.
3. au refus (on_reject) : on reste en cookieless, explicitement — et on gère le passage accepté→refusé (couper proprement).

CMP (Axeptio)
  ├─ on_accept(vendor=posthog) → set_config({persistence: cookies, session_id stable})
  │                              → replay reprend, identify(user), flags par identité
  └─ on_reject / défaut         → cookieless : events anonymes, pas de replay

Le point clé : le consentement est la source de vérité qui pilote la configuration de l'analytics, pas une case cochée à côté. L'init écoute le CMP et (re)configure le SDK en fonction. Conforme par défaut, riche après opt-in.

Le principe transférable

Une contrainte de conformité (RGPD) a des conséquences techniques concrètes (pas de session stable → pas de replay). Ne la traite pas comme une couche cosmétique posée après coup : fais du signal de consentement l'entrée de la configuration de tes outils, avec un mode dégradé sûr par défaut et une réactivation à l'opt-in.

C'est le même esprit que le fail-closed : l'état par défaut est le plus restrictif (cookieless), et on élargit sur un signal explicite (l'acceptation), jamais l'inverse.