Test & Avis Expert
Fontsource empaquette des polices libres pour qu’un site les serve depuis son propre domaine au lieu de les charger depuis un service tiers. Le site annonce 2 100 familles et quatre canaux de distribution : des paquets npm versionnés, des téléchargements directs, des URL de CDN configurables et une API gratuite. Le dépôt d’empaquetage fontsource/font-files est publié sous licence MIT et recevait encore des commits le 13 septembre 2026.
Comment ça marche
Le principe est mécanique plutôt que juridique. Une page qui utilise Google Fonts contient une balise pointant vers fonts.googleapis.com : le navigateur de chaque visiteur émet donc une requête vers un serveur de Google, qui reçoit au passage son adresse IP, son en-tête User-Agent et l’adresse de la page visitée (le référent). Ce transfert a valu des condamnations en Europe au titre du RGPD. Fontsource supprime la requête plutôt que de la déplacer : les fichiers de police sont installés dans le projet, servis par le même serveur que le reste de la page, et aucun tiers n’est contacté.
Le format de distribution le plus courant est le paquet npm. Chaque famille correspond à un paquet versionné qui contient les fichiers woff2 et une feuille de style déclarant les règles @font-face. Un import dans le code du projet suffit, et l’outil de build recopie les fichiers dans les ressources statiques. Pour un site sans chaîne de build, le téléchargement direct donne les mêmes fichiers à déposer à la main. L’API sert surtout à interroger le catalogue (métadonnées, variantes, sous-ensembles linguistiques).
Ce que ça ne protège pas
Le CDN proposé par le projet annule l’intérêt principal : y recourir revient à remplacer un tiers par un autre, et le visiteur adresse alors une requête à une infrastructure que l’éditeur du site ne contrôle pas. L’auto-hébergement est le mode qui apporte le gain, pas le catalogue en lui-même.
La licence MIT porte sur l’outillage d’empaquetage. Elle ne remplace pas la licence propre de chaque famille de polices, qu’il faut vérifier famille par famille avant un usage commercial ou une modification.
Enfin, la portée est étroite. Héberger ses polices ne change rien aux autres requêtes tierces d’une page — scripts d’analyse, publicités, cartes, vidéos embarquées — ni à ce que le serveur du site lui-même journalise. Et passer par npm ajoute une dépendance de chaîne d’approvisionnement de plus dans un projet.
Face aux alternatives
Bunny Fonts répond au même problème sans toucher au projet : on change le nom de domaine dans la balise existante et c’est terminé. Le compromis est explicite : zéro travail, mais le navigateur du visiteur continue de contacter un serveur tiers, en l’occurrence celui d’une société slovène plutôt que celui de Google. Fontsource demande une intervention dans le code et fait grossir les fichiers servis par le site, en échange de quoi la requête tierce disparaît réellement. Pour un site déjà construit avec une chaîne de build JavaScript, le coût est faible ; pour un site statique édité à la main, il ne l’est pas.
