ENFR
Tableau de bord multi-sites : suivre 5, 10 ou 30 sites sans perdre la lisibilité

Tableau de bord multi-sites : suivre 5, 10 ou 30 sites sans perdre la lisibilité

Suivre un site est un problème de mesure. En suivre dix devient un problème de gouvernance. Au départ, chaque équipe crée sa propriété analytics, nomme ses événements et construit son tableau de bord. Quelques mois plus tard, le groupe dispose de dix définitions de « conversion », trois fuseaux horaires, des sources UTM incompatibles et plusieurs comptes dont personne ne connaît le propriétaire. Le problème n’est pas qu’il manque des graphiques. Il manque une structure commune. Un tableau de bord multi-sites utile doit permettre deux mouvements :comparer les propriétés à partir d’un socle homogène ; descendre dans chaque site sans effacer son contexte métier.Chercher à tout fusionner produit une moyenne abstraite. Tout séparer empêche de voir le portefeuille. La bonne architecture garde les deux niveaux. Commencer par une carte des propriétés Avant de choisir les indicateurs, listez les sites et leur rôle.Propriété Rôle Public principal Conversion utile ResponsableSite corporate Réassurance Prospects, partenaires Contact qualifié CommunicationSite produit A Acquisition PME Demande de démo Growth ASite produit B Acquisition ETI Rendez-vous Growth BCentre d’aide Support Clients Résolution autonome SupportBlog Découverte Audience B2B Inscription ou passage produit ContentDeux sites avec des objectifs différents ne doivent pas être classés uniquement par volume de visites. Le centre d’aide peut être très performant quand il réduit les demandes de support, même si son taux de démonstration est nul. La carte doit également contenir :domaine et sous-domaines ; environnement de production ; outil et identifiant de propriété ; fuseau horaire ; devise éventuelle ; date de création ; propriétaire métier ; propriétaire technique ; personnes ayant accès ; mode de collecte ; durée de conservation ; statut actif, en migration ou archivé.Cette fiche devient l’inventaire de référence. Définir un contrat de mesure commun Le socle multi-sites n’est pas un tableau de bord. C’est un petit contrat de mesure appliqué à chaque propriété. Dimensions communes Choisissez une définition commune pour :page ou chemin ; domaine référent ; source, medium et campagne ; pays ou zone géographique ; type d’appareil ; date et fuseau horaire ; événements principaux ; statut de conversion.Les paramètres d’URL doivent suivre une politique de filtrage commune. Les campagnes doivent utiliser la même nomenclature UTM. Événements communs Une petite bibliothèque suffit : form_submitted demo_requested signup_completed download_completed outbound_clicked search_usedChaque événement doit avoir :une définition ; une condition de déclenchement ; des propriétés autorisées ; un propriétaire ; un test ; une version.Un même nom ne doit pas représenter deux actions différentes. À l’inverse, trois noms différents pour la même demande de contact empêchent toute comparaison. Règles de qualité communes Documentez :filtrage des environnements de test ; exclusion ou traitement des bots ; gestion des domaines internes ; consentement et modes de collecte ; normalisation des chemins ; fuseau horaire ; calendrier de déploiement ; seuils d’alerte.Le résumé de collecte peut contenir le socle global et les exceptions de chaque propriété. Séparer trois niveaux de lecture Un bon système multi-sites ne met pas tous les graphiques sur une seule page. Il crée trois vues. Niveau 1 : la vue portefeuille Cette vue répond aux questions de direction :quels sites gagnent ou perdent du trafic utile ? où les conversions progressent-elles ? quelle propriété présente une anomalie ? quelles équipes ont besoin d’un diagnostic ? quel site ne remonte plus de données ?Elle doit rester courte. Un tableau avec une ligne par propriété est souvent plus utile qu’une mosaïque de vingt courbes. Colonnes possibles :Site Visites Évolution Conversions utiles Taux Canal principal Statut donnéesCorporate 24 500 +6 % 132 0,54 % Organique OKProduit A 18 100 -4 % 284 1,57 % Paid search À examinerProduit B 9 600 +12 % 96 1,00 % Partenaires OKAide 41 000 +2 % n/a n/a Direct OKLes chiffres sont illustratifs. Le statut données est essentiel : un volume en baisse n’a pas le même sens si le script a cessé de fonctionner. Niveau 2 : la vue propriété Chaque site dispose de son tableau de bord métier :acquisition ; pages d’entrée ; contenus ; conversions ; événements ; tendances ; qualité des données.Cette vue conserve les dimensions propres au site. Un SaaS peut suivre l’essai démarré, tandis qu’un centre d’aide suit la recherche sans résultat ou le passage vers le support. Niveau 3 : le diagnostic Le diagnostic sert aux analystes et développeurs :événements par version ; erreurs de collecte ; paramètres inconnus ; écarts entre client et serveur ; ruptures temporelles ; domaines inattendus ; volumes de tests ; délai d’ingestion.Il ne doit pas encombrer le reporting de direction. Mais son absence transforme chaque anomalie en enquête manuelle. Les KPIs que l’on peut comparer Tous les indicateurs ne sont pas additionnables. Volume de visites ou pages vues Ils donnent un ordre de grandeur, mais favorisent naturellement les sites à forte audience. Utilisez-les avec une tendance et un contexte. Conversions définies sur un socle commun Une « conversion utile » peut regrouper plusieurs actions si la règle est explicite, par exemple :demande de démo ; formulaire de contact qualifié ; inscription validée ; achat confirmé.Pour comparer, conservez aussi le détail par type. Une somme seule peut cacher un déplacement vers des actions de moindre valeur. Taux de conversion Le taux permet de comparer des propriétés de tailles différentes, à condition d’utiliser le même dénominateur. Documentez s’il s’agit de visites, visiteurs, sessions ou pages d’entrée. Part des canaux La répartition organique, payante, email, partenaire, referral et direct aide à comprendre la dépendance de chaque site. Elle suppose une taxonomie de campagnes commune. Santé de collecte Ajoutez des KPIs techniques :dernière donnée reçue ; variation du volume d’événements ; part d’événements rejetés ; nombre de paramètres inconnus ; pages sans titre ou chemin ; évolution brutale du direct.La fiabilité de la donnée est un KPI de gouvernance. Ce qu’il ne faut pas additionner naïvement Les visiteurs uniques Une même personne peut visiter plusieurs domaines. Additionner les visiteurs uniques de chaque propriété la compte plusieurs fois. Créer un identifiant global pour dédupliquer les personnes change fortement le profil de collecte. En France, la CNIL précise notamment que l’usage d’un même identifiant à travers plusieurs sites pour un suivi global exclut la mesure du cadre d’exemption décrit pour certains traceurs d’audience. Une équipe ne doit donc pas introduire un suivi transversal uniquement pour obtenir un total plus propre. Pour un reporting frugal, acceptez :une somme de visites par propriété ; une portée non dédupliquée clairement nommée ; ou une analyse agrégée sans identifiant individuel, lorsque la méthode est adaptée.Les conversions hétérogènes Un téléchargement de brochure ne vaut pas automatiquement une vente. Présentez un socle de conversions, puis la composition. Les moyennes simples La moyenne des taux de conversion de dix sites donne le même poids à un site de 100 visites et à un site de 100 000 visites. Utilisez un taux global pondéré ou affichez la distribution. Les périodes non alignées Des fuseaux horaires ou calendriers de campagne différents peuvent déplacer les événements d’un jour ou d’une semaine. Normalisez le temps avant de comparer. Comparer sans punir les petits sites Une vue multi-sites devient vite un classement. C’est rarement une bonne idée. Utilisez plutôt quatre axes :niveau actuel : volume ou taux ; évolution : comparaison à la période précédente ; objectif local : progression vers une cible propre au site ; qualité de mesure : confiance dans la donnée.Un site de niche peut avoir peu de trafic mais une progression saine et des conversions de grande valeur. Une propriété très visitée peut cacher une dépendance excessive au paid ou un tracking cassé. Les sparklines et intervalles de comparaison sont plus utiles qu’un podium. Structurer les accès Le multi-sites augmente le risque d’accès excessifs. Définissez des rôles :propriétaire portefeuille : voit toutes les propriétés et gère les standards ; propriétaire de site : administre sa propriété ; analyste : consulte et exporte selon le besoin ; contributeur : voit les rapports sans modifier la collecte ; agence ou partenaire : accès limité aux propriétés du contrat ; support technique : accès temporaire et journalisé lorsque nécessaire.Évitez les comptes partagés. Revue trimestrielle des accès, retrait automatique au départ d’un prestataire et principe du moindre privilège. Une agence qui gère dix clients ne devrait pas utiliser un seul compte administrateur permanent sur tous les environnements. Organiser le cycle de gouvernance Chaque semaine : surveiller la santé Automatisez des alertes simples :aucune donnée reçue depuis un délai défini ; chute ou hausse anormale ; apparition d’un domaine inconnu ; augmentation des événements rejetés ; changement de part du direct.Chaque mois : lire les décisions Réunissez les propriétaires de sites autour de trois questions :qu’est-ce qui a changé ? quelle action en découle ? quelle hypothèse sera testée ensuite ?Le reporting ne doit pas devenir une tournée de chiffres. Chaque trimestre : revoir le contrat Vérifiez :événements communs ; nomenclature UTM ; propriétés inactives ; accès ; rétention ; nouveaux fournisseurs ; écarts de configuration ; objectifs métier.À chaque lancement : utiliser une checklist Avant d’ajouter un site :attribuer les propriétaires ; choisir le fuseau horaire ; appliquer le socle de collecte ; configurer les filtres ; tester les événements ; vérifier le consentement ; ajouter la propriété au portefeuille ; documenter les exceptions ; définir les alertes ; programmer la première revue.Choisir l’architecture d’outil Plusieurs modèles existent. Une propriété par site C’est la structure la plus lisible pour les accès, la rétention et les configurations. Elle exige une couche portefeuille pour comparer. Une propriété commune avec dimension de site Elle simplifie certains rapports mais mélange les droits, les configurations et les risques de collecte. Une erreur sur une propriété affecte l’ensemble. Une propriété par site plus une vue consolidée C’est souvent le meilleur compromis : séparation opérationnelle et agrégation pour le pilotage. Certains outils proposent des fonctions de roll-up ou de vue consolidée. Vérifiez toujours le plan nécessaire, la méthode de déduplication, les droits et les données réellement regroupées. Le choix dépend moins du nombre de sites que de leur indépendance : équipes, marques, finalités, régions, droits d’accès et configurations privacy. Un modèle de dashboard en une page Bandeau supérieurvisites du portefeuille ; conversions utiles ; taux global pondéré ; nombre de propriétés saines ; nombre d’anomalies ouvertes.Tableau central Une ligne par propriété avec tendance, conversion, canal et statut. Bloc acquisition Répartition des canaux par site, idéalement sous forme de parts comparables. Bloc contenu Top pages d’entrée et pages qui progressent, avec filtre par propriété. Bloc qualité Données manquantes, événements rejetés, accès à revoir et déploiements récents. Chaque bloc doit conduire à une page de détail. La vue portefeuille signale, elle n’explique pas tout. Conclusion Le suivi multi-sites fonctionne quand la gouvernance précède la visualisation. Il faut :une carte claire des propriétés ; un contrat de mesure commun ; des exceptions documentées ; trois niveaux de lecture ; des indicateurs comparables ; des accès limités ; un cycle de revue ; une consolidation qui n’impose pas un suivi individuel transversal.Le bon tableau de bord ne cherche pas à rendre tous les sites identiques. Il leur donne un langage commun sans perdre leur rôle. FAQ Faut-il une propriété analytics par site ? C’est souvent le choix le plus clair pour séparer les accès et configurations. Une vue consolidée peut ensuite comparer les propriétés. Une propriété commune reste possible, mais elle doit être justifiée par des besoins et droits réellement communs. Peut-on additionner les visiteurs uniques de plusieurs sites ? Pas comme une audience dédupliquée. Une personne peut être comptée sur plusieurs propriétés. Indiquez qu’il s’agit d’une somme non dédupliquée ou utilisez une méthode agrégée adaptée, sans introduire par défaut un identifiant global. Combien de KPIs dans la vue portefeuille ? Cinq à huit colonnes bien définies suffisent généralement : volume, tendance, conversion, taux, canal principal et santé de collecte. Le détail appartient aux vues par propriété. Comment gérer des objectifs différents selon les sites ? Gardez un petit socle commun, puis ajoutez des indicateurs locaux. Comparez aussi chaque site à son propre objectif et à sa tendance, pas uniquement aux autres. À quelle fréquence revoir les accès ? Une revue trimestrielle est une pratique raisonnable, complétée par un retrait immédiat lors des départs ou fins de contrat. SourcesCNIL, Cookies : solutions pour les outils de mesure d’audience Google Analytics, Analytics account structure Google Analytics, Roll-up properties Matomo, Roll-Up Reporting Plausible, Consolidated view Règlement (UE) 2016/679, principes de minimisation et de limitation des finalités

Lire l'article →
Quels paramètres d’URL filtrer dans une analytics privacy-first ?

Quels paramètres d’URL filtrer dans une analytics privacy-first ?

Une URL peut sembler anodine tout en transportant beaucoup plus d’information que le chemin de la page. https://example.com/confirmation? email=alice@example.com& order_id=84721& utm_source=newsletter& session_token=abc123Si un outil analytics collecte l’URL complète, ces valeurs peuvent se retrouver dans les événements, les logs, les exports, les captures d’écran et les rapports partagés. Le problème ne vient pas seulement de l’outil. Il commence souvent dans l’application, qui place une information excessive dans l’adresse. Une approche privacy-first traite le sujet à deux niveaux :ne pas mettre de donnée sensible ou personnelle dans l’URL ; ne transmettre à l’analytics que les paramètres explicitement utiles.Le filtre n’est donc pas une rustine unique. C’est un contrôle de défense en profondeur. Pourquoi les query parameters demandent un traitement spécifique La partie située après ? s’appelle la chaîne de requête. Elle contient des paires clé-valeur séparées par &. Ces paramètres peuvent servir à :attribuer une campagne ; paginer ou trier une liste ; sélectionner une langue ; préremplir un formulaire ; identifier une ressource ; transporter un jeton ; suivre une expérience ; mémoriser un filtre de recherche.Le navigateur, le serveur, le CDN, les outils de supervision et les scripts tiers peuvent tous observer une partie de l’URL. OWASP rappelle que des informations sensibles placées dans la query string peuvent apparaître dans l’historique, les journaux, les systèmes intermédiaires et parfois les en-têtes de provenance, même lorsque la connexion utilise HTTPS. HTTPS protège le transport entre deux points. Il ne rend pas le contenu de l’URL invisible aux systèmes autorisés qui la traitent. La règle principale : autoriser, plutôt que tenter de tout bloquer Une blocklist énumère les paramètres interdits : email phone token user_idElle échoue dès qu’un développeur introduit customer_email, invitee, auth ou une clé inconnue. Une allowlist énumère les paramètres dont l’usage analytics a été justifié : utm_source utm_medium utm_campaign utm_contentTout le reste est supprimé avant transmission ou stockage. L’allowlist est généralement plus robuste pour une collecte minimale. Elle réduit aussi la fragmentation des rapports : /produits/?sort=price, /produits/?sort=name et /produits/?session=xyz peuvent être regroupés sous un chemin stable lorsque ces variantes ne répondent à aucune question de pilotage. Il existe toutefois des applications où certains paramètres fonctionnels doivent rester visibles. La bonne méthode n’est pas « supprimer tout ce qui suit ? », mais classer chaque famille. Une grille de décision en six catégories 1. Paramètres de campagne autorisés Exemples : utm_source utm_medium utm_campaign utm_contentIls peuvent être utiles pour lire l’acquisition, à condition d’appliquer une nomenclature contrôlée et de ne jamais y placer d’identifiant personnel. Le guide sur les UTM, referrers et trafic direct détaille ces règles. Décision possible :collecter une liste courte ; normaliser la casse et les valeurs ; séparer les dimensions de campagne du chemin de page ; supprimer les paramètres de l’URL affichée après capture si cela ne casse pas le parcours.2. Paramètres fonctionnels sans intérêt analytique Exemples : sort view page theme currencyIls peuvent être nécessaires à l’interface sans mériter une dimension analytics. Les garder dans le rapport « pages » crée souvent des centaines de lignes. Décision possible :ne pas les envoyer dans l’URL de page ; mesurer un événement dédié si une décision produit dépend réellement du tri ou de la vue ; conserver seulement une catégorie réduite, par exemple filter_applied, sans recopier la valeur libre.3. Paramètres de contenu potentiellement utiles Exemples : lang category plan variantLeur utilité dépend du modèle de données. Avant de les autoriser, posez trois questions :cette valeur change-t-elle la décision ? existe-t-il une liste fermée de valeurs ? peut-elle contenir du texte saisi ou un identifiant ?Si les réponses sont favorables, transformez le paramètre en dimension contrôlée. Sinon, retirez-le. 4. Identifiants métier Exemples : order_id invoice customer ticket workspaceIls permettent souvent de relier une visite à un dossier, une commande ou un compte. Même lorsqu’ils ne contiennent pas un nom, ils peuvent devenir des données personnelles par recoupement. Décision recommandée :ne pas les transmettre à l’analytics généraliste ; mesurer une catégorie ou un statut agrégé ; traiter les besoins de diagnostic dans un système opérationnel séparé, avec des accès et une rétention adaptés.5. Données personnelles ou texte libre Exemples : email name phone address search messageLe texte libre est particulièrement risqué. Un champ de recherche interne peut contenir un nom, un problème médical, une adresse ou une phrase confidentielle. Décision recommandée :empêcher la donnée d’entrer dans l’URL ; la supprimer du payload analytics ; vérifier aussi les logs et outils tiers ; ne mesurer, si nécessaire, qu’une catégorie ou la présence d’une recherche.6. Secrets et jetons Exemples : token code jwt signature password_reset inviteCes valeurs ne doivent pas être capturées. Elles peuvent donner accès à une action ou à une ressource. Décision recommandée :revoir le design du parcours ; utiliser des jetons à durée courte et usage limité quand l’URL est techniquement nécessaire ; éviter leur journalisation ; supprimer le paramètre de l’adresse dès que possible ; exclure entièrement les pages concernées de l’analytics si le contrôle n’est pas fiable.Filtrer au bon endroit Niveau 1 : dans l’application La meilleure protection consiste à ne pas construire d’URL excessive. Ne préremplissez pas un formulaire avec une adresse email en clair dans la query string. Ne mettez pas un identifiant client dans un lien marketing. Ne copiez pas une recherche libre dans le titre de page. Ce niveau réduit l’exposition dans tous les systèmes, pas seulement l’analytics. Niveau 2 : avant l’envoi analytics Construisez une représentation nettoyée de la page : const current = new URL(window.location.href); const allowed = new Set([ "utm_source", "utm_medium", "utm_campaign", "utm_content", ]);const clean = new URL(current.origin + current.pathname);for (const [key, value] of current.searchParams) { if (allowed.has(key)) { clean.searchParams.set(key, value.toLowerCase().slice(0, 100)); } }const analyticsPage = clean.pathname; const campaign = Object.fromEntries(clean.searchParams);Cet exemple illustre le principe, pas une implémentation universelle. Il faut aussi :gérer les paramètres répétés ; valider les valeurs ; définir une longueur maximale ; refuser le texte libre ; tester les caractères encodés ; tenir compte du routeur de l’application ; vérifier que les erreurs ne font pas revenir à l’URL brute.Le plus sûr est souvent d’envoyer le chemin et les dimensions de campagne dans des champs séparés. Niveau 3 : dans le collecteur ou le proxy Un filtre côté serveur protège contre une erreur du navigateur ou un ancien script. Il peut rejeter les champs non autorisés, tronquer les valeurs et journaliser uniquement un code d’erreur sans recopier la donnée rejetée. Cette couche est essentielle si plusieurs sites ou équipes utilisent le même endpoint. Niveau 4 : dans l’outil analytics Certains outils fournissent des contrôles de redaction ou d’exclusion. GA4 propose notamment une fonction de redaction des emails et de paramètres de requête définis par l’administrateur. Matomo permet d’exclure des paramètres d’URL des rapports de pages. Ces réglages sont utiles, mais ils ne remplacent pas les contrôles précédents. Une donnée peut avoir traversé un tag manager, un log ou un proxy avant d’être masquée dans le rapport. Niveau 5 : dans les exports Un export historique peut conserver des valeurs qui ont ensuite été filtrées dans l’outil. La procédure doit inclure les entrepôts, sauvegardes, fichiers CSV et connecteurs de BI. Votre data collection summary doit distinguer ce qui est reçu, transformé, stocké et exposé. Normaliser les pages sans perdre l’information utile Un rapport de contenu doit généralement regrouper les variantes qui représentent la même ressource. Exemple : /products?sort=price&page=1 /products?sort=name&page=1 /products?utm_source=newsletter /products?session=abcLa dimension principale peut rester : /productsLes éléments utiles sont envoyés séparément : campaign_source=newsletter sort_used=trueCette structure produit des rapports plus lisibles et évite que des dimensions à forte cardinalité consomment inutilement les capacités de l’outil. Attention aux routes où le paramètre définit réellement le contenu Sur certaines architectures, ?article=42 ou ?category=security identifie la ressource. Supprimer le paramètre sans remplacement fusionnerait des pages différentes. Deux solutions :migrer vers des chemins stables, par exemple /articles/42; dériver un identifiant de contenu non personnel et contrôlé dans une dimension dédiée.Ne conservez pas automatiquement l’identifiant brut. Demandez d’abord s’il peut être relié à une personne ou à un dossier. SEO et analytics : deux nettoyages différents Le filtrage analytics et la gestion SEO des paramètres se recoupent, mais ne sont pas identiques. Pour le SEO, une équipe peut utiliser des URL canoniques, des redirections, des règles d’indexation et une structure de liens cohérente. Pour l’analytics, elle choisit la représentation utilisée dans les rapports. Une balise canonique n’empêche pas un script de collecter l’URL complète. Inversement, supprimer un paramètre du rapport analytics ne change pas la manière dont un moteur explore le site. Documentez les deux décisions séparément. Le protocole de test Test 1 : corpus de paramètres Créez une liste d’URL de test couvrant :UTM autorisés ; paramètre inconnu ; email encodé ; identifiant numérique ; valeur très longue ; paramètre répété ; caractères spéciaux ; token factice ; texte de recherche.Test 2 : observation réseau Dans les outils développeur, vérifiez le payload exact envoyé par le navigateur. Recherchez la valeur sensible factice dans toutes les requêtes, pas seulement celle de l’analytics principal. Test 3 : logs et stockage Vérifiez le collecteur, le CDN, les erreurs applicatives et les données brutes. Le fait qu’une valeur n’apparaisse pas dans le tableau de bord ne prouve pas qu’elle n’a jamais été stockée. Test 4 : rapports et exports Contrôlez les rapports pages, les dimensions personnalisées, l’API et un export représentatif. Test 5 : comportement en erreur Désactivez une règle, envoyez une clé inconnue et simulez un payload invalide. Le système doit échouer en mode sûr, sans enregistrer l’URL complète dans un message d’erreur. Gouverner l’allowlist dans le temps Conservez un petit registre avec :Paramètre Statut Finalité Valeurs autorisées Propriétaire Date de revueutm_source Autorisé Acquisition Taxonomie marketing Growth Trimestrielleutm_medium Autorisé Canal Liste fermée Growth Trimestriellelang Dérivé Contenu fr, en Produit Semestrielleemail Interdit Aucune Aucune Engineering Permanentetoken Interdit Sécurité Aucune Security PermanenteToute nouvelle clé doit passer par la même question : quelle décision justifie sa collecte ? Pour un environnement multi-sites, appliquez une allowlist commune par défaut et n’autorisez une exception que si elle est documentée pour la propriété concernée. Conclusion Le bon filtre n’est pas une longue liste de mots interdits. C’est une politique simple :aucune donnée personnelle ou secret dans l’URL ; une allowlist courte pour les signaux de campagne réellement utiles ; des dimensions contrôlées pour les besoins produit ; un nettoyage avant envoi et une validation côté serveur ; des tests sur le réseau, les logs, le stockage et les exports.Cette approche améliore simultanément la privacy, la sécurité et la lisibilité des rapports. Mesurer moins de variantes produit souvent une meilleure compréhension des pages qui comptent. FAQ Faut-il supprimer toute la query string des rapports analytics ? C’est une bonne valeur par défaut pour la dimension page, mais certaines applications utilisent des paramètres pour définir le contenu. Dans ce cas, dérivez une dimension contrôlée plutôt que de conserver l’URL brute. Les paramètres UTM peuvent-ils contenir une adresse email ? Non. Une adresse email dans une URL peut circuler dans de nombreux systèmes. Utilisez des catégories de campagne, jamais des identifiants de personnes. La redaction de GA4 suffit-elle ? Elle réduit certains risques dans GA4, mais ne couvre pas nécessairement les logs, autres tags, proxies ou exports. Filtrez le plus tôt possible et vérifiez toutes les couches. Un identifiant haché peut-il rester dans l’URL ? Le hachage ne rend pas automatiquement une valeur anonyme. Si l’identifiant permet de distinguer, relier ou retrouver une personne, il peut rester une donnée personnelle et ne devrait pas être transmis sans justification. Comment traiter les termes de recherche interne ? Évitez d’envoyer le texte libre. Mesurez plutôt l’usage de la recherche, une catégorie contrôlée ou des statistiques agrégées, après analyse du besoin. SourcesOWASP, Information exposure through query strings in URL MDN, URLSearchParams Google Analytics, Data redaction Matomo, Exclude URL query parameters from tracked URLs Règlement (UE) 2016/679, article 25 et principes de l’article 5 CEPD, Lignes directrices sur la protection des données dès la conception et par défaut

UTM, referrers et trafic direct : lire correctement vos sources d’acquisition

UTM, referrers et trafic direct : lire correctement vos sources d’acquisition

Une hausse du trafic direct ne signifie pas forcément que davantage de personnes tapent spontanément votre adresse dans leur navigateur. Une campagne marquée avec des UTM ne dit pas toujours qui a réellement influencé la conversion. Et un domaine référent absent ne prouve pas que la visite n’avait aucune source. Ces trois notions sont souvent regroupées dans le même rapport d’acquisition, alors qu’elles décrivent des signaux différents :les paramètres UTM sont des étiquettes ajoutées volontairement à une URL ; le referrer est une information transmise par le navigateur dans certaines conditions ; le trafic direct est une catégorie utilisée lorsque l’outil ne dispose pas d’une source exploitable selon ses règles.Une lecture fiable commence par cette distinction. Elle se poursuit avec une nomenclature stable et une dose de prudence : l’attribution web est une reconstruction à partir de signaux incomplets, pas un relevé exhaustif du parcours d’une personne. Les UTM : une déclaration ajoutée au lien Un lien de campagne peut ressembler à ceci : https://www.example.com/guide/?utm_source=newsletter&utm_medium=email&utm_campaign=launch_juneLes paramètres les plus courants sont :utm_source : l’origine déclarée, par exemple linkedin, newsletter ou partner_name ; utm_medium : le type de canal, par exemple paid_social, email ou referral; utm_campaign : le nom de l’initiative ; utm_content : une variante de création, de placement ou de bouton ; utm_term : historiquement associé aux mots-clés, mais utilisable avec prudence selon le besoin.Google Analytics documente aussi d’autres paramètres manuels, mais une PME gagne rarement à multiplier les dimensions. Trois champs obligatoires et un champ de variante suffisent souvent. L’UTM n’est pas détecté automatiquement par le navigateur. Il est écrit par la personne ou le système qui produit le lien. Il faut donc le lire comme une déclaration de campagne, avec les forces et les faiblesses de toute donnée déclarative. Ce que les UTM font bien Ils sont utiles lorsque le referrer est absent, trop générique ou insuffisant :une newsletter ; un QR code ; un document PDF ; une signature d’email ; une publication sociale organique ou payante ; une campagne partenaire ; un lien dans une application.Ils permettent aussi de distinguer deux liens qui pointent vers la même page, par exemple le bouton principal et le lien de pied de newsletter. Ce qu’ils ne prouvent pas Un UTM ne prouve pas que la campagne a créé toute la demande. Il indique que la visite observée est arrivée avec cette étiquette. Le lien peut avoir été copié dans un canal privé, partagé par un collègue, ouvert plusieurs jours après sa réception ou modifié par un intermédiaire. Un utilisateur peut également avoir découvert la marque ailleurs avant de cliquer. C’est pourquoi le reporting doit parler de visites et conversions attribuées selon la règle de mesure, pas d’une causalité certaine. Le referrer : un signal transmis sous conditions Lorsqu’un navigateur suit un lien, il peut envoyer un en-tête HTTP Referer au site de destination. Malgré la faute historique dans le nom de l’en-tête, il s’agit du mécanisme qui permet souvent d’identifier le site précédent. La quantité d’information transmise dépend de la politique de referrer, du protocole, du navigateur, du contexte d’ouverture et des choix du site source. La politique par défaut moderne strict-origin-when-cross-origin transmet généralement :l’URL complète pour une navigation vers la même origine ; uniquement l’origine pour une navigation HTTPS entre origines ; aucune information lors d’une navigation d’un contexte HTTPS vers HTTP.Un site peut appliquer une politique plus stricte, une application peut ouvrir le lien dans une webview, et certaines redirections ou protections peuvent supprimer le signal. Le referrer est donc utile, mais jamais garanti. Referrer et UTM peuvent coexister Une visite peut fournir les deux :referrer : linkedin.com; utm_source : linkedin; utm_medium : paid_social; utm_campaign : webinar_june.L’outil analytics applique alors ses propres règles de priorité. Dans GA4, les paramètres manuels alimentent des dimensions spécifiques de source, support et campagne, tandis que les regroupements de canaux reposent sur des règles documentées et susceptibles d’évoluer. Le point opérationnel est simple : ne comparez pas deux rapports sans vérifier leur périmètre et leur scope. « Première source utilisateur », « source de session » et « source d’un événement clé » ne répondent pas à la même question. Le trafic direct est un manque de signal exploitable Dans le langage courant, « direct » évoque une personne qui saisit l’adresse ou utilise un favori. Ces comportements existent. Mais la catégorie peut aussi recevoir des visites dont la source a été perdue. Exemples fréquents :lien non marqué dans une application mobile ou une messagerie ; document local, PDF ou présentation ; redirection qui ne conserve pas les paramètres ; politique de referrer restrictive ; passage d’un environnement sécurisé vers un environnement moins sécurisé ; campagne email sans UTM ; lien copié puis partagé dans un canal privé ; erreur de déploiement ou de configuration analytics ; URL nettoyée avant que le script ne lise les paramètres.Il est donc plus juste d’interpréter « direct » comme :L’outil n’a pas attribué cette visite à une source plus précise avec les données disponibles.Une forte part de direct n’est pas automatiquement un problème. Elle devient un signal d’audit lorsqu’elle change brutalement, se concentre sur une page de campagne ou diffère fortement entre des outils censés observer le même périmètre. La méthode pour construire une nomenclature UTM stable Le principal risque n’est pas l’absence d’UTM. C’est une nomenclature incohérente qui fragmente les rapports. 1. Définir un vocabulaire fermé pour utm_medium Le support doit représenter une famille de canal. Limitez-le à une liste contrôlée, par exemple : email paid_search paid_social organic_social partner affiliate display offlineNe mélangez pas paid-social, paidsocial, cpc_social et social_paid. Les outils peuvent traiter les majuscules et variantes de manière différente, et vos tableaux les afficheront souvent comme des valeurs distinctes. 2. Nommer la source comme une plateforme ou un partenaire Exemples : linkedin google customer_newsletter partner_acme event_parisÉvitez de placer le nom de la campagne dans la source. Sinon, vous perdez la capacité à comparer un même canal dans le temps. 3. Donner à la campagne une structure lisible Une convention simple : objectif_offre_periodePar exemple : lead_demo_2026q2 launch_product_2026june retention_webinar_2026q3Choisissez une langue, une casse et un séparateur. Pour réduire les erreurs, les minuscules et les underscores sont faciles à contrôler. 4. Réserver utm_content aux variantes utiles Ce champ peut identifier :hero_button; footer_link; video_a; creative_02; partner_banner.Ne l’utilisez pas pour injecter des phrases ou des informations sur le destinataire. 5. Centraliser la génération Un tableur avec validation de données, un petit générateur interne ou un formulaire contrôlé évite la majorité des variantes. Chaque ligne doit contenir :URL de destination ; source ; medium ; campagne ; contenu éventuel ; propriétaire ; date de création ; statut actif ou archivé.Ne mettez jamais de donnée personnelle dans un UTM Les paramètres de requête circulent largement. Ils peuvent apparaître dans :l’historique du navigateur ; les logs du serveur et du CDN ; les outils analytics ; les outils de support ; les captures d’écran ; les liens copiés ; certains referrers ; les exports et rapports.N’utilisez donc pas d’adresse email, de nom, de numéro client, de téléphone, de jeton ou d’identifiant permettant de retrouver une personne. Cette règle vaut aussi pour des champs internes apparemment pratiques : utm_content=client_12345 utm_campaign=renewal_alice@example.comCes valeurs transforment un outil de campagne en vecteur de diffusion de données personnelles. Le bon niveau est une catégorie ou une variante de création, pas un individu. Votre data collection summary doit préciser quels paramètres sont autorisés, stockés ou supprimés. Cinq erreurs qui faussent les rapports Utiliser des UTM sur les liens internes Ajouter des UTM entre deux pages de son propre site peut créer une nouvelle attribution ou écraser le contexte précédent selon l’outil. Utilisez plutôt un événement ou une dimension interne lorsque vous devez comparer des emplacements de navigation. Marquer tous les liens externes sans hiérarchie Un UTM n’est pas nécessaire quand le referrer fournit déjà un signal suffisant et que vous n’avez aucune variante à distinguer. Le marquage doit servir une question, pas produire des colonnes supplémentaires. Changer de convention en cours de campagne linkedin, LinkedIn et linkedin.com deviennent facilement trois lignes. Corrigez la nomenclature à la source et conservez un journal des changements. Nettoyer l’URL trop tôt Il est légitime de retirer les paramètres visibles après leur lecture afin d’obtenir une URL propre. Mais si le code les supprime avant que le système de mesure ne les capture, la campagne tombe dans une autre catégorie. Testez l’ordre d’exécution. Comparer des outils sans aligner les règles Deux plateformes peuvent avoir des définitions de session, fenêtres d’attribution, listes de sources et règles de priorité différentes. Un écart ne signifie pas automatiquement qu’une des deux est défaillante. Diagnostiquer une hausse du trafic direct Procédez dans cet ordre. 1. Localiser la hausse Regardez les pages d’entrée, appareils, pays, heures et domaines concernés. Une hausse sur la page d’accueil n’a pas la même signification qu’une hausse sur une landing page accessible uniquement depuis une campagne. 2. Vérifier les déploiements Cherchez un changement de redirection, de routeur, de CMP, de tag manager, de script analytics ou de nettoyage d’URL. 3. Auditer les campagnes actives Ouvrez les liens réels des emails, publicités, profils sociaux, QR codes et documents. Ne vous contentez pas du tableur de préparation. 4. Tester le parcours complet Suivez le lien dans le contexte réel : application mobile, messagerie, navigateur intégré, PDF ou QR code. Observez la requête de collecte et le rapport final. 5. Accepter une part d’incertitude Le dark social et les contextes sans referrer ne peuvent pas être reconstruits avec certitude sans ajouter des mécanismes de suivi plus intrusifs. Une analytics responsable accepte parfois une catégorie résiduelle plutôt que de fabriquer une précision artificielle. Le tableau de bord minimal d’acquisition Pour une PME B2B, quatre vues suffisent souvent :sessions ou visites par source et medium ; pages d’entrée par source ; conversions utiles par source ; évolution du direct et de l’unassigned.Ajoutez le coût et le revenu seulement si leur définition est fiable et leur rapprochement documenté. Un ROAS précis en apparence mais construit sur des identifiants incomplets peut être moins utile qu’un coût par demande qualifiée bien défini. Analysez les tendances sur plusieurs semaines. Les volumes faibles rendent les variations journalières trompeuses. Conclusion Les UTM, le referrer et le trafic direct ne sont pas trois versions d’une même donnée. Ce sont trois mécanismes qui se complètent et se contredisent parfois. Une bonne pratique d’acquisition repose sur :une nomenclature UTM courte et contrôlée ; aucun identifiant personnel dans les URL ; une compréhension des limites du referrer ; une définition prudente du direct ; des règles d’attribution documentées ; des contrôles réguliers sur les liens réellement diffusés.L’objectif n’est pas de faire disparaître tout trafic direct. Il est de rendre les campagnes importantes lisibles sans prétendre reconstituer chaque parcours. FAQ Quelle différence entre utm_source et le referrer ? utm_source est une valeur ajoutée volontairement au lien. Le referrer est un signal que le navigateur peut transmettre à partir de la page précédente. Ils peuvent être présents ensemble ou séparément. Le trafic direct correspond-il aux personnes qui connaissent déjà la marque ? Parfois, mais pas uniquement. Il inclut aussi des visites pour lesquelles aucune source exploitable n’a été attribuée, par exemple depuis certaines applications, documents ou campagnes non marquées. Quels UTM sont vraiment nécessaires ? Pour la plupart des équipes, utm_source, utm_medium et utm_campaign forment le socle. utm_content est utile pour distinguer des variantes. Ajoutez d’autres paramètres seulement s’ils répondent à une question précise. Faut-il mettre des UTM sur les liens internes ? En général, non. Ils peuvent perturber l’attribution. Utilisez des événements ou dimensions dédiées pour mesurer la navigation interne. Peut-on supprimer les UTM de l’URL après l’arrivée ? Oui, après les avoir capturés correctement. Testez l’ordre d’exécution et conservez les informations uniquement selon votre politique de collecte et de conservation. SourcesGoogle Analytics, Traffic-source dimensions, manual tagging and auto-tagging Google Analytics, Default channel group definitions MDN, Referer header MDN, Referrer-Policy header OWASP, Information exposure through query strings in URL CNIL, Les six grands principes du RGPD

Data collection summary : documenter clairement ce que votre analytics collecte

Data collection summary : documenter clairement ce que votre analytics collecte

Installer un outil analytics prend parfois quelques minutes. Expliquer précisément ce qu’il collecte peut prendre beaucoup plus longtemps. La difficulté ne vient pas seulement du volume de données. Elle vient de la dispersion de l’information. Une partie se trouve dans le plan de marquage, une autre dans la documentation du fournisseur, une autre dans le gestionnaire de consentement, et une dernière dans le code du site. Quand une question arrive, par exemple « transmettons-nous l’URL complète ? », « l’adresse IP est-elle stockée ? » ou « combien de temps gardons-nous les événements ? », personne ne dispose forcément d’une réponse complète. Un data collection summary est un document court qui rassemble ces réponses. Il décrit la collecte telle qu’elle fonctionne réellement, et non telle qu’on l’imagine à partir d’une page marketing. Ce n’est ni un avis juridique, ni un remplacement du registre des traitements, ni une politique de confidentialité. C’est une vue technique et opérationnelle qui relie les trois. À quoi sert un data collection summary ? Le document répond à une question simple :Pour chaque donnée ou signal collecté, savons-nous d’où il vient, pourquoi nous le collectons, où il va, combien de temps nous le gardons et qui peut y accéder ?Cette vue est utile à plusieurs équipes. L’équipe produit peut vérifier qu’un nouvel événement répond à un besoin réel. L’équipe marketing peut comprendre quelles dimensions sont disponibles sans supposer que « l’outil doit sûrement les avoir ». L’équipe technique dispose d’une référence pour les filtres, les transformations et les environnements. Le DPO ou le conseil juridique peut confronter la réalité technique aux documents de conformité. La direction peut enfin savoir quel risque et quelle dette accompagnent la mesure d’audience. Le RGPD impose notamment des principes de finalité, de minimisation, de transparence et de limitation de la conservation. Il prévoit aussi, selon les situations, une information des personnes et la tenue d’un registre des activités de traitement. Le data collection summary ne crée pas ces obligations, mais il facilite la production d’informations exactes et cohérentes. Ce document n’est pas le registre des traitements La distinction est importante. Le registre des activités de traitement est un document de gouvernance prévu par l’article 30 du RGPD dans les cas où il s’applique. Il décrit un traitement à un niveau relativement large : finalités, catégories de personnes, catégories de données, destinataires, transferts, durées et mesures de sécurité. Le data collection summary descend au niveau de l’implémentation. Il peut préciser que :l’URL est enregistrée sans la chaîne de requête ; l’adresse IP est utilisée brièvement pour une opération technique puis non conservée ; le user-agent est réduit à une famille de navigateur ; les paramètres utm_source, utm_medium et utm_campaign sont conservés ; un identifiant de formulaire n’est envoyé qu’après validation ; les données brutes et les rapports agrégés n’ont pas la même durée de conservation.La politique de confidentialité, elle, traduit les éléments pertinents dans un langage destiné aux visiteurs. Elle ne doit pas devenir une copie de la documentation technique, mais elle ne peut être fiable que si cette documentation existe. On peut donc résumer les rôles ainsi :Document Public principal Niveau de détail FonctionRegistre des traitements Interne, conformité Traitement et catégories Démontrer et piloter la conformitéData collection summary Interne, produit et technique Champs, flux et contrôles Décrire la collecte réellement déployéePolitique de confidentialité Visiteurs et utilisateurs Information claire Expliquer les traitements pertinents aux personnesPlan de marquage Produit, marketing, développement Événements et règles Définir ce qui doit être mesuréCes documents se complètent. Ils ne doivent pas se contredire. Les 10 colonnes d’un résumé utile Un tableur suffit. L’important est la qualité des colonnes et la discipline de mise à jour. 1. Donnée ou signal Nommez la donnée sans jargon commercial : chemin de page, domaine référent, type d’appareil, événement de formulaire, identifiant de site, paramètre UTM, pays dérivé, adresse IP temporaire. Évitez les catégories vagues comme « données techniques ». Elles masquent les choix concrets. 2. Exemple de valeur Un exemple réduit les ambiguïtés. Pour un chemin de page : /tarifs/. Pour une source : newsletter. Pour un événement : demo_requested. N’utilisez pas de vraie donnée personnelle dans le document. Un exemple synthétique suffit. 3. Source Précisez où le signal apparaît : navigateur, serveur, formulaire, CMS, CDN, script analytics ou import externe. Cette colonne aide à repérer les données collectées indirectement. Un outil peut, par exemple, recevoir une URL ou un en-tête avant même que votre code de tracking ne les transforme. 4. Finalité opérationnelle Écrivez une phrase qui relie la donnée à une décision : « mesurer les pages d’entrée qui génèrent une demande de démonstration » est plus utile que « analyse marketing ». Une finalité trop large est un signal d’alerte. Si une donnée sert supposément à tout, son besoin n’est probablement pas assez défini. 5. Transformation avant stockage Indiquez ce qui est supprimé, tronqué, agrégé ou dérivé :suppression des paramètres non autorisés ; normalisation du chemin ; réduction du user-agent ; géolocalisation approximative puis suppression de l’adresse IP ; hachage d’un identifiant, avec la précision qu’un hachage n’est pas automatiquement une anonymisation ; agrégation quotidienne ou mensuelle.Cette colonne permet de distinguer ce que le système reçoit de ce qu’il conserve. 6. Destination et sous-traitants Listez les systèmes qui reçoivent la donnée : endpoint de collecte, stockage brut, base agrégée, outil de BI, export, fournisseur cloud ou prestataire analytics. Ajoutez la région d’hébergement et les transferts pertinents lorsqu’ils sont connus et documentés. Ne déduisez pas la localisation juridique d’un simple nom de région cloud. 7. Durée de conservation Séparez les couches lorsque nécessaire :logs techniques ; événements bruts ; données pseudonymisées ; statistiques agrégées ; sauvegardes ; exports manuels.Une seule durée globale est souvent trompeuse. La CNIL rappelle que la durée doit être déterminée selon la finalité et limitée au nécessaire. Pour les traceurs de mesure d’audience susceptibles d’entrer dans le cadre d’une exemption en France, elle recommande notamment une durée de vie de treize mois pour les traceurs et une conservation des informations collectées limitée à vingt-cinq mois. Ces repères ne dispensent pas d’analyser la configuration réelle. 8. Accès Décrivez les rôles, pas seulement les noms : administrateurs, analystes, agence, support, prestataire d’hébergement. Précisez si l’accès porte sur les rapports agrégés, les événements bruts ou les exports. « L’équipe marketing a accès » est insuffisant si un compte générique permet aussi de télécharger toutes les données. 9. Dépendance au consentement ou à la configuration Cette colonne doit rester factuelle. Indiquez par exemple :collecté uniquement après signal de consentement ; désactivé en mode de mesure stricte ; activé uniquement pour certaines campagnes ; soumis à une analyse locale ePrivacy ; utilisé pour une mesure d’audience limitée, sous réserve que toutes les conditions applicables soient remplies.N’écrivez pas simplement « exempté » sans documenter les conditions, le périmètre et la configuration. 10. Suppression et responsable Enfin, indiquez comment la donnée disparaît et qui vérifie le processus : suppression automatique, tâche planifiée, purge fournisseur, procédure manuelle, échéance de contrat, suppression d’un export. Ajoutez un propriétaire interne et une date de dernière revue. Sans responsable, le document vieillit dès la prochaine mise en production. Exemple minimal pour une PME SaaS Voici un extrait volontairement simplifié :Signal Finalité Traitement avant stockage Conservation AccèsChemin de page Mesurer les contenus consultés Query string supprimée, chemin normalisé 25 mois pour les rapports Produit, marketingDomaine référent Comprendre les sources de visite Origine uniquement lorsque transmise 25 mois Marketingutm_source Identifier une campagne déclarée Valeurs normalisées selon une nomenclature 25 mois MarketingÉvénement demo_requested Mesurer une conversion B2B Aucun contenu de formulaire envoyé 25 mois Produit, ventes en agrégéAdresse IP Sécurité et dérivation géographique approximative Utilisée temporairement, non stockée dans l’événement Durée technique documentée Opérations restreintesUser-agent Répartition technique Réduit à une catégorie de navigateur et appareil 25 mois ProduitCe tableau ne prouve rien à lui seul. Il doit correspondre au réseau observé, au code et aux réglages du fournisseur. C’est pourquoi il est utile de commencer par un audit des traceurs effectivement chargés et de comparer le résultat au plan de marquage minimaliste. Méthode de construction en cinq étapes Étape 1 : partir du trafic réseau Ouvrez les outils de développement du navigateur, rechargez les pages représentatives et observez les requêtes. Faites le test avant et après chaque choix de consentement, sur plusieurs parcours et appareils. Relevez les domaines, les payloads, les paramètres d’URL et les événements. Le réseau montre ce qui est transmis depuis le navigateur. Il ne montre pas nécessairement toutes les transformations côté serveur, mais il constitue un point de départ vérifiable. Étape 2 : lire le code et la configuration Inspectez le script de collecte, le gestionnaire de tags, les règles du CMP, les variables d’environnement et les filtres. Une documentation fournisseur générique ne dit pas quelle option votre site a activée. Vérifiez également les fonctionnalités annexes : enregistrement de session, enrichissement publicitaire, export vers une régie, connexion CRM ou identifiants utilisateurs. Étape 3 : interroger le fournisseur avec des questions fermées Demandez des réponses vérifiables :l’URL complète est-elle reçue et stockée ? les paramètres de requête sont-ils filtrables avant stockage ? l’adresse IP est-elle journalisée ailleurs que dans les événements ? quelles sauvegardes contiennent encore les données après suppression ? le fournisseur réutilise-t-il les données pour son propre compte ? quels sous-traitants et transferts sont concernés ? les exports obéissent-ils à la même politique de conservation ?Une réponse « privacy-friendly » ne remplit aucune colonne. Étape 4 : confronter les documents Comparez le résumé technique au registre, au contrat de sous-traitance, à la politique de confidentialité et au bandeau de consentement. Les incohérences sont plus importantes que la qualité littéraire de chaque document pris séparément. Exemple classique : la politique affirme que seules des statistiques agrégées sont collectées, alors que le gestionnaire de tags envoie un identifiant utilisateur à un outil tiers. Étape 5 : instaurer une revue liée aux changements Le document doit être revu lors de toute modification significative :nouvel outil ; nouvel événement ; changement de domaine de collecte ; activation d’un export ; nouvelle durée de conservation ; modification du consentement ; changement de sous-traitant ; ajout d’une propriété ou d’un site.Une revue trimestrielle légère permet aussi de détecter les écarts silencieux. Les erreurs qui rendent le document inutile Copier la documentation commerciale La documentation du fournisseur décrit un produit possible. Votre résumé doit décrire votre instance, vos options et vos flux. Confondre pseudonymisation et anonymisation Un identifiant haché ou rotatif peut rester une donnée personnelle s’il permet encore de distinguer ou relier une personne. Utilisez des termes précis et documentez le risque de réidentification. Oublier les URL Les URL complètes peuvent contenir des emails, identifiants de commande, termes de recherche interne ou jetons. Même un outil conçu pour collecter peu peut recevoir une donnée excessive si le site place cette donnée dans l’adresse. Ne documenter que le tableau de bord Le rapport visible n’est qu’une surface. Les logs, exports, événements bruts, sauvegardes et intégrations comptent aussi. Laisser le document sans propriétaire Une fiche parfaite mais non maintenue devient rapidement plus dangereuse qu’une fiche absente, car elle donne une confiance injustifiée. Checklist de validation Avant d’approuver le résumé, vérifiez que :chaque donnée a une finalité spécifique ; les données reçues et les données stockées sont distinguées ; les paramètres d’URL et champs libres ont été audités ; les durées sont définies par couche ; les destinataires et accès sont nommés ; le consentement et les modes de configuration sont explicités ; la suppression est testable ; le contenu concorde avec les documents publics et contractuels ; un responsable et une date de revue sont indiqués ; toute affirmation d’anonymisation est techniquement justifiée.Conclusion Un data collection summary n’est pas un document de plus à ranger dans un dossier conformité. C’est une interface commune entre produit, marketing, technique et juridique. Sa valeur vient de sa précision. Une équipe qui sait exactement ce qu’elle collecte peut supprimer les données inutiles, expliquer les données utiles, configurer correctement ses outils et répondre plus vite aux questions internes ou externes. Commencez par une seule propriété web et les dix signaux les plus importants. Vérifiez-les dans le réseau et le code, puis élargissez seulement si la collecte réelle le justifie. FAQ Le data collection summary est-il obligatoire au titre du RGPD ? Ce format précis n’est pas imposé par le RGPD. Il peut toutefois aider à produire et maintenir des documents obligatoires ou nécessaires, notamment le registre des traitements et l’information des personnes. Faut-il publier ce document ? Pas nécessairement. Il contient souvent des détails techniques internes. Les informations pertinentes pour les personnes doivent être reprises clairement dans la politique de confidentialité ou d’autres notices appropriées. Une adresse IP non stockée doit-elle apparaître ? Oui si elle est reçue ou utilisée, même brièvement. Le résumé doit distinguer réception, traitement temporaire, transformation et stockage. Peut-on utiliser le même résumé pour plusieurs sites ? Seulement si les flux et configurations sont réellement identiques. Pour un environnement multi-sites, gardez un socle commun et documentez les écarts par propriété. À quelle fréquence faut-il le mettre à jour ? À chaque changement significatif de collecte ou de destination, avec une revue périodique. Une vérification trimestrielle est un rythme pratique pour une petite équipe, sans constituer une règle juridique universelle. SourcesRèglement (UE) 2016/679, notamment articles 5, 13, 25 et 30 CNIL, Le registre des activités de traitement CNIL, Cookies : solutions pour les outils de mesure d’audience CEPD, Lignes directrices 4/2019 sur la protection des données dès la conception et par défaut Chrome for Developers, Network features reference OWASP, Information exposure through query strings in URL

Audit des traceurs d’un site web : la checklist pratique pour une PME

Audit des traceurs d’un site web : la checklist pratique pour une PME

Un audit de traceurs ne consiste pas à compter les cookies affichés dans un navigateur puis à produire une capture d’écran. L’objectif est plus utile : comprendre quels composants communiquent avec quels services, à quel moment, pour quelle finalité et avec quelles données. Cette distinction est importante. Un site peut ne déposer aucun cookie et envoyer malgré tout des informations à des tiers. À l’inverse, un cookie peut être strictement nécessaire au fonctionnement demandé par l’utilisateur. Le mot « cookie » ne suffit donc pas à qualifier le risque, la finalité ou le régime applicable. Pour une PME, un SaaS B2B ou une équipe qui gère plusieurs sites, le bon livrable n’est pas un rapport de cinquante pages. C’est un inventaire vérifiable, relié à des responsables, à des décisions et à un plan d’action. Avant de commencer, gardez une limite claire en tête : un audit technique n’est pas un avis juridique. Il fournit les faits nécessaires pour documenter la configuration et décider avec les personnes compétentes. Ce que l’audit doit permettre de répondre À la fin de l’exercice, l’équipe devrait pouvoir répondre sans approximation à huit questions :Quels scripts, pixels, SDK et ressources tierces sont chargés ? Quels cookies, stockages locaux ou identifiants sont créés ? Quelles requêtes partent avant le choix de l’utilisateur ? Quelles données apparaissent dans les URL, en-têtes et corps de requête ? Quel fournisseur reçoit chaque information ? Quelle finalité opérationnelle justifie chaque composant ? Combien de temps les données et identifiants sont-ils conservés ? Qui peut accéder aux données, les exporter ou modifier la configuration ?Cette grille évite un piège fréquent : auditer uniquement la bannière, sans vérifier ce que le site fait réellement. La CNIL rappelle que la notion de traceur est technologiquement large. Elle couvre notamment les cookies HTTP, pixels, stockages locaux et certaines techniques d’empreinte. L’absence de cookie visible n’est donc pas une preuve suffisante d’absence de traçage. Préparer un périmètre représentatif Un audit réalisé uniquement sur la page d’accueil est rarement concluant. Les composants varient selon les pages, les parcours et l’état de consentement. Construisez un échantillon qui couvre au minimum :la page d’accueil ; une page de contenu ; une page produit ou service ; une page de tarification ; un formulaire ; une page de confirmation ; un espace authentifié, s’il existe ; une page intégrant une vidéo, une carte, un chat ou un outil de prise de rendez-vous ; une URL de campagne avec paramètres UTM ; les versions linguistiques ou domaines principaux dans un environnement multi-sites.Testez aussi plusieurs états :nouvelle visite sans choix enregistré ; refus de tous les traceurs optionnels ; acceptation sélective ; acceptation globale ; retour avec un choix déjà mémorisé ; navigation privée ou profil navigateur vierge.Pour les pages sensibles, ajoutez un scénario spécifique. Un espace client, une page de santé, un formulaire RH ou une console d’administration ne doit pas être traité comme une simple page éditoriale. La méthode d’audit en sept étapes 1. Partir d’un navigateur propre Utilisez un profil navigateur vierge, sans extension susceptible de bloquer ou réécrire les requêtes. Ouvrez les outils de développement avant de charger la page et activez la conservation du journal réseau. Notez précisément :l’URL testée ; la date ; le navigateur et sa version ; le scénario de consentement ; l’environnement, production ou préproduction ; l’identité de la personne qui a réalisé le test.Cette traçabilité rend l’audit reproductible. Elle permet aussi de comparer un résultat avant et après correction. 2. Inventorier les composants chargés Dans l’onglet Réseau, filtrez successivement les requêtes de type script, image, fetch, XHR et document. Relevez les domaines tiers ainsi que les fichiers chargés depuis votre propre domaine mais fournis par un prestataire. Un script servi en first party n’est pas nécessairement maîtrisé en interne. Un proxy, un gestionnaire de tags ou un CDN peut masquer l’origine fonctionnelle du composant. Pour chaque entrée, enregistrez :Champ Exemple de questionComposant Quel script ou service est chargé ?Propriétaire Quelle équipe l’a demandé ?Fournisseur Qui opère le service ?Finalité Mesure, support, sécurité, publicité, vidéo ?Déclenchement Avant choix, après acceptation, à l’action ?Données observées URL, referrer, IP, identifiant, événement ?Destination Domaine et région de traitement connues ?Action Conserver, configurer, différer ou supprimer ?Ne vous contentez pas du nom commercial. Un même fournisseur peut proposer plusieurs produits avec des comportements très différents. 3. Vérifier les stockages côté navigateur Inspectez :les cookies first party et third party ; localStorage ; sessionStorage ; IndexedDB ; les service workers ; les caches applicatifs lorsque c’est pertinent.Pour chaque cookie ou clé, relevez son nom, son domaine, sa durée, ses attributs et le moment où il apparaît. Les attributs Secure, HttpOnly et SameSite donnent des indications de sécurité, mais ils ne déterminent pas à eux seuls la finalité ou le besoin de consentement. Supprimez les données de site entre les scénarios. Sinon, un identifiant posé pendant un test « acceptation » peut fausser le test « refus ». 4. Comparer les déclenchements avant et après le choix C’est l’étape qui révèle les erreurs de configuration les plus concrètes. Rechargez la même page dans chaque état et comparez :les domaines contactés ; le nombre de requêtes ; les cookies créés ; les événements envoyés ; les scripts différés ; les appels déclenchés par une interaction.Un tag peut être absent au premier chargement puis se déclencher au scroll, au clic ou à l’ouverture d’un composant. Testez donc les interactions principales, pas seulement le chargement initial. Pour les outils de session replay, de chat ou de personnalisation, vérifiez aussi le masquage et les zones exclues. Le plan de marquage minimaliste constitue un bon point de comparaison : une collecte utile doit rester reliée à une décision, pas à la possibilité technique de tout enregistrer. 5. Inspecter les données réellement transmises Ouvrez plusieurs requêtes et examinez :l’URL complète ; les paramètres de requête ; le corps de la requête ; les en-têtes ; le referrer ; les identifiants persistants ; les propriétés d’événement.Cherchez en priorité les données qui ne devraient jamais circuler dans une URL analytics :adresse e-mail ; numéro de téléphone ; nom ; identifiant client ; jeton de réinitialisation ; token de session ; contenu libre d’un formulaire ; requête de recherche sensible ; référence de dossier.Les URL sont souvent copiées dans les journaux, historiques, outils de monitoring et systèmes de support. Une donnée placée dans la query string peut donc se propager bien au-delà de l’outil analytics. 6. Relier la technique à la gouvernance L’onglet Réseau ne vous dira pas tout. Complétez l’audit avec la documentation fournisseur et les paramètres du compte :durée de conservation ; localisation et sous-traitants ; transferts éventuels ; réutilisation des données par le fournisseur ; options de partage ; rôles et accès ; exports ; suppression ; journaux d’audit ; configuration multi-sites.Pour une mesure d’audience susceptible d’entrer dans un cadre sans consentement en France, la configuration réelle compte. La CNIL exige notamment une finalité strictement limitée à la mesure pour le compte de l’éditeur et des statistiques anonymes, sans recoupement ni suivi global entre sites. Notre décryptage du cadre CNIL détaille ces conditions et leurs limites. 7. Transformer l’inventaire en plan d’action Classez les constats selon quatre niveaux simples :Critique : donnée sensible ou identifiant exposé, tag marketing déclenché malgré un refus, token présent dans une URL. Élevé : fournisseur inconnu, absence de propriétaire, session replay sur une zone sensible, rétention non maîtrisée. Moyen : durée excessive, doublon de tags, paramètre inutile, documentation incomplète. Faible : optimisation de nommage, nettoyage de test, amélioration d’un commentaire ou d’une preuve.Chaque action doit avoir un responsable, une échéance et un test de validation. « À revoir » n’est pas une action exploitable. Un audit rapide en 90 minutes Pour un site simple, une première passe peut tenir dans un atelier court : 20 minutes : cartographier Listez les pages critiques, les outils attendus et les états de consentement. 30 minutes : observer Inspectez réseau et stockage sur trois à cinq pages, en état initial, refus et acceptation. 20 minutes : rapprocher Comparez les domaines observés avec la bannière, la politique de confidentialité, le gestionnaire de tags et les contrats fournisseurs. 20 minutes : décider Supprimez les composants sans propriétaire, créez les tickets prioritaires et planifiez les tests plus profonds. Cette passe ne remplace pas un audit complet, mais elle détecte souvent les écarts les plus coûteux : scripts oubliés, tags en double, données personnelles dans les URL et déclenchements trop précoces. Les erreurs fréquentes Confondre inventaire automatique et conclusion Un scanner aide à découvrir des domaines et cookies. Il ne connaît pas toujours la finalité, le contexte d’un événement ou la configuration contractuelle. Son résultat doit être vérifié manuellement. Ne tester que l’acceptation globale Le scénario le plus important est souvent celui du refus. Il permet de vérifier que les choix sont réellement respectés. Ignorer les requêtes first party Le fait qu’une requête parte vers votre domaine ne garantit pas qu’elle reste dans votre infrastructure ni qu’elle ne contienne pas de données indésirables. Auditer la production une seule fois Un gestionnaire de tags, une intégration marketing ou un changement de CMS peut modifier la collecte sans changement visible de l’interface. Un contrôle trimestriel léger et un audit avant les lancements importants sont plus utiles qu’un grand exercice ponctuel. Produire un tableau sans propriétaire Un inventaire sans décision, responsable ni date devient rapidement obsolète. La gouvernance est ce qui transforme l’audit en réduction de risque. Le livrable minimal à conserver Conservez quatre éléments :le tableau d’inventaire ; les preuves principales, captures ou exports réseau ; le registre des décisions, avec justification ; la liste des actions et le résultat des retests.Versionnez le document. Pour une équipe multi-sites, ajoutez une colonne « propriété web » et séparez ce qui est commun de ce qui varie localement. Conclusion L’objectif n’est pas de déclarer le site parfait. Il est de pouvoir expliquer, à une date donnée, ce qui a été observé, pourquoi chaque composant existe et comment les écarts sont traités. FAQ Un site sans cookies a-t-il besoin d’un audit de traceurs ? Oui. Des pixels, requêtes réseau, stockages locaux ou techniques d’identification peuvent fonctionner sans cookie HTTP. L’audit doit porter sur les échanges et les finalités, pas uniquement sur la liste des cookies. Les outils de scan automatique suffisent-ils ? Non. Ils accélèrent l’inventaire, mais ne remplacent pas la vérification manuelle des déclenchements, des données envoyées, des paramètres de compte et des responsabilités internes. Faut-il auditer chaque page du site ? Pas nécessairement. Il faut sélectionner un échantillon représentatif des gabarits, intégrations, parcours et états de consentement, puis approfondir les zones sensibles. À quelle fréquence refaire l’audit ? Après toute modification importante de la stack, avant un lancement sensible et selon un rythme régulier adapté au volume de changements. Pour une petite équipe, une revue trimestrielle légère est souvent plus réaliste qu’un audit annuel massif. Un audit technique prouve-t-il la conformité RGPD ? Non. Il documente les faits techniques et facilite l’analyse. La conformité dépend aussi des finalités, bases juridiques, contrats, informations fournies, droits des personnes et règles nationales applicables. Sources Sources vérifiées le 21 juin 2026.CNIL, « Cookies et traceurs : que dit la loi ? » CNIL, « Cookies : solutions pour les outils de mesure d’audience » CNIL, consultation sur le rejeu de session, 25 février 2026 EDPB, Guidelines 2/2023 on the technical scope of Article 5(3) of the ePrivacy Directive Chrome for Developers, Network panel reference OWASP, Information exposure through query strings in URL