Tracking cookieless & Consent Mode V2 : Matomo, GA4 server-side, CMP open-source

TL;DR : en 2025, sécurisez votre mesure avec un duo « consentement granulaire + architecture cookieless ». Mettez à jour vers le Consent Mode V2 (ad_user_data, ad_personalization), reliez votre CMP et basculez GA4 vers un conteneur server-side EU. Si besoin d’un analytics sans bannière, configurez Matomo en mode exempté CNIL ou en no-cookie strict — sinon, demandez le consentement.

Définition & contexte 2025

Tracking cookieless = mesurer la performance en réduisant (ou en supprimant) la dépendance aux cookies, surtout tiers, et en s’appuyant sur des signaux first-party, des endpoints propriétaires et des modèles d’attribution respectueux de la vie privée. Consent Mode V2 est l’API de Google qui adapte le comportement des tags (lecture/écriture, pings, modélisation) selon le consentement utilisateur dans l’EEE.

Côté navigateur, la disparition des cookies tiers dans Chrome suit un calendrier ajusté, mais la direction est claire : l’écosystème migre vers des APIs de mesure et de pertinence plus respectueuses de la vie privée. L’enjeu pour les marques : continuité de la donnée, conformité, rapidité et contrôle.

Enjeux business & conformité

• Continuité des KPIs malgré les refus de consentement et le blocage des traceurs tiers.
• Conformité ePrivacy/RGPD (CNIL en France) : consentement préalable pour les traceurs non essentiels, information claire, et gestion des transferts hors UE.
• Performance : moins de JS côté navigateur, Time to Interactive amélioré, meilleurs Core Web Vitals.
• Souveraineté & auditabilité : privilégier les données first-party, des CMP auditables, des endpoints EU.

Consent Mode V2 : ce qui change (et comment l’implémenter)

Le Consent Mode a été mis à jour fin 2023 avec deux signaux supplémentaires. En 2024, Google a renforcé l’exigence de transmission de consentement pour les utilisateurs de l’EEE, tant pour la personnalisation que pour certaines mesures.

Signal	Finalité	Impact si denied	Notes d’implémentation
ad_storage	Stockage publicitaire (cookies)	Pas de cookies Ads (conversion/remarketing)	Géré par la CMP → GTM/gtag
analytics_storage	Stockage analytique	GA4 fonctionne sans cookies avec pings limités/modélisation	Influence l’écriture du _ga
ad_user_data (V2)	Autorisation d’envoyer des données utilisateur aux systèmes Ads	Empêche l’envoi de certaines données aux plateformes publicitaires	Critique pour Customer Match / mesures Ads
ad_personalization (V2)	Activation des fonctionnalités de personnalisation publicitaire	Pas de remarketing/personnalisation	Bloque les audiences/segments publicitaires
functionality_storage	Préférences essentielles (ex. langue)	Fonctionnalités dégradées	Peut être granted par défaut si strictement nécessaire
personalization_storage	Personnalisation non publicitaire	Pas de personnalisation UX non essentielle	Soumis à consentement
security_storage	Prévention fraude / sécurité	Risque de faux positifs sécurité si refusé	Peut relever du strict nécessaire

Sources officielles : Guides Consent Mode et exigences EEE (Google), dont l’ajout des signaux ad_user_data et ad_personalization, et procédures de vérification avec Tag Assistant. Consultez : Google Developers (Consent mode overview & setup), Google Support (updates & enforcement), Tag Assistant troubleshooting.

Consent mode – Overview · Set up consent mode (web) · Updates for EEA traffic · Verify & update consent settings (GA4) · Troubleshoot with Tag Assistant

Implémentation pratique (web)

1. Avant le chargement des tags : définir l’état par défaut via gtag('consent','default', {...}) (généralement denied hors strict nécessaire).
2. Relier la CMP : mappez les choix (Analytics, Ads, Personnalisation) → états Consent Mode, y compris ad_user_data et ad_personalization.
3. Vérifier avec Tag Assistant (événements consent, transitions update), et tester les cas « refus total », « analytics only », « ads + personalization ».
4. Journaliser (DPO/IT) : conservez les preuves de version de CMP, de mappage et de tests.

GA4 server-side : architecture et bonnes pratiques

Le taggage côté serveur (GTM Server-Side) déporte l’exécution et la mise en forme des requêtes de mesure vers un conteneur server (Cloud Run ou autre). Bénéfices : contrôle des données, réduction du JS, résilience aux blocages, first-party endpoint (collect.votredomaine.com via CNAME/proxy).

Checklist d’architecture (UE)

• Hébergement : conteneur server en région UE (ex. GCP europe-west), accès restreint, journaux sécurisés.
• Domaine : sous-domaine first-party (ex. metrics.exemple.com) avec TLS.
• Consent relay : relayer les états de consentement jusqu’au serveur (headers/params) et conditionner l’envoi aux destinations.
• GA4 EU : pour le Measurement Protocol, utiliser l’endpoint régional https://region1.google-analytics.com/mp/collect.
• Minimisation : supprimer IP/UA non nécessaires, masquer champs libres, limiter la granularité.
• Observabilité : activer la prévisualisation, tester les flux, surveiller les erreurs et la latence.

Ressources utiles : GTM Server-Side (overview, intro, fundamentals), Consent Mode côté serveur, GA4 Measurement Protocol & endpoint UE.

Server-side GTM – Overview · Introduction · Fundamentals · Consent Mode server-side · GA4 Measurement Protocol

Matomo : mode exempté & no-cookie

La CNIL prévoit une exemption de consentement pour certaines mesures d’audience strictement nécessaires, sous conditions (finalités limitées, durée de vie, pas de reciblage, pas de réutilisation fournisseur, etc.). Matomo permet :

• un mode sans cookie (disableCookies) et anonymisation renforcée ;
• un mode exempté (guide de configuration CNIL) ;
• un mode consentement si vous étendez les finalités (ex. enrichissements, segments).

Références CNIL & Matomo : pages CNIL « Mesure d’audience » et exemption, note sur les transferts et la proxyfication, guides Matomo (consent/no-cookie).

CNIL – Solutions de mesure d’audience · CNIL – Mesure & transferts · Matomo – Tracking & consent · Matomo – Désactiver les cookies

CMP open-source : Klaro!, Orejime, CookieConsent

Une CMP doit être accessible, auditable et interopérable. Les options open-source offrent transparence et auto-hébergement :

CMP	Points forts	Intégration Consent Mode	Notes
Klaro!	Open-source, config JSON, groupes par finalité, multi-langue	Intégrable via GTM (template consent) et hooks	Client libre ; services backend optionnels
Orejime	Léger, axé accessibilité, facile à styler	Mapping custom vers gtag/GTM	Projet communautaire actif
CookieConsent (Osano)	Licence MIT, plugin WP, adoption massive	Intégrable avec événements personnalisés	Version open-source ≠ plateforme commerciale

Pour aller plus loin : consulter le TCF v2.2 (IAB Europe) si vous opérez des partenaires publicitaires TCF.

IAB Europe – TCF · TCF v2.2 – Lancement

Playbooks de déploiement

Playbook 1 — « Mesure essentielle » (Matomo exempté)

1. Cartographier les finalités « strictement nécessaires » selon CNIL (fréquentation, performance service).
2. Configurer Matomo en mode exempté (anonymisation IP, pas de reciblage, durée réduite) et/ou no-cookie.
3. Documenter (registre, DPA, politique) et éviter tout transfert hors UE (ou le mitiger via proxyfication conforme).
4. Informer l’utilisateur (politique cookies claire) et proposer un opt-out additionnel.

Playbook 2 — « Mix GA4 + Ads » (Consent Mode V2 + server-side)

1. CMP : définir des catégories exactes et mapper → ad_storage, analytics_storage, ad_user_data, ad_personalization.
2. GTM web : établir default à denied (hors essentiel), puis update après action utilisateur. Tester avec Tag Assistant.
3. GTM server-side : sous-domaine 1P, région EU, relais consent, filtrage des paramètres sensibles.
4. GA4 : Measurement Protocol via region1.google-analytics.com/mp/collect, règles de Data Filters et conservation minimale.
5. Audit : logs server-side, plan de tests (refus total, consent partiel, retrait), alertes.

Playbook 3 — « Équipes produit / multi-sites »

• Modèles GTM (templates) pour standardiser les consent checks et limiter le code sur site.
• Librairie d’événements (nommage, params obligatoires), mutualisée entre sites/apps.
• Feature flags pour activer de nouveaux partenaires derrière le consentement approprié.
• Observabilité : dashboards d’état de consent (taux par pays), taux de modélisation GA4, santé server-side.

Nettoyage, gouvernance des tags & qualité des données

Un bon passage au cookieless s’accompagne d’un grand ménage :

• Inventaire des tags : listez tout ce qui tire des données (GTM/Gtag, pixels, SDK), supprimez l’historique « zombie ».
• Rationalisez : un seul conteneur par surface, règles de déclenchement parcimonieuses, pas de vendor en « fire and forget ».
• Bloquez par défaut toute destination qui ne respecte pas l’état de consentement.
• Qualité : validez les events (schéma, cardinalité), mesurez la drift entre consented et denied.
• Sécurité : cloisonnez les accès, évitez les secrets dans le front, chiffrez en transit et au repos.

Tendances 2025–2026

• Cookie tiers : phase-out progressif dans Chrome (timeline Privacy Sandbox) : préparez des plans d’expérimentation et de mesure avec et sans 3P cookies.
• IP Protection & nouvelles protections en navigateurs : attendez-vous à moins de signaux passifs.
• Server-side par défaut pour les sites à fort trafic : performance, stabilité, contrôle.
• Gouvernance CNIL renforcée : mises en conformité et contrôle des transferts, journalisation, sécurité.

FAQ

Consent Mode V2 est-il « obligatoire » en Europe ?

Si vous utilisez des tags/SDK Google pour la publicité et la mesure auprès d’utilisateurs EEE, vous devez collecter le consentement et transmettre les signaux via le Consent Mode. Sans cela, des fonctionnalités publicitaires et de mesure peuvent être désactivées ou inopérantes conformément aux politiques Google.

Le cookieless GA4 suffit-il à reconstituer la donnée ?

Non. GA4 utilise de la modélisation lorsque les cookies ne sont pas disponibles. C’est utile pour les tendances, pas pour un suivi nominatif. Combinez server-side, first-party data et consentement explicite quand nécessaire.

Quelle CMP open-source choisir ?

Klaro! si vous voulez un client libre bien documenté, Orejime si vous cherchez un bundle léger accessible, CookieConsent si vous privilégiez la simplicité et l’écosystème (dont un plugin WordPress). Vérifiez la compatibilité TCF si vous en avez besoin.

Comment éviter les transferts hors UE avec GA4 ?

Utilisez l’endpoint EU du Measurement Protocol, un serveur GTM en région UE, minimisez/masquez les données, et documentez les mesures de protection. L’endpoint EU n’exonère pas de toutes les obligations de transfert, mais réduit les risques techniques.

Matomo « exempté » vs « consentement » : que choisir ?

Si votre besoin se limite à la fréquentation essentielle, tentez l’exemption (strictement nécessaire). Dès que vous ajoutez des finalités marketing, du reciblage ou des corrélations avancées, basculez sur un mode avec consentement clair.

Mots-clés & cooccurrences

Consent Mode V2, cookieless analytics, GA4 server-side, Matomo exempté CNIL, CMP open-source, TCF v2.2, endpoint EU region1, proxyfication, privacy by design

Ressources & sources utiles

• Google Developers – Consent mode (overview)
• Google Developers – Set up consent mode
• Google Support – Updates to consent mode for EEA
• Google Support – Verify & update consent (GA4)
• GA4 Measurement Protocol Reference (endpoint EU)
• GTM Server-Side – Overview
• CNIL – Outils de mesure d’audience (exemption)
• CNIL – Mesure d’audience & transferts
• Matomo – Tracking & consent
• Matomo – Mode sans cookie
• IAB Europe – TCF
• Privacy Sandbox – Mise à jour cookies tiers

---

Conclusion : la bonne stratégie 2025 n’est ni « tout consentement », ni « tout modèle », mais un orchestre : Consent Mode V2 + CMP fiable, GA4 server-side en UE pour la performance et le contrôle, Matomo en mode exempté ou no-cookie pour la mesure essentielle, le tout documenté et audité. Vous obtenez une donnée plus durable, moins d’exposition réglementaire et de meilleurs temps de chargement.

Besoin d’un design de mesure cookieless pour votre stack ? Parlons architecture, tests et migration par étapes.