Analytics souverain : Matomo ou Plausible sans Google

Vous mesurez votre trafic avec Google Analytics, et chaque visite envoie des données de vos utilisateurs vers des serveurs soumis au droit américain. La CNIL a jugé cette pratique non conforme au RGPD. Pas « limite », pas « à surveiller » : non conforme, avec mises en demeure à la clé en 2022. Le bandeau cookies qui pollue votre page d'accueil existe en grande partie à cause de ce choix d'outil. Et le pire, c'est que vous n'avez probablement même pas besoin de tout ce que Google collecte pour répondre à la seule question qui compte : qu'est-ce qui marche sur mon site.

Il existe deux sorties propres, françaises, auto-hébergeables. Matomo pour qui veut tout. Plausible pour qui veut l'essentiel sans cookie. Les deux vous rendent vos données et votre conformité.

Le problème n'est pas la qualité de l'outil, c'est le droit. Google Analytics envoie les données de navigation vers l'infrastructure de Google, une entreprise américaine soumise au Cloud Act et au FISA. Ces lois autorisent les autorités américaines à exiger l'accès aux données détenues par les entreprises sous juridiction US, où qu'elles soient stockées. Pour des données personnelles d'utilisateurs européens, ce transfert pose un problème frontal avec le RGPD.

La CNIL l'a acté noir sur blanc. Dans son communiqué de février 2022 (cnil.fr), elle considère que l'utilisation de Google Analytics entraîne un transfert de données vers les États-Unis non conforme, et met en demeure plusieurs gestionnaires de sites. Le raisonnement tient toujours malgré les accords successifs sur les transferts transatlantiques, dont la solidité juridique reste contestée. Construire sa mesure d'audience sur une fondation que le régulateur attaque, c'est accepter de tout refaire le jour où l'accord saute.

Vient le coût caché : le consentement. Parce que Google Analytics dépose des cookies et croise des données, il exige le consentement explicite de l'utilisateur. D'où le bandeau cookies, ce frottement qui dégrade l'expérience et fait perdre une partie de la mesure, puisque tout visiteur qui refuse disparaît des statistiques. Vous payez en conformité, en design, et en données manquantes, pour un outil que le régulateur juge non conforme. Le calcul est mauvais.

Matomo (matomo.org) est l'alternative complète. Une application web PHP avec base MySQL ou MariaDB, qu'on installe sur son propre serveur, en France si on veut. Fonctionnellement, elle couvre ce que fait Google Analytics et au-delà : rapports d'audience, suivi des conversions, entonnoirs, cartes de chaleur, enregistrement de sessions, tests A/B. Pour une équipe marketing qui exploitait vraiment Google Analytics, Matomo offre le même terrain de jeu sans le sacrifier.

L'argument décisif n'est pas fonctionnel, il est juridique. Comme vous hébergez l'instance, les données ne quittent jamais votre infrastructure. Pas de transfert vers les États-Unis, pas de Cloud Act, propriété pleine et entière de la donnée brute. C'est la définition de la souveraineté : vous savez où vivent vos données, et personne d'autre que vous n'y accède.

Surtout, Matomo peut se passer du bandeau cookies. La CNIL publie les conditions précises pour qu'un outil de mesure d'audience soit exempté de consentement (cnil.fr), et fournit même un guide de configuration dédié à Matomo. Les conditions : anonymisation de l'adresse IP, désactivation du croisement avec d'autres traitements, finalité strictement limitée à la mesure d'audience, durée de conservation bornée, et un mécanisme d'opposition. Configuré ainsi, Matomo collecte 100 % du trafic sans bandeau, sans perte de données par refus de consentement. Vous récupérez à la fois la conformité et l'intégralité de votre mesure, ce que Google Analytics ne permet jamais.

Le coût de Matomo, c'est l'exploitation. Une instance PHP plus base de données, qu'il faut installer, mettre à jour, sauvegarder, dimensionner quand le trafic monte. Du classique pour qui héberge déjà des applications web, une charge réelle pour qui n'a pas d'ops.

Plausible (plausible.io) prend le contre-pied. Là où Matomo veut l'exhaustivité, Plausible veut la simplicité radicale. Une seule page de tableau de bord, les métriques qui comptent vraiment (visiteurs, pages vues, sources de trafic, taux de rebond, durée), et rien de plus. Le script de tracking pèse une fraction de celui de Google Analytics, ce qui allège les pages et accélère le chargement.

L'angle technique change tout. Plausible est écrit en Elixir, avec ClickHouse comme base de données analytique, une architecture taillée pour ingérer et agréger des événements à grande échelle. Mais le point décisif est ailleurs : Plausible ne dépose aucun cookie, par conception. Il ne suit pas les individus, ne construit pas de profil persistant, n'utilise aucun identifiant qui survit à la visite. Sa politique de données (plausible.io) détaille cette absence de données personnelles.

La conséquence est directe : pas de cookie, donc pas de bandeau de consentement nécessaire, et pas de données personnelles à protéger au sens où Google Analytics en collecte. La conformité RGPD n'est pas une configuration à régler, c'est le comportement par défaut. Pour un site vitrine, un blog, une application qui veut juste savoir ce qui attire du monde, c'est l'outil le plus propre du marché : on installe, ça mesure, on est conforme, point.

Plausible s'auto-héberge via sa Community Edition, sous licence libre, déployable en conteneurs. On le pose sur un serveur français au même titre que Matomo, avec la même garantie de souveraineté, pour un coût d'exploitation plus léger puisque le périmètre fonctionnel est volontairement restreint.

Le choix se tranche sur le besoin réel, pas sur la fiche produit. La question n'est pas « lequel a le plus de fonctions », c'est « de quelles données avez-vous vraiment besoin ».

Si une équipe marketing exploite des entonnoirs de conversion, segmente des audiences, lance des tests A/B, croise des objectifs : Matomo. La richesse fonctionnelle justifie le coût d'exploitation plus élevé, et l'exemption de bandeau cookies reste atteignable avec la configuration CNIL. C'est le remplaçant à fonctionnalités égales de Google Analytics pour qui s'en servait à fond.

Si le besoin se résume à comprendre d'où vient le trafic et quelles pages marchent : Plausible. Sans cookie par conception, conforme par défaut, léger à héberger, sans bandeau à gérer. Pour la grande majorité des sites qui n'exploitaient en réalité pas le dixième des rapports Google Analytics, c'est le bon choix, et le plus honnête.

Le faux dilemme à éviter : croire qu'il faut Matomo « pour avoir tout », alors qu'on n'utilisait rien. Sur le terrain, beaucoup de migrations Google Analytics vers Matomo reproduisent une usine à gaz dont le gros ne sert jamais. Choisir Plausible quand l'essentiel suffit, c'est moins d'exploitation, moins de surface RGPD, et un site plus rapide. Le besoin commande l'outil.

Quel que soit l'outil, la souveraineté ne tient qu'à une condition : vous hébergez l'instance, en France, sur une infrastructure que vous contrôlez. Une instance Matomo ou Plausible posée chez un fournisseur américain annule l'intérêt, on aurait aussi bien gardé Google Analytics. La donnée doit vivre sous juridiction française, point.

Concrètement, on déploie l'application derrière un reverse proxy Nginx qui termine le TLS et expose le tableau de bord sur un sous-domaine. L'instance reçoit le script de tracking de tous vos sites, agrège, et garde tout en local. C'est la même logique que toute brique d'un cloud souverain : la maîtrise de l'emplacement physique de la donnée prime sur le confort d'un SaaS américain.

Ce choix s'inscrit dans une démarche plus large de reprise de contrôle. La mesure d'audience rejoint l'email souverain et plus généralement la mise en conformité RGPD : à chaque fois, la question est la même, qui détient la donnée et sous quel droit. Auto-héberger son analytics, c'est répondre proprement pour un des flux les plus exposés, celui qui touche chaque visiteur. Et tout ça suppose un socle d'hébergement web en France sur lequel poser l'instance.

Google Analytics, c'est terminé pour qui prend le RGPD au sérieux. Le régulateur l'a jugé non conforme, le bandeau cookies dégrade vos pages, et vos données partent sous juridiction américaine. La sortie existe, elle est propre, et elle vous rend la maîtrise.

Ce qu'on ferait, sans hésiter : Plausible pour la grande majorité des sites, parce que sans cookie par conception, conforme par défaut, léger, et qu'on n'utilisait de toute façon pas le dixième de Google Analytics. Matomo seulement quand une équipe exploite réellement les fonctions avancées, en l'auto-hébergeant et en appliquant la configuration CNIL pour virer le bandeau. Dans les deux cas, l'instance vit en France, sur une infra contrôlée. C'est ça, la souveraineté : pas un slogan, l'adresse physique de vos données.

Une instance Matomo ou Plausible, ça s'héberge proprement : TLS, sauvegardes, montée en charge quand le trafic suit. Si vous voulez quitter Google Analytics sans vous transformer en administrateur système, on peut héberger votre instance d'analytics en France et la maintenir à votre place.

• CNIL, Google Analytics et transferts vers les États-Unis : la mise en demeure de 2022 jugeant l'usage de Google Analytics non conforme au RGPD.
• CNIL, solutions pour les outils de mesure d'audience : les conditions d'exemption de consentement pour la mesure d'audience.
• CNIL, guide de configuration Matomo : le guide officiel pour configurer Matomo en mode exempté de bandeau cookies.
• Matomo : l'analytics auto-hébergeable complet, alternative riche à Google Analytics, PHP et base MySQL.
• Plausible Analytics : l'analytics léger sans cookie, auto-hébergeable via la Community Edition.
• Plausible, politique de données : le détail de l'absence de cookie et de données personnelles, conformité RGPD par conception.