Un guide pratique de Google Tag Manager vs Google Analytics

Ils arrivent presque toujours ensemble, mais Google Tag Manager vs Google Analytics oppose deux rôles distincts : l'un mesure ce qui se passe, l'autre décide quels scripts se chargent et quand.

Google Tag Manager et Google Analytics sont souvent installés ensemble, mais ils remplissent des rôles différents.

Google Analytics mesure l'activité des sites web et des applications. Google Tag Manager est un conteneur qui charge et contrôle des balises, notamment GA4, des pixels publicitaires, des scripts de conversion, des outils de tests A/B, des widgets de chat et du HTML personnalisé.

L'erreur en matière de confidentialité consiste à supposer que GTM rend le suivi plus sûr. Il peut faciliter la gouvernance du suivi, mais il peut aussi rendre beaucoup plus simple le déploiement d'un suivi non maîtrisé.

Ce que fait Google Analytics

GA4 collecte des événements tels que les pages vues, les sessions, les conversions, les sources de trafic et les propriétés utilisateur. La documentation des cookies GA4 de Google explique que GA4 utilise des cookies tels que _ga pour distinguer les utilisateurs et les sessions, sauf configuration différente via le comportement de consentement.

Cela signifie qu'une configuration GA4 standard soulève des questions concernant :

• le consentement aux cookies selon les règles ePrivacy
• la base légale et la transparence au titre du GDPR
• les transferts internationaux
• la minimisation de la charge utile des événements
• les fonctionnalités liées à Google Ads
• la conservation et le contrôle d'accès

Ce que fait Google Tag Manager

GTM permet aux non-développeurs de déployer et de mettre à jour des balises via une interface web. Une balise peut se déclencher en fonction de déclencheurs tels que le chargement de page, le clic, la soumission de formulaire, la profondeur de défilement, l'état de consentement ou des événements personnalisés. Il dispose également de son propre modèle d'autorisations, d'espaces de travail, de versions, d'environnements, de modèles personnalisés et d'un format d'export de conteneur.

C'est utile lorsque la gouvernance est solide. C'est dangereux lorsque le conteneur devient une base de code parallèle. Les équipes marketing peuvent ajouter des pixels sans relecture de code. D'anciennes campagnes peuvent laisser des traqueurs derrière elles. Des déclencheurs de consentement peuvent être mal configurés. Des balises HTML personnalisées peuvent charger des scripts tiers que personne n'audite. Un audit GTM doit donc couvrir les personnes, les autorisations, les modèles, les déclencheurs, les valeurs de la couche de données et l'historique de publication, et pas seulement la balise GA4.

Impact sur la confidentialité : GTM comme multiplicateur

GTM ne résout pas les problèmes de confidentialité des balises qu'il contient. Si GTM charge le Meta Pixel avant le consentement, le problème reste le Meta Pixel avant le consentement. S'il charge GA4, LinkedIn Insight Tag, TikTok Pixel et un outil de heatmap sur chaque page, votre exposition à la confidentialité s'élargit.

GTM peut aussi masquer la complexité. Un auditeur de site peut voir un seul script GTM dans le HTML, alors que le conteneur charge dix traqueurs en aval dans le navigateur.

Le mode Consentement n'est pas un programme de conformité complet

La documentation du mode Consentement de Google permet aux balises d'ajuster leur comportement en fonction de signaux de consentement tels que analytics_storage et les paramètres liés à la publicité. Cela peut être utile, notamment pour empêcher le stockage avant le consentement.

Mais le mode Consentement ne crée pas à lui seul un consentement valide. Vous avez toujours besoin d'une bannière ou d'un centre de préférences conforme, de valeurs par défaut exactes, de règles régionales, d'informations sur les fournisseurs, d'une gestion du retrait et de tests.

Testez les états de consentement dans l'aperçu GTM et dans le navigateur. Chargez la page avant tout choix, après refus, après consentement uniquement analytique et après consentement marketing. Vérifiez quelles balises se déclenchent, quels cookies ou entrées de stockage apparaissent et quelles requêtes réseau quittent le navigateur. Une balise qui se dit « sensible au consentement » ne suffit pas si son déclencheur ou son HTML personnalisé contourne l'état de consentement.

Comment auditer un conteneur GTM

Exportez le conteneur et classez chaque balise :

Vérifiez ensuite les déclencheurs. Une balise nommée « consent safe » peut quand même se déclencher sur All Pages si le déclencheur est mauvais.

Examinez également les accès au compte et au conteneur. Supprimez les anciennes agences, les prestataires et les comptes de service inutilisés. Limitez les droits de publication, exigez des approbations pour la production et conservez une trace du propriétaire de chaque balise. Les recommandations de sécurité Tag Manager de Google insistent sur les contrôles d'accès, car GTM peut modifier ce qui s'exécute sur un site sans déploiement classique.

Impact sur les performances

Les gestionnaires de balises peuvent aussi nuire aux performances. Chaque script tiers concurrence le réseau, le CPU et le temps du thread principal. Cela peut affecter les Core Web Vitals et la conversion. La documentation Search Central de Google traite l'expérience de page comme l'un des nombreux signaux, et les utilisateurs ressentent les pages lentes indépendamment du classement.

Supprimez les balises avant de les optimiser. Le traqueur le plus rapide est celui que vous ne chargez pas.

Règles plus sûres pour GTM

Si vous conservez GTM :

• exigez un propriétaire pour chaque balise
• exigez un objectif et une date d'expiration
• exportez le conteneur avant et après les changements importants
• bloquez les balises marketing avant le consentement marketing
• bloquez les balises analytiques avant le consentement analytique lorsque c'est requis
• interdisez le HTML personnalisé sans relecture
• examinez les autorisations des modèles et les points de terminaison réseau
• excluez les pages sensibles
• documentez les charges utiles d'événements
• testez avec DevTools dans les états accepté et refusé
• examinez le conteneur chaque mois

Pour les petits sites, supprimer GTM peut être plus simple. Si vous n'avez besoin que d'un seul script analytique respectueux de la vie privée, le coder en dur peut être plus sûr que de maintenir une plateforme de balises.

Liste de contrôle pour l'audit GTM

Exportez le conteneur et construisez un registre balise-propriétaire :

• Nom de la balise, fournisseur, propriétaire, objectif, date de réexamen pour expiration et catégorie de consentement.
• Conditions de déclenchement, pages bloquées et exigences de consentement.
• Variables de la couche de données et lectures d'URL, de cookies, de stockage ou de champs de formulaire.
• Autorisations des modèles personnalisés et sources de scripts du HTML personnalisé.
• Historique de publication, modifications d'espace de travail et utilisateurs disposant d'un accès en édition ou publication.
• Preuves issues de tests navigateur en consentement refusé, accepté et partiel.

C'est le travail spécifique à GTM que les audits analytiques génériques manquent. Si le conteneur ne peut pas être expliqué, il ne devrait pas disposer du pouvoir de publication en production.

En résumé

Google Analytics est un outil de mesure. Google Tag Manager est un outil de déploiement. GTM peut aider à gouverner le consentement et le déploiement des balises, mais il peut aussi multiplier les risques en matière de confidentialité, de droit et de performance.

N'utilisez GTM que si vous êtes prêt à le traiter comme du code de production.

Règles de gouvernance pour les conteneurs

Attribuez à chaque balise un propriétaire, un objectif, une catégorie de consentement, une liste de champs de données et une date de réexamen pour expiration. Bloquez les balises HTML personnalisées par défaut, sauf approbation de l'ingénierie ou de la sécurité. Conservez des espaces de travail séparés pour les expérimentations et la production. Exigez une relecture par un pair pour les balises qui lisent des champs de formulaire, des paramètres d'URL, du stockage local, des cookies ou des valeurs de la couche de données.

Pour une analytique respectueuse de la vie privée, la règle GTM la plus sûre est souvent la sobriété. Si un site n'a besoin que d'un seul script analytique et de quelques événements de conversion, une implémentation directe peut être plus facile à auditer qu'un conteneur rempli d'années de balises héritées. Si vous conservez GTM, exportez le conteneur tous les trimestres et comparez-le à votre inventaire des fournisseurs. Supprimez les expérimentations en pause, les pixels en double, les heatmaps abandonnées et les balises appartenant à d'anciennes agences. Un conteneur propre améliore la précision du consentement, la vitesse de page et l'examen juridique.

Questions fréquentes

Google Tag Manager collecte-t-il des données lui-même ?

GTM ne collecte pas de données lui-même. Il décide de ce qui s'exécute par ailleurs, en chargeant et en contrôlant des balises comme GA4, des pixels publicitaires, des scripts de conversion et du HTML personnalisé. Le risque pour la vie privée vient des balises qu'il déploie, pas du conteneur lui-même.

Installer GTM rend-il le tracking plus sûr ?

Pas automatiquement. GTM peut rendre le tracking plus facile à gouverner, mais il peut tout aussi bien rendre le tracking non contrôlé plus facile à déployer, en particulier quand les équipes marketing ajoutent des pixels sans revue de code.

Quel cookie GA4 utilise-t-il pour suivre les sessions ?

GA4 utilise des cookies comme _ga pour distinguer les utilisateurs et les sessions, selon la documentation de Google sur les cookies GA4. Ce comportement par défaut ne change que si la configuration est ajustée via le comportement de consentement. Une configuration GA4 standard soulève déjà des questions de consentement et de base légale avant même d'ajouter autre chose.

Le mode Consentement suffit-il à lui seul pour respecter le RGPD ?

Le mode Consentement ajuste le comportement des balises selon des signaux comme analytics_storage, ce qui aide à empêcher le stockage avant le consentement, mais il ne crée pas de consentement valide à lui seul. Il faut toujours une bannière conforme, des valeurs par défaut correctes et des informations sur les fournisseurs.

Pourquoi un auditeur peut-il rater des traceurs en examinant le HTML d'un site ?

Un auditeur qui ne regarde que le code source de la page ne voit qu'un seul script GTM, alors que le conteneur charge dix traceurs supplémentaires dans le navigateur. Examiner le conteneur exporté, pas seulement le code source, est le seul moyen de tout voir.

Que doit couvrir un audit GTM en plus de la balise GA4 ?

Un audit sérieux couvre les personnes, les permissions, les modèles, les déclencheurs, les valeurs du data layer et l'historique des publications, pas seulement la balise GA4. D'anciennes campagnes peuvent laisser des traceurs, et des balises HTML personnalisées peuvent charger des scripts tiers que personne n'a vérifiés.

Comment vérifier si les déclencheurs de consentement fonctionnent vraiment ?

Chargez la page avant tout choix, après un refus, après un consentement analytique uniquement et après un consentement marketing. Vérifiez ensuite quelles balises se déclenchent, quels cookies ou entrées de stockage apparaissent et quelles requêtes réseau quittent le navigateur. Une balise étiquetée "consent aware" ne suffit pas si son déclencheur ou son HTML personnalisé contourne l'état de consentement.

Qui devrait pouvoir publier un conteneur GTM ?

L'accès doit être limité à ceux qui en ont réellement besoin, en retirant les anciennes agences, les prestataires et les comptes de service inutilisés. Les recommandations de sécurité de Google pour Tag Manager conseillent de restreindre les droits de publication et d'exiger des validations pour la production, car un conteneur peut changer ce qui s'exécute sur un site sans passer par un déploiement classique.

Supprimer GTM est-il parfois la meilleure option ?

Pour les petits sites, oui. Si un site n'a besoin que d'un script d'analyse respectueux de la vie privée et de quelques événements de conversion, l'implémenter directement est plus facile à auditer que de maintenir une plateforme de balises chargée d'années d'historique.

À quelle fréquence faut-il revoir un conteneur GTM ?

L'article recommande une revue mensuelle comme l'une des règles plus sûres pour GTM, en plus d'un export trimestriel comparé à votre inventaire de fournisseurs. Cette comparaison permet de repérer les expériences en pause, les pixels dupliqués et les balises laissées par d'anciennes agences.