Un guide pratique de Google Tag Manager vs Google Analytics

Ce guide explique Google Tag Manager vs Google Analytics de manière pratique, avec un accent sur les décisions d'analytics respectueuses de la vie privée.

Google Tag Manager et Google Analytics sont souvent installés ensemble, mais ils remplissent des rôles différents.

Google Analytics mesure l'activité des sites web et des applications. Google Tag Manager est un conteneur qui charge et contrôle des balises, notamment GA4, des pixels publicitaires, des scripts de conversion, des outils de tests A/B, des widgets de chat et du HTML personnalisé.

L'erreur en matière de confidentialité consiste à supposer que GTM rend le suivi plus sûr. Il peut faciliter la gouvernance du suivi, mais il peut aussi rendre beaucoup plus simple le déploiement d'un suivi non maîtrisé.

Ce que fait Google Analytics

GA4 collecte des événements tels que les pages vues, les sessions, les conversions, les sources de trafic et les propriétés utilisateur. La documentation des cookies GA4 de Google explique que GA4 utilise des cookies tels que _ga pour distinguer les utilisateurs et les sessions, sauf configuration différente via le comportement de consentement.

Cela signifie qu'une configuration GA4 standard soulève des questions concernant :

• le consentement aux cookies selon les règles ePrivacy
• la base légale et la transparence au titre du GDPR
• les transferts internationaux
• la minimisation de la charge utile des événements
• les fonctionnalités liées à Google Ads
• la conservation et le contrôle d'accès

Ce que fait Google Tag Manager

GTM permet aux non-développeurs de déployer et de mettre à jour des balises via une interface web. Une balise peut se déclencher en fonction de déclencheurs tels que le chargement de page, le clic, la soumission de formulaire, la profondeur de défilement, l'état de consentement ou des événements personnalisés. Il dispose également de son propre modèle d'autorisations, d'espaces de travail, de versions, d'environnements, de modèles personnalisés et d'un format d'export de conteneur.

C'est utile lorsque la gouvernance est solide. C'est dangereux lorsque le conteneur devient une base de code parallèle. Les équipes marketing peuvent ajouter des pixels sans relecture de code. D'anciennes campagnes peuvent laisser des traqueurs derrière elles. Des déclencheurs de consentement peuvent être mal configurés. Des balises HTML personnalisées peuvent charger des scripts tiers que personne n'audite. Un audit GTM doit donc couvrir les personnes, les autorisations, les modèles, les déclencheurs, les valeurs de la couche de données et l'historique de publication, et pas seulement la balise GA4.

Impact sur la confidentialité : GTM comme multiplicateur

GTM ne résout pas les problèmes de confidentialité des balises qu'il contient. Si GTM charge le Meta Pixel avant le consentement, le problème reste le Meta Pixel avant le consentement. S'il charge GA4, LinkedIn Insight Tag, TikTok Pixel et un outil de heatmap sur chaque page, votre exposition à la confidentialité s'élargit.

GTM peut aussi masquer la complexité. Un auditeur de site peut voir un seul script GTM dans le HTML, alors que le conteneur charge dix traqueurs en aval dans le navigateur.

Le mode Consentement n'est pas un programme de conformité complet

La documentation du mode Consentement de Google permet aux balises d'ajuster leur comportement en fonction de signaux de consentement tels que analytics_storage et les paramètres liés à la publicité. Cela peut être utile, notamment pour empêcher le stockage avant le consentement.

Mais le mode Consentement ne crée pas à lui seul un consentement valide. Vous avez toujours besoin d'une bannière ou d'un centre de préférences conforme, de valeurs par défaut exactes, de règles régionales, d'informations sur les fournisseurs, d'une gestion du retrait et de tests.

Testez les états de consentement dans l'aperçu GTM et dans le navigateur. Chargez la page avant tout choix, après refus, après consentement uniquement analytique et après consentement marketing. Vérifiez quelles balises se déclenchent, quels cookies ou entrées de stockage apparaissent et quelles requêtes réseau quittent le navigateur. Une balise qui se dit « sensible au consentement » ne suffit pas si son déclencheur ou son HTML personnalisé contourne l'état de consentement.

Comment auditer un conteneur GTM

Exportez le conteneur et classez chaque balise :

Type de balise	Questions
GA4	Se déclenche-t-elle avant le consentement analytique ? Les fonctionnalités publicitaires sont-elles activées ?
Pixels publicitaires	Nécessitent-ils un consentement marketing ? Sont-ils présents sur des pages sensibles ?
Balises de conversion	Quels identifiants et paramètres d'événement sont envoyés ?
HTML personnalisé	Qui en est responsable ? Quels scripts distants charge-t-il ?
Heatmaps/replay de session	Les saisies sensibles sont-elles masquées ? Le consentement est-il requis ?
Balises utilitaires	Sont-elles vraiment nécessaires ?

Vérifiez ensuite les déclencheurs. Une balise nommée « consent safe » peut quand même se déclencher sur All Pages si le déclencheur est mauvais.

Examinez également les accès au compte et au conteneur. Supprimez les anciennes agences, les prestataires et les comptes de service inutilisés. Limitez les droits de publication, exigez des approbations pour la production et conservez une trace du propriétaire de chaque balise. Les recommandations de sécurité Tag Manager de Google insistent sur les contrôles d'accès, car GTM peut modifier ce qui s'exécute sur un site sans déploiement classique.

Impact sur les performances

Les gestionnaires de balises peuvent aussi nuire aux performances. Chaque script tiers concurrence le réseau, le CPU et le temps du thread principal. Cela peut affecter les Core Web Vitals et la conversion. La documentation Search Central de Google traite l'expérience de page comme l'un des nombreux signaux, et les utilisateurs ressentent les pages lentes indépendamment du classement.

Supprimez les balises avant de les optimiser. Le traqueur le plus rapide est celui que vous ne chargez pas.

Règles plus sûres pour GTM

Si vous conservez GTM :

• exigez un propriétaire pour chaque balise
• exigez un objectif et une date d'expiration
• exportez le conteneur avant et après les changements importants
• bloquez les balises marketing avant le consentement marketing
• bloquez les balises analytiques avant le consentement analytique lorsque c'est requis
• interdisez le HTML personnalisé sans relecture
• examinez les autorisations des modèles et les points de terminaison réseau
• excluez les pages sensibles
• documentez les charges utiles d'événements
• testez avec DevTools dans les états accepté et refusé
• examinez le conteneur chaque mois

Pour les petits sites, supprimer GTM peut être plus simple. Si vous n'avez besoin que d'un seul script analytique respectueux de la vie privée, le coder en dur peut être plus sûr que de maintenir une plateforme de balises.

Liste de contrôle pour l'audit GTM

Exportez le conteneur et construisez un registre balise-propriétaire :

• Nom de la balise, fournisseur, propriétaire, objectif, date de réexamen pour expiration et catégorie de consentement.
• Conditions de déclenchement, pages bloquées et exigences de consentement.
• Variables de la couche de données et lectures d'URL, de cookies, de stockage ou de champs de formulaire.
• Autorisations des modèles personnalisés et sources de scripts du HTML personnalisé.
• Historique de publication, modifications d'espace de travail et utilisateurs disposant d'un accès en édition ou publication.
• Preuves issues de tests navigateur en consentement refusé, accepté et partiel.

C'est le travail spécifique à GTM que les audits analytiques génériques manquent. Si le conteneur ne peut pas être expliqué, il ne devrait pas disposer du pouvoir de publication en production.

En résumé

Google Analytics est un outil de mesure. Google Tag Manager est un outil de déploiement. GTM peut aider à gouverner le consentement et le déploiement des balises, mais il peut aussi multiplier les risques en matière de confidentialité, de droit et de performance.

N'utilisez GTM que si vous êtes prêt à le traiter comme du code de production.

Règles de gouvernance pour les conteneurs

Attribuez à chaque balise un propriétaire, un objectif, une catégorie de consentement, une liste de champs de données et une date de réexamen pour expiration. Bloquez les balises HTML personnalisées par défaut, sauf approbation de l'ingénierie ou de la sécurité. Conservez des espaces de travail séparés pour les expérimentations et la production. Exigez une relecture par un pair pour les balises qui lisent des champs de formulaire, des paramètres d'URL, du stockage local, des cookies ou des valeurs de la couche de données.

Pour une analytique respectueuse de la vie privée, la règle GTM la plus sûre est souvent la sobriété. Si un site n'a besoin que d'un seul script analytique et de quelques événements de conversion, une implémentation directe peut être plus facile à auditer qu'un conteneur rempli d'années de balises héritées. Si vous conservez GTM, exportez le conteneur tous les trimestres et comparez-le à votre inventaire des fournisseurs. Supprimez les expérimentations en pause, les pixels en double, les heatmaps abandonnées et les balises appartenant à d'anciennes agences. Un conteneur propre améliore la précision du consentement, la vitesse de page et l'examen juridique.