GA4 et consentement : mesurer une boutique en ligne sans rien envoyer avant l’accord

Sur une boutique en ligne, la mesure sert à répondre à une question simple : quels canaux amènent des ventes ? En France, elle doit aussi respecter le choix des visiteurs. Voici la méthode que j’ai appliquée sur Reviu, ma boutique en ligne, et les réglages à vérifier dans GA4.

Le principe tient en quatre gestes : charger GA4 seulement après le consentement, suivre peu d’événements mais les bons, dédoublonner l’achat avec un identifiant de transaction et garder la provenance de chaque vente dans votre propre système.

Ce que dit la CNIL : pas de GA4 avant l’accord

Certains outils de mesure d’audience peuvent être exemptés de consentement, à des conditions strictes : une mesure limitée au site, pour le compte exclusif de l’éditeur, des statistiques anonymes, sans recoupement avec d’autres traitements ni transmission à des tiers, sans suivi de la personne sur d’autres sites. La CNIL précise que les offres dont le fournisseur réutilise les données pour son propre compte sortent de ce cadre (certains outils permettent de désactiver cette réutilisation, mais c’est alors à l’éditeur de pouvoir justifier que toutes les conditions sont remplies), et cite Google Analytics parmi ces offres dans sa fiche Mesurer la fréquentation de vos sites web et de vos applications. Elle y rappelle aussi que sa formation restreinte a relevé, dans sa décision du 18 novembre 2020, que les cookies Google Analytics « ne sont pas strictement nécessaires à la fourniture du service ».

En pratique, partez du principe que GA4 demande un consentement préalable : rien ne doit être déposé ni lu sur l’appareil du visiteur avant son accord. La CNIL rappelle que l’internaute doit pouvoir accepter ou refuser avec le même degré de simplicité, et retirer son consentement aussi simplement qu’il l’a donné. Elle signale enfin un autre point d’attention : les éventuels transferts de données hors de l’Union européenne, à examiner avec votre délégué à la protection des données si vous en avez un.

Consent Mode : basic ou avancé ?

Mode basicChargement après l’accordChoisi sur Reviu

Mode avancéChargement dès l’arrivée

1. À l’arrivée

   Mode basic : Rien ne se charge Aucune requête vers Google.

   Mode avancé : Pings sans cookie Consentement refusé par défaut.

2. La bannière

   Refuser aussi simple qu’accepter

   RefuserAccepter

3. Le visiteur accepte

   Dans les deux modes : GA4 mesure, avec ses cookies Dans les deux modesanalytics_storage: 'granted'

4. ouLe visiteur refuse

   Mode basic : Rien n’est transmis Pas même l’état du consentement.

   Mode avancé : Pings sans cookie Ils servent à modéliser les refus.

5. L’arbitrage

   Mode basic :

   • Rien ne part avant l’accord
   • Aucune donnée modélisée
   Mode avancé :

   • Refus modélisés dans GA4
   • Requêtes avant tout choix

Ping sans cookie : il peut contenir le user-agent, la résolution d’écran et l’adresse IP, que GA4 dit ne pas stocker.

Google propose le Consent Mode, qui adapte le comportement de ses balises au choix du visiteur. Il ne fournit pas de bannière : il se branche sur la vôtre. La documentation de Google décrit deux implémentations :

• Basic : les balises Google ne se chargent pas tant que le visiteur n’a pas interagi avec la bannière. En cas de refus, aucune donnée n’est transmise à Google, pas même l’état du consentement.
• Avancé : les balises se chargent dès l’arrivée, avec un consentement refusé par défaut, et envoient des pings sans cookie tant que le visiteur n’a pas accepté. Selon l’aide Google Analytics, ces pings peuvent contenir le user-agent, la résolution d’écran et l’adresse IP (que GA4 dit ne pas stocker), et servent à modéliser le comportement et les conversions des visiteurs qui refusent.

Le mode avancé comble une partie des trous, puisqu’en basic GA4 ne reçoit aucune donnée modélisée sur les refus, mais il envoie des requêtes à Google avant tout choix du visiteur. Sur Reviu, j’ai choisi le basic : une mesure plus petite, mais rien ne part avant l’accord. C’est un arbitrage à faire et à documenter, pas un réglage à laisser au hasard.

Les quatre signaux de consentement

Le Consent Mode connaît plusieurs types de consentement ; quatre concernent la mesure et la publicité Google :

• analytics_storage : les cookies de mesure d’audience ;
• ad_storage : les cookies publicitaires ;
• ad_user_data : l’envoi de données utilisateur à Google à des fins publicitaires ;
• ad_personalization : la publicité personnalisée.

Les deux derniers ont été ajoutés par Google en novembre 2023 : c’est ce qu’on appelle le Consent Mode v2. Un site qui ne fait que de la mesure peut accorder analytics_storage après accord et laisser les trois autres refusés. Dans le code, d’après le guide de configuration, cela tient en deux commandes : un état par défaut, gtag('consent', 'default', { analytics_storage: 'denied', ad_storage: 'denied', ad_user_data: 'denied', ad_personalization: 'denied' }), puis, quand le visiteur accepte, gtag('consent', 'update', { analytics_storage: 'granted' }).

Les événements e-commerce qui comptent

GA4 propose une série d’événements recommandés pour l’e-commerce : de la liste de produits (view_item_list, select_item) au remboursement (refund), en passant par le panier, la livraison et le paiement. Inutile de tous les implémenter : commencez par ceux qui répondent à vos questions.

• view_item : une fiche produit consultée ;
• add_to_cart : un ajout au panier ;
• begin_checkout : le début du paiement ;
• purchase : l’achat confirmé.

Avec ces quatre événements, vous obtenez déjà un entonnoir lisible : combien de visiteurs voient un produit, l’ajoutent, commencent à payer et achètent. Ajoutez les autres quand une question précise le justifie, par exemple add_shipping_info si vous soupçonnez des abandons au moment des frais de port.

Sur Reviu, je suis begin_checkout et purchase, plus un événement personnalisé, qr_download, sur l’outil gratuit de QR code : il signale un intérêt pour le produit avant l’achat. La méthode pour choisir et nommer ces événements est détaillée dans le guide du plan de marquage GA4.

L’achat : un seul événement, jamais en double

L’événement purchase doit porter la valeur, la devise, les produits et surtout un identifiant de transaction, transaction_id, que la référence des événements donne comme obligatoire. Trois règles de cette documentation évitent beaucoup d’erreurs :

• value correspond à la somme des prix multipliés par les quantités, sans les frais de port ni les taxes, qui ont leurs propres paramètres (shipping, tax) ;
• currency est obligatoire dès que value est renseignée, sinon le chiffre d’affaires est mal calculé ;
• l’identifiant doit être unique pour chaque commande, par exemple le numéro de commande.

GA4 se sert de cet identifiant pour écarter les doublons : si la page de confirmation est rechargée, l’achat n’est pas compté deux fois. Deux limites à connaître : cette déduplication ne fonctionne que pour les flux web, et un identifiant vide est à proscrire, car GA4 dédoublonne entre eux tous les achats envoyés avec transaction_id="".

Deux précautions en plus :

• déclencher l’événement sur la page de confirmation, à partir de la commande réellement payée, jamais au clic sur le bouton de paiement ;
• garder une trace, dans le navigateur, des transactions déjà envoyées, pour éviter les doublons dans les autres outils, par exemple une conversion publicitaire.

Enfin, purchase est marqué événement clé par défaut : inutile de le déclarer, mais vérifiez qu’aucun autre événement ne compte la même vente. Le sujet est développé dans le guide des événements clés GA4.

Relier chaque vente à son canal

Avec le consentement, une partie des visiteurs échappe à GA4. Pour garder une vision fiable des ventes, la boutique enregistre elle-même la provenance :

• à l’arrivée, après consentement, la source de la visite (paramètres UTM, site référent) est conservée dans un cookie propre au site ;
• au paiement, cette source est recopiée dans la commande : sur Reviu, dans les métadonnées de la session de paiement Stripe ;
• la plateforme de paiement devient la source de vérité pour le chiffre d’affaires, et GA4 sert à comprendre les parcours.

Chaque mois, comparez le nombre de commandes de la plateforme de paiement et le nombre d’achats dans GA4. L’écart reflète surtout la part de visiteurs qui refusent la mesure ; s’il bouge brutalement, cherchez une bannière modifiée ou un événement cassé.

Des UTM propres

Chaque lien que vous maîtrisez (e-mail, réseaux sociaux, QR code imprimé, partenaires) devrait porter des paramètres UTM cohérents. L’aide Google sur les URL de campagne personnalisées demande de toujours utiliser utm_source, utm_medium et utm_campaign, et rappelle que les valeurs sont sensibles à la casse : « Meta » et « meta » sont deux sources différentes. Écrivez-les en minuscules, avec une convention unique, et notez-les dans un tableau partagé. Exemple : ?utm_source=newsletter&utm_medium=email&utm_campaign=rentree-2026. Sans cette discipline, le rapport d’acquisition devient illisible en quelques semaines.

Les réglages à vérifier dans GA4

• Conservation des données : 14 mois plutôt que 2 mois, les deux seuls choix d’une propriété standard. Ce réglage ne touche que les explorations et les rapports d’entonnoir, pas les rapports standards.
• Signaux Google désactivés si vous n’en avez pas l’usage : ils enrichissent les rapports avec les données des utilisateurs connectés à leur compte Google qui ont activé la personnalisation des annonces.
• Trafic interne défini par adresse IP, et filtre passé de l’état « Test » à « Actif ».
• Événements clés déclarés : l’achat, et vos demandes de contact qualifiées.
• Search Console associée à la propriété.
• Sites référents à ignorer déclarés, notamment le domaine de votre prestataire de paiement : sinon, le visiteur qui revient de la page de paiement est attribué au prestataire, et l’achat perd sa vraie source.

En résumé

Une mesure conforme est plus petite, mais plus fiable : moins de données, mais des données que vous pouvez défendre. Chargez GA4 après consentement, suivez peu d’événements mais les bons, dédoublonnez l’achat avec un transaction_id unique et gardez la provenance de chaque vente dans votre propre système. Besoin d’un plan de marquage pour votre boutique ? Il fait partie de mon accompagnement SEO et web analytics.