Analytics sans bandeau cookies : quels outils et à quelles conditions

La promesse circule partout : installez un outil « sans cookies » et vous pouvez retirer votre bandeau de consentement. Elle est fausse telle qu’elle est formulée, et l’erreur ne vient pas d’un détail juridique. L’exemption prévue à l’article 82 de la loi Informatique et Libertés ne porte pas sur un logiciel, elle porte sur un traitement : une même solution vous exempte ou ne vous exempte pas selon la façon dont vous l’avez configurée.

Ce n’est plus une nuance de juriste depuis que la CNIL a changé de méthode. Sa page de référence sur les outils de mesure d’audience, mise à jour le 4 juillet 2025, ne publie plus de liste de solutions évaluées : elle met à disposition un outil d’auto-évaluation destiné aux fournisseurs, à charge pour eux de remettre à leurs prospects un document attestant du respect des conditions. Autrement dit, plus personne ne peut se retrancher derrière « l’outil est sur la liste de la CNIL ». En cas de contrôle, c’est vous qui devez montrer que votre configuration tient.

Cette page part donc de la contrainte réelle — les critères que la CNIL énumère noir sur blanc — avant de regarder qui les satisfait et ce que ça coûte.

Résumé rapide

• Aucun outil n’est exempté en soi. La CNIL ne publie plus de liste ; elle fournit une grille d’auto-évaluation que le fournisseur doit remplir et documenter.
• Matomo auto-hébergé est le choix le plus sûr si vous acceptez de gérer un serveur : gratuit, illimité, et vous ne transférez de données à personne.
• Plausible est le meilleur compromis pour qui veut payer et ne rien administrer : 9 $ par mois — environ 7,80 € — jusqu’à 10 000 pages vues, hébergé dans l’Union européenne.
• Umami Cloud offre le palier gratuit le plus généreux de ce comparatif : 100 000 événements par mois sur un site, sans carte bancaire.
• Attention aux options vendues sur ces mêmes outils. Le rejeu de session et les cartes de chaleur vous font sortir de l’exemption, quel que soit l’éditeur qui les propose.
• Google Analytics 4 ne rentre pas dans l’exemption, consent mode ou pas. La CNIL recommande explicitement de « recourir à une solution ne réalisant pas de transferts » hors UE.
• Retirer le bandeau suppose aussi de laisser un moyen de refus accessible depuis votre politique de confidentialité : l’exemption de consentement n’est pas une exemption d’opposition.

Quel outil choisir selon votre besoin

Votre besoin principal	Outil conseillé	Pourquoi
Ne rien payer, petit site personnel	Umami Cloud (Hobby)	100 000 événements par mois gratuits, aucune installation
Ne rien administrer, budget modeste	Plausible	9 $/mois, hébergé dans l’UE, aucune maintenance
Ne transmettre les données à personne	Matomo auto-hébergé	gratuit et illimité, les données restent sur votre serveur
Retrouver la richesse de Google Analytics	Matomo Cloud	l’outil le plus complet de cette page, 29 €/mois
Un compteur minimaliste, rien de plus	GoatCounter	service gratuit, sans cookies, auto-hébergeable
Prouver la conformité à un service juridique	Matomo ou Plausible	documentation de configuration publiée par l’éditeur

L’exemption ne porte pas sur l’outil, mais sur votre configuration

L’outil d’auto-évaluation publié par la CNIL en juillet 2025 est le document le plus utile du dossier, et c’est aussi le moins cité par les comparatifs français. Il ne dit pas « tel produit est conforme ». Il énumère des critères techniques, presque tous des interdictions. Les voici, dans le désordre de leur importance pratique.

Les finalités autorisées sont étroites. La mesure des performances, la détection de problèmes de navigation et le travail sur l’ergonomie passent. Tout le reste doit être désactivé par défaut, et la CNIL cite nommément « toute mesure à visée marketing », la mesure de performance des canaux d’acquisition et la lutte contre la fraude publicitaire. Si vous mesurez le rendement de vos campagnes, vous n’êtes plus dans l’exemption — même avec un outil sans cookie.

L’adresse IP doit être tronquée d’au moins le dernier octet. C’est un réglage, pas une propriété du logiciel, et il n’est pas toujours actif à l’installation.

Trois types d’événements au maximum. La solution collecte la page consultée, une interaction et ses informations associées, et des statistiques de chargement ou de temps passé. Au-delà, vous sortez du cadre.

Le référent est limité au nom de domaine. L’URL complète de provenance ne doit pas être conservée, ce qui coupe une bonne partie de l’analyse d’acquisition fine.

Ni rejeu de session, ni cartes de chaleur, ni mesure de couverture. La CNIL exige la désactivation du session replay et de tout calcul de reach ou de dédoublonnage d’audience entre sites.

Aucun croisement, aucun import. Pas de rapprochement avec un CRM, aucune intégration avec un outil tiers, aucun marquage permettant de récupérer des informations personnelles via des formulaires.

Le prestataire est un sous-traitant, et rien d’autre. Il fournit un contrat de traitement des données, ne met pas en commun les données brutes de ses clients et ne réutilise rien pour son propre compte — « quelle que soit la finalité », précise le document, y compris l’amélioration de son propre service.

Les statistiques produites doivent être anonymes. La CNIL propose une agrégation à la dizaine la plus proche ; à défaut, c’est à vous de mener l’analyse démontrant le caractère anonyme des données.

Le droit d’opposition reste dû. Un bouton ou un lien cliquable dans la politique de confidentialité du site, plus des moyens suffisants pour que le refus dure. Retirer le bandeau ne dispense pas d’offrir la sortie.

S’ajoutent les durées classiques du cadre cookies : traceur limité à treize mois, données conservées vingt-cinq mois au maximum.

Lisez cette liste en pensant aux options que les éditeurs mettent en avant sur leurs pages tarifaires, et le paradoxe saute aux yeux. Umami affiche « No cookie banners required » sur l’ensemble de ses formules, y compris la formule Business qui inclut 5 000 rejeux de session et des cartes de chaleur. Les deux affirmations ne peuvent pas être vraies en même temps sur le même compte. Ce n’est pas un mensonge de l’éditeur — la formule reste utilisable sans bandeau si vous n’activez pas ces fonctions — mais c’est exactement le genre de raccourci qui vous met en défaut.

Les outils qui tiennent la condition

Matomo

Matomo est l’outil le plus complet de cette page et le seul qui joue vraiment dans la catégorie de Google Analytics. C’est aussi le seul à exister en deux formes réellement différentes, et le choix entre les deux compte plus que le choix de l’outil lui-même.

La version On-Premise Community est gratuite, sans limite de trafic ni d’utilisateurs, avec le forum pour tout support. Vous l’installez sur votre serveur, les données n’en sortent jamais, et la question du sous-traitant disparaît puisqu’il n’y en a pas. C’est le seul scénario de cette page où vous n’avez à faire confiance à personne. En contrepartie, vous héritez d’une base de données à maintenir, de mises à jour à suivre et d’un service qui ralentit quand le trafic grimpe. Si vous n’avez pas déjà un serveur et l’habitude de l’administrer, ce n’est pas une économie, c’est un déplacement du coût vers votre temps.

La version Cloud démarre à 29 € par mois pour 50 000 hits, avec les données stockées à Francfort et un essai gratuit sans carte bancaire. Attention à l’unité : Matomo compte des hits, c’est-à-dire les pages vues et les événements, là où Plausible compte des pages vues. À trafic identique, les paliers ne se comparent pas directement.

Les extensions payantes — cartes de chaleur, tests A/B — ne sont vendues qu’avec les formules à partir de 275 € par mois côté auto-hébergé. Bonne nouvelle indirecte : les fonctions qui vous feraient sortir de l’exemption sont précisément celles que vous n’avez pas dans la version gratuite.

Plausible

Plausible est le choix par défaut de cette page pour la majorité des sites. La formule Starter est à 9 $ par mois, environ 7,80 €, jusqu’à 10 000 pages vues sur un site, l’essai dure trente jours sans carte bancaire, et l’entreprise revendique une infrastructure européenne : la page d’accueil affiche « Made and hosted in the EU, powered by European-owned infrastructure ». Les formules Growth (14 $, environ 12 €) et Business (19 $, environ 16,50 €) ajoutent surtout des sites, des membres d’équipe et de la rétention. Les conversions de cette page utilisent le taux de référence de la Banque centrale européenne du 5 août 2026, soit 1 € pour 1,1554 $, et ne valent qu’à titre indicatif : Plausible facture en dollars, votre banque appliquera son propre taux au jour du prélèvement et pourra y ajouter des frais de change.

L’argument décisif n’est pas le prix, c’est la surface : le tableau de bord tient sur un écran et se lit sans formation. Pour un site qui consulte ses statistiques une fois par semaine, cette pauvreté relative est une qualité.

La Community Edition existe, en AGPLv3, gratuite à auto-héberger. Ne la choisissez pas en croyant obtenir le produit payant sans payer. Il lui manque les entonnoirs de conversion, les parcours utilisateur, le suivi des revenus, l’authentification unique et l’API de gestion des sites ; son filtrage des robots est qualifié de « basique » quand celui du cloud est « avancé » ; et elle reçoit deux versions longues par an là où le service hébergé est mis à jour plusieurs fois par semaine. C’est un produit différent, pas une version gratuite.

Umami

Umami propose le palier gratuit le plus généreux que nous ayons trouvé : la formule Hobby couvre 100 000 événements par mois sur un site, avec six mois de rétention et le support communautaire, pour 0 $. Pour un blog, une association ou un site vitrine, c’est largement suffisant et il n’y a aucune raison de payer.

La formule Pro passe à 20 $ par mois — environ 17,30 € — pour un million d’événements inclus, vingt sites, dix membres d’équipe, deux ans de rétention et l’accès à l’API, avec un dépassement facturé 0,00003 $ par événement supplémentaire. La formule Business à 200 $, environ 173 €, ajoute le rejeu de session et les cartes de chaleur : utile, mais incompatible avec le retrait du bandeau, comme expliqué plus haut.

Umami s’auto-héberge également. C’est l’installation la plus légère des trois, ce qui en fait une bonne porte d’entrée si vous voulez essayer l’auto-hébergement sans vous engager dans Matomo.

GoatCounter

GoatCounter n’est pas un concurrent des trois précédents, c’est une autre philosophie : un compteur, sans cookies, sans identification persistante, offert gratuitement pour « un usage public raisonnable » et financé par des dons GitHub Sponsors. Le code est ouvert et l’auto-hébergement est revendiqué comme simple.

Sa force est aussi sa limite. Un projet financé par dons ne vous fournira pas le contrat de sous-traitance qu’un service juridique vous réclamera, et l’éditeur invite lui-même les usages intensifs à s’auto-héberger. Excellent pour un site personnel ou un projet libre ; à écarter dès qu’une structure doit documenter sa conformité auprès d’un tiers.

Et Piano Analytics ?

C’est la solution que l’on cite systématiquement comme « la française » du secteur, héritière d’AT Internet. Deux réserves, sur ce que nous avons pu vérifier. Sa page produit indique que les données sont stockées dans Snowflake et ne mentionne ni origine européenne ni hébergement en France ; et aucun tarif n’est public, l’entrée se faisant par une demande de démonstration. C’est un produit d’entreprise, vendu comme tel. Si votre organisation a un service achats et un besoin de mesure média, elle mérite l’appel. Sinon, la question ne se pose pas.

Google Analytics 4 : pourquoi le consent mode ne change rien

C’est la question qui amène la plupart des lecteurs ici, alors traitons-la franchement : non, aucun réglage de GA4 ne vous permet de retirer votre bandeau en France.

L’histoire est connue. Le 10 février 2022, après les plaintes déposées par l’association noyb dans le sillage de l’arrêt Schrems II, la CNIL a mis en demeure un gestionnaire de site utilisant Google Analytics, estimant que les mesures prises par Google ne suffisaient pas à exclure l’accès des services de renseignement américains aux données des internautes européens.

La suite est moins commentée et compte davantage. Dans sa page « Google Analytics et transferts de données », mise à jour le 15 novembre 2023, la CNIL décrit la seule solution technique qu’elle juge sérieuse : un serveur mandataire qui coupe tout contact direct entre le terminal du visiteur et l’outil de mesure, avec suppression de l’adresse IP, remplacement des identifiants, suppression du référent et retraitement des données d’empreinte. Elle ajoute, dans le même document, que « la mise en œuvre des mesures décrites ci-dessous peut se révéler coûteuse et complexe », et recommande aux professionnels « de recourir à une solution ne réalisant pas de transferts ».

Traduit en décision : monter un proxy conforme devant GA4 coûte plus cher que de changer d’outil, pour un résultat qui reste fragile. Et cela ne règle même pas la question du bandeau, puisque GA4 échoue de toute façon sur plusieurs critères de l’exemption, à commencer par le croisement des données au bénéfice de Google.

Ce que ça coûte réellement selon votre trafic

Un avertissement avant le tableau : les trois éditeurs ne comptent pas la même chose. Plausible compte des pages vues, Umami des événements — une page vue vaut un événement, et chaque propriété d’événement enregistrée en vaut un de plus — et Matomo des hits, qui additionnent pages vues et événements. Comparer les prix palier par palier n’a donc de sens qu’en ordre de grandeur.

Volume mensuel	L’option gratuite	L’option payante d’entrée	Le réflexe à éviter
Moins de 10 000	Umami Cloud Hobby (gratuit)	Plausible Starter, 9 $	payer pour un volume que le gratuit couvre
10 000 à 100 000	Umami Cloud Hobby (gratuit)	Plausible, palier supérieur	croire que les 9 $ de Plausible couvrent ce volume
100 000 à 1 million	Matomo auto-hébergé	Umami Pro, 20 $	sous-estimer les événements dans le décompte
Plus d’un million	Matomo auto-hébergé	palier supérieur, sur devis	rester sur une formule d’entrée en dépassement permanent
Trafic imprévisible	Matomo auto-hébergé	—	choisir un service dont le dépassement est facturé à l’événement

Les montants de ce tableau sont en dollars, devise de facturation de Plausible et d’Umami : comptez environ 7,80 € pour les 9 $ de Plausible Starter et 17,30 € pour les 20 $ d’Umami Pro. Matomo, lui, facture directement en euros.

Le motif qui se dégage est simple : sous 100 000 vues, aucune raison de payer ; au-delà, l’auto-hébergement devient l’option la moins chère en euros et la plus chère en temps. Le point de bascule dépend surtout de la valeur que vous accordez à une soirée passée à remettre un serveur d’aplomb.

Quel choix selon votre profil

Blog ou site personnel

Umami Cloud en formule Hobby, et n’y revenez plus. Vous ne dépasserez probablement jamais les 100 000 événements mensuels, et la rétention de six mois suffit à un usage où l’on regarde surtout la tendance du mois écoulé.

Site vitrine d’une petite structure

Plausible. Les 9 $ mensuels achètent l’absence de maintenance et un tableau de bord qu’un dirigeant non technique lit sans qu’on lui explique. C’est le meilleur rapport entre ce que vous comprenez et ce que vous payez.

Média, e-commerce ou site à fort trafic

Matomo, en auto-hébergé si vous avez une compétence système en interne, en Cloud sinon. C’est le seul outil de cette page assez riche pour remplacer réellement Google Analytics — et il faudra assumer que certaines analyses d’acquisition, elles, ne rentrent pas dans l’exemption et exigeront de garder un bandeau pour cette partie de la mesure.

Association, projet libre, site de documentation

GoatCounter, ou Matomo auto-hébergé si vous disposez déjà d’un serveur. Dans les deux cas, le coût en euros tombe à zéro et vous ne dépendez d’aucun contrat.

Structure soumise à un contrôle de conformité

Matomo ou Plausible, en formule payante, pour une raison qui n’a rien de technique : vous aurez besoin d’un contrat de sous-traitance et d’une documentation de configuration à présenter, et seuls des éditeurs commerciaux les fournissent.

Points de vigilance

Ce que vous perdez en quittant Google Analytics. L’attribution multicanal fine, l’intégration native avec Google Ads, les audiences pour le remarketing, et la profondeur d’analyse par segment. Si votre activité repose sur l’achat de trafic payant, ces pertes sont réelles et vous n’y couperez pas : les fonctions concernées sont précisément celles que l’exemption interdit. Le choix n’est pas entre deux outils équivalents, il est entre deux modèles de mesure.

Le bandeau ne disparaît pas si un autre traceur reste. Une vidéo YouTube intégrée, un bouton de partage, une carte, une police chargée depuis un service tiers : chacun peut réintroduire l’obligation de consentement. Changer d’outil de mesure ne fait la moitié du travail que si vous auditez le reste de la page.

L’exemption se perd par accumulation. Chaque option activée — un tag supplémentaire, une intégration CRM, un rejeu de session pour « comprendre un bug » — vous rapproche de la sortie du cadre. Documentez votre configuration au moment où vous la mettez en place ; la reconstituer deux ans plus tard, sous contrôle, est un exercice pénible.

La charge de la preuve est chez vous. Puisque la CNIL n’évalue plus les solutions elle-même, demandez à votre fournisseur le document d’attestation prévu par la procédure d’auto-évaluation. S’il ne l’a pas, ce n’est pas rédhibitoire, mais c’est vous qui devrez produire l’analyse.

Voir aussi

• Alternatives aux GAFAM : ce que ça coûte et ce qu’on perd
• Navigateur vie privée : 6 options et qui paie derrière
• Meilleur VPS cloud : quel serveur choisir ?
• Toutes les pages de la catégorie Web

Verdict

Prenez Umami Cloud si votre site est petit : c’est gratuit jusqu’à 100 000 événements et vous n’y penserez plus. Prenez Plausible dès qu’il y a un enjeu professionnel et pas de compétence serveur : 9 $ par mois, soit environ 7,80 €, pour un outil lisible et hébergé dans l’Union européenne, c’est le meilleur achat de cette page. Prenez Matomo auto-hébergé si vous administrez déjà une machine et voulez que vos données ne sortent jamais de chez vous.

Mais retenez surtout ceci, parce que c’est ce qui vous exposera vraiment : le bandeau ne se retire pas en changeant d’outil, il se retire en changeant de configuration — et en assumant de renoncer à une partie de la mesure marketing. Un site qui supprime son bandeau tout en conservant ses tags publicitaires n’a pas gagné en conformité, il a seulement cessé de le demander.