Analytics sans bandeau cookies : quels outils et à quelles conditions

La promesse circule partout : installez un outil « sans cookies » et vous pouvez retirer votre bandeau de consentement. Elle est fausse telle qu’elle est formulée, et l’erreur ne vient pas d’un détail juridique. L’exemption prévue à l’article 82 de la loi Informatique et Libertés ne porte pas sur un logiciel, elle porte sur un traitement : une même solution vous exempte ou ne vous exempte pas selon la façon dont vous l’avez configurée.

Ce n’est plus une nuance de juriste depuis que la CNIL a changé de méthode. Sa page de référence sur les outils de mesure d’audience, mise à jour le 4 juillet 2025, ne publie plus de liste de solutions évaluées : elle met à disposition un outil d’auto-évaluation destiné aux fournisseurs, à charge pour eux de remettre à leurs prospects un document attestant du respect des conditions. Autrement dit, plus personne ne peut se retrancher derrière « l’outil est sur la liste de la CNIL ». En cas de contrôle, c’est vous qui devez montrer que votre configuration tient.

Cette page part donc de la contrainte réelle — les critères que la CNIL énumère noir sur blanc — avant de regarder qui les satisfait et ce que ça coûte.

Vous cherchez d’abord à remplacer GA4, sans faire de l’exemption CNIL votre critère principal ? Notre comparatif des alternatives à Google Analytics aide à choisir l’outil selon le niveau d’analyse, le budget, l’auto-hébergement et la migration.

Résumé rapide

• Aucun outil n’est exempté en soi. La CNIL ne publie plus de liste ; elle fournit une grille d’auto-évaluation que le fournisseur doit remplir et documenter.
• Matomo auto-hébergé est le choix le plus contrôlable si vous acceptez de gérer un serveur : le logiciel est gratuit et les données restent sur l’infrastructure que vous choisissez. Un hébergeur ou un infogérant reste toutefois un prestataire à qualifier.
• Plausible est le meilleur compromis pour qui veut payer et ne rien administrer : 9 $ par mois — environ 7,75 € — jusqu’à 10 000 pages vues, hébergé dans l’Union européenne.
• Umami Cloud offre le palier gratuit le plus généreux de ce comparatif : 100 000 événements par mois sur un site, sans carte bancaire. Cela ne prouve pas, à lui seul, qu’il entre dans l’exemption CNIL.
• Attention aux options vendues sur ces mêmes outils. Le rejeu de session et les cartes de chaleur vous font sortir de l’exemption, quel que soit l’éditeur qui les propose.
• Google Analytics 4 ne rentre pas dans l’exemption, consent mode ou pas. La CNIL recommande explicitement de « recourir à une solution ne réalisant pas de transferts » hors UE.
• Retirer le bandeau suppose aussi de laisser un moyen de refus accessible depuis votre politique de confidentialité : l’exemption de consentement n’est pas une exemption d’opposition.

Quel outil choisir selon votre besoin

Votre besoin principal	Outil conseillé	Pourquoi
Ne rien payer, petit site personnel	Umami Cloud (Hobby)	100 000 événements par mois gratuits, aucune installation ; garder le bandeau tant que l’exemption n’est pas documentée
Ne rien administrer, budget modeste	Plausible	9 $/mois, hébergé dans l’UE, aucune maintenance
Garder la maîtrise de l’application et des données	Matomo auto-hébergé	logiciel gratuit ; vous choisissez l’infrastructure et ses prestataires
Retrouver la richesse de Google Analytics	Matomo Cloud	l’outil le plus complet de cette page, 29 €/mois
Un compteur minimaliste, rien de plus	GoatCounter	service gratuit, sans cookies, auto-hébergeable
Monter un dossier de conformité	Matomo, Plausible ou Umami Cloud	vérifier DPA, hébergement, réglages et document d’auto-évaluation avant de choisir

Quel tracker est vraiment léger ?

« Léger » ne veut pas dire « juridiquement exempté », mais c’est bien un critère concret si vous cherchez à remplacer GA4 sans alourdir chaque page. Les éditeurs ne donnent pas leurs mesures dans la même unité : Umami annonce un tracker de moins de 2 Ko, Plausible 2,5 Ko compressés avec gzip et GoatCounter environ 3,5 Ko ajoutés à la page. Ces chiffres ne mesurent pas les Core Web Vitals de votre site : ils indiquent seulement l’ordre de grandeur du script chargé par le visiteur.

Outil	Indication officielle sur le script	Ce que cela implique
Umami	moins de 2 Ko	bon point de départ si vous voulez aussi des événements et objectifs
Plausible	2,5 Ko gzipés	script discret avec un service hébergé clé en main
GoatCounter	environ 3,5 Ko ; pixel possible sans JavaScript	le meilleur choix si les statistiques usuelles suffisent et que le JavaScript doit rester optionnel
Matomo	pas de taille officielle comparable vérifiée	ne le choisissez pas pour la seule légèreté : c’est une plateforme d’analyse plus large

Le vrai arbitrage est ailleurs : GoatCounter renonce à la profondeur d’analyse, Umami demande une stack Node.js et PostgreSQL en auto-hébergé, et Plausible fait payer le confort du service géré. Matomo doit être évalué pour ses fonctions et sa capacité de configuration, pas comme un tracker minimal.

L’exemption ne porte pas sur l’outil, mais sur votre configuration

L’outil d’auto-évaluation publié par la CNIL en juillet 2025 est le document le plus utile du dossier, et c’est aussi le moins cité par les comparatifs français. Il ne dit pas « tel produit est conforme ». Il énumère des critères techniques, presque tous des interdictions. Les voici, dans le désordre de leur importance pratique.

Les finalités autorisées sont étroites. La mesure des performances, la détection de problèmes de navigation et le travail sur l’ergonomie passent. Tout le reste doit être désactivé par défaut, et la CNIL cite nommément « toute mesure à visée marketing », la mesure de performance des canaux d’acquisition et la lutte contre la fraude publicitaire. Si vous mesurez le rendement de vos campagnes, vous n’êtes plus dans l’exemption — même avec un outil sans cookie.

L’adresse IP doit être tronquée d’au moins le dernier octet. C’est un réglage, pas une propriété du logiciel, et il n’est pas toujours actif à l’installation.

Trois types d’événements au maximum. La solution collecte la page consultée, une interaction et ses informations associées, et des statistiques de chargement ou de temps passé. Au-delà, vous sortez du cadre.

Le référent est limité au nom de domaine. L’URL complète de provenance ne doit pas être conservée, ce qui coupe une bonne partie de l’analyse d’acquisition fine.

Ni rejeu de session, ni cartes de chaleur, ni mesure de couverture. La CNIL exige la désactivation du session replay et de tout calcul de reach ou de dédoublonnage d’audience entre sites.

Aucun croisement, aucun import. Pas de rapprochement avec un CRM, aucune intégration avec un outil tiers, aucun marquage permettant de récupérer des informations personnelles via des formulaires.

Le prestataire est un sous-traitant, et rien d’autre. Il fournit un contrat de traitement des données, ne met pas en commun les données brutes de ses clients et ne réutilise rien pour son propre compte — « quelle que soit la finalité », précise le document, y compris l’amélioration de son propre service.

Les statistiques produites doivent être anonymes. La CNIL propose une agrégation à la dizaine la plus proche ; à défaut, c’est à vous de mener l’analyse démontrant le caractère anonyme des données.

Le droit d’opposition reste dû. Un bouton ou un lien cliquable dans la politique de confidentialité du site, plus des moyens suffisants pour que le refus dure. Retirer le bandeau ne dispense pas d’offrir la sortie.

S’ajoutent les durées classiques du cadre cookies : traceur limité à treize mois, données conservées vingt-cinq mois au maximum.

Lisez cette liste en pensant aux options que les éditeurs mettent en avant sur leurs pages tarifaires, et le paradoxe saute aux yeux. Umami affiche « No cookie banners required » sur l’ensemble de ses formules, y compris la formule Business qui inclut 5 000 rejeux de session et des cartes de chaleur. Les deux affirmations ne peuvent pas être vraies en même temps sur le même compte. Ce n’est pas un mensonge de l’éditeur — la formule reste utilisable sans bandeau si vous n’activez pas ces fonctions — mais c’est exactement le genre de raccourci qui vous met en défaut.

Les outils qui tiennent la condition

Matomo

Matomo est l’outil le plus complet de cette page et le seul qui joue vraiment dans la catégorie de Google Analytics. C’est aussi le seul à exister en deux formes réellement différentes, et le choix entre les deux compte plus que le choix de l’outil lui-même.

La version On-Premise Community est gratuite, sans limite de trafic ni d’utilisateurs, avec le forum pour tout support. Vous l’installez sur l’infrastructure de votre choix et gardez la maîtrise du logiciel ; cela ne fait pas disparaître les prestataires d’infrastructure, tels que l’hébergeur ou l’infogérant. En contrepartie, vous héritez d’une base de données à maintenir, de mises à jour à suivre et d’un service qui ralentit quand le trafic grimpe. Si vous n’avez pas déjà un serveur et l’habitude de l’administrer, ce n’est pas une économie, c’est un déplacement du coût vers votre temps.

La version Cloud démarre à 29 € par mois pour 50 000 hits, avec les données stockées à Francfort et un essai gratuit sans carte bancaire. Attention à l’unité : Matomo compte des hits, c’est-à-dire les pages vues et les événements, là où Plausible compte des pages vues. À trafic identique, les paliers ne se comparent pas directement.

Les extensions payantes — cartes de chaleur, tests A/B — peuvent s’ajouter à une installation auto-hébergée ; Matomo conserve aussi la possibilité d’acheter certains plugins séparément. Vérifiez la grille en vigueur avant de budgéter. Pour l’exemption CNIL, le point décisif n’est pas leur prix : ces fonctions doivent rester désactivées.

Plausible

Plausible est le choix par défaut de cette page pour la majorité des sites. La formule Starter est à 9 $ par mois, environ 7,75 €, jusqu’à 10 000 pages vues sur un site, l’essai dure trente jours sans carte bancaire, et l’entreprise revendique une infrastructure européenne : la page d’accueil affiche « Made and hosted in the EU, powered by European-owned infrastructure ». Les formules Growth (14 $, environ 12,05 €) et Business (19 $, environ 16,36 €) ajoutent surtout des sites, des membres d’équipe et de la rétention. Les conversions de cette page utilisent le taux de référence de la Banque centrale européenne du 3 septembre 2026, soit 1 € pour 1,1615 $, et ne valent qu’à titre indicatif : Plausible facture en dollars, votre banque appliquera son propre taux au jour du prélèvement et pourra y ajouter des frais de change.

L’argument décisif n’est pas le prix, c’est la surface : le tableau de bord tient sur un écran et se lit sans formation. Pour un site qui consulte ses statistiques une fois par semaine, cette pauvreté relative est une qualité.

La Community Edition existe, en AGPLv3, gratuite à auto-héberger. Ne la choisissez pas en croyant obtenir le produit payant sans payer. Il lui manque les entonnoirs de conversion, les parcours utilisateur, le suivi des revenus, l’authentification unique et l’API de gestion des sites ; son filtrage des robots est qualifié de « basique » quand celui du cloud est « avancé » ; et elle reçoit deux versions longues par an là où le service hébergé est mis à jour plusieurs fois par semaine. C’est un produit différent, pas une version gratuite.

Umami

Umami propose le palier gratuit le plus généreux de ce comparatif : la formule Hobby couvre 100 000 événements par mois sur un site, avec six mois de rétention et le support communautaire, pour 0 $. Son DPA encadre le service Cloud, mais ne vaut pas attestation que la configuration entre dans l’exemption CNIL : il autorise notamment des traitements pour fournir, maintenir, sécuriser, supporter et améliorer le service. Pour un blog, une association ou un site vitrine, ce palier peut suffire pour la mesure d’audience ; ne retirez le bandeau qu’après avoir obtenu et vérifié la documentation d’auto-évaluation du fournisseur.

La formule Pro passe à 20 $ par mois — environ 17,22 € — pour un million d’événements inclus, vingt sites, dix membres d’équipe, deux ans de rétention et l’accès à l’API, avec un dépassement facturé 0,00003 $ par événement supplémentaire. La formule Business à 200 $, environ 172,19 €, ajoute le rejeu de session et les cartes de chaleur : utile, mais incompatible avec le retrait du bandeau, comme expliqué plus haut.

Umami s’auto-héberge également. Il faut toutefois un serveur Node.js et une base PostgreSQL : c’est raisonnable si vous avez déjà cette stack, mais pas un raccourci vers une installation minimale. GoatCounter, qui peut fonctionner avec SQLite, reste plus frugal pour un simple compteur.

GoatCounter

GoatCounter n’est pas un concurrent des trois précédents, c’est une autre philosophie : un compteur, sans cookies, sans identification persistante, offert gratuitement pour « un usage public raisonnable » et financé par des dons GitHub Sponsors. Le code est ouvert et l’auto-hébergement est revendiqué comme simple.

Sa force est aussi sa limite. La documentation publique de GoatCounter décrit avant tout un service gratuit financé par dons et l’auto-hébergement ; elle ne remplace pas le dossier contractuel et technique qu’une organisation peut devoir produire. Excellent pour un site personnel ou un projet libre ; avant de le retenir dans un contexte formel, vérifiez les documents exigés par votre organisation.

Et Piano Analytics ?

C’est la solution que l’on cite systématiquement comme « la française » du secteur, héritière d’AT Internet. Deux réserves, sur ce que nous avons pu vérifier. Sa page produit indique que les données sont stockées dans Snowflake et ne mentionne ni origine européenne ni hébergement en France ; et aucun tarif n’est public, l’entrée se faisant par une demande de démonstration. C’est un produit d’entreprise, vendu comme tel. Si votre organisation a un service achats et un besoin de mesure média, elle mérite l’appel. Sinon, la question ne se pose pas.

Google Analytics 4 : pourquoi le consent mode ne change rien

La position de la CNIL sur Google Analytics ne permet pas de présenter un réglage de GA4, y compris Consent Mode, comme une voie simple pour bénéficier de l’exemption de consentement en France. Cela ne tranche pas à lui seul la conformité globale d’un site : elle dépend aussi de l’information, des autres traceurs et de la configuration réelle.

L’histoire est connue. Le 10 février 2022, après les plaintes déposées par l’association noyb dans le sillage de l’arrêt Schrems II, la CNIL a mis en demeure un gestionnaire de site utilisant Google Analytics, estimant que les mesures prises par Google ne suffisaient pas à exclure l’accès des services de renseignement américains aux données des internautes européens.

La suite est moins commentée et compte davantage. Dans sa page « Google Analytics et transferts de données », mise à jour le 15 novembre 2023, la CNIL décrit la seule solution technique qu’elle juge sérieuse : un serveur mandataire qui coupe tout contact direct entre le terminal du visiteur et l’outil de mesure, avec suppression de l’adresse IP, remplacement des identifiants, suppression du référent et retraitement des données d’empreinte. Elle ajoute, dans le même document, que « la mise en œuvre des mesures décrites ci-dessous peut se révéler coûteuse et complexe », et recommande aux professionnels « de recourir à une solution ne réalisant pas de transferts ».

Traduit en décision : monter un proxy conforme devant GA4 coûte plus cher que de changer d’outil, pour un résultat qui reste fragile. Et cela ne règle même pas la question du bandeau, puisque GA4 échoue de toute façon sur plusieurs critères de l’exemption, à commencer par le croisement des données au bénéfice de Google.

Ce que ça coûte réellement selon votre trafic

Un avertissement avant le tableau : les trois éditeurs ne comptent pas la même chose. Plausible compte des pages vues, Umami des événements — une page vue vaut un événement, et chaque propriété d’événement enregistrée en vaut un de plus — et Matomo des hits, qui additionnent pages vues et événements. Comparer les prix palier par palier n’a donc de sens qu’en ordre de grandeur.

Volume mensuel	L’option gratuite	L’option payante d’entrée	Le réflexe à éviter
Moins de 10 000	Umami Cloud Hobby (gratuit)	Plausible Starter, 9 $	payer pour un volume que le gratuit couvre
10 000 à 100 000	Umami Cloud Hobby (gratuit)	Plausible, palier supérieur	croire que les 9 $ de Plausible couvrent ce volume
100 000 à 1 million	Matomo auto-hébergé	Umami Pro, 20 $	sous-estimer les événements dans le décompte
Plus d’un million	Matomo auto-hébergé	palier supérieur, sur devis	rester sur une formule d’entrée en dépassement permanent
Trafic imprévisible	Matomo auto-hébergé	—	choisir un service dont le dépassement est facturé à l’événement

Les montants de ce tableau sont en dollars, devise de facturation de Plausible et d’Umami : comptez environ 7,75 € pour les 9 $ de Plausible Starter et 17,22 € pour les 20 $ d’Umami Pro. Matomo, lui, facture directement en euros.

Le volume seul ne décide pas. Umami Hobby peut couvrir un petit site si ses événements et sa rétention suffisent, mais son offre Cloud ne justifie pas à elle seule le retrait du bandeau. Dès que vous avez besoin de fonctions précises, d’un support contractuel ou d’une documentation fournisseur établissant le cadre d’exemption, une offre payante peut être justifiée bien avant 100 000 événements. L’auto-hébergement reste souvent l’option la moins chère en euros et la plus coûteuse en temps.

Quel choix selon votre profil

Blog ou site personnel

Umami Cloud en formule Hobby, et n’y revenez plus. Vous ne dépasserez probablement jamais les 100 000 événements mensuels, et la rétention de six mois suffit à un usage où l’on regarde surtout la tendance du mois écoulé.

Site vitrine d’une petite structure

Plausible. Les 9 $ mensuels achètent l’absence de maintenance et un tableau de bord qu’un dirigeant non technique lit sans qu’on lui explique. C’est le meilleur rapport entre ce que vous comprenez et ce que vous payez.

Média, e-commerce ou site à fort trafic

Matomo, en auto-hébergé si vous avez une compétence système en interne, en Cloud sinon. C’est le seul outil de cette page assez riche pour remplacer réellement Google Analytics — et il faudra assumer que certaines analyses d’acquisition, elles, ne rentrent pas dans l’exemption et exigeront de garder un bandeau pour cette partie de la mesure.

Association, projet libre, site de documentation

GoatCounter, ou Matomo auto-hébergé si vous disposez déjà d’un serveur. Le logiciel ne coûte rien, mais l’infrastructure, les sauvegardes et les éventuels prestataires restent à votre charge.

Structure soumise à un contrôle de conformité

Commencez par les pièces attendues par votre organisation : DPA, localisation et sous-traitants, documentation de configuration et éléments d’auto-évaluation. Matomo, Plausible et Umami Cloud publient des documents utiles, mais aucun ne remplace la vérification de votre configuration et de vos autres prestataires.

Points de vigilance

Ce que vous perdez en quittant Google Analytics. L’attribution multicanal fine, l’intégration native avec Google Ads, les audiences pour le remarketing, et la profondeur d’analyse par segment. Si votre activité repose sur l’achat de trafic payant, ces pertes sont réelles et vous n’y couperez pas : les fonctions concernées sont précisément celles que l’exemption interdit. Le choix n’est pas entre deux outils équivalents, il est entre deux modèles de mesure.

Le bandeau ne disparaît pas si un autre traceur reste. Une vidéo YouTube intégrée, un bouton de partage, une carte, une police chargée depuis un service tiers : chacun peut réintroduire l’obligation de consentement. Changer d’outil de mesure ne fait la moitié du travail que si vous auditez le reste de la page.

L’exemption se perd par accumulation. Chaque option activée — un tag supplémentaire, une intégration CRM, un rejeu de session pour « comprendre un bug » — vous rapproche de la sortie du cadre. Documentez votre configuration au moment où vous la mettez en place ; la reconstituer deux ans plus tard, sous contrôle, est un exercice pénible.

La charge de la preuve est chez vous. Puisque la CNIL n’évalue plus les solutions elle-même, demandez à votre fournisseur le document d’attestation prévu par la procédure d’auto-évaluation. S’il ne l’a pas, ce n’est pas rédhibitoire, mais c’est vous qui devrez produire l’analyse.

Voir aussi

• Alternatives aux GAFAM : ce que ça coûte et ce qu’on perd
• Navigateur vie privée : 6 options et qui paie derrière
• Meilleur VPS cloud : quel serveur choisir ?
• Toutes les pages de la catégorie Web

Sources utiles

• CNIL — outils de mesure d’audience et exemption ; outil d’auto-évaluation ; Google Analytics et transferts de données
• Matomo — tarifs, mode sans cookies et configuration CNIL
• Plausible — tarifs, formules, auto-hébergement et DPA
• Umami — tarifs, installation, script et fonctionnalités et DPA
• GoatCounter — fonctionnement, poids du script et offre hébergée
• Banque centrale européenne — taux USD/EUR du 3 septembre 2026

Verdict

Prenez Umami Cloud si votre site est petit et que vous voulez des statistiques légères gratuites jusqu’à 100 000 événements ; ne l’utilisez pas comme justification automatique pour retirer le bandeau. Prenez Plausible dès qu’il y a un enjeu professionnel et pas de compétence serveur : 9 $ par mois, soit environ 7,75 €, pour un outil lisible et hébergé dans l’Union européenne, c’est le meilleur achat de cette page. Prenez Matomo auto-hébergé si vous administrez déjà une machine et voulez garder la maîtrise du logiciel et des données sur votre infrastructure.

Mais retenez surtout ceci, parce que c’est ce qui vous exposera vraiment : le bandeau ne se retire pas en changeant d’outil, il se retire en changeant de configuration — et en assumant de renoncer à une partie de la mesure marketing. Un site qui supprime son bandeau tout en conservant ses tags publicitaires n’a pas gagné en conformité, il a seulement cessé de le demander.