J'ai créé mon outil de stats : zéro tracking, zéro cookie

Pourquoi j'ai créé mon propre outil de stats sans tracking

Voilà une situation qui devrait parler à beaucoup de créateurs de contenu : un site web sans cookie de mesure d'audience et sans bandeau de consentement, c'est reposant. Vraiment. Plus de bannières intrusives, plus de scripts qui ralentissent le chargement, plus cette sensation malsaine de surveiller vos visiteurs sans leur accord explicite. Sauf qu'à cause de ça, bah je ne savais plus trop combien de gens venaient me lire tous les jours. Relou, hein ? C'était ma situation depuis un moment déjà, vu que tout ce qui servait à mesurer l'audience avait été débranché au nom du respect de la vie privée.

Le paradoxe est cruel : pour construire quelque chose de pertinent, il faut comprendre qui vient, quand, et pourquoi. Mais les solutions existantes me posaient problème. Google Analytics ? Cookies tiers, transfert de données hors d'Europe, complexité croissante. Matomo auto-hébergé ? Lourd à maintenir, gourmand en ressources. Les alternatives « privacy-first » ? Souvent payantes ou limitées. J'ai donc pris une décision radicale : développer moi-même un outil minimaliste qui respecte scrupuleusement le RGPD sans sacrifier l'essentiel de la mesure. C'est ainsi que j'ai créé mon propre outil de stats sans tracking.

Pro tip : La mesure d'audience exemptée de consentement est légale en Europe si vous respectez strictement certaines conditions. L'article 5 de la CNIL détaille ces règles : pas de recoupement, pas d'enrichissement avec d'autres données, pas de traçage cross-site, et durée de conservation limitée.

Comprendre la mesure d'audience exemptée de consentement

Les règles strictes de la CNIL et du RGPD

La réglementation française et européenne n'interdit pas totalement la mesure d'audience. Elle encadre drastiquement ce qui est permis sans recueillir le consentement explicite des visiteurs. Pour bénéficier de cette exemption, votre outil doit respecter cinq conditions cumulatives : finalité limitée strictement à la mesure d'audience, absence de recoupement avec d'autres traitements, données non transmises à des tiers, durée de conservation courte (25 mois maximum pour les données brutes, mais l'CNIL recommande moins), et enfin, limitation des traceurs au strict nécessaire.

Dans la pratique, cela signifie qu'un simple compteur de visites avec anonymisation de l'IP et pas de cookie persistant peut parfaitement être légal. Le problème ? La plupart des outils commerciaux vont bien au-delà. Ils veulent tracer le parcours complet, identifier les utilisateurs récurrents, faire du remarketing, croiser avec d'autres sources. Chaque fonctionnalité supplémentaire est un pas de plus vers l'illégalité sans consentement. J'ai donc décidé de rester volontairement fruste, voire austère, dans les fonctionnalités.

Ce que j'ai volontairement sacrifié

• Pas de suivi des parcours utilisateur page par page
• Pas d'identification des visiteurs récurrents (même anonymisée)
• Pas de données démographiques ou d'intérêts
• Pas de tracking cross-device
• Pas d'intégration avec des plateformes publicitaires
• Pas de heatmaps ni d'enregistrements de sessions

En contrepartie, j'ai gagné quelque chose de précieux : la tranquillité d'esprit. Aucun risque d'amende. Aucune dépendance à un écosystème qui change ses règles tous les six mois. Aucun bandeau RGPD qui défigure l'expérience de lecture. Si vous cherchez à optimiser la performance de votre site web, sachez que la suppression de ces scripts de tracking peut aussi améliorer significativement votre score Core Web Vitals.

Architecture technique de mon outil maison

Une stack légère et verticale

J'ai opté pour une architecture volontairement minimaliste. Côté client, un petit script de quelques kilo-octets qui ne fait qu'une chose : envoyer au serveur l'URL visitée, le timestamp, et quelques indicateurs techniques (résolution d'écran, user-agent réduit). Côté serveur, une API qui reçoit ces données, hache l'adresse IP pour l'anonymiser irréversiblement, et stocke un agrégat par jour. Pas de base de données relationnelle complexe, juste des fichiers structurés simples ou un stockage clé-valeur léger.

Le choix du langage et du framework importe moins que la discipline imposée au code. J'ai utilisé des technologies que je maîtrise déjà dans le cadre de notre activité de développement sur mesure à Genève, ce qui réduit la charge cognitive et la dette technique. L'important était de résister à la tentation d'« enrichir » progressivement le produit. Chaque ligne de code ajoutée est une ligne à auditer, à maintenir, et potentiellement à justifier devant une autorité de contrôle.

L'anonymisation comme principe fondateur

L'étape cruciale est le traitement de l'adresse IP. J'applique un hachage avec sel rotatif quotidien : même si quelqu'un accède au serveur, il est mathématiquement impossible de remonter à l'IP d'origine ou de relier deux visites du même utilisateur. Le sel change à minuit, rendant toute corrélation rétrospective impossible. Les user-agents sont réduits à leur seule famille de navigateur et système d'exploitation — pas de version précise, pas de langue détaillée, pas d'indicateurs uniques.

Le vrai défi technique n'est pas de collecter des données. C'est de collecter le minimum utile tout en garantissant qu'on ne pourra jamais, même volontairement, en faire plus que ce qui est déclaré.

Ce que je mesure réellement (et ce que je laisse de côté)

Les indicateurs conservés

• Nombre de pages vues par jour et par URL
• Répartition très grossière par type de device (mobile/desktop/tablette)
• Origine du trafic réduite à trois catégories : direct, recherche, réseaux sociaux
• Erreurs 404 détectées pour la maintenance
• Temps de génération des pages côté serveur

Ces métriques me suffisent amplement pour piloter un site éditorial. Je sais si un article a trouvé son public, si une mise à jour technique a dégradé les performances, si un lien partagé sur les réseaux a généré du trafic. Ce que je ne sais pas — et c'est délibéré — c'est qui exactement a lu quoi, combien de fois la même personne est revenue, ou quel cheminement précis elle a suivi sur le site. Pour un créateur de contenu indépendant, c'est un luxe acceptable. Pour une entreprise e-commerce en amélioration continue de son tunnel de conversion, les contraintes seraient différentes.

Les compromis assumés

Il y a des jours où cette frugalité me frustre. Impossible de faire de l'A/B testing rigoureux sans identifier les groupes. Difficile d'optimiser un parcours que je ne vois pas. Mais cette frustration est aussi un garde-fou : elle m'empêche de glisser vers des pratiques de plus en plus intrusives au nom de la « data-driven decision ». Le consulting digital et stratégique que nous proposons chez Studio Dahu intègre d'ailleurs cette réflexion : la mesure n'est pas une fin en soi, elle doit servir des objectifs métier sans devenir une surveillance.

J'ai créé mon propre outil de stats sans tracking : bilan et évolution

Ce que cette expérience m'a appris

Après plusieurs mois d'utilisation quotidienne, le constat est nuancé mais globalement positif. L'outil remplit sa mission première : me donner une vision d'ensemble sans compromettre la promesse de respect de la vie privée faite aux lecteurs. La maintenance est quasi nulle. Les coûts d'hébergement sont ridicules comparés à n'importe quelle solution SaaS. Et surtout, la conscience tranquille a une valeur que ne mesure aucun tableau de bord.

Les limites apparaissent quand je veux aller plus loin. Analyser l'efficacité d'une campagne précise, comprendre quel contenu fait revenir les lecteurs, optimiser la navigation — autant de besoins que je reporte ou que je traite par d'autres moyens (retours directs, enquêtes, observation qualitative). Ce n'est pas optimal, c'est un choix. Dans l'écosystème actuel où chaque clic est traqué, montré, revendu, il y a une forme de résistance politique à dire « non, je n'ai pas besoin de tout savoir ».

L'avenir : partage et amélioration

Je réfléchis à publier ce code en open source, mais avec une forte documentation éthique. L'outil n'a de valeur que s'il est utilisé avec la même discipline que celle qui a présidé à sa création. Un mauvais déployeur pourrait facilement réactiver le traçage, ajouter des cookies, enrichir les données. La technique ne suffit pas, il faut une intention. C'est pourquoi je privilégie pour l'instant le partage de méthode plutôt que le partage de code brut.

Pour ceux qui voudraient emprunter cette voie sans tout construire de zéro, des alternatives existent. Certaines solutions comme Plausible ou Fathom ont des approches similaires, même si leur modèle économique (SaaS payant) diffère de mon approche auto-hébergée gratuite. L'essentiel est de comprendre les compromis de chaque solution et de choisir en connaissance de cause. Si vous souhaitez échanger sur ces questions de stratégie digitale, nous pouvons en discuter directement.

La vraie question n'est pas « quel outil utilisez-vous ? » mais « quelle relation voulez-vous entretenir avec vos visiteurs ? » La réponse technique découle de cette intention première.

Conclusion : la mesure comme choix politique

Créer son propre outil de statistiques sans tracking n'est pas un acte de pure technique. C'est une déclaration d'intention sur le web que l'on veut construire. Un web où la confiance ne nécessite pas quinze pages de mentions légales. Où la performance d'un site se mesure aussi à la qualité de l'expérience vécue, pas seulement à la précision chirurgicale du ciblage publicitaire. Où créateur et lecteur peuvent coexister sans que l'un soit la marchandise de l'autre.

Mon outil reste imparfait, volontairement limité, parfois frustrant. Il ne conviendra pas à tous les usages professionnels. Mais pour mon cas, il représente un équilibre que je n'avais trouvé nulle part ailleurs : assez de données pour progresser, assez de restrictions pour dormir tranquille. Et dans un monde où l'accumulation de données est devenue la norme par défaut, faire le choix inverse — documenté, assumé, technique — me semble mériter qu'on s'y attarde.