Comment configurer Matomo avec Cookiequiet

Que dépose Matomo ?

La FAQ de Matomo liste les cookies que crée son traceur JavaScript : _pk_id (identifiant du visiteur, 13 mois), _pk_ses et _pk_hsr (30 minutes), _pk_ref (attribution, 6 mois) et _pk_cvar (30 minutes). Quand vous demandez le consentement via Matomo, il le stocke aussi dans mtm_consent ou mtm_cookie_consent. Tous sont internes : Matomo tourne sur votre propre serveur ou sur Matomo Cloud, et les données restent chez vous. Matomo relève de la catégorie mesure d’audience dans Cookiequiet, sauf si vous le configurez pour une exemption acceptée par votre autorité.

Option 1 : aucun suivi avant consentement

L’appel requireConsent de Matomo, poussé avant trackPageView, bloque toute requête de suivi et tout cookie jusqu’à ce que le consentement soit donné. Matomo propose deux façons de l’accorder : rememberConsentGiven, que Matomo enregistre dans son propre cookie, et setConsentGiven, que vous appelez sur chaque page. Cookiequiet enregistre déjà le choix : utilisez donc setConsentGiven depuis l’événement cq:consent, que Cookiequiet émet sur window à chaque chargement de page où un choix est enregistré et après chaque choix, avec les catégories accordées dans detail.categories :

html
<script src="https://cookiequiet.com/cq.js" data-site="YOUR_SITE_KEY" data-consent-mode="1" data-auto-block="1" defer></script>
<script>
  var _paq = window._paq = window._paq || [];
  _paq.push(['requireConsent']);
  window.addEventListener('cq:consent', function (e) {
    if (e.detail.categories.indexOf('analytics') >= 0) _paq.push(['setConsentGiven']);
  });
  _paq.push(['trackPageView']);
  _paq.push(['enableLinkTracking']);
  (function() {
    var u = 'https://matomo.example.com/';
    _paq.push(['setTrackerUrl', u + 'matomo.php']);
    _paq.push(['setSiteId', '1']);
    var d = document, g = d.createElement('script'), s = d.getElementsByTagName('script')[0];
    g.async = true; g.src = u + 'matomo.js'; s.parentNode.insertBefore(g, s);
  })();
</script>

Aucune requête n’atteint Matomo avant que le consentement soit donné. Si vous avez besoin de la première page vue d’un visiteur qui accepte sur cette page, la balise marquée ci-dessous est la voie la plus simple, car Cookiequiet exécute tout le code, page vue comprise, au moment du clic. Quand un visiteur retire son consentement, le guide de Matomo indique qu’avec votre propre outil de consentement, il suffit de cesser d’appeler setConsentGiven, ce qui se produit dès la page suivante.

Le même résultat sans code : marquez tout le code de suivi avec type="text/plain" et data-cq-category="analytics". Cookiequiet l’exécute quand la mesure d’audience est accordée. Marquez-le même si Matomo est sur votre propre serveur : le bloqueur automatique ne retient pas les scripts servis depuis votre propre domaine.

Option 2 : sans cookies jusqu’au consentement

requireCookieConsent laisse Matomo envoyer des requêtes de suivi tout de suite, mais ne dépose aucun cookie tant que le consentement aux cookies n’est pas donné. Remplacez les deux appels ci-dessus par requireCookieConsent et setCookieConsentGiven. Les visiteurs qui refusent sont quand même comptés, sans identifiant de visiteur d’une visite à l’autre ; ceux qui acceptent sont mesurés avec des cookies. La FAQ de Matomo sur la désactivation des cookies ajoute une mise en garde : le suivi JavaScript sans cookies peut encore demander un consentement dans de nombreux pays européens, sauf exemption applicable ; vérifiez donc la position de votre autorité. Le guide de la mesure d’audience sans cookies compare les options.

Option 3 : l’exemption CNIL (France)

La CNIL accepte une mesure d’audience sans consentement quand l’outil est configuré dans des limites strictes. Matomo documente une configuration qui, selon lui, remplit les critères des recommandations de la CNIL publiées le 4 juillet 2025 :

• Finalités limitées à la mesure de performance, aux problèmes de navigation, à l’optimisation technique, à la capacité des serveurs et à l’analyse des contenus ; pas de mesure marketing ni de cohortes pour du contenu ciblé.
• Durée de vie du traceur de 13 mois au maximum, non prolongée lors des nouvelles visites.
• Conservation des données de 25 mois au maximum (le mode CNIL de Matomo règle 759 jours).
• Adresses IP tronquées : la CNIL demande au moins le dernier octet ; le mode CNIL de Matomo masque 2 octets.
• Aucun recoupement avec d’autres traitements ; le suivi interdomaines est désactivé en mode CNIL.
• Information et opt-out : les visiteurs sont informés de l’utilisation de Matomo, et un opt-out est visible, par exemple dans la politique de confidentialité.

Pour l’activer, un superutilisateur ouvre Administration, Privacy, Compliance, choisit le site, active Enforce compliance where possible, enregistre, puis parcourt le tableau d’auto-évaluation pour les éléments marqués comme inconnus, opt-out compris. Laissez dans ce cas le code de suivi sans marquage, et listez les cookies _pk dans votre tableau des cookies pour que le bandeau les explique. C’est la position de la CNIL pour la France : d’autres autorités peuvent lire les règles ePrivacy différemment, comme l’expliquent la page France et l’article sur la mesure d’audience sans consentement.

Et Google Tag Manager ?

Dans Google Tag Manager, donnez à la balise Matomo un déclencheur Événement personnalisé sur cq_consent avec cq_analytics equals true, déclenché une fois par page, comme le montre le guide Tag Manager.

Comment tester ?

1. Ouvrez le site dans une fenêtre de navigation privée. Avec l’option 1 ou une balise marquée, l’onglet réseau ne montre aucune requête vers matomo.php avant un choix ; avec l’option 2, des requêtes partent mais aucun cookie _pk_ n’est déposé.
2. Cliquez sur Tout refuser : toujours pas de _pk_id.
3. Effacez les cookies, cliquez sur Tout accepter, rechargez : _pk_id et _pk_ses apparaissent et la visite figure dans le journal des visites de Matomo.
4. Consultez le registre des consentements dans le tableau de bord Cookiequiet.

Cookiequiet est gratuit pour un site, ciblage géographique compris ; Starter coûte 3 € par site et par mois, avec des pages vues illimitées.