Ce que fait GTM4WP sur votre site
GTM4WP place le code du conteneur Google Tag Manager dans vos pages : le script principal dans la section <head>, et la partie <noscript> à l’endroit que vous choisissez. Il gère plusieurs conteneurs, chacun avec ses paramètres d’environnement, et un domaine personnalisé pour un conteneur côté serveur. L’extension ne crée aucune balise elle-même : vos balises Google Analytics 4, Google Ads ou autres se configurent dans l’interface de Google Tag Manager.
Son vrai rôle est de remplir la couche de données (dataLayer) avec ce que WordPress sait : type de contenu, catégories, auteur, recherche interne, statut et rôle de l’utilisateur connecté. Elle ajoute des événements pour une douzaine de lecteurs (YouTube, Vimeo, HTML5, Wistia...), les envois de Contact Form 7, les inscriptions et connexions, et le parcours d’achat complet de WooCommerce au format e-commerce de GA4, y compris avec les blocs Panier et Commande.
L’extension est développée par Thomas Geiger depuis 2013. Elle est entièrement gratuite (licence GPLv3) ; les seuls services payants sont la mise en place et l’audit de suivi, proposés sur devis par JabJab Online Marketing, l’agence dont il est directeur des opérations. La version 2.0 est une réécriture complète qui exige PHP 8.0 et WordPress 6.3.
Pour quels sites GTM4WP est un bon choix
GTM4WP vaut la peine quand quelqu’un, en interne ou dans une agence, pilote déjà les balises dans Google Tag Manager :
- Boutiques WooCommerce : les événements
view_item,add_to_cart,begin_checkoutetpurchasearrivent prêts pour GA4 et les conversions Google Ads, sans code. - Sites qui mesurent des contenus : lectures de vidéos, formulaires envoyés, temps de lecture estimé et catégories servent à grouper les pages dans GA4.
- Agences qui déploient le même suivi sur plusieurs sites : export et import des réglages en JSON, identifiant du conteneur fixable dans
wp-config.php.
Ce n’est pas le bon choix si vous voulez seulement afficher vos statistiques dans le tableau de bord sans ouvrir Google Tag Manager : Site Kit by Google installe la balise Google et affiche les rapports dans WordPress, sans couche de données à configurer.
Points forts et limites de GTM4WP
Points forts
- Tout est gratuit. E-commerce GA4, événements médias, consentement et intégrations ne sont réservés à aucune offre payante.
- Un e-commerce WooCommerce complet. Panier et commande en blocs, données de conversions améliorées pour Google Ads et rattrapage des achats non suivis.
- Des garde-fous utiles. Restriction des types de balises, conteneur limité à la production et couche de données compatible avec le cache de page.
- Consentement pris en compte. Commande « default » du mode de consentement Google et passerelles vers Cookiebot, CookieYes, Axeptio et WebToffee.
Limites
- Google Tag Manager obligatoire. L’extension ne fait que pousser des données : sans balises ni déclencheurs créés dans GTM, rien n’est mesuré.
- Une version 2.0 qui casse des habitudes. Suivi du défilement, données météo et géographiques retirés, et format de
pageTitleetsiteSearchTermmodifié en 2.0.6. - Interface surtout en anglais. La traduction française ne couvre qu’une petite partie de l’écran de réglages de la version 2.0.
- Mode compatible cache encore expérimental. Désactivé par défaut, alors qu’un cache de page peut servir l’e-mail d’un utilisateur connecté à d’autres visiteurs.
Les réglages que nous recommandons pour GTM4WP
Tout se règle dans Réglages > Google Tag Manager. Les libellés non traduits sont donnés en anglais, entre guillemets. Saisissez d’abord l’identifiant GTM-XXXXXX de votre conteneur, puis :
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| « Container code placement » Réglages > Google Tag Manager > « Google Tag Manager container » > Général | « Automatically after the opening body tag » si votre thème gère wp_body_open | Placement recommandé par Google ; sinon, gardez le pied de page (valeur par défaut). |
| Charger le conteneur GTM le plus tôt possible Même écran > Avancé | Désactivé (valeur par défaut) | Peut casser les balises HTML personnalisées qui utilisent jQuery, selon l’éditeur. |
| « Only output the container on production environments » Même écran > Avancé | Activé si vos copies de test définissent WP_ENVIRONMENT_TYPE | Une copie de préproduction n’envoie plus de données dans votre conteneur réel ; la couche de données reste active. |
| Rôles à exclure Même écran > Avancé | Administrateur, et Éditeur si besoin | Vos propres visites ne faussent plus les statistiques : le conteneur n’est pas chargé pour ces rôles. |
| E-mail de l’utilisateur connecté et IP visiteur Réglages > Google Tag Manager > « Page variables » > « Visitor data » | Désactivé (valeur par défaut) | Ce sont des données personnelles ; l’extension rappelle elle-même que l’adresse IP exige un consentement explicite. |
| « Submitted field values in the data layer » Réglages > Google Tag Manager > « Contact Form 7 » | « Field names only (no values) » | Par défaut, les valeurs saisies (e-mail, message) entrent dans la couche de données. |
| « Enable cache-safe data layer » Réglages > Google Tag Manager > « Cache-safe data layer » | Activé si vous avez un cache de page et des données de visiteur dans la couche de données | Une page en cache ne transmet plus les données d’un visiteur aux suivants ; vos balises écoutent alors gtm4wp.visitorData. |
| « Restriction mode » Réglages > Google Tag Manager > « Tag restrictions » | « Blocklist selected entities » avec Custom HTML Tag, Custom JavaScript Variable et « Sandboxed custom template scripts », si votre conteneur ne les utilise pas | Si le compte Google qui gère le conteneur est piraté, ces types de balises ne peuvent plus exécuter de script sur votre site. |
- Affichez le code source d’une page : l’identifiant de votre conteneur doit apparaître une seule fois, sinon un thème ou une autre extension l’insère aussi.
- Lancez le mode Aperçu de Google Tag Manager dans une fenêtre privée, car un rôle exclu ne charge pas le conteneur.
- Tapez
dataLayerdans la console du navigateur : aucune adresse e-mail ni valeur de formulaire ne doit y figurer. - Sur une boutique, passez une commande de test et vérifiez dans l’Aperçu qu’un seul événement
purchaseest envoyé.
La sécurité de GTM4WP : trois XSS corrigées et un risque côté Google
Les failles publiées pour GTM4WP sont toutes des failles XSS, liées à des données réécrites dans la couche de données :
- CVE-2026-16597, corrigée en 1.22.4 : XSS stockée sans compte, via les champs de facturation d’une commande invité WooCommerce, quand l’option « Order data in data layer » est activée (CVSS 7,2).
- CVE-2022-1707, corrigée en 1.15.1 : XSS réfléchie via le terme de recherche interne, quand la recherche était envoyée dans la couche de données (CVSS 6,1).
- CVE-2022-1961, corrigée en 1.15.2 : XSS stockée par un administrateur via un réglage du suivi du défilement, sur les sites où
unfiltered_htmlest désactivé (CVSS 5,5).
Le risque principal reste ailleurs : Google Tag Manager peut exécuter n’importe quel script sur toutes vos pages, donc protégez le compte Google qui le gère par la double authentification et utilisez les restrictions de balises décrites plus haut. Activez aussi les mises à jour automatiques de l’extension (voir notre guide des mises à jour automatiques des extensions). GTM4WP signe vos pages de commentaires HTML « Google Tag Manager for WordPress by gtm4wp.com » que WP Masquerade Pro retire ; Pro renomme aussi le dossier de l’extension, et ce masquage ne remplace pas la mise à jour.
Ce que WP Masquerade masque pour GTM4WP
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à GTM4WP : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- commentaires HTML signés
- nom du dossier
- identifiants de balises
Reste visible
- variables JavaScript
gtm4wp_*
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur GTM4WP
GTM4WP ou Site Kit : lequel choisir ?
Site Kit convient pour installer la balise Google et lire vos rapports dans WordPress. GTM4WP s’adresse à ceux qui gèrent leurs balises dans Google Tag Manager et veulent les données WordPress et WooCommerce dans la couche de données.
GTM4WP rend-il mon suivi conforme au RGPD ?
Non, pas à lui seul : il envoie le mode de consentement Google par défaut et dialogue avec plusieurs outils de consentement, mais c’est votre bannière et la configuration de vos balises qui décident de ce qui est collecté. Gardez désactivées les données personnelles que vous n’utilisez pas (voir RGPD et sécurité WordPress).
Faut-il passer de la version 1.x à la version 2.0 ?
Testez d’abord sur une copie : la 2.0 exige PHP 8.0 et WordPress 6.3, et retire le suivi du défilement, à remplacer par le déclencheur « Profondeur de défilement » de Google Tag Manager. Les noms des filtres, des constantes et des options de la 1.x sont conservés.
Pourquoi des achats payés par PayPal manquent-ils dans GA4 ?
L’événement purchase part de la page de confirmation de commande, et certains moyens de paiement n’y ramènent pas le client. L’éditeur conseille d’activer le retour automatique dans la passerelle, et l’option « Reliable purchase tracking » envoie l’achat manqué sur la page suivante vue par le client.