Ce que fait Matomo sur votre site WordPress
Matomo Analytics installe une copie complète de la plateforme de mesure d’audience Matomo à l’intérieur de WordPress. Le code de suivi, ajouté à chaque page, charge le fichier matomo.js depuis le dossier de l’extension et envoie chaque visite à votre propre serveur : les données restent dans votre base WordPress et ne passent par aucun service tiers. Les rapports (visites, pages, sources, objectifs, temps réel, profils de visiteurs, segments) s’ouvrent depuis le menu Matomo Analytics, dans l’interface habituelle de Matomo.
Les rapports sont calculés en arrière-plan par une tâche planifiée de WordPress, toutes les heures, grâce au cron. L’extension télécharge aussi une base de géolocalisation (DB-IP) dans le dossier des téléversements pour situer les visiteurs, et inclut le Gestionnaire de balises Matomo, le suivi e-commerce de WooCommerce, Easy Digital Downloads et MemberPress, et l’import de l’historique de Google Analytics ou de WP Statistics.
L’extension est gratuite et publiée sous licence GPL par l’équipe Matomo. Les fonctions avancées sont des modules payants vendus séparément sur la place de marché Matomo : cartes de chaleur et enregistrements de sessions, analyse des formulaires et des médias, entonnoirs, rapports personnalisés, cohortes, parcours des visiteurs et positions SEO. Si vous utilisez déjà Matomo On-Premise ou Matomo Cloud, l’éditeur indique qu’il faut l’extension Connect Matomo à la place.
Pour quels sites Matomo est un bon choix
Matomo convient quand vous voulez une mesure d’audience complète sans confier vos données à Google :
- Sites de PME, d’associations et d’institutions : les statistiques restent sur votre serveur, ce qui simplifie la réponse à la question « où vont nos données ? ».
- Boutiques WooCommerce de taille modeste : chiffre d’affaires, paniers et produits vendus remontent sans configuration, à côté des sources de trafic.
- Sites qui quittent Google Analytics ou WP Statistics : l’import de l’historique évite de repartir de zéro.
- Équipes qui veulent segmenter : segments, comparaisons de périodes et profils de visiteurs vont plus loin qu’un simple compteur de visites.
Ce n’est pas le bon choix pour un site à fort trafic ou un grand réseau multisite : l’éditeur recommande alors Matomo On-Premise sur un serveur dédié ou Matomo Cloud. Pour un petit blog qui veut seulement compter ses visites, WP Statistics ou Burst Statistics sont plus légers.
Points forts et limites de Matomo pour WordPress
Points forts
- Données chez vous. Visites et rapports sont stockés dans votre base WordPress, sans envoi à un service tiers ni échantillonnage.
- Anonymisation des IP activée d’office. Le code de l’extension masque par défaut deux octets de l’adresse IP de chaque visiteur.
- Une vraie plateforme d’analyse gratuite. Temps réel, segments, objectifs, e-commerce, erreurs JavaScript et Gestionnaire de balises sans payer.
- Outils RGPD intégrés. Formulaire de refus du suivi par code court ou par bloc, export et suppression des données d’un visiteur, durée de conservation réglable.
Limites
- Une charge pour votre serveur. Chaque page vue ajoute une requête de suivi ; l’éditeur demande 128 Mo de mémoire PHP au minimum et conseille 256 Mo.
- Modules avancés payants un par un. Cartes de chaleur, entonnoirs ou analyse des formulaires s’achètent séparément, chacun avec son abonnement.
- Prérequis de Matomo 6. PHP 8.1 et MySQL 8.0 ou MariaDB 10.6 seront exigés ; sans eux, l’extension reste sur la version 5.
- Gestionnaire de balises absent en multisite. L’éditeur précise qu’il ne fonctionne pas en mode réseau.
- Données effacées à la désinstallation. Par défaut, supprimer l’extension supprime tout l’historique, sans retour possible hors sauvegarde.
Les réglages que nous recommandons pour Matomo
Ces réglages se trouvent sous Matomo Analytics > Réglages, dans la version gratuite actuelle. Les choix liés aux cookies et au consentement dépendent de votre analyse juridique : notre article sur le RGPD, les adresses IP et les durées de conservation pose les bonnes questions.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Mode de suivi Matomo Analytics > Réglages > Suivi | Automatique (recommandé) | Matomo génère et insère lui-même le code de suivi ; le mode manuel ne sert que si vous écrivez votre propre code. |
| Filtre de suivi Matomo Analytics > Réglages > Exclusions | Administrateur coché, plus les rôles de votre équipe | Vos propres visites ne faussent pas les chiffres. |
| Suivre l’identifiant du compte WordPress Matomo Analytics > Réglages > Suivi | Désactivé (valeur par défaut) | Les autres choix relient les visites à un compte, voire à une adresse e-mail, ce qui en fait des données personnelles. |
| Désactiver les cookies Même écran | Selon votre politique de consentement | Sans cookies, Matomo reconnaît moins bien les visiteurs qui reviennent, mais la conformité peut être plus simple. |
| Écran de consentement personnalisé Même écran | Aucun, sauf si vous développez vous-même un écran de consentement | L’éditeur réserve ces modes à un écran de consentement codé sur mesure. |
| Suivre les erreurs 404 et Suivre la recherche Même écran | Activé | Vous repérez les liens cassés et ce que vos visiteurs cherchent sans le trouver. |
| Mode débogage de l’outil de suivi Même écran | Désactivé (recommandé) | L’éditeur demande de ne l’activer que le temps d’un diagnostic, pour des raisons de sécurité et de confidentialité. |
| Anonymiser les données et les adresses IP Matomo Analytics > Réglages > Confidentialité et RGPD | Anonymisation active, au moins deux octets masqués (valeur par défaut) | L’adresse complète n’est jamais enregistrée ; ne réduisez pas ce masquage sans raison. |
| Supprimer toutes les données de l’extension lors de la désinstallation Matomo Analytics > Réglages > Avancé | Décoché si vous voulez garder l’historique | Une désinstallation de test ou par erreur n’efface plus des années de statistiques. |
- Ouvrez votre site dans une fenêtre de navigation privée, puis le rapport des visites en temps réel : votre visite doit apparaître.
- Ouvrez Matomo Analytics > Diagnostics > Rapport Système : aucune erreur ne doit s’afficher, et vous y lisez vos versions de PHP et de MySQL pour préparer Matomo 6.
- Si votre hébergeur désactive WP-Cron, vérifiez qu’une vraie tâche planifiée appelle WordPress, sinon les rapports ne se mettent plus à jour.
- Ajoutez le code court
[matomo_opt_out_form]ou le bloc « Matomo opt out » à votre politique de confidentialité, puis testez le refus du suivi.
La sécurité de Matomo : peu de failles, une mise à jour à ne pas manquer
La base Patchstack recense deux failles corrigées dans l’extension, toutes deux de gravité moyenne et exploitables seulement si un utilisateur connecté clique sur un lien piégé :
- CVE-2023-6923, corrigée en 5.0.1 : faille XSS réfléchie via le paramètre
idsite, déclenchable sans compte, jusqu’à la version 4.15.3 (CVSS 6,1). - CVE-2024-38766, corrigée en 5.1.2 : falsification de requête (CSRF) qui permettait de faire masquer une notification de l’administration (CVSS 4,3).
L’éditeur signale aussi, sur sa page wordpress.org, un correctif de sécurité important à partir de la version 5.11.1 et invite à mettre à jour. Matomo finance un programme de prime aux failles, mais la meilleure protection reste la mise à jour rapide : activez les mises à jour automatiques de l’extension (voir notre guide des mises à jour automatiques des extensions). Le code de suivi encadré de commentaires « Matomo » et l’adresse de matomo.js signalent l’extension : WP Masquerade Pro retire ces commentaires et réécrit l’adresse du fichier, alors que la variable _paq et les cookies _pk_ restent visibles.
Ce que WP Masquerade masque pour Matomo Analytics
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Matomo Analytics : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- commentaires HTML signés
- nom du dossier
- identifiants de balises
Reste visible
- variables JavaScript
_paq - cookies
_pk_id.*, _pk_ses.*
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Matomo
Matomo pour WordPress est-il vraiment gratuit ?
Oui : l’extension et ses fonctions de base (rapports, e-commerce, Gestionnaire de balises, outils RGPD) sont gratuites. Seuls les modules avancés sont payants, par exemple Heatmap & Session Recording à 109 € par an pour un site.
Faut-il un bandeau de cookies avec Matomo ?
Cela dépend de votre configuration et de la loi qui s’applique à votre site. Matomo vous donne les leviers (cookies désactivables, IP anonymisées, refus du suivi) ; si vous gardez un bandeau, une extension de consentement comme Complianz peut piloter le suivi.
Matomo ralentit-il WordPress ?
Le script de suivi se charge en pied de page par défaut, mais chaque visite ajoute une requête traitée par votre serveur et les rapports sont calculés toutes les heures. Sur un hébergement modeste à fort trafic, l’éditeur conseille Matomo On-Premise ou Matomo Cloud.
Que deviennent mes statistiques si je supprime l’extension ?
Par défaut, elles sont effacées. Décochez « Supprimer toutes les données de l’extension lors de la désinstallation » dans l’onglet Avancé avant de supprimer Matomo, et faites une sauvegarde de la base.