Checklist d’audit du tracking en 50 points pour les entreprises en montée en charge

Couche 1 : résolution de domaine et en-têtes HTTP (points 1 à 10)

• 1. Sous-domaine propre configuré sous le même domaine racine que le site (exemple : dados.empresa.com.br).
• 2. Résolution directe via des enregistrements A et AAAA dédiés, pour éviter les blocages de CNAME Cloaking par Safari ITP.
• 3. Certificat SSL TLS 1.3 valide, avec renouvellement automatique configuré.
• 4. Directive HttpOnly appliquée aux cookies de session first-party pour la sécurité réseau.
• 5. Attribut Secure activé sur toutes les réponses de cookies du serveur.
• 6. Directive SameSite=Lax attribuée pour garantir une navigation légitime entre domaines.
• 7. Paramètre Max-Age configuré pour une persistance adaptée (minimum 1 an pour les identifiants first-party).
• 8. Compression réseau Brotli/Gzip activée sur le serveur pour réduire la latence du trafic.
• 9. Temps de réponse du serveur de balises (TTFB) inférieur à 200 millisecondes.
• 10. Politiques CORS (Cross-Origin Resource Sharing) strictement paramétrées pour le domaine de l’entreprise.

Couche 2 : normalisation des données et chiffrement SHA-256 (points 11 à 20)

• 11. E-mails débarrassés des espaces aux extrémités et convertis en minuscules avant le hachage.
• 12. Téléphones formatés avec l’indicatif du pays (55 pour le Brésil) et l’indicatif régional, sans ponctuation ni caractères spéciaux.
• 13. Hash SHA-256 généré exclusivement à partir des chaînes normalisées.
• 14. Paramètres fbp et fbc conservés au format texte d’origine, sans hash.
• 15. Adresse IP du client capturée directement dans l’en-tête réseau (en évitant les IP des répartiteurs de charge).
• 16. User-Agent complet transmis sans troncature.
• 17. Noms propres correctement séparés en prénom (fn) et nom de famille (ln).
• 18. Code postal et ville formatés selon les standards internationaux exigés par Meta et Google.
• 19. Aucun envoi de données personnelles dans des paramètres d’URL ouverts de la barre d’adresse.
• 20. Assainissement préalable des caractères spéciaux et des accents dans les champs d’inscription.

Couche 3 : déduplication et intégrité des événements (points 21 à 35)

• 21. Présence de l’identifiant event_id dans tous les envois de conversion critique.
• 22. Identifiant event_id rigoureusement identique entre la balise du navigateur et le serveur.
• 23. Correspondance exacte du nom de l’événement (event_name) sur les deux canaux d’envoi.
• 24. Envoi synchrone, ou avec un décalage inférieur à 5 secondes entre browser et server.
• 25. Taux de déduplication supérieur à 95 % attesté dans le Gestionnaire d’événements.
• 26. Événement Purchase déclenché exclusivement après la confirmation effective du paiement.
• 27. Prévention des envois multiples pour une même transaction grâce à des verrous par numéro de commande (order_id).
• 28. Devise (BRL) et valeur numérique avec point décimal et sans symbole monétaire dans le payload.
• 29. Suivi correct des événements intermédiaires de l’entonnoir (ViewContent, AddToCart, InitiateCheckout).
• 30. Paramètres personnalisés (content_ids, content_type) compatibles avec le catalogue de produits.
• 31. Audit des événements fantômes déclenchés par d’anciens outils de tracking.
• 32. Isolement des environnements de recette et de test pour ne pas polluer les données de production.
• 33. Journalisation des erreurs en temps réel avec alertes automatisées pour l’équipe technique.
• 34. Surveillance de la métrique Event Match Quality (EMQ) au-dessus de 8,0 pour les transactions commerciales.
• 35. Absence de blocages par les outils de Content Security Policy (CSP).

Couche 4 : infrastructure cloud et résilience (points 36 à 45)

• 36. Dimensionnement automatique (Autoscaling) configuré sur le conteneur serveur.
• 37. Nombre minimal d’instances actives pour éliminer les latences de démarrage à froid (cold start).
• 38. Répartiteur de charge avec redondance des zones de disponibilité (Multi-AZ).
• 39. Alertes de consommation de mémoire et de processeur configurées dans Cloud Monitoring.
• 40. Sauvegarde quotidienne des configurations du conteneur serveur.
• 41. Contrôle de version strict dans GTM, avec approbations obligatoires avant publication.
• 42. Routage efficace des requêtes analytiques sans bloquer le chargement de la page.
• 43. Configuration de routes de secours (fallback) en cas d’indisponibilité transitoire du serveur.
• 44. Suivi des coûts cloud pour éviter les mauvaises surprises sur la facturation du trafic.
• 45. Politique de conservation des journaux conforme aux exigences de confidentialité.

Couche 5 : gouvernance et intégration avec les ventes (points 46 à 50)

• 46. Capture des identifiants de clic (gclid, fbclid) dans des champs cachés du formulaire.
• 47. Stockage sécurisé des paramètres d’origine dans la fiche du lead dans le CRM.
• 48. Pipeline automatisé d’envoi des conversions hors ligne lorsque la vente est conclue.
• 49. Rapport périodique de rapprochement entre le chiffre d’affaires de l’ERP et les conversions rapportées.
• 50. Formation de l’équipe commerciale à l’enregistrement des motifs de perte et des valeurs réelles de contrat.

Questions fréquentes sur l’audit des données