Suivi côté serveur pour Shopify et WooCommerce

Pourquoi les pixels navigateur manquent des achats

Les bloqueurs de publicités arrêtent de nombreuses requêtes de pixel, et Safari limite à sept jours les cookies déposés par des scripts : un acheteur qui revient après une semaine peut donc passer pour du trafic organique. Le suivi côté serveur envoie l’achat depuis vos données de commande vers l’API de chaque plateforme, avec l’identifiant de clic enregistré à la première arrivée.

Comment ça marche

1. Capturer le clic

Le script lit les identifiants de clic fbclid, gclid, gbraid, wbraid, ttclid, msclkid, ScCid, epik, rdt_cid, twclid, tblci, li_fat_id, adct, aleid, alart, oppref, awc, im_ref et OutbrainClickId, ainsi que les six champs UTM, et les enregistre avec un identifiant visiteur first-party, le cookie _tl. Sur Shopify, l’identifiant visiteur est aussi écrit dans le panier.

2. Collecter en first-party

• Proxy d’application Shopify. La vitrine envoie les événements à yourstore.com/apps/roasaurus/e, que Shopify signe et transmet. Même origine, aucun changement DNS, avec le collecteur habituel en secours.
• Sous-domaine CNAME. Faites pointer t.yourstore.com vers ROASaurus et un certificat est émis automatiquement. Le script et les événements se chargent alors depuis votre propre sous-domaine : les bloqueurs de publicités les traitent comme du first-party, et l’identifiant visiteur y est aussi déposé sous forme de cookie serveur. Safari peut malgré tout limiter ce cookie à 7 jours.

3. Associer la commande

Sur Shopify, les commandes sont associées via les attributs du panier, les jetons de panier et de checkout, et le pixel de checkout. L’achat est envoyé depuis le webhook orders/paid après une attente de 20 secondes, afin que l’événement de checkout du navigateur (IP, user agent, fbp) puisse être rattaché d’abord. Le paiement à la livraison et les checkouts externes envoient à la création de la commande.

Le plugin WooCommerce enregistre les cookies de suivi sur chaque commande. Les plateformes sans attributs de panier associent par l’événement Purchase de la page de remerciement, puis par un e-mail haché que le visiteur a donné plus tôt sur votre site (dans une popup ou via un appel Identify), puis par la même IP et le même navigateur vus de trois heures avant à 15 minutes après la commande, lorsqu’un seul visiteur correspond. Voir les autres boutiques en ligne et les tunnels.

4. Envoyer à chaque plateforme

ROASaurus transmet PageView, ViewContent, AddToCart, InitiateCheckout, Purchase et Lead. Chaque événement serveur contient les données client hachées avec SHA-256, l’identifiant de clic propre à la plateforme, l’adresse IP et le user agent.

Déduplication, consentement et robots

Déduplication. Le pixel du navigateur se déclenche avec le même identifiant d’événement que l’événement serveur : la plateforme n’en garde qu’un exemplaire. Un double comptage signifie généralement qu’une autre application envoie le même pixel ; voici la solution.

Consentement. Avec « Respect visitor consent » activé (par défaut), c’est l’API de confidentialité client de Shopify ou votre outil de consentement qui décide. Si un visiteur refuse les cookies marketing, il ne reçoit aucun identifiant visiteur : ses clics publicitaires et ses visites ne lui sont donc pas rattachés, et ses événements navigateur ne sont pas envoyés aux plateformes publicitaires. La commande payée elle-même est tout de même envoyée côté serveur, avec des données de commande hachées, à Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft Advertising et Taboola ; LinkedIn et les destinations ajoutées après lui ne reçoivent rien. En mode strict, rien n’est envoyé depuis le navigateur tant que le visiteur n’a pas donné son consentement. Voir consentement et confidentialité.

Filtre anti-robots. Les robots d’exploration, les aperçus de liens, les contrôles de disponibilité, les robots IA et l’automatisation headless sont écartés avant le journal des événements ou tout envoi.

Journal des événements et des envois. Chaque envoi est listé par plateforme avec la requête et la réponse de la plateforme. Les envois en échec sont retentés avec un délai croissant.

Pour qui, et configuration

Les boutiques qui font de la publicité sur Meta, TikTok ou d’autres canaux payants et veulent que ces plateformes voient chaque achat. Sur Shopify, l’installation prend une dizaine de minutes : connectez la boutique, activez l’intégration d’application du thème, collez le pixel de checkout et ajoutez vos plateformes publicitaires. Guides : Shopify, Meta, WooCommerce et sites sur mesure. Intégrations : Shopify, Meta, TikTok, Google Ads et plus encore.

Limites

• X, Microsoft Advertising, Taboola, LinkedIn, Criteo, AdRoll et Outbrain reçoivent leurs conversions uniquement depuis le serveur.
• Les postbacks Taboola ne fonctionnent qu’après un clic Taboola (tblci) et ne renvoient aucune validation : les échecs ne peuvent donc pas être détectés.
• La UET Conversions API de Microsoft est en déploiement limité.
• En dehors de Shopify, le consentement est lu dans OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, tout bandeau IAB TCF, Google Consent Mode et la WP Consent API. Les autres bandeaux transmettent le choix avec tlq('consent', …).

Pour aller plus loin : le suivi côté serveur sur Shopify et la Conversions API de Meta.