Google Tag Manager détourné : un container qui n'est plus le vôtre
Un utilisateur GTM ajouté, un tag qui charge un skimmer : le container n'est plus le vôtre. Révoquez, auditez les tags, republiez une version propre. Les fichiers du site peuvent être clean — le checkout, non.
Un utilisateur GTM ajouté, un tag qui charge un skimmer. Révoquez, auditez les tags, republiez un container propre. Le site fichiers peut être clean.
Le site est propre, le navigateur non
Vous avez comparé WordPress aux zips, la home est la vôtre, l'hébergeur se tait. Le client, lui, charge un script de carte depuis un tag. Google Tag Manager vit hors du FTP. Un scan de fichiers ne le voit pas. C'est pour ça que les dossiers « déjà nettoyés » reviennent avec un skimmer : on avait oublié le container.
Ouvrez le rendu comme un visiteur (navigation privée, mobile, étape panier). Le gestionnaire de tags du navigateur, ou simplement le HTML, montre un `GTM-XXXX` et des requêtes que vous n'avez pas choisies. Search Console n'est pas l'outil principal ici : c'est le compte tagmanager.google.com.
Les premiers gestes restent valables (copie, panel). Ils ne suffisent pas. Ajoutez GTM, pixels, Hotjar à la liste des « autres origines ».
Ce qu'un container détourné permet
Charger n'importe quel JavaScript sur toutes les pages, ou seulement le checkout (déclencheur). Exfiltrer des champs, rediriger, poser un overlay. Sans toucher à PrestaShop. Sans laisser un PHP. Élégant, fréquent sur les boutiques qui « n'ont rien dans les fichiers ».
Un tag Custom HTML est le véhicule habituel. Un tag « officiel » (Ads, Floodlight) dont l'ID a été remplacé, aussi. Relisez les IDs : un UA ou un G- qui n'est pas le vôtre, c'est le même problème que le pixel Meta inconnu.
Nous ne détaillons pas comment monter un skimmer. Nous disons : tout Custom HTML que vous ne pouvez pas expliquer sort, le temps du constat. On remet ensuite, un par un, ce que vous assumez.
Utilisateurs, comptes, et le mot de passe Google
Admin → Gestion des utilisateurs : une adresse que vous ne reconnaissez pas, un droit Publier. Révoquez. Tournez le mot de passe du compte Google titulaire, 2FA. Les invitations GTM survivent à un changement de mot de passe WordPress. Évidemment : ce n'est pas le même tiroir.
Un freelance « juste pour poser le pixel » encore admin six mois plus tard : même oubli que dans le CMS. Compte encore ouvert.
Si le compte Google a été pris (messagerie, session), GTM n'est qu'une pièce. Search Console, Ads, Analytics : même revue. Ne « sauvez » pas seulement le container.
- Liste des utilisateurs du container et du compte.
- 2FA sur le Google titulaire.
- Anciennes versions : qui a publié, quand.
Auditer les tags sans tout casser
Espace de travail : listez tags, déclencheurs, variables. Photographiez. Les Custom HTML, les chargements de scripts tiers, les variables trop larges (tout le DOM) passent en premier. Un container de 80 tags n'est pas « plus professionnel ». C'est plus long à relire.
L'aperçu GTM aide à voir ce qui se déclenche sur le checkout. Faites-le après révocation des inconnus, pas avant : sinon vous prévisualisez encore leur version.
Ne videz pas tout d'un geste si Ads et Merchant dépendent de conversions. Isolez le douteux, publiez une version minimale (les tags que vous nommez), mesurez, rajoutez. Une journée sans un tag de heat-map vaut mieux qu'un week-end de skimmer.
Publier une version, pas « debug en prod »
GTM versionne. Revenir à une version d'avant la date d'incident est parfois le geste le plus propre — si cette version-là n'était pas déjà habitée. Lisez la date du premier tag étrange, pas « la dernière qui marchait ».
Publiez. Un brouillon non publié ne protège personne : les visiteurs voient la dernière version live. L'inverse est vrai : un brouillon sale n'est pas encore en ligne, mais il se publie d'un clic. Révoquez d'abord.
Le snippet GTM dans le thème ou dans Rank Math : s'il a été remplacé par un autre ID, corrigez le CMS aussi. Deux containers, dont un pirate, c'est fréquent.
GTM et le HTML déjà cuit (CMS, thème)
Parfois GTM est sain, et le thème charge un second gestionnaire, ou un pixel en dur. Relisez header, footer, widgets, Elementor « extra scripts ». Rank Math / Yoast : zones de texte libres.
Headless : le front Next peut embarquer un GTM différent de celui « documenté ». Rebuild après rotation des IDs. WP headless.
Un CDN / cache page ressert l'ancien snippet. Purge large après publication du container propre. CDN, Redis.
Après : moins d'invités, plus de versions
Deux personnes max en Publier, le reste en lecture. Chaque agence : une adresse, une date de fin. Alertes Google sur les nouveaux utilisateurs si disponibles. Notez l'ID du container dans votre inventaire d'accès, à côté du panel.
Ne partagez pas le compte Google « de l'entreprise » comme mot de passe CMS. Secrets distincts.
Surveillance : une revue mensuelle de la liste des tags suffit souvent. Un nouveau Custom HTML, c'est une alerte. Surveillance.
Boutique, RGPD, et le constat
Si le tag a pu voir des champs de paiement ou des formulaires, le volet données s'ouvre. Documentez la fenêtre, les pages concernées, si un replay (Hotjar) coexistait. Hotjar / Clarity.
Le bandeau cookies n'absout rien : un tag pirate s'en moque. Après clôture, recalez le consentement sur les tags que vous avez gardés. C'est un chantier à froid, pas le soir J.
Déclarer : joignez l'ID GTM et une capture de la liste des utilisateurs. Nous regarderons le container autant que le FTP. Un devis boutique qui oublie GTM est incomplet.