Tag Manager serveur transmet l’IP complète à Google Ads dès le 11 janvier 2027

À partir du 11 janvier 2027, Google Tag Manager côté serveur transmettra l’adresse IP complète des visiteurs aux balises Google Ads. Display & Video 360, Search Ads 360 et Campaign Manager 360 suivent la même règle, alors que Google Analytics continuera de la masquer. Google l’annonce dans un e-mail aux annonceurs rendu public le 2 novembre 2026, et ce nouveau réglage s’applique par défaut.

Quatre balises publicitaires reçoivent l’adresse IP complète

L’e-mail s’intitule « Updates to network signal processing in server-side tagging ». Il porte le logo Google Ads mais aucune date, et c’est Adriaan Dekker, freelance Google Ads, qui l’a publié sur LinkedIn le 2 novembre.

Jusqu’ici, un conteneur serveur pouvait masquer l’IP pour toutes ses balises d’un seul réglage. Ce réglage global disparaît au profit d’un traitement balise par balise. Google parle d’un passage « d’un masquage de l’adresse IP à l’échelle du conteneur à un traitement au niveau de chaque balise ». Concrètement, quatre règles s’appliqueront :

• les balises qui envoient des données à Google Ads, DV360, SA360 et CM360 acceptent l’IP non masquée ;
• Google Analytics continue de masquer l’IP ;
• les balises tierces (Meta, TikTok…) gardent leur propre contrôle sur ce qu’elles reçoivent ;
• une transformation peut masquer ces signaux avant qu’une balise ne lise les données.

Google justifie le changement par une meilleure mesure et une personnalisation publicitaire plus fine. Aucun chiffre de gain ne l’accompagne pourtant, et l’e-mail ne nomme aucune des technologies de confidentialité (PETs) qu’il invoque. La notion de « signaux réseau » reste aussi floue, car l’IP est le seul exemple donné.

Qui doit agir avant le 11 janvier 2027

Le changement vise uniquement les conteneurs serveur, appelés sGTM. Le principe : vos données de suivi passent d’abord par un serveur que vous contrôlez, souvent sur un sous-domaine, avant de partir vers les plateformes. La décision sur l’IP revient donc au propriétaire du conteneur.

Un site qui utilise seulement le Tag Manager « web » classique, ou la balise Google installée directement, sort du périmètre selon l’e-mail. Même chose, ou presque, si votre conteneur serveur ne sert qu’à Google Analytics, puisque GA garde le masquage.

En revanche, si vos conversions Google Ads ou vos balises Floodlight transitent par sGTM, le sujet vous touche directement. L’e-mail ne vise aucune plateforme de site en particulier : sur Shopify comme sur WooCommerce, seul compte le passage par un conteneur serveur. Si vous ignorez son existence, interrogez votre prestataire, car une agence ou un hébergeur sGTM l’a souvent installé à votre place.

Le point sensible touche ceux qui ont choisi le côté serveur justement pour limiter ce qui part chez Google. Sans action de votre part, Google Ads recevra l’adresse IP complète dès le 11 janvier, et ce choix initial ne jouera plus automatiquement.

Refuser l’envoi de l’adresse IP complète : la méthode de Google

L’e-mail parle d’un « opt-out » sans nommer l’article d’aide. Search Engine Journal a toutefois identifié une page Tag Manager qui décrit la marche à suivre, intitulée « IP address redaction for server-side tagging ».

La méthode tient en quatre étapes. D’abord, créez une variable de modèle personnalisé qui appelle la fonction getAnonymizedIpAddress. Ensuite, créez une transformation de type « Augment event » qui remplace le champ ip_override par cette variable. Choisissez enfin les balises visées (Google Ads, Floodlight, balises tierces), vérifiez le résultat en mode Aperçu, puis publiez le conteneur.

Cette fonction met à zéro le dernier octet d’une adresse IPv4 et les 80 derniers bits d’une adresse IPv6. Par exemple, 203.0.113.25 devient 203.0.113.0. Google l’a ajoutée à sa référence API après le 12 octobre 2026.

Attention aux balises Meta, TikTok et autres : certaines lisent l’IP dans des en-têtes ou des paramètres spécifiques, pas dans ip_override. Il leur faut alors une transformation dédiée. Reste une inconnue de taille, puisque la page d’aide ne mentionne pas la date du 11 janvier. Rien ne dit non plus si Google proposera un interrupteur plus simple, ni si cet opt-out rétablit exactement le masquage actuel.

Consentement en Europe : ce que Google exige avant toute collecte

L’e-mail pose une condition claire. Les annonceurs « doivent s’assurer que les mentions d’information et les consentements légalement requis sont en place avant le début de la collecte ».

Dans l’EEE, Google renvoie à sa politique de consentement de l’UE, qui couvre aussi le Royaume-Uni et la Suisse. Elle impose notamment de conserver la preuve des consentements, d’expliquer comment les retirer et d’identifier chaque partie qui collecte les données. En cas de manquement, Google peut limiter ou suspendre l’accès au produit, voire résilier le contrat.

Passer côté serveur ne supprime donc pas l’obligation de consentement. La Cour de justice de l’UE considère d’ailleurs, depuis l’arrêt Breyer du 19 octobre 2016, qu’une IP dynamique peut constituer une donnée personnelle. La CNIL, qui fait référence en France, n’a publié à notre connaissance aucun avis sur ce changement précis.

Autre zone grise : l’articulation avec le Consent Mode. Depuis le 28 juillet 2025, les balises Floodlight en sGTM envoient des requêtes sans consentement pour modéliser les conversions. Personne ne sait encore si elles transporteront l’IP non masquée.

Vos vérifications à mener avant le gel de fin d’année

Première étape : vérifiez si votre site utilise un conteneur Tag Manager serveur, et quelles balises y transitent. Si seules les balises Google Analytics y passent, l’enjeu reste faible.

Ensuite, tranchez : laisser partir l’IP non masquée vers Google Ads, ou configurer la transformation. Dans les deux cas, contrôlez votre bandeau cookies. Il doit recueillir un consentement avant toute collecte publicitaire, conserver la preuve de ce choix et permettre un retrait facile.

Relisez aussi votre politique de confidentialité. Elle doit nommer Google parmi les destinataires des données et mentionner le traitement de l’IP pour la mesure et la personnalisation publicitaire. Selon la CNIL, l’information du visiteur doit également lister de façon exhaustive les responsables de traitement liés aux traceurs soumis au consentement.

Enfin, ne repoussez pas ce chantier à janvier. L’échéance tombe juste après le Black Friday et Noël, donc décidez avant le gel des modifications techniques de fin d’année et testez en Aperçu. Si votre suivi serveur vous paraît opaque, l’équipe marketing et acquisition de Snazzy peut passer votre configuration en revue avec vous.