Choisir entre une CMP open source et une CMP SaaS ne revient pas simplement à choisir entre gratuit et payant.
Les différences concernent surtout la manière dont le logiciel est installé, maintenu et mis à jour, le niveau d’automatisation disponible et la dépendance que l’on accepte vis-à-vis de l’éditeur.
tarteaucitron existe dans les deux modèles. Le projet tarteaucitron.js est open source sous licence MIT, tandis que tarteaucitron Pro fonctionne comme un service SaaS. Cela me donne une vision assez concrète des avantages et des contraintes des deux approches.
Une CMP open source peut fonctionner sans SaaS
Le principe d’une CMP réellement open source est que son code est disponible et peut être exécuté indépendamment de l’entreprise ou du service qui l’a publié.
tarteaucitron.js peut par exemple être téléchargé depuis GitHub, installé sur un serveur et utilisé sans compte Pro tarteaucitron.io.
Le développeur garde alors le contrôle sur les fichiers chargés par le site. Il peut inspecter le code, le modifier et choisir quand mettre à jour sa version.
Cette autonomie est l’un des principaux intérêts de l’open source.
Open source ne signifie pas absence de maintenance
Cette autonomie a une contrepartie importante : quelqu’un doit maintenir l’installation.
Lorsqu’une nouvelle version corrige un bug, améliore un service ou résout un problème de sécurité, une installation auto-hébergée ne se met pas nécessairement à jour toute seule.
C’est un point parfois oublié parce qu’un fichier JavaScript continue généralement à fonctionner pendant très longtemps. Une vieille version peut donc rester en production pendant plusieurs années sans provoquer d’erreur visible.
Fonctionner et être correctement maintenu sont pourtant deux choses différentes.
Le SaaS déplace une partie de cette responsabilité
Une CMP SaaS peut prendre en charge une partie importante de la maintenance. Le script chargé depuis l’infrastructure de l’éditeur peut être corrigé et mis à jour sans demander une intervention manuelle sur chaque site.
C’est l’un des principaux avantages de tarteaucitron Pro. Lorsqu’une correction doit être déployée, elle peut être appliquée sur le CDN et profiter aux sites utilisant le service sans qu’ils aient à télécharger une nouvelle archive.
Pour une agence gérant plusieurs dizaines ou centaines de sites, la différence devient vite importante.
J’ai détaillé ce sujet dans mon article sur la maintenance entre tarteaucitron open source et Pro.
Le SaaS permet aussi davantage d’automatisation
La maintenance n’est pas la seule différence. Un SaaS dispose d’une infrastructure distante qui peut fournir des services supplémentaires : console de configuration, scanner, statistiques, synchronisation ou règles mises à jour par l’éditeur.
Dans tarteaucitron Pro, cette différence se traduit notamment par la console en ligne et la détection automatique des services.
Dans la version open source, l’intégration est plus manuelle. Le développeur déclare les services utilisés et adapte le site en conséquence.
Les deux approches aboutissent au même objectif général, mais le travail nécessaire n’est pas identique.
L’open source permet l’audit du code
Pour un outil chargé de contrôler des services tiers et des flux de données, pouvoir inspecter le code présente un intérêt particulier.
Il est possible de regarder précisément ce que fait la CMP, quelles requêtes elle déclenche et comment elle décide de charger ou bloquer un service.
La publication du code permet également à des chercheurs en sécurité et à des développeurs indépendants de signaler des problèmes.
Cela ne signifie évidemment pas qu’un logiciel open source est automatiquement sécurisé. La visibilité du code n’a de valeur que si le projet est réellement maintenu et si les corrections sont ensuite installées.
Un SaaS implique une dépendance supplémentaire
Lorsqu’une CMP dépend d’un service SaaS, le site dépend aussi de l’infrastructure et des décisions de son éditeur.
Une panne, un changement de tarif, une modification des conditions ou l’arrêt du service peuvent avoir des conséquences sur les utilisateurs.
Ce n’est pas propre aux CMP. C’est le compromis classique de nombreux services en ligne : moins de maintenance locale en échange d’une dépendance plus importante au fournisseur.
Il faut simplement intégrer cette dépendance dans le choix technique au lieu de considérer le SaaS comme une abstraction invisible.
L’open source peut aussi utiliser des services distants
La présence du mot open source ne suffit donc pas à déterminer l’architecture réelle d’un produit.
Un logiciel peut publier une partie de son code tout en restant dépendant d’une API propriétaire indispensable à son fonctionnement. À l’inverse, un projet peut être réellement utilisable de manière autonome.
Lorsqu’une organisation recherche une CMP open source pour des raisons de maîtrise technique ou de souveraineté, je vérifierais donc ce qui se passe si tous les services de l’éditeur deviennent inaccessibles.
Est-ce que la CMP continue à fonctionner ? Peut-elle être hébergée ailleurs ? Les fichiers nécessaires sont-ils réellement disponibles ?
Gratuit et open source ne sont pas synonymes
Une CMP SaaS peut proposer une offre gratuite sans être une CMP open source.
Dans ce cas, le fournisseur autorise simplement l’utilisation de son service dans certaines limites : nombre de pages vues, domaines, fonctionnalités ou scans par exemple.
Le service reste hébergé et contrôlé par l’éditeur.
À l’inverse, un logiciel open source peut être utilisé gratuitement mais également donner naissance à des services payants autour de l’hébergement, de l’automatisation, du support ou de la maintenance.
Comparer uniquement le prix de départ masque donc une bonne partie de la différence.
Le coût de l’open source n’est pas toujours nul
Un logiciel gratuit peut demander du temps de développement et de maintenance.
Si un développeur passe deux heures à intégrer une CMP manuellement puis doit vérifier régulièrement les nouvelles versions, ce temps a un coût même si aucune facture de licence n’est reçue.
Pour un site personnel ou un développeur qui maîtrise déjà l’outil, ce coût peut être négligeable. Pour une agence avec des centaines de sites, il peut devenir beaucoup plus important que le prix d’un SaaS.
C’est pour cette raison que je ne présente jamais la version Pro de tarteaucitron comme une version qui rendrait soudain possible quelque chose d’impossible avec l’open source. Elle sert surtout à automatiser et maintenir plus facilement.
Le SaaS n’est pas automatiquement plus simple techniquement
Il faut aussi éviter l’excès inverse. Payer une CMP SaaS ne garantit pas que son installation sera correcte.
Le script principal doit toujours être placé au bon endroit. Les services doivent être identifiés. Les intégrations avec Google Tag Manager doivent être comprises et les trackers doivent réellement attendre le consentement lorsque c’est nécessaire.
Une erreur d’ordre de chargement peut rendre inutile une CMP payante exactement comme elle peut rendre inutile une CMP open source.
Je recommande donc dans les deux cas de vérifier le résultat directement avec les DevTools.
Quand choisir une CMP open source ?
L’open source est particulièrement intéressant lorsqu’un développeur maîtrise l’intégration, souhaite contrôler l’hébergement et accepte de gérer les mises à jour.
C’est également un choix cohérent pour une organisation qui veut pouvoir auditer le code ou éviter qu’une fonction aussi fondamentale que le consentement dépende obligatoirement d’un fournisseur distant.
Pour un petit nombre de sites et une configuration stable, la maintenance peut rester très raisonnable.
Quand choisir une CMP SaaS ?
Le SaaS devient intéressant lorsque l’automatisation, la maintenance centralisée ou certaines fonctionnalités supplémentaires font gagner plus de temps que le coût de l’abonnement.
C’est particulièrement visible avec le multi-site. Mettre à jour manuellement une CMP sur deux sites est une chose ; garantir la même maintenance sur deux cents sites en est une autre.
Le SaaS peut également être nécessaire lorsqu’un projet a besoin de fonctions qui reposent intrinsèquement sur une infrastructure distante : scans réguliers, rapports centralisés, synchronisation ou gestion de configurations à grande échelle.
Le meilleur modèle dépend surtout de qui assure la maintenance
Je ne considère donc pas le SaaS comme une évolution qui rendrait l’open source obsolète. Les deux modèles répondent à des besoins différents.
Avec l’open source, le contrôle et une partie de la responsabilité restent chez l’utilisateur. Avec le SaaS, une partie de cette responsabilité est confiée à l’éditeur en échange d’un abonnement et d’une dépendance supplémentaire.
La question la plus utile est finalement très simple : qui va s’assurer dans deux ans que la CMP installée aujourd’hui est toujours correctement configurée et à jour ?
La réponse à cette question aide souvent davantage à choisir entre open source et SaaS qu’une longue liste de fonctionnalités.
