Crazy Egg vs OpenReplay en 2026 : qui conserve les enregistrements de vos visiteurs ?
En novembre 2017, des chercheurs du Center for Information Technology Policy de l'université de Princeton ont publié une étude qui aurait dû changer la manière dont le web traite l'enregistrement de sessions. En examinant les sites les plus fréquentés, ils ont constaté que 482 des 50 000 premiers sites utilisaient des scripts de « session replay », et que plusieurs de ces scripts capturaient bien plus que des mouvements de souris : des mots de passe, des informations médicales et des numéros de carte partiels étaient, dans certains cas, envoyés à des serveurs tiers avant toute opération de masquage. Près d'une décennie plus tard, l'enregistrement de sessions est plus répandu que jamais, et la question centrale soulevée par cette étude reste sans réponse sur la plupart des sites : qui détient les enregistrements, où, et selon les règles de quel gouvernement ? Crazy Egg et OpenReplay, les deux outils comparés ici, y apportent des réponses radicalement différentes. Le premier centralise les enregistrements dans son propre cloud américain. Le second vous permet de faire fonctionner tout le système sur un serveur que vous choisissez, dans une démocratie que vous choisissez. Pour une entreprise grand public installée en Europe, cette différence n'est plus une préférence technique. C'est une décision sur la chaîne d'approvisionnement démocratique des données de vos visiteurs.
Pourquoi l'origine démocratique compte pour les logiciels d'enregistrement de sessions
Les outils d'enregistrement de sessions reproduisent, image par image, ce qu'un visiteur a fait sur un site. Même avec un masquage soigneux, les enregistrements révèlent des habitudes de navigation, des centres d'intérêt, des hésitations sur les pages de tarifs et parfois des fragments de texte qui n'auraient jamais dû être capturés. Contrairement à un simple compteur de pages vues, il s'agit de données comportementales d'une réelle intimité. L'environnement juridique dans lequel elles sont stockées détermine si cette intimité est protégée. Dans les démocraties pleines, les données détenues par les entreprises sont soumises aux mandats, au contrôle juridictionnel et à des autorités de protection des données indépendantes. Dans les régimes autoritaires, les agences de l'État peuvent exiger un accès sans contrôle, et les entreprises ne peuvent ni refuser ni révéler la demande. Democratic Market évalue donc les logiciels d'enregistrement de sessions principalement à travers deux questions : dans quel pays est établie la société qui contrôle l'éditeur, et dans quel pays les enregistrements sont-ils stockés ? Les États-Unis, où sont établis Crazy Egg et l'entité juridique d'OpenReplay, obtiennent 7,85 à l'indice de démocratie de l'EIU. L'Allemagne, emplacement prisé pour les déploiements européens auto-hébergés, obtient 8,58. Le Danemark, pays de l'outil concurrent Mouseflow, atteint 9,28. La Russie, où Webvisor de Yandex stocke ses enregistrements, plafonne à 2,22. La France, à 7,99, accueille quant à elle plusieurs hébergeurs de référence comme OVHcloud et Scaleway, ce qui en fait une destination naturelle pour un déploiement souverain.
Crazy Egg : le pionnier américain de la carte de chaleur visuelle
Crazy Egg a été fondé en 2005 par Neil Patel et Hiten Shah, deux des figures les plus connues du growth marketing américain, et on lui attribue souvent d'avoir popularisé les cartes de chaleur de clics des années avant que la catégorie ne soit encombrée. Son produit a évolué vers une suite d'analyse visuelle : cartes de chaleur des clics, cartes de défilement, un rapport « confettis » qui segmente les clics par source de trafic, une vue en surimpression qui compte les clics par élément, des enregistrements de sessions, des tests A/B, des sondages et un suivi des erreurs. Sa force est son accessibilité. Une personne du marketing peut installer un extrait de code et, en une journée, voir quelles parties d'une page d'atterrissage attirent l'attention, sans expertise en analytique. Les tarifs commencent à environ 30 dollars par mois pour les petits sites et augmentent avec le nombre de pages vues suivies et d'enregistrements. D'un point de vue démocratique, le profil de Crazy Egg est solide sans être exceptionnel. Les États-Unis sont une démocratie dotée de tribunaux puissants et Crazy Egg relève du droit américain, mais les enregistrements sont stockés sur sa propre infrastructure cloud aux États-Unis, ce qui signifie que les éditeurs de sites européens dépendent du cadre de protection des données UE-États-Unis et des clauses contractuelles types pour les transferts. Le logiciel est propriétaire, si bien que le comportement du masquage ne peut pas être audité de manière indépendante, et les éditeurs n'ont aucune option pour conserver les enregistrements dans l'Union européenne. Pour une entreprise tournée vers le marché américain, ce sont des réserves mineures. Pour une entreprise européenne qui traite des données de citoyens européens, elles sont substantielles.
OpenReplay : un session replay open source que vous pouvez héberger vous-même
OpenReplay est né en 2018 sous le nom d'Asayer, a suivi le programme d'été 2019 de Y Combinator et est dirigé par son fondateur, Mehdi Osman. Son entité juridique est enregistrée aux États-Unis, mais la caractéristique déterminante du produit est que son cœur est publié en open source et conçu pour l'auto-hébergement. Une entreprise peut déployer l'ensemble de la pile, enregistrement, stockage, recherche et relecture, sur ses propres serveurs avec Docker ou Kubernetes, chez le fournisseur et dans le pays de son choix : un centre de données Hetzner en Allemagne, une région OVHcloud à Roubaix ou Gravelines, une région Scaleway à Paris, ou ses propres baies. Dans cette configuration, les enregistrements n'atteignent jamais l'infrastructure d'OpenReplay. Les fonctionnalités visent davantage les équipes produit et techniques que le marketing. Outre la relecture des sessions, l'outil capture les journaux de console, les requêtes réseau et les métriques de performance, de sorte qu'un développeur peut voir exactement pourquoi un paiement a échoué pour un utilisateur précis. Il propose la co-navigation pour les équipes de support, de l'analytique produit et des options d'assainissement qui masquent textes et saisies avant que les données ne quittent le navigateur. Une version cloud gérée existe pour les équipes qui ne veulent pas administrer de serveurs, et certaines fonctions avancées sont réservées aux licences entreprise payantes. La contrepartie est opérationnelle : auto-héberger signifie appliquer les correctifs, dimensionner le stockage et sécuriser soi-même le déploiement. Mais le résultat démocratique est clair. Avec OpenReplay, c'est vous qui décidez de la juridiction de vos enregistrements, pas votre fournisseur. Pour une entreprise française soucieuse de souveraineté, un hébergeur qualifié SecNumCloud par l'ANSSI constitue même une option supplémentaire.
Outils d'enregistrement à risque démocratique : Yandex Webvisor et SDK opaques
L'outil d'enregistrement de sessions à haut risque le plus déployé est Webvisor, intégré au service d'analyse russe Yandex Metrica. Il est gratuit, techniquement performant et figurait parmi les scripts examinés dans l'étude de Princeton. La Russie obtient 2,22 à l'indice EIU et est classée parmi les régimes autoritaires. Le droit russe impose aux entreprises nationales de stocker les données localement et de fournir aux services de sécurité un accès technique via le dispositif SORM, sans les garanties judiciaires propres aux démocraties. Tout site qui intègre Webvisor exporte de fait le comportement de ses visiteurs vers cet environnement. De nombreuses entreprises et administrations européennes bloquent désormais les scripts Yandex, et les autorités de protection des données ont jugé de tels transferts incompatibles avec le RGPD. Un second groupe de risques est moins visible : les SDK d'enregistrement intégrés dans des applications mobiles par de petits éditeurs à la propriété floue. Les audits des magasins d'applications mettent régulièrement au jour des bibliothèques de relecture qui envoient des captures d'écran vers des serveurs situés dans des juridictions notées sous 4 par l'EIU, parfois sans que le développeur de l'application comprenne pleinement ce que fait la bibliothèque. Si un fournisseur ne peut documenter son entité juridique, ses propriétaires et son lieu de stockage, Democratic Market le classe en origine opaque et l'exclut de ses recommandations. La CNIL rappelle d'ailleurs que l'éditeur d'une application reste responsable des traceurs tiers qu'il embarque.
Crazy Egg vs OpenReplay vs alternatives : fonctions, prix et profil démocratique
Mis côte à côte, les deux outils servent des utilisateurs différents. Crazy Egg est conçu pour les spécialistes du marketing et les patrons de petites entreprises qui veulent des réponses visuelles rapides : cartes de chaleur, cartes de défilement et tests A/B avec une mise en place minimale, pour un abonnement mensuel prévisible. OpenReplay s'adresse aux équipes produit et techniques qui doivent déboguer de vraies sessions utilisateur, avec un outillage pour développeurs que Crazy Egg ne cherche pas à fournir. Côté prix, l'abonnement de Crazy Egg est simple et commence autour de 30 dollars par mois ; l'édition auto-hébergée d'OpenReplay n'implique aucun coût de licence pour son cœur open source, mais l'infrastructure et le temps de personnel sont de vraies dépenses, généralement un serveur virtuel modeste pour les petits sites et beaucoup plus pour les sites à fort trafic. Sur le plan démocratique, les deux entreprises sont américaines, à 7,85, si bien que la différence tient au lieu de stockage et à la vérifiabilité. Crazy Egg stocke les enregistrements aux États-Unis sur une infrastructure fermée. OpenReplay peut les stocker n'importe où, y compris en Allemagne, à 8,58, ou en France, à 7,99, et son code peut être inspecté. Trois alternatives complètent le tableau. Mouseflow, développé à Copenhague, associe la juridiction danoise (9,28) à un hébergement dans l'UE. PostHog, plateforme open source américaine, propose le session replay avec une région cloud européenne à Francfort ou un auto-hébergement complet. Matomo, dont le gestionnaire commercial InnoCraft est basé en Nouvelle-Zélande (9,61), fournit une extension auto-hébergée de cartes de chaleur et d'enregistrements ; Matomo est par ailleurs l'un des rares outils d'audience que la CNIL a reconnus comme pouvant, sous conditions, être exemptés de consentement pour la mesure d'audience simple, ce qui ne s'étend toutefois pas à l'enregistrement de sessions.
Le vrai coût d'exploitation : abonnement ou serveur maîtrisé
Les coûts méritent un examen attentif, car la comparaison est souvent présentée de manière injuste. Un déploiement auto-hébergé d'OpenReplay pour un site recevant quelques milliers de sessions par jour peut fonctionner sur un seul serveur virtuel doté d'un stockage suffisant, que les hébergeurs européens louent quelques dizaines d'euros par mois, mais quelqu'un doit installer les mises à jour, surveiller l'occupation du disque et sauvegarder la base de données. Pour une entreprise disposant déjà d'une équipe technique, cet effort marginal est faible ; pour une boutique en ligne de deux personnes, il peut être rédhibitoire, et l'édition cloud gérée ou un SaaS hébergé dans l'UE devient alors la voie raisonnable. L'abonnement de Crazy Egg, à l'inverse, regroupe hébergement, maintenance et support, et sa tarification évolue de façon prévisible. La politique de conservation diffère aussi : l'auto-hébergement permet de fixer précisément la durée de vie des enregistrements et de les supprimer de manière irréversible, alors que les pratiques de conservation et de sauvegarde d'un fournisseur SaaS doivent être acceptées sur la foi de ses engagements. Ces détails opérationnels décident souvent de l'achat davantage que n'importe quelle liste de fonctionnalités.
Législation européenne 2026 : RGPD, ePrivacy et Data Act
L'enregistrement de sessions est étroitement encadré dans l'Union européenne. En vertu de l'article 5, paragraphe 3, de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés, les scripts qui stockent ou lisent des informations sur le terminal d'un visiteur exigent un consentement préalable et éclairé, et les régulateurs européens considèrent systématiquement le session replay comme un traitement non essentiel qui ne peut bénéficier des exemptions. Le RGPD régit ensuite tout ce qui se passe après le consentement : les enregistrements doivent servir une finalité définie, ne capturer que le minimum nécessaire, masquer les champs sensibles et être supprimés après une période raisonnable. Les transferts vers les États-Unis reposent sur le cadre de protection des données UE-États-Unis, adopté en juillet 2023 et validé par le Tribunal de l'Union européenne en septembre 2025 dans l'affaire portée par le député Philippe Latombe, même si d'autres recours devant la Cour de justice restent possibles. Un déploiement auto-hébergé dans l'UE évite entièrement la question des transferts, ce qui constitue l'un des arguments pratiques les plus forts en faveur d'OpenReplay en Europe. Le Data Act, applicable depuis septembre 2025, ajoute une autre dimension : il impose aux fournisseurs de cloud et de SaaS de faciliter le changement de prestataire et la portabilité des données, les frais de changement devant disparaître d'ici janvier 2027. Pour les acheteurs, cela renforce la position de quiconque souhaite quitter un outil SaaS fermé et emporter ses données. Pour les entreprises qualifiées d'entités essentielles ou importantes au titre de NIS2, les obligations de sécurité de la chaîne d'approvisionnement font en outre du choix d'un fournisseur d'analytique une décision auditable.
Comment Democratic Market évalue les outils d'enregistrement de sessions
Notre méthodologie pour les logiciels d'enregistrement de sessions pondère cinq critères. Le premier est la juridiction : le score EIU du pays où est établie l'entité qui contrôle l'éditeur, avec un seuil strict de 6,0. Le deuxième est la localisation des données : où les enregistrements sont stockés par défaut, si un stockage exclusivement européen ou l'auto-hébergement sont possibles, et quels sous-traitants peuvent accéder aux enregistrements. Le troisième est la confidentialité par défaut : textes, saisies et éléments sensibles sont-ils masqués avant que les données ne quittent le navigateur, ou seulement après leur arrivée sur les serveurs du fournisseur, une distinction que l'étude de Princeton a montrée décisive ? Le quatrième est la vérifiabilité : code open source, audits de sécurité publiés et certifications reconnues. Le cinquième est la portabilité : les enregistrements et la configuration peuvent-ils être exportés, et l'outil peut-il être remplacé sans perdre l'historique ? Selon ce cadre, OpenReplay obtient de bonnes notes en localisation, vérifiabilité et portabilité lorsqu'il est auto-hébergé, tandis que son édition cloud se rapproche des autres outils SaaS américains. Crazy Egg passe le critère de juridiction et brille par sa facilité d'usage, mais obtient des notes plus faibles en localisation des données et en vérifiabilité. Yandex Webvisor est exclu. Les notes sont révisées à chaque changement d'actionnariat, à chaque nouvel indice de l'EIU ou à chaque évolution du cadre de transfert.
Guide d'achat étape par étape pour un outil d'enregistrement démocratique
Commencez par la question à laquelle vous voulez répondre. Si vous avez besoin de savoir où les visiteurs cliquent et jusqu'où ils font défiler vos pages marketing, un outil visuel comme Crazy Egg ou Mouseflow est efficace. Si vous devez comprendre pourquoi des utilisateurs rencontrent des erreurs dans une application web, OpenReplay ou PostHog vous serviront mieux. Deuxièmement, décidez qui doit détenir les enregistrements. Si votre équipe peut maintenir un serveur, un OpenReplay auto-hébergé dans un centre de données européen vous offre la position démocratique et juridique la plus solide. Sinon, choisissez un fournisseur SaaS qui propose un stockage dans l'UE. Troisièmement, vérifiez l'entité juridique du fournisseur, le score EIU de sa juridiction et la liste de ses sous-traitants. Quatrièmement, configurez votre bandeau de consentement pour que le script d'enregistrement ne se charge qu'après un accord explicite, avec un bouton « Tout refuser » aussi visible que « Tout accepter », comme l'exige la CNIL. Cinquièmement, activez par défaut le masquage de tous les textes et saisies, puis démasquez sélectivement les seuls éléments dont vous avez réellement besoin. Sixièmement, excluez totalement les pages sensibles : connexion, paramètres du compte, paiement et tout ce qui touche à la santé ou aux finances. Septièmement, fixez une durée de conservation de 30 à 90 jours et limitez l'accès à une petite équipe nommément désignée, en le consignant dans votre registre des traitements. Enfin, révisez la configuration chaque trimestre, car les évolutions du site peuvent exposer de nouveaux champs à l'enregistrement sans que personne ne s'en aperçoive.
Conclusion : quel outil d'enregistrement de sessions pour une entreprise démocratique ?
Crazy Egg reste un outil performant et simple pour les équipes marketing, et son origine américaine franchit le seuil de Democratic Market. Pour une entreprise dont les visiteurs se trouvent surtout hors d'Europe, ou dont les besoins se limitent aux cartes de chaleur sur des pages marketing, c'est un achat raisonnable à environ 30 dollars par mois. Pour les entreprises européennes, et pour toute équipe qui prend au sérieux la leçon de l'étude de Princeton, OpenReplay offre une option structurellement plus solide : un code ouvert que vous pouvez inspecter et des enregistrements qui restent sur des serveurs que vous contrôlez, dans la démocratie de votre choix, qu'il s'agisse de la France, de l'Allemagne ou des pays nordiques. Si l'auto-hébergement dépasse vos moyens, Mouseflow, au Danemark, offre un stockage dans l'UE sous l'une des démocraties les plus solides du monde. Ce que nous déconseillons sans exception, ce sont les services d'enregistrement gratuits proposés par des éditeurs d'États autoritaires, ou par des éditeurs que vous ne pouvez pas identifier. Le session replay vous montre le comportement de vos visiteurs avec une précision remarquable. Le minimum que vous leur devez en retour, c'est une réponse claire sur l'endroit où cette précision est conservée.