Matomo et Claude : le serveur MCP officiel, et ce qu'il faut fermer avant de l'ouvrir.

Matomo publie un serveur MCP officiel. Il est inclus dans Matomo Cloud, et il s'installe en extension sur Matomo On-Premise. Claude s'y branche en OAuth 2.0 et lit vos rapports, vos objectifs et vos segments en conversation. Il est fermé par défaut, et c'est une bonne chose. Beaucoup d'équipes ont choisi Matomo pour garder leurs données chez elles : ouvrir ce serveur, c'est les envoyer à un fournisseur d'IA. Cette décision se prend avant le premier branchement.

Matomo fait-il de l'IA ?

Non, et Matomo le dit clairement. Son serveur reçoit une requête, la transmet à l'API de Matomo et rend les données. Il ne produit aucune analyse et n'utilise aucun modèle. C'est Claude, ou un autre assistant, qui lit et qui conclut.

La conséquence est simple. Le chiffre vient de Matomo, la phrase vient de l'assistant. Matomo précise d'ailleurs ne pas garantir l'exactitude des outils d'IA qu'on lui branche.

Activer le serveur, sur Cloud ou On-Premise

Sur Matomo Cloud, rien à installer. Sur On-Premise, ajoutez deux extensions : MCP Server et OAuth 2.0. Ensuite, le chemin est le même :

1. Un super-utilisateur ouvre Administration, Système, Paramètres généraux, MCP Server.
2. Il coche l'activation et enregistre.
3. Il copie l'adresse du serveur affichée à côté du réglage.
4. Il fixe le niveau de privilège maximal autorisé par le serveur.
5. Il laisse l'accès à l'API brute sur « aucun accès », la valeur par défaut.

Brancher Claude : OAuth ou jeton ?

Ça dépend de l'application. Et c'est le point qui bloque le plus de monde.

Claude Desktop passe par OAuth. Matomo l'écrit : le token_auth n'est pas pris en charge par Claude pour cette connexion (mise à jour d'août 2026). Créez donc un client OAuth 2.0 dans Matomo, avec cette adresse de retour exacte :

https://claude.ai/api/mcp/auth_callback

Copiez l'identifiant et le secret, puis ajoutez un connecteur personnalisé dans Claude avec l'adresse du serveur.

Claude Code accepte un jeton, envoyé en en-tête :

claude mcp add --scope user --transport http analytics \
  'ADRESSE_DU_SERVEUR_MCP' \
  --header 'Authorization: Bearer VOTRE_JETON'

Une limite à connaître avec OAuth : le jeton d'accès dure une heure par défaut, et l'extension ne gère ni sa récupération ni son renouvellement. Tout dépend donc de votre client. Si une connexion tombe au bout d'une heure, regardez là en premier.

Ce que l'assistant peut appeler

Matomo ne détaille pas ses outils dans son aide. Nous les avons relevés le 5 novembre 2026 dans le dépôt de l'extension : dix-neuf, dont douze de lecture et sept d'API brute. La liste peut évoluer.

Avec les douze premiers, vous couvrez déjà l'essentiel : d'où viennent les visites, quelles pages convertissent, comment un objectif évolue. Si un taux de rebond moyen vous étonne, demandez-le par page d'entrée.

Le zéro qui n'en est pas un

Voici le piège propre à Matomo, et aucun assistant ne le verra seul. Les rapports se lisent dans des archives calculées à l'avance. Si l'archivage s'arrête, un jour non calculé rend un zéro ou une liste vide. Exactement comme un jour sans visite.

Et résultat ? L'assistant vous annonce une chute de trafic qui n'existe pas. Nous avons corrigé ce cas dans notre propre connecteur : un rapport à zéro y est suspect, jamais coupable.

Si Claude vous annonce un trou, vérifiez le journal des visites de ce jour-là. Des visites présentes avec un rapport vide désignent l'archivage, pas votre site.

Trois choses à fermer avant d'ouvrir

Les droits du compte

L'assistant voit ce que voit le compte qu'il utilise. Matomo conseille un utilisateur dédié, avec les seuls droits nécessaires. Depuis Matomo 6, un jeton peut avoir son propre niveau d'accès. Avant, il hérite de celui de son créateur : un jeton créé par un super-utilisateur ouvre tout, dans la limite du plafond fixé sur le serveur.

L'API brute

Une fois ouverte, elle donne accès à la même surface d'API que le compte, y compris les méthodes qui changent des données si vous les autorisez, et au journal des visites si le compte y a droit.

Notre règle : l'API brute reste fermée tant qu'une question précise ne l'exige pas.

Ce que vos visiteurs écrivent

C'est le risque le moins connu, et Matomo y consacre une page. Une grande partie de vos données vient de l'extérieur : titres de page, adresses, référents, paramètres UTM, recherches internes, noms d'événements. N'importe qui peut envoyer une requête de suivi contenant une instruction, par exemple dans un titre de page. Si l'assistant la lit dans un rapport, elle peut orienter sa réponse. On appelle ça une injection de prompt.

Traitez donc ces valeurs comme des données non fiables. Et ne laissez pas l'assistant qui lit Matomo agir ailleurs sans votre validation : envoyer un message, écrire dans un autre outil.

Le point RGPD que Matomo vous laisse

Matomo demande une évaluation de confidentialité avant toute activation. Elle tient en trois questions :

• Avez-vous une base légale ? L'usage avec une IA peut constituer un traitement nouveau ou étendu.
• Est-ce compatible avec la finalité de collecte ? Matomo renvoie à l'article 6(4) du RGPD : un nouveau destinataire et une analyse par IA changent le risque. Sans compatibilité, il faut une nouvelle base légale.
• Quelles données personnelles peuvent partir ? Identifiants de visiteurs, identifiants d'utilisateurs, adresses contenant une donnée personnelle, métadonnées d'événements. Tout dépend de votre configuration.

Concrètement, associez votre DPO avant l'activation, pas après. Et vérifiez ce que devient la conversation côté fournisseur, selon votre offre Claude. Si vous avez choisi Matomo pour une exemption de consentement, posez aussi cette question-là : sortir les données de votre outil peut changer l'analyse.

Le serveur de Matomo ou un connecteur multi-sources ?

Si votre question porte sur Matomo, prenez le serveur de Matomo. Il va plus loin que Kyras dans l'outil. Si votre question porte sur ce que vos visites rapportent, Matomo seul ne suffit pas : il ne connaît ni toute votre dépense publicitaire, ni vos commandes si elles ne sont pas suivies. La logique est la même que pour Piano Analytics ou Google Analytics.

Passer par Kyras

Kyras lit Matomo, sur Cloud comme en auto-hébergé, avec l'adresse de votre instance et un jeton, en lecture seule. Il reprend les rapports agrégés : visites, pages, objectifs, e-commerce, référents, campagnes si l'extension est installée. Du journal des visites, il ne regarde qu'une chose : si une visite existe un jour où le rapport dit zéro. Il met ensuite ces chiffres face à votre boutique, à vos régies et à la Search Console. Le détail est sur l'intégration Matomo.

Côté Claude, ajoutez un connecteur personnalisé avec l'adresse https://app.kyras.ai/api/mcp/mcp, connectez-vous et choisissez l'espace. L'accès s'ouvre avec l'abonnement. Le pas à pas est dans le centre d'aide, et le serveur MCP détaille ce que Claude reçoit.

Attention, cela ne vous dispense pas de la question RGPD. Vos chiffres agrégés partent aussi vers votre assistant : c'est à vous de décider si cet usage est couvert.

Ce que Kyras ne fait pas avec Matomo

Kyras ne modifie rien dans Matomo et ne pose aucun script. Il ne crée ni segment ni objectif. Il ne remplace pas une exploration libre de l'API : pour cela, le serveur de Matomo va plus loin. Côté régies, il lit Meta Ads et Google Ads ; TikTok Ads est annoncé, LinkedIn Ads n'est pas pris en charge.