Chaque fournisseur d analytique dit sans cookies aujourd hui. Peu expliquent ce que leur implémentation fait réellement, et presque aucun ne dit ce qu elle ne peut pas faire. Cet article explique la nôtre, y compris la partie qui ne fonctionne pas, car si vous voulez faire confiance aux chiffres d un outil, vous devriez savoir exactement comment ces chiffres sont produits.
Pourquoi nous ne voulions rien sur l appareil
Quand nous avons commencé à construire Zenovay, nous avons pris une décision tôt : il devait exister un mode de suivi qui ne stocke rien dans le navigateur. Pas de cookies, pas de localStorage, pas d IndexedDB, rien qui survive à l onglet. C est un réglage par site, activé par défaut sur les sites nouvellement créés. Le désactiver est ce qui fait passer le traceur à un cookie propriétaire et au stockage du navigateur. Si l absence de stockage compte pour vous, vérifiez l interrupteur plutôt que de le supposer.
Non pas parce que le stockage est mauvais. Parce que le stockage est un engagement. Au moment où vous écrivez un identifiant sur l appareil de quelqu un, vous assumez des obligations de conservation et de suppression, et généralement une bannière. Nous voulions un mode où il n y a rien de stocké à supprimer. Cela ne fait pas disparaître la question de la base légale. Savoir si une visite exige un consentement relève d une autre règle issue d une autre loi, elle s applique toujours, et elle incombe au propriétaire du site et non à nous.
Cette décision paraît nette jusqu à ce que vous essayiez de répondre à la question la plus basique de l analytique : cette page vue vient elle de la même personne que celle d il y a cinq minutes ? Sans identifiant stocké, la réponse honnête est que vous devez deviner. La vraie question de conception est donc : comment bien deviner, et comment faire expirer la supposition ?
La fonction d identité
Voici tout le mécanisme. Quand un évènement arrive à notre edge, le serveur calcule :
visitor_key = sha256(
ip_subnet // not the full IP
+ user_agent // the browser's own header
+ daily_salt // rotates at midnight UTC
)
Les sessions forment une fenêtre de 30 minutes au-dessus de cette clé. Le hachage est effectué côté serveur, sur Cloudflare Workers, avant la conservation des données analytiques. En mode sans cookie, le traceur envoie des identifiants aléatoires de visiteur et de session limités à la fenêtre afin de regrouper les événements de l’onglet ouvert. Ces identifiants ne sont pas stockés dans le navigateur, et l’ingestion remplace l’identité du visiteur par le hachage serveur quotidien avant sa conservation. Aucun cookie ni aucune entrée localStorage ou IndexedDB n’est créé sur l’appareil.
Trois ingrédients, chacun choisi pour une raison.
Le sous réseau IP, pas l IP complète. Utiliser l adresse complète rendrait la clé à la fois plus précise et plus intrusive. Le sous réseau est volontairement flou. Il absorbe aussi une partie de la variation des réseaux mobiles, où le dernier octet peut changer entre les requêtes alors que le sous réseau reste le même.
Le user agent. Il sépare les deux personnes derrière un routeur domestique mieux que rien. C est un signal faible à lui seul, et c est très bien. C est une entrée sur trois.
Le sel quotidien. Le sel change à minuit UTC, une clé n est donc valable que pour le jour où elle a été créée, et elle est limitée à un seul site. Combiné à un secret côté serveur qui ne quitte jamais notre infrastructure, cela signifie que personne détenant une copie de la base ne peut retransformer un identifiant en personne. Et voici la limite, dite précisément : la rotation dérive de la date, pas d une valeur aléatoire que nous détruisons, donc nous mêmes pourrions recalculer une ancienne clé si nous le voulions. Nous préférerions que la phrase plus forte soit vraie, c est pourquoi nous passons la rotation à une valeur quotidienne aléatoire qui est jetée. Jusqu à sa mise en production, ceci est la description exacte.
Le défaut
Cette rotation du sel est aussi un défaut, et nous voulons être précis à son sujet plutôt que de le cacher dans une note de bas de page.
À minuit UTC, chaque clé de visiteur sur la planète change. La même personne, sur le même réseau, dans le même navigateur, devient un tout nouveau visiteur. Ce qui signifie :
- Les comptes de visiteurs uniques sur des plages de plusieurs jours sont surestimés. Un lecteur quotidien apparaît comme sept personnes dans une vue hebdomadaire.
- Un taux de visiteurs récurrents sur plusieurs jours n est pas quelque chose que nous pouvons calculer honnêtement en mode sans cookies, donc nous ne faisons pas semblant.
- Un parcours de réflexion de cinq jours, où quelqu un lit votre page de tarifs le lundi et s inscrit le vendredi, ressemble à deux personnes sans lien.
Si votre activité dépend de la stabilité des visiteurs d un jour à l autre, cette conception vous agacera. Ce n est pas un rapport de bogue que nous pouvons corriger. C est le prix de la propriété décrite ci dessus, et nous pensons que ce prix mérite d être énoncé clairement.
Ce qui fonctionne encore, et pourquoi l attribution du revenu survit
Tout ce qui se passe à l intérieur d une journée fonctionne normalement : sessions, parcours, entonnoirs, vue en direct et attribution de canal pour la visite en cours.
Le cas intéressant est le revenu. Si l identité meurt à minuit, comment pouvons nous vous dire quel canal a produit un client payant trois semaines après la première visite ?
Parce qu à la conversion, les suppositions s arrêtent. Quand quelqu un s inscrit ou paie, il s identifie auprès de votre produit, et votre produit peut nous le dire. À partir de ce moment, le parcours est ancré à un vrai compte, et la question d attribution redevient répondable, à rebours depuis la conversion. La phase avant la conversion reste pseudonyme. La phase payante est précise. Nous pensons que c est le bon endroit pour la frontière : la précision arrive exactement quand une personne choisit une relation avec vous.
Ce que nous avons rejeté
Un fingerprinting plus lourd. Entropie du canvas, énumération des polices, particularités du contexte audio. Cela rendrait la clé plus stable et cela ferait de nous une entreprise de surveillance avec une plus jolie page d accueil. Non.
Un sel hebdomadaire. Meilleure continuité, histoire de confidentialité plus douce. Une fois que vous tournez chaque semaine, vous êtes à un changement de configuration du mensuel, et à un autre du jamais. Le quotidien est une ligne claire, et les lignes claires survivent à la pression produit.
Un repli localStorage. Stocker une clé seulement quand une heuristique décide que c est acceptable signifierait que la phrase honnête sur notre page d accueil a besoin d un astérisque. La phrase vaut plus que la continuité.
Collisions, parce que l honnêteté va dans les deux sens
Le défaut ci dessus divise une personne en plusieurs. 
L échec inverse existe aussi : deux personnes dans le même bureau, sur le même sous réseau, avec des versions de navigateur identiques, peuvent fusionner en un seul visiteur pour une journée. Nous l acceptons. Le sous comptage et le sur comptage sont tous deux des distorsions, mais elles sont bornées, elles expirent chaque jour, et aucune ne nécessite d écrire sur l appareil de qui que ce soit.
Si vous avez quand même besoin de stabilité d un jour à l autre
Sans cookies est un mode, pas un dogme, et chaque site dans Zenovay a un interrupteur. Sur les sites nouvellement créés, il est activé par défaut. Désactivez le et le suivi utilise un cookie propriétaire, les visiteurs restent stables d un jour à l autre, et les obligations de consentement qui vont avec vous reviennent, comme avec n importe quel outil. La relecture de session, les cartes de chaleur et le suivi multi domaine sont des fonctionnalités distinctes, avec leur propre stockage et leurs propres conséquences en matière de consentement. Les activer n est pas la même chose que fonctionner dans ce mode.
Le point
Nous avons écrit ceci parce que la plupart des affirmations sans cookies sont des phrases marketing, et les phrases marketing n ont pas de modes de défaillance. Les vrais mécanismes en ont. Le nôtre divise les gens à minuit UTC, fusionne quelques collègues de bureau, et refuse de répondre aux questions auxquelles il ne peut pas répondre honnêtement. Sachant cela, vous pouvez décider de ce que signifient nos chiffres.
Si vous avez construit des systèmes d identité et voyez un compromis plus fin que nous avons manqué, nous voulons vraiment l entendre.
