Vad som händer när någon besöker din sajt

01Så går ett besök till, steg för steg

Din sajt laddar ett skript på knappt 2 kB, /fa.js. Det läser adressen i webbläsarfältet, referrern och (om du slagit på det) tid på sidan och läsdjup. Det läser inte skärmupplösning, installerade typsnitt, canvas, batterinivå eller något annat som brukar användas för att bygga ett fingeravtryck. Det skriver ingenting i webbläsaren. Skickar besökaren Do-Not-Track avstår skriptet helt, trots att vi juridiskt inte behöver bry oss om den signalen.

Sedan skickas en POST till /api/event.php. Där händer följande, i den här ordningen:

1. 0 ms

   Botfiltret

   User-agent-strängen matchas mot ett mönster för robotar, crawlers, övervakningstjänster och förhandsvisningar. Träffar det avvisas anropet direkt och ingenting skrivs. En tom user-agent räknas som bot. Riktiga webbläsare skickar alltid en.

2. 1 ms

   Domänen slås upp

   Domänen måste finnas som en registrerad sajt hos oss, och sajten måste tillhöra ett konto som ryms inom sitt tak. Annars avvisas anropet. Vi tar aldrig emot mätdata för domäner ingen har lagt upp.

3. 2 ms

   Besöks-id:t räknas fram

   IP-adressen hämtas ur anropet och user-agent-strängen ligger redan i minnet. Tillsammans med dygnets salt och kundens domän blir de en 32 tecken lång hash. Ingen av ingredienserna sparas, bara resultatet.

4. 3 ms

   Landet härleds lokalt

   IP-adressen slås upp mot en geodatabasfil på vår egen disk. Inget anrop går ut. Resultatet (land, region, ort) sparas; IP-adressen kastas i samma andetag.

5. 4 ms

   Raden skrivs

   Händelsen sparas med besöks-id:t, sidan, källan, webbläsare/OS/enhet, plats och engagemang. Varken IP eller den råa user-agent-strängen ingår i raden. De variablerna finns inte kvar när anropet är slut.

6. 5 ms

   Svar 202, utan kropp

   Besökaren får ett tomt svar. Skulle något gå fel i mätningen ska det aldrig märkas på din sajt. Vi avvisar tyst i stället för att skriva ett fel i konsolen.

Hashen räknas fram exakt så här. Det är hela funktionen, ur lib/parse.php:

function visitor_hash($salt, $domain, $ip, $ua) {
    return substr(hash('sha256', $salt . '|' . $domain . '|' . $ip . '|' . $ua), 0, 32);
}

Att domänen ingår i hashen är inte kosmetik: det gör att samma besökare får olika id på två sajter som mäts hos oss. Vi kan alltså inte följa någon mellan kundernas sajter, ens om vi ville. Det finns ingen tabell där det skulle gå att koppla ihop dem, för nyckeln existerar inte.

02Exakt vad som lagras, och vad som aldrig gör det

Det här är kolumnerna i events-tabellen, alltså allt som finns kvar på disk efter en sidvisning. Inget mer, inget dolt.

Och det här är vad som aldrig når disken:

03Dygnssaltet: därför är hashen inte en personuppgift

En hash av en IP-adress är i sig en personuppgift. IPv4-rymden är liten nog att gå igenom på en eftermiddag: den som har hashen och saltet kan pröva sig fram till vilken IP som gav den. Det är just därför de flesta ”anonyma” analysverktyg inte är anonyma.

Så här gör vi i stället:

• Saltet är 32 slumpade byte och byts varje dygn (UTC-dygn).
• Ett salt raderas när det är två dygn gammalt, dels av nattjobbet i cron/run.php, dels stickprovsvis under mätningen.
• När saltet är borta finns ingen väg tillbaka från hashen till IP-adressen. Ingredienserna är utplånade, inte gömda.

Det betyder att en events-rad från förra veckan innehåller en 32 tecken lång sträng som ingen kan koppla till en person: inte vi, inte en angripare med hela databasen, inte en myndighet med ett beslut i handen. Den datan är anonym i dataskyddsförordningens mening, och den kan inte göras om till personuppgifter igen.

Enda undantaget är själva mätdygnet: så länge dagens salt lever skulle en angripare med tillgång till både saltet och en misstänkt IP kunna bekräfta att den IP:n besökt sajten. Det är därför saltet aldrig lämnar databasen, aldrig loggas och aldrig ingår i någon export. Vi säger inte att fönstret inte finns. Vi säger att det är ett dygn brett och att vi vaktar det.

04Geouppslaget sker på vår egen disk

Att slå upp land och ort mot ett moln-API hade varit enklare. Det hade också gjort produktlöftet osant: varje besökares IP-adress hade skickats till en tredje part, ofta i USA, i realtid.

I stället ligger en MaxMind-/DB-IP-databas som en fil på vår egen disk (storage/geo.mmdb). Uppslaget är en läsning i den filen. Ingen nätverkstrafik lämnar servern. Privata nät (utveckling, intranät) ger inget resultat alls. Vi sparar landskoden, regionen och orten på stadsnivå, inte koordinater, inte postnummer, inte IP-nät.

Ort på stadsnivå, kopplat till en hash som dör i natt, pekar inte ut en person. ”Någon i Borås läste /priser i tisdags” är statistik. Det blir aldrig mer än så hos oss.

05Därför behöver du ingen cookiebanner

Två regelverk avgör frågan, och de är olika. De blandas nästan alltid ihop.

1. Samtyckeskravet (e-privacydirektivet)

Kravet på samtycke för kakor kommer från e-privacydirektivet, i Sverige genomfört i lagen om elektronisk kommunikation. Regeln handlar om att lagra information på eller få tillgång till information som redan finns i besökarens utrustning. Den handlar inte om personuppgifter. Den handlar om vad du gör med besökarens enhet.

Vår spårare gör varken eller. Den skriver ingen kaka, ingen localStorage, ingen sessionStorage, ingen IndexedDB. Den läser inget som ligger lagrat sedan tidigare och den frågar inte webbläsaren om egenskaper som skulle kunna bli ett fingeravtryck. Det som skickas är det webbläsaren ändå skickar med varje HTTP-anrop, plus adressen på sidan du redan tittar på. Ingen lagring, ingen åtkomst, inget samtycke att inhämta.

2. Dataskyddsförordningen (GDPR)

GDPR gäller behandling av personuppgifter. IP-adressen är en personuppgift, och vi rör den under några millisekunder, i minnet, för att räkna fram en hash och ett land. Den behandlingen vilar på ett berättigat intresse (artikel 6.1 f): att kunna leverera anonym trafikstatistik till den som äger sajten. Behandlingen är så begränsad som den kan bli: uppgiften skrivs aldrig och lever kortare än ett ögonblick. Resultatet är anonymt.

Det som blir kvar efter anropet är inte personuppgifter. Alltså finns ingen registrerad att informera om lagring, ingen lagringstid att motivera, ingen rätt till radering att hantera för besökarens räkning. Det finns ingenting att radera som kan knytas till någon.

06Vad du förlorar på att inte spåra

Här kommer den ärliga delen, som konkurrenterna gärna hoppar över.

Eftersom hashen byts varje natt kan vi inte se att samma person återkommer nästa dag. En besökare som var här på måndagen och kommer tillbaka på onsdagen räknas som två besökare. Vi har inga ”återkommande besökare”, ingen kohortanalys över veckor, ingen attribution som följer någon från första annonsklicket till köpet tre veckor senare.

Det är inte en bugg. Det är hela konstruktionen:

• Besökssiffran är konservativ. Din unika-besökare-siffra blir högre hos oss än den ”borde” vara över långa perioder, eftersom samma person räknas om varje dygn. Jämför inte rakt av med Google Analytics.
• Ett besök tar slut efter 30 minuters inaktivitet. Kommer samma hash tillbaka senare samma dygn blir det ett nytt besök.
• Intent-poängen lever bara inom besöket. Den är beteende (sidor, tid, läsdjup, vilka sidor), inte en profil som följer med någon.
• Ingen tratt som spänner över dagar. Vi kan visa vägen genom sajten under ett besök, inte över en månad.

Det du får i stället är statistik som ingen behöver samtycka till, som ingen klickar bort, och som inte tappar 30–40 % av mätningarna i en bannerruta. Vi tycker att det är ett bra byte. Tycker du inte det, är vi fel verktyg, och det är bättre att du vet det nu än efter tre månader.

07Vem ansvarar för vad

Den vanliga uppdelningen i analysverktyg är: kunden är personuppgiftsansvarig för besökarnas data, leverantören är personuppgiftsbiträde, och därför krävs ett personuppgiftsbiträdesavtal. Hos oss ser det annorlunda ut, av en enda anledning: det finns inga personuppgifter i mätdatan att vara biträde för.

För mätdatan på din sajt

Du är personuppgiftsansvarig för din webbplats och för vad som händer på den. Men det vi lagrar åt dig är anonym statistik, inte personuppgifter, och något biträdesavtal för den datan behövs därför inte. Vill du ändå ha ett skriftligt biträdesavtal, till exempel för att en upphandling kräver det, får du ett, utan kostnad. Hör av dig så skickar vi det.

För ditt konto hos oss

Din e-postadress, ditt namn och ditt företag är personuppgifter, och där är vi personuppgiftsansvariga, inte biträde. Vad vi gör med dem står i personuppgiftspolicyn.

Om du själv lägger personuppgifter i mätdatan

Skickar du kund-id eller e-postadresser i props, eller har sökvägar som pekar ut personer, då finns det plötsligt personuppgifter i databasen, och då är du ansvarig och vi biträde för just den datan. Hör av dig så tecknar vi ett biträdesavtal. Enklare: låt bli att skicka dem.

08Hur länge datan finns kvar

Lagringstiden är densamma för alla konton, och nattjobbet raderar faktiskt det som är äldre. Det är inte ett löfte i en policy, det är en DELETE som körs varje natt i cron/run.php.

Dygnssalterna raderas efter två dygn. De dagliga nyckeltalen i daily (summor per dygn, utan besöks-id) får ligga kvar, så att din långsiktiga trafikkurva överlever gallringen även när de enskilda händelserna är borta.

Raderar du en sajt försvinner alla dess händelser och besök samma sekund. Raderar du ditt konto försvinner allt: konto, sajter, mätdata. Ingen papperskorg, ingen ångervecka.

09Färdig text till din egen integritetspolicy

Du behöver ingen cookiebanner, men du bör ändå berätta i din integritetspolicy att sajten mäts. Här är en text du kan klistra in rakt av. Den är skriven för att vara sann om vår tjänst, så ändra inget i sak.

Behöver du en teknisk beskrivning att bifoga i en upphandling eller en konsekvensbedömning är det här dokumentet skrivet för att kunna bifogas som det är. Behöver du något mer specifikt: hör av dig, vi skriver det.

10Kontrollera oss

Det enklaste sättet att kontrollera det här dokumentet är att inte tro på det. Gör så här i stället:

• Öppna nätverksfliken på den här sidan. Vi mäts med vår egen spårare. Du ser ett anrop till /api/event.php och inget annat. Svaret är tomt.
• Titta i Lagring/Application. Inga kakor från oss, inget i localStorage, inget i sessionStorage.
• Läs /fa.js. Den är okomprimerad och kommenterad, på svenska. Sju kilobyte. Det tar tio minuter.
• Fråga oss om koden. Vill du se api/event.php, lib/parse.php eller lib/geo.php i sin helhet inför ett beslut: skriv, så skickar vi dem.

Hittar du något i koden som inte stämmer med den här texten är det texten som är fel, och vi vill veta det. Skriv till security@frontness.se eller hej@frontness.se.