Comment une mesure d'audience sans cookies compte les visiteurs

La mesure d'audience traditionnelle donne à chaque visiteur un cookie avec un identifiant unique et le reconnaît à chaque visite pendant jusqu'à deux ans. Statsdot ne le fait pas. Voici exactement comment il compte à la place.

Ce que la page envoie

Quand une page se charge, le script envoie un petit message avec :

• l'adresse de la page, sans la partie après le ? ;
• le site d'où vient le visiteur, uniquement son domaine ;
• les balises de campagne UTM du lien, s'il y en a ;
• la largeur de l'écran, pour distinguer téléphones, tablettes et ordinateurs.

Il n'écrit rien sur l'appareil : pas de cookies, pas de stockage local, pas d'identifiants.

Le code du jour

Le serveur reçoit le message avec l'adresse IP et le nom du navigateur, comme tout serveur web. Il :

1. prend une clé secrète aléatoire créée pour ce jour-là ;
2. la combine avec le site, l'adresse IP et le navigateur, et passe le tout dans une fonction de hachage à sens unique ;
3. ne garde que la première partie du résultat, le code visiteur, et écarte l'adresse IP.

Le même visiteur obtient le même code toute la journée : c'est ainsi que nous comptons les visiteurs uniques. Le pays vient du réseau par lequel arrive la requête ; l'adresse IP elle-même n'est jamais écrite nulle part.

Pourquoi la clé est supprimée chaque jour

À la fin de la journée, la clé disparaît. Sans elle, le code ne peut plus être recalculé : personne, nous compris, ne peut relier un code à une adresse IP ni reconnaître la même personne le lendemain. Chaque jour repart de zéro.

Ce que cela signifie pour vos chiffres

• Une personne qui visite le lundi et le mardi compte comme deux visiteurs. Sur un mois, « visiteurs » signifie visiteurs-jours.
• Une personne sur un téléphone et sur un ordinateur portable compte comme deux visiteurs.
• Les visiteurs qui refusent les bandeaux cookies sont quand même comptés, car rien ici ne dépend des cookies.

Ce que nous stockons

La page, le domaine référent, les balises de campagne, le code visiteur, le pays, le type d'appareil, le navigateur, le système d'exploitation et l'heure. Jamais l'adresse IP, la chaîne complète du navigateur, l'adresse référente complète ni ce qui est saisi dans un formulaire.