Besucher

Ein eindeutiger Besucher repraesentiert eine Person, die Ihre Website an einem bestimmten Tag besucht. MetriXs zaehlt Besucher ohne Cookies oder persistente Identifikatoren.

Wie eindeutige Besucher identifiziert werden

Fuer jedes eingehende Event berechnet MetriXs einen taeglichen Besucher-Hash mit HMAC-SHA256. Das taegliche Salz ist der HMAC-Schluessel; die Nachricht ist ein Server-Geheimnis, die IP, der User-Agent und Ihre Domain:

visitor_id = HMAC-SHA256(
  key   = daily_salt,
  msg   = HASH_SECRET + ":" + ip_address + "|" + user_agent + "|" + domain
).slice(0, 32)   // 16 Bytes, 32 Hex-Zeichen

• daily_salt, ein geheimer Zufallswert, der jeden Tag um Mitternacht UTC rotiert (als HMAC-Schluessel verwendet)
• HASH_SECRET, ein serverseitiges Geheimnis, nie an den Browser gesendet
• ip_address, die IP des Besuchers (nie roh gespeichert)
• user_agent, die User-Agent-Zeichenkette des Browsers
• domain, die Domain Ihrer Website (verhindert Cross-Site-Verknuepfung)

Der resultierende 32-Zeichen-Hex-Hash wird gespeichert. Die rohen Eingaben werden sofort verworfen.

Was dies fuer die Zaehlung bedeutet

• Zwei Pageviews von derselben Person am selben Tag → 1 eindeutiger Besucher
• Dieselbe Person besucht am naechsten Tag → 1 neuer eindeutiger Besucher (Salz hat rotiert)
• Zwei verschiedene Personen mit derselben IP und Browser → koennten als 1 Besucher gezaehlt werden (selten, z.B. gemeinsames Buero-NAT)

Warum das Salz taeglich rotiert

Da das Salz der HMAC-Schluessel ist und jeden Tag um Mitternacht UTC rotiert, erhaelt dieselbe Person jeden Tag einen anderen Hash. Selbst wenn jemand einen Hash erhielte, koennte er nicht die Identitaet des Besuchers rekonstruieren, ihn zuueck zur rohen IP umkehren oder Sitzungen ueber Tage hinweg verknuepfen.

DSGVO-Konformitaet

Da MetriXs niemals IP-Adressen, E-Mail-Adressen oder einen Identifikator speichert, der zu einer natuerlichen Person zurueckverfolgt werden kann, ist es konform mit DSGVO Artikel 4, es werden keine personenbezogenen Daten verarbeitet.