Visiteurs

Un visiteur unique représente une personne visitant votre site un jour donné. MetriXs compte les visiteurs sans cookies ni identifiants persistants.

Comment les visiteurs uniques sont identifiés

Pour chaque événement entrant, MetriXs calcule un hachage visiteur quotidien en utilisant HMAC-SHA256. Le sel quotidien est la clé HMAC ; le message combine un secret serveur, l’IP du visiteur, son User-Agent et votre domaine :

visitor_id = HMAC-SHA256(
  key   = daily_salt,
  msg   = HASH_SECRET + ":" + ip_address + "|" + user_agent + "|" + domain
).slice(0, 32)   // 16 octets, 32 caractères hex

• daily_salt, une valeur aléatoire secrète qui tourne à minuit UTC chaque jour (utilisée comme clé HMAC)
• HASH_SECRET, un secret côté serveur, jamais envoyé au navigateur
• ip_address, l’IP du visiteur (jamais stockée brute)
• user_agent, la chaîne user-agent du navigateur
• domain, le domaine de votre site (empêche le liage entre sites)

Le hachage hex de 32 caractères résultant est stocké. Les entrées brutes sont immédiatement écartées.

Ce que cela signifie pour le comptage

• Deux pages vues de la même personne le même jour → 1 visiteur unique
• La même personne visite le lendemain → 1 nouveau visiteur unique (le sel a tourné)
• Deux personnes différentes avec la même IP et navigateur → peuvent être comptées comme 1 visiteur (rare, par exemple NAT de bureau partagé)

Pourquoi le sel tourne quotidiennement

Parce que le sel est la clé HMAC et qu’il tourne chaque jour à minuit UTC, la même personne reçoit un hachage différent chaque jour. Même si quelqu’un obtenait un hachage, il ne pourrait pas reconstruire l’identité du visiteur, le reconvertir vers l’IP brute, ou lier des sessions entre jours.

Conformité RGPD

Parce que MetriXs ne stocke jamais d’adresses IP, d’adresses e-mail ni d’identifiant pouvant être lié à une personne physique, il est conforme à l’article 4 du RGPD, aucune donnée personnelle n’est traitée.