Notre empreinte change désormais chaque semaine : mesurer sans cookies et sans suivre personne

Overtracking est une solution d’analyse web sans cookies : nous ne stockons rien dans le navigateur de vos visiteurs, ni cookies ni localStorage. Pour vous fournir des données utiles, nous devons pourtant savoir quelles pages font partie d’une même visite. Nous y parvenons grâce à une empreinte, un identifiant calculé sur nos serveurs.

Depuis le 12 novembre 2026, cette empreinte change chaque semaine. Un petit changement dans le code, un grand pas pour la confidentialité : un visiteur ne peut être reconnu que pendant la semaine en cours, et jamais d’un site à l’autre.

Comment une analyse sans cookies sait que deux pages appartiennent à la même visite

Un outil d’analyse classique dépose un cookie contenant un identifiant et le relit sur chaque page. Nous ne déposons rien. Lorsqu’une visite arrive, le serveur combine quelques informations techniques que le navigateur envoie déjà à chaque requête :

• l’adresse IP,
• le site mesuré,
• le navigateur (user agent),
• les en-têtes de langue et d’encodage.

À partir de ces éléments, il calcule un hash, une chaîne de 64 caractères impossible à inverser. Deux pages vues depuis le même navigateur et la même connexion donnent le même hash : c’est ce qui nous permet de compter les sessions, les pages d’entrée et de sortie ou le parcours jusqu’à un objectif. L’IP ne sert qu’à calculer l’empreinte et la localisation approximative ; elle n’est pas enregistrée comme donnée dans vos statistiques.

Pourquoi une empreinte fixe ne suffisait pas

Jusqu’ici, l’empreinte d’un visiteur sur un site restait toujours la même. Du point de vue de la confidentialité, cela pose deux problèmes :

1. C’est un identifiant qui dure indéfiniment. Même sans nom ni e-mail, il permet de relier la visite d’aujourd’hui à une autre datant de plusieurs mois.
2. Il peut être recalculé. Il existe environ 4,3 milliards d’adresses IPv4 : avec assez de puissance de calcul, quelqu’un qui connaîtrait la formule pourrait tester des IP jusqu’à retrouver un hash donné.

Nous voulions limiter les deux : que l’empreinte expire, et que personne à l’extérieur ne puisse la reproduire.

Ce que nous avons changé

L’empreinte est désormais calculée avec une clé secrète qui change chaque semaine. Techniquement, il s’agit d’un HMAC-SHA256 : à partir d’une clé maîtresse qui n’existe que sur nos serveurs, nous dérivons une clé différente pour chaque semaine du calendrier (semaine ISO, qui commence le lundi à 00 h 00, heure de Madrid), et nous signons avec elle les données de la visite.

• Une semaine, une empreinte. Le lundi, l’empreinte de chaque visiteur est nouvelle et n’a aucun lien mathématique avec celle de la semaine précédente.
• Impossible à recalculer de l’extérieur. Sans la clé secrète, connaître la formule ou tester des IP ne sert à rien : le résultat ne correspond pas.
• Une empreinte différente sur chaque site. Le site entre dans le calcul : le même visiteur a donc une empreinte différente sur chaque site mesuré avec Overtracking. Impossible de le suivre d’un site à l’autre.

Pourquoi chaque semaine et pas chaque jour

Certains outils renouvellent l’empreinte chaque jour. Nous l’avons envisagé et avons choisi la semaine, qui équilibre mieux confidentialité et utilité :

• Les visiteurs uniques de la semaine restent exacts, et c’est la période que l’on compare le plus souvent.
• Quelqu’un qui revient le mardi après être venu le lundi reste le même visiteur au cours de cette semaine.
• Les visites à cheval sur minuit ne sont pas coupées en deux chaque jour, mais une seule fois par semaine.

Et la limite reste courte : au bout de sept jours, personne, pas même nous, ne peut relier l’activité d’une semaine à celle de la suivante grâce à l’empreinte.

Ce que cela change pour vos statistiques

Vous n’avez rien à faire : le code de suivi est le même et votre tableau de bord affiche les mêmes indicateurs. Au sein de chaque semaine, visites, sessions, pages, sources de trafic et objectifs sont calculés exactement comme avant.

La seule chose que vous remarquerez sur de longues périodes découle directement du changement : un visiteur qui revient une autre semaine compte comme un nouveau visiteur, justement parce qu’il ne peut plus être reconnu. Si vous comparez deux mois, comparez des périodes postérieures au 12 novembre pour qu’elles suivent le même critère.

Ce qui ne change pas

• Sans cookies : rien n’est stocké dans le navigateur du visiteur.
• Données en Europe : hébergées dans l’Union européenne.
• Aucun profil intersites et aucune cession de données à des fins publicitaires.
• Léger : un pixel qui ne ralentit pas votre site.

Tous les détails sur ce que nous mesurons et comment se trouvent dans la documentation sur la confidentialité.

Questions fréquentes

Des questions sur l’impact de ce changement pour votre site ? Écrivez-nous via le formulaire de contact.