CloudFlare introduceert 'privacyvriendelijke' Web Analytics

Cloudflare brengt een eigen tool uit om websitebezoek te kunnen analyseren. Cloudflare Web Analytics is volgens het bedrijf privacyvriendelijk doordat het bezoekers niet individueel trackt en daardoor niets bij hen opslaat. In plaats daarvan telt de tool alleen bezoeken.

De tool wordt beschikbaar voor zowel bestaande Cloudflare-klanten als voor andere websitebeheerders. DIe moeten dan de code aan hun website toevoegen om de tool te gebruiken. Voor Cloudflare-klanten wordt de code serverside gedraaid, maar voor de externe versie moet er clientside JavaScript worden ingeladen. Cloudflare waarschuwt dat het daarbij mogelijk is dat websitebezoekers dat blokkeren.

Cloudflare schrijft in een blogpost dat Web Analytics voornamelijk is gericht op privacy van bezoekers. Zo worden er geen cookies geplaatst of fingerprints gemaakt om individuele bezoekers aan te duiden. De tool geeft daarom geen unieke bezoekers aan, maar alleen bezoeken. Gebruikers kunnen daarnaast zien welke pagina's worden bezocht en hoe lang, en uit welke landen gebruikers komen. Cloudflare-klanten die Bot Management gebruiken kunnen in de toekomst ook geautomatiseerde bezoeken detecteren en die bots blokkeren via Web Analytics.

De tool is nog niet beschikbaar. Wanneer die precies uit komt is nog niet bekend. Geïnteresseerden kunnen zich wel inschrijven op een wachtlijst. Voor Cloudflare-klanten komt de tool beschikbaar in hun dashboard.

Reacties (52)

Mooi, en ook nodig denk ik. Persoonlijk gebruik ik al jaren Matomo (voorheen Piwik). Dit is open source software die je zelf kunt installeren en doet hetzelfde. Privacyvriendelijk en cookie-vrij.

In welk opzicht is Matomo privacyvriendelijker dan Google Analytics, los van het feit dat als je Matomo zelf draait niemand anders toegang tot de dada heeft (of is dat je punt?)?

En ik dacht dat Matomo ook gewoon met cookies werkt om een terugkerende gebruiker te herkennen?

[Reactie gewijzigd door mrwiggs op 30 september 2020 09:01]

Matomo host je zelf dus je hebt zelf controle over je data. Daarnaast kun je matomo zo instellen dat je geen cookies gebruikt en ip gegevens geanonimiseerd opslaat.
Je mist op die manier zeker wat kracht in de analytics (minder data), maar je krijgt een hoop terug aan privacy, en ook belangrijk, je kunt je website legaal draaien zonder cookie melding, aangezien er geen cookies worden gebruikt

Edit: als aanvulling, de anonimisering van de gegevens betekent dus dat er geen volledige ip adressen worden opgeslagen maar alleen de eerste 2 of 3 delen.

[Reactie gewijzigd door Robbierut4 op 30 september 2020 09:34]

Maar als bezoeker van een website die matomo gebruikt heb ik er geen controle over.

Dat gezegd hebbende, tien keer liever dat een hele hoop individuele websites losse data over mij bijhouden dan dat een grote partij het aggregeert en zo inzicht heeft in mijn browsegedrag. Dus het is door de decentralisatie automatisch relatief privacy-vriendelijk. Ben erg blij dat het bestaat, i.p.v. alleen services als google analytics.

Als bezoeker van een site met google analytics heb je er ook geen controle over. Zodra jij een site bezoekt stuur je data door, en moet je erop vertrouwen dat die website zich aan de wet houdt. (tweakers uitgezonderd met hun cookie policy).

Als ik in de privacy policy zet dat data anoniem wordt bijgehouden dan is dat naar mijn beste weten zo. Bij google is het naar mijn beste weten sowieso niet.

Mee eens. Matomo is sowieso stukken beter qua privacy. Ik wilde alleen expliciet maken dat niet per sé alle privacyzorgen van de bezoeker wegneemt, omdat die de configuratie niet kan zien.

Maar ik waardeer het sowieso als een site dat gebruikt i.p.v. google analytics of een andere gecentraliseerde service.

Google Analytics kun je heel makkelijk blokkeren. Alle javascript van derde partijen kun je met één druk op de knop automatisch blokkeren met b.v. Ublock Origin. Daarnaast gebruikt het lijsten met specifieke trackers die geblokkeerd worden, waar Google Analytics ongetwijfeld tussen staat. Met zelf gehoste dingen is dat minder makkelijk.

In Google Analytics kun je het ip adres ook anonimiseren, waarbij het laatste deel van het ip adres weg wordt gehaald. Als je gebruikers vervolgens niet automatisch in doelgroepen opslaat mag je deze analytische cookies volgens de AVG plaatsen zonder daarvoor toestemming van de bezoeker te vragen.

Weet jij of Google die IP-adressen niet opslaat? Staat dat expliciet in de gegevensverwerkingsovereenkomst die je als website-eigenaar met Google sluit? En staat daar ook in dat Google geen andere gegevens van die bezoekers gebruikt? Dat lijkt me sterk, zeker omdat daar de meerwaarde voor Google / van Google Analytics zit

en hoe werkt dsat ip anonimiseren bij ipv6 dan?

Daar schiet het nog wat tekort, want de 2 byte instelling verkort 1:2:3:4:5:6:7:8 naar 1:2:3:: waarmee je vaak alsnog de prefix van de aansluiting hebt.

Het zou beter zijn als het 1:2:: wordt zodat je nog wel de provider kan herleiden. Dat kan door het op 3 byte in te stellen, maar dan gaat een IPv4 adres van 1.2.3.4 naar 1.0.0.0 wat weer tekort is om er nog iets nuttigs uit te halen. Tenzij je voor het verrijken van het profiel het originele IP gebruikt, alleen gaat dat een beetje het doel voorbij.

edit:
aanvulling

[Reactie gewijzigd door FvdM op 30 september 2020 16:02]

En je kan ook netjes aanzetten dat als iemand heeft aangegeven in zijn browser dat hij niet gevolgd wil worden dat dat ook niet gebeurt. Persoonlijk vindt ik dat de netste oplossing. Laat mij het eenmalig browsersite aangeven en ik hoef niet meer allerlei cookie meldingen door te klikken. Maak dat maar wet.
Maar gezien het feit dat dit ook gewoon dikke handel is geworden van marketing en IT bedrijven zal dat niet zo snel gebeuren.

Vind ik weer niet.. 99% van de bevolking heeft geen weet van zo'n setting.
Privacy hoort de default waarde te zijn en niet enkel voor experts die alle settings weten te vinden.

Die browser instelling, de DNT header, werkt onbedoeld juist je privacy tegen omdat het helaas wordt gebruikt voor fingerprinting. Voorheen was het standaard ingeschakeld in een aantal browsers, maar sindsdien is de trackingindustrie van mening dat het door de gebruiker bewust moet zijn ingesteld en voelt men zich gerechtvaardigd om DNT dus massaal te negeren. Hierdoor verdwijnt het nu weer uit de browsers.

Dat kun je dus helemaal zelf instellen, ik heb cookies op al mijn sites uitgezet icm het anonimiseren van 2 bytes van het ip adres. Op deze manier wordt een individuele bezoeker niet gevolgd, en worden terugkerende bezoekers dus ook niet herkend (wat ook niet nodig is in mijn ogen).

ik heb cookies op al mijn sites uitgezet icm het anonimiseren van 2 bytes van het ip adres.

Maar je meet bijvoorbeeld wel responstijden? Via die indirecte data gecombineerd met de 2 bytes die je wel meet kan mogelijk nagegaan worden wat vanaf welke IP range je site bezoekt.

Bedenk wat je werkelijk wilt meten. Neem bijvoorbeeld het aantal bezoekers uit een land. Gebruik een (lokale) geodatabase om per IP te kijken naar uit welk land het vandaan komt en meet enkel dat.

Soortgelijk, open source, cookie-vrij, eenvoudig en met aandacht voor privacy:
https://www.goatcounter.com/
- je kunt het zelf hosten/installeren
- gratis bij Goatcounter laten hosten voor simpele projecten
- tegen een laag maandbedrag voor grotere projecten

Voor bedrijven niet gratis als het bij goatcounter hosted is.

(free for non-commercial use)

[Reactie gewijzigd door Marc050 op 30 september 2020 11:56]

Is het ook gebruiksvriendelijk (genoeg)?

Dit past duidelijk in een bredere evolutie van privacyvriendelijke analytics software (maw: weg van Google Analytics). Je hebt plausible, visitor statistics, simple analytics. Je moet die dan ook betalen voor het gebruik van de tool (itt Google ben jij hun klant en niet het product).
Ik ben dus benieuwd of de tool van Cloudflare gratis zal zijn ..

Dit is toch wel iets wat ik niet snap. Mensen geven vaker aan dat ze weg willen gaan van Google, maar hoezo zou een van de andere tools die jij noemt beter zijn mbt privacy? Uiteindelijk ben je alsnog gegevens van je bezoekers naar een bedrijf aan het sturen, vaak zelfs buiten de EU.

Als je dan zegt iets om privacy te geven dan zou ik gewoon zelf een VPS in Nederland pakken en daar Matomo op hosten. Kosten zijn dan een tientje per maand, en je verzekert dat alle gegevens binnen Nederland blijven en alleen door jou en het datacenter in te zien zijn (de top 3 hosts in Nederland hebben allemaal wel een robuuste verwerkersovereenkomst).

Of je nou bij Google of bij een ander Amerikaans bedrijf zit, zolang je data ergens heen gaat kun je m.i. nooit zeggen dat je iets om privacy geeft.

Ik denk dat veel mensen zich vooral oncomfortabel voelen met hoeveel data bij één partij beland. Wat je schrijft klopt natuurlijk wel: dat een bedrijf niet van Google/Alphabet is betekend niet dat ze beter zijn. Maar Google draait naast analytics ook het grootste advertentie netwerk ter internet en heel veel mensen zijn altijd ingelogd op hun Google account. Dat gecombineerd levert hele uitgebreide profielen op.

Cloudflare heeft sowieso een ander verdienmodel met ook veel betaalde diensten maar daarbovenop verzameld deze analytics tool zo te zien ook om te beginnen al minder data.

Zeggen dat alles van Google fout is vind ik te makkelijk, maar een beetje spreiden kan nooit kwaad (zie Wie is de Mol).

Dingen spreiden is aan de ene kant een goed idee, maar aan de andere kant ook juist niet. Meer bedrijven die toegang hebben tot je data betekent meer kans op een datalek, meer kans dat er ergens iets niet klopt of fout, en een hele boel meer overhead door verschillende accounts en systemen waar je op moet inloggen en overeenkomsten die je aan gaat met bedrijven.

Ik ben het ermee eens dat alles bij Google stoppen misschien niet de beste keuze is, maar ik vertrouw Google wel een stuk meer dan een willekeurige andere partij. Bij Google weet je dat je data in ieder geval niet zomaar openbaar gesteld wordt. Dat vind ik persoonlijk belangrijker dan of Google zelf je data analyseert, in dit geval.

Tenzij er een partij komt die Google echt kan vervangen met dezelfde stabiliteit en garanties (zoals bijvoorbeeld DuckDuckGo op zoekgebied, maar dan meerdere diensten) denk ik dat Google toch wel hun positie blijft verdienen, want het is gewoon enorm gemakkelijk om binnen één GSuite organisatie je hele bedrijf te kunnen draaien.

Klopt, Google is in bepaalde dingen heel goed en daarom gebruik ik ook nog steeds graag gebruik van een aantal Google diensten. Maar niet alle data is even gevoelig en als je nu met Google Analytics meer data verzameld dan je nodig hebt kan het geen kwaad eens rond te kijken naar iets anders.

Ga maar eens uitschrijven hoeveel data CloudFlare heeft van klanten. Absoluut de new kid on the block als het gaat om datavergaring.

Ook helemaal waar, CloudFlare is misschien niet het beste voorbeeld van een spreiden als tactiek . Maar veel van de andere analytics tools die in de reacties voorbij komen zijn dat gelukkig wel.

"Of je nou bij Google of bij een ander Amerikaans bedrijf zit, zolang je data ergens heen gaat kun je m.i. nooit zeggen dat je iets om privacy geeft. ".

Lijkt me niet geheel correct. Er is een echt een verschil tussen een gratis dienst, waarbij jij het product bent om de kosten te dekken en een betaalde dienst die bijvoorbeeld email voor je regelt. Dus je kan prima zeggen dat je om privacy geeft als je maar geen 'gratis' product afneemt.

Waarom zou dat zo zijn? Er is absoluut geen reden om er vanuit te gaan dat Google jouw analytics data gebruikt en een andere partij dat niet doet, of je er nou voor betaalt of niet. Uiteindelijk ben je alsnog gegevens aan het overpompen naar een andere partij.

Mijn argument zou dan toch echt zijn dat een partij als Google, die enorm veel gebruikers heeft en heel streng gecontroleerd wordt, minder risicovol is dan een kleinere partij die misschien wel gewoon uit een klein groepje jongvolwassenen in een garage bestaat en die geen besef hebben van veilig opslaan van data. Je mag er zeker vanuit gaan dat Google je data analyseert voor eigen belang, maar waarom zou die andere partij dat niet doen, of zelfs je data direct verkopen om wat extra geld te verdienen?

"Er is absoluut geen reden om er vanuit te gaan dat Google jouw analytics data gebruikt"
en
"Je mag er zeker vanuit gaan dat Google je data analyseert voor eigen belang"?

Ik stel niet dat ze het doorverkopen aan andere partijen, maar ik wil mijn data gewoon niet bij een partij waar het businessmodel er op is gericht om zoveel mogelijk over mij te weten en dat zo goed mogelijk ten gelde te maken voor de adverteerders op dat platform.

Nee de partij waar ik mijn email host verkoopt die gegevens niet door zoals omschreven in de voorwaarden voor het product (ja die heb ik doorgenomen).

Me Matomo wordt de bezoekersgegevens in je eigen database opgeslagen en zoals gezegd een uitgebreid pakket aan mogelijkheden om de privacy te waarborgen. Tevens de mogelijkheid om zelf helemaal te customizen, hetgeen tweakers toch zou moeten aanspreken.

Moet je bij Google analytics ook niet betalen als je een bepaald volume overschrijd?

Analytics 360 is volgens mij vooral om meer tools tot je beschikking te krijgen. Maar ook inderdaad heeft het een hoger volume. Zo loop je bij standaard Analytics nog wel eens tegen het aantal events dat je op een pagina kunt sturen. Of eigenlijk, de hoeveelheid data in kB's je kunt sturen. Maar die limieten liggen wel erg hoog.

Voordeel van 360 is dat hij idd geen datasampling toepast en gebruikt maakt van datadriven conversies. En nog wat andere verschillen. Alleen de prijs is aan de forse kant. Maar dat zijn vergelijkbare professionele pakketten ook.

Neem aan dat het een gratis variant heeft zoals zo veel cloudflare diensten. Die verdienen hun geld met grote corporate contracten

Plausible is als je het zelf host gratis:

Plausible is a lightweight and open-source website analytics tool. It doesn’t use cookies and is fully compliant with GDPR, CCPA and PECR. Made and hosted in the EU 🇪🇺.

You can even download Plausible Analytics, install and run it on your own server.

Zo iets als Webalizer die al een 10 tal jaren je access logs van je favoriete webserver software uit leest? Beetje matige nieuws, er zijn wel meer web front/proxy diensten die bezoeken en bezoeker per minuut tonen.

Webalizer is niet echt accuraat in het tellen van bezoek. Zeker tegenwoordig niet. De methode van Google en cloudflare is accurater. (Want die meet bezoek vanuit de browser gezien, niet vanuit de server gezien).

Je kunt het ook oplossen met bepaalde self-hosted oplossingen zoals (vroeger) urchin (is Google analytics), of matomo (opensource, oude naam piwik)

Heeft dit te maken met het vinkje 'DNS over HTTPS' via Cloudfare die je kan aanzetten in bv. Firefox? Aangezien hiermee DNS verkeer via Cloudfare loopt kunnen ze nu 'anoniem' mijn webtraffic bijhouden?

Nee. Sterker nog, dat mogen ze niet. De voorwaarde voor opgenomen worden in die dns over https lijst is dat je nooit die data mag gebruiken.

En hoe zit het dan als je google analytics draait op je site?
Waarom zou je dit dan willen gebruiken?

Als je bij Google wil blijven ga je dit natuurlijk niet gebruiken. Lijkt me dat je dat je dit eerder wil gebruiken als je de privacy van je bezoekers ter harte wil nemen.

En hoe zit het dan als je google analytics draait op je site?
Waarom zou je dit dan willen gebruiken?

Omdat Google vies is, en je je gebruikers en klanten bloot stelt aan hun praktijken terwijl ze dat niet willen? Met het bijkomende risico dat ze Google JavaScript en cookies in toenemende mate blokkeren, en minder geneigd zijn dat te doen met deze dienst.

Omdat? Als mensen een plugin gebruiken om analytics te blokkeren, dan kun je er vanuit gaan dat binnen no-time de cloudflare tracker (want dat is het gewoon, een tracker) ook gaat blokkeren.

Omdat? Als mensen een plugin gebruiken om analytics te blokkeren, dan kun je er vanuit gaan dat binnen no-time de cloudflare tracker (want dat is het gewoon, een tracker) ook gaat blokkeren.

Een tracker slaat dingen op, om het gebruik te meten over meerdere sites. (Het hele internet). Dat is wat de Google en Facebook, en honderden anderen doen.

Dat is expliciet niet wat cloudflare doet, en om die reden zal men minder (niet) geneigd zijn om cloudflare te blokkeren in die plug-ins. Je kan het handmatig doen, maar de plug-in makers zullen onder deze omstandigheden geen reden zien het in de core database op te nemen. (Want er is geen privacy inbreuk)

De javascript tracker is dan wel te blokkeren, maar de basis stats komen van de client verbinding (edge).

There are two ways Cloudflare can collect analytics data for your website: from the client browsers using a JavaScript beacon, or at the Cloudflare edge servers. Pick one that best suits your needs.

Ik kan je niet zeggen waarom je hiervoor zou kiezen in plaats van bijvoorbeeld webalizer, maar t.o.v. Google Analytics biedt het kennelijk privacy voordelen.

Omdat je dan nu de gebruiker een irritante cookie-wall moet voorschotelen met veel juridische jargon, waaruit je ook duidelijk laat blijken dat jij het wel best vindt om de persoonsgegevens van bezoekers internationaal te verhandelen.

Als je Google Analytics privacy-vriendelijk instelt (op de manier zoals de AP adviseert) hoeft dat allemaal niet.

Een goede ontwikkeling dat er steeds meer privacy vriendelijke en cookie-vrije alternatieven komen voor statistieken (naast de goede alternatieven die er al zijn).

Als je geen individuele bezoekers kan zien dan denk dat webwinkels en dergelijke deze analytic-tool links laten liggen.

Gewoon net als vroeger op je eerste zelfgemaakte html pagina

Wow een page view counter... how innovative!!!

Sorry maar dit is zo oud als de weg naar Rome en er zijn heel erg veel redenen waarom dit totale onzin is helemaal niet werkt en niets anders doet dan misbruik in de hand werken. Helaas zijn er altijd redenen waarom mensen en bedrijven dit soort getallen willen manipuleren en dat is met zo'n oplossing echt heel erg kinderlijk eenvoudig. Zeker omdat je totaal geen indicatie hebt of de interactie ook zinvol was of dat iemand alleen de pagina zag het niets vond en weer terug ging naar de search engine om een andere link te proberen.