¿Qué es la analítica web sin cookies?

¿Cómo se cuenta a un visitante sin cookie?

Con un hash: una huella que el servidor calcula a partir de la dirección IP, el navegador, el identificador de tu web y una sal secreta que cambia cada día. El resultado es una cadena corta de la que no se puede reconstruir ni la IP ni la persona. Creo Analytics cuenta cuántos hashes distintos ha visto hoy. Esos son tus visitantes de hoy.

Nada de esto toca el dispositivo del visitante. El script pesa unos 2 KB, no escribe cookies, no usa localStorage y no lee nada que el navegador no envíe de todos modos con cualquier petición. La IP entra en el cálculo, se usa en memoria para asignar el país y se descarta. No se escribe en disco y no aparece en ningún registro del servidor.

La sal es la pieza clave. Son 32 bytes aleatorios que viven solo en la memoria de trabajo del servidor. A medianoche, hora de Berlín, se generan de nuevo y la sal anterior se sobrescribe. Sin la sal de ayer, el hash de ayer no se puede volver a calcular. Y como el identificador de tu web forma parte del hash, la misma persona produce en dos webs distintas dos hashes distintos. Los perfiles entre sitios no solo están prohibidos por contrato: están excluidos por construcción.

¿Cómo se suman visitantes de varios días sin guardar una lista?

Con HyperLogLog, un procedimiento estadístico que estima cuántos elementos distintos ha visto sin guardar los elementos. Para cada día se conserva un boceto de 4 KB en lugar de la lista de hashes. Los bocetos de varios días se pueden unir, y el resultado es una estimación de los visitantes únicos del periodo.

La estimación tiene un error por debajo del 3 %, y una prueba automática lo exige antes de cada publicación. Las páginas vistas, en cambio, se cuentan con exactitud. Solo los visitantes únicos de varios días son una estimación.

Lo importante es lo que no hay. Los eventos brutos con el hash del día se conservan 14 días por defecto y luego desaparecen. Los agregados diarios, que se guardan 26 meses, contienen solo sumas y bocetos. Ningún seudónimo sobrevive en ellos.

¿Qué se pierde al medir sin cookies?

El reconocimiento entre días. Como la sal cambia cada noche, la misma persona produce mañana un hash distinto. Creo Analytics no sabe si el visitante de hoy es el mismo de ayer. Esa es la consecuencia directa del diseño, y no la maquillamos.

En concreto, en el modo «sin cookies» no obtienes:

• visitantes nuevos frente a recurrentes,
• recorridos de un mismo visitante a lo largo de varios días,
• grabaciones de sesión,
• perfiles de personas ni retargeting publicitario de ningún tipo.

Hay un segundo efecto que conviene conocer. Las sesiones se calculan por día natural: quien está en tu web a medianoche cuenta dos veces. Y si el servidor se reinicia, la sal se genera de nuevo y la cifra de visitantes de ese día queda algo alta. Lo documentamos así en lugar de disimularlo.

¿Por qué basta para el 90 % de las preguntas?

Porque las preguntas que te haces sobre tu web son casi todas preguntas sobre páginas, no sobre personas. Cuántas visitas tuvo el artículo nuevo. De dónde vienen. Si el tráfico de la campaña convierte. En qué paso del formulario se van. Hasta dónde bajan en la página de precios. Ninguna necesita saber quién estuvo el martes a las 14:00.

El 90 % no es una estadística, es una lista. Todo esto lo mide el modo «sin cookies»: páginas vistas, visitantes, sesiones, tasa de rebote, tiempo en página, fuentes, campañas UTM, países, dispositivos, navegadores, sistemas y tiempo real. Mapas de calor de clics y de profundidad de scroll por página y dispositivo, como agregado. Embudos con tasa de abandono por paso. Segmentos por dispositivo, país, fuente, navegador o sistema. Eventos propios con propiedades, con una línea de JavaScript. Comparación con el periodo anterior e informes PDF por correo, de semanal a anual.

No guardamos a tus visitantes. Los contamos. Y para saber si tu web funciona, contar es suficiente.

A cambio te ahorras el banner. Y con el banner te ahorras perder a los visitantes que lo rechazan y que en una herramienta con consentimiento desaparecen de la estadística. Lo explicamos en ¿Necesitas un banner de cookies para la analítica web?.

¿Cuándo necesitas el modo «completo»?

Cuando la pregunta es sobre personas y no sobre páginas. Cuántos visitantes vuelven. Cómo se comporta el mismo visitante a lo largo de una semana. Qué hizo alguien en el formulario de pedido, como una película. Para eso hace falta una cookie propia, y para una cookie hace falta consentimiento.

El modo «completo» añade visitantes recurrentes, análisis de varios días y la grabación de sesiones con el DOM enmascarado, sin entradas en texto claro. Se activa por web a través de una compuerta deliberada: tres confirmaciones y el dominio tecleado a mano, con registro. Después necesitas un banner que llame a la interfaz de consentimiento, la política de privacidad ampliada y el contrato de encargo. Los borradores van incluidos.

Lo que no cambia: sin consentimiento, el mismo script sigue midiendo sin cookies. La cookie se coloca solo tras el clic de aceptar, nunca antes. Un visitante que rechaza no desaparece de tus cifras, se queda en el nivel básico. En los sitios alojados con Creo Digital el cambio de modo no requiere un fragmento nuevo. En sitios externos se sustituye una línea, m.js por v.js. Los detalles están en la documentación.

Y el camino de vuelta está abierto en cualquier momento. Al volver al modo «sin cookies» se borran los seudónimos de consentimiento y las grabaciones. Los agregados diarios se quedan, porque son anónimos.

¿Es legal medir sin banner?

Según nuestra valoración, sí, siempre que no se guarde ni se lea nada en el dispositivo. En Alemania, donde tenemos la sede y los servidores, el § 25 TDDDG exige consentimiento para almacenar o leer información en el equipo terminal. Un script que no escribe cookies, no usa localStorage y no lee nada más allá de lo que el navegador envía de todos modos no hace eso, según el texto de la norma. Para el tratamiento de los datos nos apoyamos en el interés legítimo, art. 6, apdo. 1, letra f del RGPD.

Somos claros con el riesgo restante. El procedimiento de hash con sal es práctica establecida, pero las autoridades de control no valoran de forma unánime si la lectura del User-Agent cae bajo el § 25 TDDDG. Lo decimos aquí, no en letra pequeña. Nada de esto es asesoramiento jurídico. Si quieres ver la diferencia frente a una herramienta que sí coloca cookies, mira Creo Analytics frente a Google Analytics 4.

Y el visitante puede decir que no. El script respeta Do Not Track y Global Privacy Control en el navegador, y el servidor descarta la petición si llega con esos encabezados. Además hay una página pública de oposición en platform.creoanalytics.com/widerspruch.