Comment nous comptons, sans cookie de pistage

Cette page explique, en toute transparence, comment Quiet Metrics mesure l'audience d'un site sans cookie d'identification ni de traçabilité, et sans constituer de profil. C'est la version lisible de notre documentation technique, et notre engagement public.

Rien qui vous identifie n'est écrit chez vous

Nous n'écrivons dans votre navigateur ni cookie d'identification, ni cookie de traçabilité, ni identifiant d'aucune sorte : rien de ce que nous comptons ne permet de vous reconnaître d'une visite à l'autre. Notre script se contente d'envoyer, à chaque page vue : l'adresse de la page, la page précédente (le référent), la langue du navigateur et la taille de la fenêtre, aussitôt réduite à une classe côté serveur : la valeur exacte n'est jamais conservée.

Deux écritures seulement sont possibles, et aucune des deux ne vous désigne. La première sert exactement à l'inverse de la mesure : cesser de compter, parce que vous l'avez demandé. La seconde évite de vous compter deux fois quand votre connexion change au milieu d'une visite. Les voici l'une après l'autre.

Le marqueur d'exclusion, écrit quand vous le demandez

Sur un site mesuré par Quiet Metrics, ajoutez ?qm_ignore=1 à l'adresse de n'importe quelle page, et vous cessez d'être compté :

https://monsite.fr/?qm_ignore=1

Le même geste avec ?qm_ignore=0 retire le marqueur et vous remet dans la mesure. Il n'y a rien d'autre à faire : aucun compte à créer, aucun réglage à retrouver.

Ce marqueur est :

un cookie du site que vous visitez (path=/, samesite=lax, secure en https, cinq ans), que notre script de navigateur double dans le localStorage : le cookie est le seul marqueur que la mesure côté serveur sache lire, et le doublon prend le relais pour le script quand le cookie a été effacé ou refusé. Une seule visite couvre donc les deux modes de mesure ;
dépourvu d'identifiant : il vaut 1 chez tout le monde, il ne distingue donc personne ;
jamais transmis à Quiet Metrics : il n'entre dans aucun envoi vers nos serveurs, si bien que nous n'apprenons même pas que vous vous êtes exclu.

C'est ce qui le sépare d'un cookie de mesure : il ne sert pas à vous suivre, il sert à ne pas vous compter. Un marqueur de refus, posé par la personne elle-même, n'appelle pas de consentement.

Le cookie de continuité de visite, et pourquoi il existe

Celui-ci, vous ne le demandez pas : c'est la mesure qui le pose. Il s'appelle qm_visit, il vaut 1, et il dit une seule chose : une visite est déjà en cours dans ce navigateur.

Sans lui, voici ce qui vous arrive. Nous vous distinguons des autres visiteurs par une empreinte recalculée à chaque page, à partir du réseau de votre abonnement et de votre navigateur (le procédé est décrit juste en dessous). Vous lisez trois pages en 4G dans le train, vous arrivez chez vous, votre téléphone bascule sur le wifi, vous lisez la quatrième : votre réseau a changé, donc votre empreinte aussi, et vous venez de compter pour deux visiteurs différents le même jour. Ce cookie corrige exactement cela, et rien d'autre.

Il est :

d'une durée de dix minutes glissantes : chaque page vue repousse l'échéance de dix minutes, et il disparaît de lui-même quand vous cessez de naviguer. Il ne vous attend pas au retour ;
dépourvu d'identifiant : sa valeur est 1 chez tout le monde, exactement comme le marqueur d'exclusion. Il ne vous distingue de personne, et deux navigateurs qui le portent sont indiscernables l'un de l'autre ;
un cookie du site que vous visitez (path=/, samesite=lax, secure en https), sans doublon dans le localStorage ;
jamais posé si vous vous êtes exclu : le marqueur d'exclusion arrête la mesure avant toute écriture, donc un navigateur qui porte qm_ignore ne reçoit pas ce cookie.

Ce qui remonte jusqu'à nous n'est pas son contenu, puisqu'il n'en a pas : c'est seulement le fait qu'il était là. Cela nous suffit pour rattacher votre page à la visite déjà ouverte, et cela ne nous apprend rien sur vous.

À la différence du marqueur d'exclusion, ce cookie sert la mesure : il ne relève donc pas de l'exemption qui vaut pour un refus, mais du régime de la mesure d'audience, que l'éditeur du site que vous visitez détermine.

Une empreinte éphémère, détruite chaque nuit

Pour distinguer les visiteurs sans les identifier, chaque visite est rattachée à une empreinte calculée ainsi :

un sel secret, régénéré chaque nuit puis détruit ;
combiné au réseau de votre abonnement et au navigateur : ces données transitent dans une file chiffrée à durée bornée, puis quelques millisecondes en mémoire, et ne sont jamais enregistrées dans les tables de mesure ;
et à l'identifiant du site : la même personne sur deux sites clients produit deux empreintes différentes, aucun recoupement possible entre sites.

Ce réseau désigne votre accès à Internet, jamais votre appareil. En IPv6, nous n'en gardons que le préfixe /64 et jetons les 64 bits de poids faible, ceux qui désignent votre appareil et que les extensions de confidentialité de votre système font déjà tourner. En IPv4, l'adresse entière est de toute façon celle d'un foyer entier, regroupé derrière un même numéro par le partage d'adresses de l'opérateur. Nous observons donc moins qu'auparavant, et nous comptons plus juste : un appareil qui renouvelait son adresse en cours de journée cessait d'être reconnu et comptait pour plusieurs visiteurs.

Le sel de la veille étant détruit, l'empreinte ne peut plus être recalculée pour relier les visites d'un jour à celles du lendemain, ni pour remonter à l'adresse d'origine. Quiet Metrics ne peut donc pas suivre un visiteur dans le temps.

Ce que voit le propriétaire du site

Uniquement des statistiques agrégées : nombre de visiteurs et de pages vues, pages populaires, sources de trafic, pays et région (jamais plus fin), type d'appareil, navigateur, langue. Une « session » est simplement une suite de pages vues espacées de moins de 30 minutes.

Ce que nous ne faisons pas

pas de publicité, pas de revente ni de partage de données ;
pas de suivi entre sites, pas de profil, pas de cohortes individuelles ;
pas de géolocalisation à la ville par défaut, jamais à l'adresse ;
les événements détaillés et les agrégats sont purgés automatiquement au terme de la rétention du plan (6 à 25 mois).

Et ce site-ci ?

Cette page (et toute la partie publique de notre site) est servie sans aucun cookie : elle ne charge même pas notre script de mesure. Un cookie de session n'apparaît qu'à la connexion à l'espace membre ; il est strictement nécessaire au fonctionnement du compte.

Les détails d'implémentation (formule de hachage, rotation du sel et durées de rétention) sont documentés dans notre dossier de conformité, disponible sur demande avec le DPA. L'absence de cookie d'identification et de traçabilité ne garantit pas, à elle seule, une exemption de consentement : le régime dépend des finalités et fonctions activées.