مدونة Analytics House

تحسب معظم منصات التحليلات «الخالية من ملفات تعريف الارتباط» تجزئة يومية لـ (daily_salt + site_id + IP + User-Agent) كي تتمكن من عدّ الزوار الفريدين يوميًا دون تعيين ملفات تعريف ارتباط في المتصفح. لكن إذا كان الملح مشتقًا من سرّ ثابت أو محفوظًا على القرص إلى أجل غير مسمّى، فإن أي شخص يخترق قاعدة البيانات، أو يفرض الوصول إليها بأمر قضائي، يستطيع تجربة فضاء عناوين IPv4 البالغ 32 بت بالكامل بالقوة الغاشمة لسلسلة User-Agent معروفة.

في Analytics House، يُولَّد لكل يوم UTC ملح عشوائي مستقل بطول 256 بت عبر crypto.getRandomValues()، ويُخزَّن في جدول meta في Cloudflare D1 تحت المفتاح salt:YYYY-MM-DD. وخلال اليوم، تحسب طلبات ‎/collect الواردة في ذاكرة Worker معرّفَي الزائر والجلسة عبر SHA-256 مملّح ومقتطع إلى 64 بت، ثم تتخلص فورًا من عنوان IP الخاص بالعميل ومن سلسلة User-Agent الخام.

كل 15 دقيقة، يُقفل مُشغِّل Cron المجدول أيام UTC المكتملة في جداول تجميعية مُعدّة مسبقًا (rollup_day وrollup_dim). وبمجرد أن يتجاوز مؤشر التقدّم (watermark) يومَ UTC، تحذف الدالة shredExpiredSalts() كل ملح أقدم من المؤشر المُقفَل. وبمجرد محو ذلك المفتاح ذي الـ 256 بت، لا توجد طريقة عملية لربط معرّف زائر سابق بعنوان IP، أو لربط زيارات يوم بزيارات يوم آخر. وتظل المعرّفات بيانات مستعارة (pseudonymous)، لذا تظل بقية وسائل الحماية سارية.

نادرًا ما يقصد المطوّرون إرسال بيانات شخصية إلى خدمة التحليلات، ومع ذلك فإن عناوين URL لإعادة تعيين كلمة المرور (‎/reset-password/eyJhbGci...)، ومسارات الملفات الشخصية للمستخدمين (‎/users/alice@example.com)، وخصائص إتمام الشراء، كثيرًا ما تسرّب سلاسل حساسة إلى قواعد بيانات التحليلات.

يشغّل Analytics House أداة حتمية لتنقية البيانات الشخصية داخل Cloudflare Worker قبل أن يصل أي حدث إلى D1. تُزال سلاسل الاستعلام والأجزاء (fragments) من عناوين URL؛ وتُحجب أثناء المعالجة مقاطع المسار المطابقة لعناوين البريد الإلكتروني ([email])، أو معرّفات UUID ([uuid])، أو رموز JWT ([jwt])، أو عناوين IPv4 ([ip])، أو الرموز عالية العشوائية بترميز hex/base64 ([token]). وتُفحص خصائص الأحداث المخصّصة بشكل تكراري بحثًا عن المفاتيح الحساسة (email وpassword وtoken وsecret وssn وphone وcredit_card وapi_key) وأرقام بطاقات الائتمان التي تجتاز التحقق بخوارزمية Luhn.

بالنسبة إلى الفرق التي تخضع لمتطلبات امتثال صارمة، يذهب تفعيل وضع انعدام السجل الخام (ephemeral_raw) خطوة أبعد: فعند إقفال يوم UTC في الجداول التجميعية، تُحذف فورًا الصفوف الخام الخاصة بذلك اليوم في جدول events، فلا يبقى سوى العدّادات اليومية المجمّعة.

في إعداد التحليلات التقليدي، يتصل متصفح الزائر مباشرةً بنطاق مزوّد التحليلات. وهذا يعني أن عليك الوثوق بسياسة المزوّد في عدم تسجيل CF-Connecting-IP.

ولأن Analytics House مبني على Cloudflare بالكامل (100%)، يُنشئ كل مشروع في لوحة التحكم سكربت Cloudflare Worker مستقلًا من الطرف الأول يمكنك نشره على مسار في نطاقك الخاص (مثل yoursite.com/_ea/*).

عندما يحمّل زائر موقعك، يستقبل Worker الخاص بك الطلب، ويحسب ملخّص SHA-256 بمفتاح سري لـ (UTC_date + CF-Connecting-IP + User-Agent) باستخدام قيمة سرية لا تغادر حساب Cloudflare الخاص بك أبدًا، ويزيل عنوان IP الخاص بالزائر، ثم لا يمرّر إلى Analytics House سوى الترويسة المُبهَمة X-EA-Visitor-Relay ورمز الدولة (موقع تقريبي).