Analytics senza cookie: le migliori alternative

Cosa succede quando la maggior parte dei visitatori del tuo sito clicca su "Rifiuta tutto" nel banner dei cookie? Con strumenti di analytics tradizionali come Google Analytics, la risposta è semplice e dolorosa: perdi completamente i loro dati. Diversi studi mostrano costantemente che il tasso medio di consenso per i cookie analitici sui siti web europei si aggira tra il 30% e il 50%, il che significa che per ogni due visitatori che arrivano sul tuo sito, potresti non avere dati analytics per almeno uno di loro. Non è un piccolo inconveniente: è una lacuna fondamentale nella tua comprensione di come funziona il tuo sito. Fortunatamente, una categoria crescente di strumenti di analytics privacy-first offre un'alternativa convincente: l'analytics cookieless, che raccoglie dati per il 100% dei tuoi visitatori senza richiedere consenso. In questa guida esploriamo perché l'analytics cookieless è importante, esaminiamo le migliori alternative disponibili oggi, vediamo come funzionano tecnicamente e ti mostriamo come combinarle con gli strumenti tradizionali per ottenere il quadro più completo possibile.

Perché l'analytics tradizionale va in crisi con il GDPR

Google Analytics: lo strumento usato da una stima dell'85% dei siti web nel mondo: si basa sui cookie per identificare e tracciare gli utenti tra una sessione e l'altra. Quando un visitatore arriva sul tuo sito, Google Analytics imposta un cookie _ga (e diversi altri) che gli assegna un ID cliente univoco. Questo ID persiste tra una visita e l'altra, permettendo a GA di costruire un quadro dei visitatori di ritorno, della durata delle sessioni, dei percorsi di conversione e altro ancora.

Secondo il GDPR e la direttiva ePrivacy, questi cookie sono classificati come non essenziali perché non sono strettamente necessari al funzionamento del sito. Ciò significa che devi ottenere un consenso esplicito, informato e liberamente prestato prima di impostarli. Se un visitatore non acconsente: o semplicemente chiude il banner dei cookie senza interagire: non può essere impostato alcun cookie e non viene raccolto alcun dato.

La conseguenza pratica è un "divario di consenso" crescente nei dati analytics. La tua dashboard di Google Analytics mostra solo il sottoinsieme di visitatori che hanno cliccato su "Accetta". Il resto: spesso gli utenti più attenti alla privacy e tecnicamente più esperti: risulta invisibile. Questo distorce ogni metrica: frequenza di rimbalzo, tassi di conversione, fonti di traffico e dati demografici degli utenti diventano tutti inaffidabili perché basati su un campione autoselezionato anziché sull'intera popolazione.

Diverse decisioni delle autorità di protezione dati hanno reso la situazione ancora più complessa. Nel gennaio 2022, l'autorità austriaca DSB ha stabilito che l'uso di Google Analytics violava il GDPR perché i dati venivano trasferiti negli Stati Uniti senza garanzie adeguate. Poco dopo, la CNIL francese e il Garante italiano hanno emesso decisioni simili. Sebbene il Data Privacy Framework UE-USA (adottato nel luglio 2023) abbia attenuato alcune preoccupazioni sui trasferimenti, non ha eliminato l'obbligo di consenso per i cookie analitici.

Cosa rende un'analytics "cookieless"?

Gli strumenti di analytics cookieless usano un approccio radicalmente diverso al tracciamento. Invece di impostare un cookie persistente per identificare i visitatori di ritorno, si basano su una combinazione di tecniche:

Hashing di sessione: lo strumento crea un hash temporaneo a partire da attributi non personali: come l'indirizzo IP del visitatore (che viene poi scartato), la data, la stringa dello user agent e il dominio del sito. Questo hash è abbastanza univoco da identificare una sessione, ma non può essere usato per tracciare un utente tra giorni o siti diversi.
Nessun identificatore persistente: a differenza di Google Analytics, gli strumenti cookieless non memorizzano nulla nel browser del visitatore. Niente cookie, niente localStorage, niente IndexedDB. Quando la sessione termina, il collegamento tra il visitatore e i suoi dati va perso.
Elaborazione lato server: i dati vengono elaborati sul server, non nel browser. Questo elimina la necessità di archiviazione lato client e rende lo strumento invisibile agli ad blocker (nella maggior parte dei casi).
Anonimizzazione dell'IP: la maggior parte degli strumenti privacy-first esegue l'hashing o scarta gli indirizzi IP prima di memorizzare qualsiasi dato, garantendo che non venga conservato alcun dato personale.

Poiché nessun dato personale viene memorizzato sul dispositivo dell'utente e non vengono creati identificatori persistenti, questi strumenti generalmente non richiedono consenso ai sensi del GDPR. Diverse autorità europee per la protezione dei dati hanno confermato questa interpretazione: la CNIL francese, ad esempio, ha pubblicato un elenco di strumenti di analytics utilizzabili senza consenso, a condizione che rispettino criteri specifici in materia di minimizzazione dei dati e limitazione delle finalità.

Le migliori alternative a Google Analytics

1. Plausible Analytics

Plausible è uno strumento di analytics con sede nell'UE (con quartier generale in Estonia) che è rapidamente diventato una delle alternative privacy-first più popolari. È completamente open source, leggero (meno di 1 KB di JavaScript) e progettato per fornire le metriche essenziali senza alcuna raccolta di cookie o dati personali.

Interamente ospitato nell'UE (data center Hetzner in Germania e Finlandia)
Nessun cookie, nessun localStorage, nessun fingerprinting
Dashboard pulita e intuitiva che si carica istantaneamente
Conversioni obiettivo, eventi personalizzati e tracciamento dei parametri UTM
Tracciamento delle entrate per l'e-commerce
A partire da 9 EUR/mese (in base alle visualizzazioni di pagina)

Plausible è presente nell'elenco degli strumenti consigliati dalla CNIL ed è stato recensito in modo indipendente da diversi esperti di privacy. La sua semplicità è al contempo il suo punto di forza e il suo limite: se hai bisogno di segmentazione avanzata, analisi delle coorti o esportazione dei dati grezzi, potrebbe non essere sufficiente da solo.

2. Fathom Analytics

Fathom è un'azienda canadese con isolamento dei dati UE (tutti i dati dei visitatori UE vengono elaborati e archiviati esclusivamente a Francoforte, in Germania). Adotta un approccio simile a Plausible: niente cookie, niente dati personali, nessun consenso richiesto: ma offre un set di funzionalità leggermente diverso.

Architettura privacy-first con "routing intelligente" che mantiene i dati UE all'interno dell'UE
Nessun cookie, nessun banner di consenso richiesto per l'analytics
Eventi personalizzati, tracciamento UTM e accesso API
Report via email e monitoraggio dell'uptime
A partire da 14 USD/mese

Fathom gode di un'ottima reputazione tra sviluppatori indipendenti e piccole imprese. La sua dashboard è pulita e veloce, e l'azienda è trasparente riguardo alle proprie pratiche di elaborazione dei dati. Una funzionalità degna di nota è la sua capacità di aggirare la maggior parte degli ad blocker, poiché serve lo script di tracciamento dal tuo stesso dominio tramite una configurazione CNAME.

3. Matomo

Matomo (in precedenza Piwik) è la piattaforma di analytics privacy-first più ricca di funzionalità disponibile. A differenza di Plausible e Fathom, Matomo può essere self-hosted, dandoti il controllo completo sui tuoi dati. Offre inoltre una modalità di tracciamento cookieless che può essere attivata nella configurazione.

Open source, con una vasta community e un ecosistema di plugin
Opzione self-hosted (gratuita) o cloud (a partire da 19 EUR/mese)
Modalità cookieless disponibile (sessioni con hash senza identificatori persistenti)
Funzionalità avanzate: heatmap, registrazioni delle sessioni, A/B test, funnel
Piena proprietà dei dati se self-hosted
Approvato dalla CNIL se configurato correttamente

Il compromesso con Matomo è la complessità. Configurare un'istanza self-hosted richiede competenze di amministrazione server, e anche la versione cloud ha una curva di apprendimento più ripida rispetto a Plausible o Fathom. Tuttavia, per le organizzazioni che necessitano di una piattaforma di analytics completa con conformità privacy integrata, Matomo è difficile da battere.

4. Simple Analytics

Fedele al suo nome, Simple Analytics porta il minimalismo all'estremo. Raccoglie solo l'essenziale: visualizzazioni di pagina, referrer, tipi di dispositivo, paesi: e nient'altro. Non esiste il concetto tradizionale di "utenti" o "sessioni".

100% senza cookie, nessun dato personale raccolto
Conforme a GDPR, CCPA e PECR senza banner di consenso
Dati archiviati nei Paesi Bassi
Insight basati sull'IA e tracciamento degli obiettivi
Tracciamento delle performance di tweet e articoli del blog
A partire da 9 USD/mese

5. Pirsch Analytics

Pirsch è uno strumento di analytics tedesco, rispettoso della privacy, che elabora tutti i dati all'interno dell'UE. Offre un'opzione di tracciamento lato server che lo rende completamente invisibile agli ad blocker.

Azienda tedesca, dati elaborati e archiviati in Germania
Opzioni di tracciamento lato server e lato client
Nessun cookie, conforme al GDPR senza consenso
Eventi personalizzati, obiettivi di conversione, parametri UTM
A partire da 4 EUR/mese

Con un'analytics cookieless puoi misurare il 100% dei visitatori, non solo quelli che hanno acconsentito. Questo elimina il "divario di consenso" che rende l'analytics tradizionale inaffidabile in Europa.

Puoi usare Google Analytics senza cookie?

Google Analytics 4 (GA4) ha introdotto una funzionalità chiamata "cookieless pings" (nota anche come "modellazione della consent mode") che cerca di stimare il comportamento degli utenti quando i cookie non sono disponibili. Quando Google Consent Mode v2 è implementata e un utente rifiuta il consenso, GA4 invia "cookieless pings": segnali di dati limitati che non includono cookie o identificatori utente. Google utilizza poi il machine learning per modellare i dati mancanti e colmare le lacune nei tuoi report.

Tuttavia, ci sono importanti avvertenze. Innanzitutto, le autorità europee per la protezione dei dati: inclusa la CNIL e l'austriaca DSB: hanno indicato che anche i cookieless ping potrebbero comunque costituire una raccolta di dati che richiede consenso, poiché i dati vengono comunque trasmessi ai server di Google. In secondo luogo, i dati modellati sono una stima, non una misurazione. La loro accuratezza dipende dalla disponibilità di un campione sufficientemente ampio di utenti consenzienti (Google raccomanda almeno 1.000 eventi al giorno per una modellazione affidabile). In terzo luogo, i dati vengono comunque elaborati da Google, il che significa che potrebbero applicarsi le preoccupazioni relative al trasferimento dei dati previste dal GDPR.

Per questi motivi, molte organizzazioni attente alla privacy scelgono di utilizzare uno strumento di analytics cookieless dedicato per la misurazione di base e di mantenere Google Analytics come livello opzionale per analisi più approfondite: caricato solo quando l'utente presta il consenso.

Come scegliere lo strumento di analytics cookieless giusto

Quando valuti le alternative, considera i seguenti criteri:

Residenza dei dati: dove vengono archiviati ed elaborati i dati? Per la conformità al GDPR, l'hosting nell'UE è fortemente preferibile.
Profondità delle funzionalità: ti servono solo visualizzazioni di pagina e referrer, oppure hai bisogno di eventi personalizzati, funnel di conversione, tracciamento e-commerce e accesso API?
Resistenza agli ad blocker: alcuni strumenti (Fathom, Pirsch) offrono proxy CNAME o tracciamento lato server che aggira la maggior parte degli ad blocker. Altri (Plausible, Simple Analytics) vengono a volte bloccati perché i loro script sono serviti da domini noti.
Opzione self-hosted: se la piena proprietà dei dati è fondamentale, Matomo e Plausible offrono versioni self-hosted.
Integrazione con gli strumenti esistenti: lo strumento di analytics può alimentare le tue dashboard, il tuo CRM o i tuoi strumenti di reportistica esistenti?
Prezzo: la maggior parte degli strumenti cookieless applica tariffe in base alle visualizzazioni di pagina mensili. Confronta i prezzi al tuo livello di traffico previsto, non solo nel piano base.

Come combinare analytics cookieless e tradizionale

L'approccio più efficace per molti siti web è una strategia ibrida che combina entrambi i metodi:

Livello 1: analytics cookieless (sempre attivo): installa uno strumento privacy-first come Plausible o Fathom che funziona senza consenso. Questo ti garantisce metriche di base affidabili per il 100% del tuo traffico: visualizzazioni di pagina, referrer, tipi di dispositivo, distribuzione geografica e tracciamento base delle conversioni.
Livello 2: Google Analytics (dipendente dal consenso): mantieni GA4 per le analisi avanzate, ma caricalo solo dopo che l'utente ha prestato il consenso tramite il tuo banner dei cookie. Usa GA4 per la segmentazione del pubblico, i percorsi di conversione dettagliati, l'integrazione con Google Ads e altre funzionalità che richiedono un'identificazione persistente dell'utente.

Questo approccio ibrido ti offre il meglio di entrambi i mondi: dati di traffico completi e non distorti dal tuo strumento cookieless, e ricchi insight comportamentali da GA4 per il sottoinsieme di utenti che acconsentono. Puoi incrociare le due fonti di dati per identificare e correggere il bias da consenso nei tuoi report GA4.

Consigli pratici per l'implementazione

Ecco alcuni passaggi concreti per iniziare con l'analytics cookieless:

Inizia con un'implementazione parallela. Esegui il tuo strumento cookieless insieme a Google Analytics per almeno 30 giorni prima di prendere qualsiasi decisione. Confronta i dati per capire come il divario di consenso influisce sulle tue metriche attuali.
Configura eventi personalizzati. La maggior parte degli strumenti cookieless supporta eventi personalizzati (clic sui pulsanti, invii di moduli, download). Configurali per tracciare le conversioni più importanti per la tua attività.
Usa i parametri UTM in modo coerente. Gli strumenti cookieless si basano sui parametri URL per il tracciamento delle campagne. Assicurati che tutte le tue campagne marketing utilizzino tag UTM, così da poter attribuire correttamente il traffico.
Configura correttamente la tua CMP. Se utilizzi un approccio ibrido, assicurati che la tua piattaforma di gestione del consenso (come Consentio) blocchi correttamente Google Analytics finché non viene prestato il consenso, permettendo al contempo al tuo strumento cookieless di funzionare immediatamente.
Rivedi la tua privacy policy. Anche se gli strumenti cookieless non richiedono consenso, dovresti comunque menzionarli nella tua privacy policy per trasparenza. Spiega quali dati vengono raccolti, come vengono elaborati e dove vengono archiviati.

Con Consentio, gestire questa configurazione ibrida è semplice. La nostra piattaforma ti permette di definire quali script richiedono consenso e quali possono essere eseguiti immediatamente. Il tuo strumento di analytics cookieless si carica insieme alla pagina, mentre Google Analytics e gli altri script che dipendono dai cookie attendono il consenso dell'utente: tutto controllato tramite un'interfaccia semplice e visuale.