Medir sem cookies: como sabemos o que funciona no site.

Todo site comercial precisa responder a três perguntas: alguém está chegando? De onde vem? E o que essa pessoa faz quando chega? A resposta padrão do mercado é instalar um script de terceiros que coloca cookies, monta perfis e exige um banner de consentimento que todo mundo ignora.

Nós escolhemos o caminho oposto. O tricagono.com usa uma medição própria, embutida no mesmo servidor que entrega as páginas. Sem cookie, sem script de terceiros, sem banner, sem dado pessoal armazenado. Este texto explica como funciona e por que isso basta para um site como o nosso.

O que medimos

• Visitas — total, hoje, por página e série dos últimos 30 dias.
• Visitantes únicos do dia — sem identificar quem são.
• Cliques nos botões de contato — com o local de origem (cabeçalho, hero, seção de contato).
• Origem, dispositivo e navegador — de forma agregada, para saber se o visitante veio de busca, de link direto ou de rede social e se estava no celular ou no computador.

Não rastreamos navegação entre sites, não montamos perfil individual, não guardamos IP em claro e não vendemos nada a ninguém.

Como o visitante único funciona sem cookie

O servidor calcula um hash SHA-256 a partir do endereço IP e do user-agent do navegador e guarda apenas os primeiros 16 caracteres. Esse valor serve para distinguir visitantes dentro do mesmo dia. O IP original não é salvo.

O hash é estável o suficiente para contar uma pessoa duas vezes no mesmo dia como uma única visitante, e irreversível na prática. Ele não é um identificador persistente entre dias: amanhã, o mesmo visitante ganha um novo registro. É por isso que a métrica é "visitantes únicos do dia", e não "usuários recorrentes".

Medição honesta começa por admitir o que ela não sabe. Preferimos uma métrica simples e verdadeira a um painel cheio de números inventados.

Filtrar robôs é metade do trabalho

Sem filtro, métricas de acesso são ficção. Buscadores, monitoramento, previews de link, scripts de raspagem e até requisições de teste inflam os números. O servidor mantém uma expressão regular de user-agents conhecidos (incluindo curl, HeadlessChrome e bots de mensageria) e simplesmente não conta essas visitas.

Robôs que se disfarçam de navegador escapam do filtro — nenhuma heurística por user-agent é perfeita. A diferença é que a nossa medição foi desenhada para ser honesta sobre isso, em vez de inflar o relatório com tráfego que não existe.

Limites e segurança

Uma medição própria também precisa se proteger. O endpoint de cliques aceita no máximo 300 requisições por hora por IP, limita o corpo a 1 KB e valida o nome do evento por formato. O endpoint de visitas é contado pelo servidor, não pelo navegador, então não é possível "forjar" uma visita com chamadas diretas à API.

A gravação em disco é atômica: os contadores são escritos em um arquivo temporário e renomeados, no máximo a cada três segundos. Queda de energia não corrompe o histórico. O arquivo fica fora da pasta servida ao público, e a API de leitura não está exposta como conteúdo estático.

E a privacidade?

Sem cookie e sem dado pessoal armazenado, não há o que consentir. O visitante navega e vai embora; o servidor registra um número. Isso não é um truque para fugir de LGPD — é uma escolha de arquitetura: coletar o mínimo necessário para responder às perguntas de negócio.

Se um dia precisarmos de mais detalhe, a decisão será tomada com o mesmo critério: o dado novo responde a uma pergunta que o negócio realmente tem? Se não, não coletamos.

Por que isso importa para o cliente

Quando instalamos essa medição em um site de cliente, ele ganha três coisas: velocidade (nenhum script externo bloqueando a página), transparência (sabe exatamente o que é contado) e independência (não depende de uma conta de terceiro que muda de plano ou desliga o serviço).

O painel mostra visitas, origem e cliques de contato. É o suficiente para decidir se um canal funciona. O resto, na maioria dos casos, é vaidade.