{"id":10466,"date":"2026-09-18T12:30:00","date_gmt":"2026-09-18T10:30:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=10466"},"modified":"2026-09-10T12:14:25","modified_gmt":"2026-09-10T10:14:25","slug":"hashing-in-der-conversions-api-kundendaten-vor-sha-256-normalisieren","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/digital-marketing-de\/hashing-in-der-conversions-api-kundendaten-vor-sha-256-normalisieren\/","title":{"rendered":"Hashing in der Conversions API: Kundendaten vor SHA-256 normalisieren und welche Felder ungehasht bleiben"},"content":{"rendered":"

Ein Conversions-API-Ereignis mit einer gestreuten E-Mail-Adresse sieht gleich aus, ob richtig oder falsch gestreut wurde. Die Nutzlast ist g\u00fcltig, die Schnittstelle antwortet mit einem Erfolg, der Ereignisz\u00e4hler steigt, und die \u00dcbereinstimmungsg\u00fcte bleibt, wo sie war – weil die Adresse, korrekt zu einer Zeichenkette gestreut, die keiner entspricht, mit einem Kundenbestand verglichen und in keinem gefunden wurde.<\/p>\n

Das ist die Art des Scheiterns, die vor aller Verrohrung verstanden sein sollte: Streuen scheitert nicht laut, es scheitert, indem es etwas hervorbringt, das technisch einwandfrei und inhaltlich leer ist.<\/p>\n

\n\"Dieselbe
Zwei echte SHA-256-Werte derselben Adresse. Drei Zeichen Leerraum und ein paar Gro\u00dfbuchstaben trennen sie.<\/figcaption><\/figure>\n

Warum ein kleiner Unterschied ein vollst\u00e4ndiger ist<\/h2>\n

Eine Streufunktion ist so gebaut, dass eine winzige \u00c4nderung der Eingabe eine bis zur Unkenntlichkeit verschiedene Ausgabe erzeugt. Diese Eigenschaft macht das Streuen brauchbar, und genau sie macht einen Normalisierungsfehler t\u00f6dlich: Beinahe-\u00dcbereinstimmung gibt es nicht. Zwei Streuwerte sind gleich, oder sie haben nichts miteinander zu tun, und keine noch so unscharfe Zuordnung weiter hinten holt den Unterschied wieder ein.<\/p>\n

Ob ein Ereignis eine Person findet, entscheidet sich also, bevor die Streufunktion \u00fcberhaupt aufgerufen wird – in den wenigen Zeilen, die festlegen, was genau hineingeht.<\/p>\n

Die Form, in der jeder Parameter stehen muss<\/h2>\n\n\n\n\n\n\n\n\n\n\n\n
Parameter<\/th>\nVerlangte Form<\/th>\nWas schiefgeht<\/th>\n<\/tr>\n<\/thead>\n
em<\/code><\/td>\nbeschnitten, klein<\/td>\nein Gro\u00dfbuchstabe aus dem Formular, ein Leerzeichen aus der Zwischenablage<\/td>\n<\/tr>\n
ph<\/code><\/td>\nnur Ziffern, mit L\u00e4ndervorwahl<\/td>\ndie nationale Null in +49 (0)170 \u00fcberlebt<\/td>\n<\/tr>\n
fn<\/code>, ln<\/code><\/td>\nklein, ohne Satzzeichen und Leerraum<\/td>\nder Bindestrich in einem Doppelnamen<\/td>\n<\/tr>\n
ct<\/code><\/td>\nklein, ohne Leerzeichen<\/td>\nFrankfurt am Main beh\u00e4lt seine Leerzeichen<\/td>\n<\/tr>\n
st<\/code>, country<\/code><\/td>\nzweibuchstabiges K\u00fcrzel, klein<\/td>\ndas Land steht ausgeschrieben da<\/td>\n<\/tr>\n
ge<\/code><\/td>\ngenau f<\/code> oder m<\/code><\/td>\nalles andere, gestreut als w\u00e4re es ein Wert<\/td>\n<\/tr>\n
db<\/code><\/td>\nJJJJMMTT<\/td>\nein landes\u00fcbliches Datumsformat, lautlos umsortiert<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Die Telefonnummer verdient eine eigene Anmerkung, denn sie ist der eine Fall, der sich nicht maschinell normalisieren l\u00e4sst. Aus +49 (0)170 1234567<\/code> alle Nichtziffern zu entfernen ergibt 4901701234567<\/code>, und die Null hinter der L\u00e4ndervorwahl ist eine nationale Vorwahlkennziffer, die in einer internationalen Nummer nichts zu suchen hat. Keine Regel entscheidet das f\u00fcr jedes Land verl\u00e4sslich, weshalb die ehrliche Behandlung darin besteht, zu entfernen und das verd\u00e4chtige Muster einem Menschen zu melden, statt zu raten.<\/p>\n

Die Parameter, die nicht gestreut werden d\u00fcrfen<\/h2>\n

Der umgekehrte Fehler ist seltener und ebenso endg\u00fcltig. client_ip_address<\/code>, client_user_agent<\/code>, fbp<\/code> und fbc<\/code> werden im Klartext gesendet. Sie sind keine Kennungen in dem Sinn, in dem die gestreuten Felder es sind; sie sind Werte, die Meta gegen die eigenen Aufzeichnungen h\u00e4lt, und ein gestreuter davon ist eine Zeichenkette, der auf der anderen Seite nichts entspricht.<\/p>\n

Am h\u00e4ufigsten passiert das, wenn eine Streuhilfe auf das gesamte Nutzerdatenobjekt auf einmal angewandt wird – ein vern\u00fcnftig aussehendes St\u00fcck Code, das in genau vier Feldern falsch ist. Eine Hilfe, die nach Feldnamen streut statt nach Objekt, ist die Fassung, die eine Schema\u00e4nderung \u00fcbersteht.<\/p>\n

Wie sich das von au\u00dfen zeigt<\/h2>\n
# dieselbe Adresse, drei Wege\n\"  Max.Mustermann@Example.COM \"   → 524d6368ceb086b2b1d8fed14ee75313…\n\"  max.mustermann@example.com \"   → de4c5edc5348280eedb5b029d7851764…\n\"max.mustermann@example.com\"      → dd432348e6c3373c5f646913fa94ae79…\n\n# verglichen wird nur der dritte mit irgendetwas<\/code><\/pre>\n
Keiner davon erzeugt einen Fehler. Die Ereigniszahl im Ereignismanager ist in allen drei F\u00e4llen gleich, die Zustellung wird in allen drei F\u00e4llen best\u00e4tigt, und die einzige Gr\u00f6\u00dfe, die sich bewegt, ist die \u00dcbereinstimmungsg\u00fcte – nach unten, langsam, und auf eine Weise, die sich bequem der Jahreszeit oder einer \u00c4nderung an der Einwilligung zuschreiben l\u00e4sst.<\/p>\n
Die brauchbare Pr\u00fcfung ist deshalb nicht die Antwort der Schnittstelle, sondern ein Vergleich gegen einen bekannten Wert. Eine Adresse aus dem Kundenbestand nehmen, sie so streuen, wie der Shop es tut, sie so streuen, wie die Vorschrift es verlangt, und die beiden Zeichenketten vergleichen. Sie stimmen \u00fcberein, oder die Verarbeitungskette hat einen Normalisierungsfehler – und die Antwort dauert eine Minute.<\/p>\n
Wohin die Normalisierung geh\u00f6rt<\/h2>\n
Die letzte Entscheidung ist eine des Aufbaus. Normalisieren l\u00e4sst sich im Browser, im Servercontainer oder in dem System, das den Kundeneintrag f\u00fchrt – und nur das letzte hat den urspr\u00fcnglichen Wert in der Form vorliegen, in der ihn auch der Kundenbestand h\u00e4lt.<\/p>\n
Es im serverseitigen Container zu tun, ist der \u00fcbliche Mittelweg und tr\u00e4gt, sofern der Container den Rohwert bekommt und nicht etwas, das ein Formular bereits zugerichtet hat. Es im Browser zu tun, ist die eine Anordnung, die zu vermeiden ist: Sie legt die Adresse im Klartext in eine Anfrage, die das Ger\u00e4t des Besuchers verl\u00e4sst – genau das, was das Streuen verhindern sollte.<\/p>\n
\n
Quellen<\/h2>\n