{"id":523,"date":"2026-10-02T17:15:00","date_gmt":"2026-10-02T15:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?page_id=523"},"modified":"2026-09-25T15:07:51","modified_gmt":"2026-09-25T13:07:51","slug":"cookieless-tracking-fallbacks-syntetyczne-zszywanie-sesji-po-stronie","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/data-privacy-pl\/tutorials-pl-data-privacy-pl\/cookieless-tracking-fallbacks-syntetyczne-zszywanie-sesji-po-stronie\/","title":{"rendered":"Cookieless Tracking Fallbacks: Syntetyczne zszywanie sesji po stronie serwera"},"content":{"rendered":"

Przegl\u0105d architektury: Dylemat odrzucenia ciasteczek w analityce internetowej<\/h2>\n

We wsp\u00f3\u0142czesnej analityce internetowej banery zg\u00f3d (CMP) powoduj\u0105 powstawanie znacz\u0105cych luk pomiarowych. Gdy u\u017cytkownicy odrzucaj\u0105 ciasteczka \u015bledz\u0105ce lub korzystaj\u0105 z przegl\u0105darek wymuszaj\u0105cych agresywne mechanizmy Intelligent Tracking Prevention (ITP), tradycyjne identyfikatory po stronie klienta, takie jak _ga<\/code>, _gid<\/code> czy identyfikatory odwiedzaj\u0105cych w Matomo, s\u0105 blokowane lub usuwane. W konsekwencji ka\u017cde wy\u015bwietlenie strony przez u\u017cytkownika bez zgody jest rejestrowane jako pojedyncza, izolowana sesja, co czyni statystyczne analizy \u015bcie\u017cek konwersji, modele atrybucji oraz podr\u00f3\u017ce u\u017cytkownika ca\u0142kowicie nieprzydatnymi.<\/p>\n

W celu przywr\u00f3cenia ci\u0105g\u0142o\u015bci analitycznej bez naruszania przepis\u00f3w RODO, dyrektywy ePrivacy oraz regulacji krajowych, mo\u017cliwe jest wdro\u017cenie syntetycznego zszywania sesji po stronie serwera (Server-Side Synthetic Session Stitching)<\/strong>. W odr\u00f3\u017cnieniu od trwa\u0142ego \u015bledzenia cross-site lub fingerprintingu, syntetyczne zszywanie dzia\u0142a wy\u0142\u0105cznie w warstwie serwera proxy lub przetwarzania brzegowego (np. Server-Side GTM, Cloudflare Workers lub w\u0142asne punkty ko\u0144cowe PHP\/Node.js). Poprzez obliczanie ulotnego, rotowanego codziennie skr\u00f3tu kryptograficznego z nieutrwalanych atrybut\u00f3w sieciowych \u2013 takich jak skr\u00f3cona podsie\u0107 IP, User-Agent oraz generowany na serwerze dzienny salt \u2013 sesje mog\u0105 by\u0107 precyzyjnie odtwarzane dla cel\u00f3w statystycznych bez zapisywania jakichkolwiek danych na urz\u0105dzeniu ko\u0144cowym.<\/p>\n

\n\"Tworzenie
Droga syntetycznego identyfikatora: skr\u00f3cone IP, dwa stabilne nag\u0142\u00f3wki i dzienna s\u00f3l s\u0105 haszowane do ID sesji. W przegl\u0105darce nic nie jest zapisywane \u2014 a po rotacji soli identyfikatora z poprzedniego dnia nie da si\u0119 odtworzy\u0107.<\/figcaption><\/figure>\n

Instrukcja wdro\u017cenia krok po kroku<\/h2>\n

Krok 1: Podstawy generowania ulotnych, zgodnych z prywatno\u015bci\u0105 skr\u00f3t\u00f3w (Hash)<\/h3>\n

Utworzenie zgodnego z RODO syntetycznego identyfikatora sesji wymaga zastosowania trzech fundament\u00f3w architektonicznych:<\/p>\n

    \n
  1. Skracanie podsieci IP:<\/strong> Pe\u0142ny adres IP nigdy nie mo\u017ce by\u0107 poddawany bezpo\u015bredniemu haszowaniu, gdy\u017c nadal stanowi dan\u0105 osobow\u0105. Adresy IPv4 musz\u0105 by\u0107 maskowane do podsieci \/24<\/code> (np. 192.0.2.0<\/code>), a adresy IPv6 do podsieci \/48<\/code>.<\/li>\n
  2. Dynamiczny dzienny Salt:<\/strong> Kryptograficzny, losowy ci\u0105g (salt) musi by\u0107 generowany po stronie serwera i automatycznie rotowany najp\u00f3\u017aniej o p\u00f3\u0142nocy (UTC). Gwarantuje to, \u017ce wszystkie skr\u00f3ty wygasaj\u0105 bezpowrotnie najp\u00f3\u017aniej po 24 godzinach, co uniemo\u017cliwia wielodniowe profilowanie u\u017cytkownik\u00f3w.<\/li>\n
  3. Jednokierunkowe szyfrowanie:<\/strong> Po\u0142\u0105czone atrybuty sieciowe musz\u0105 by\u0107 przetwarzane za pomoc\u0105 nieodwracalnego algorytmu haszuj\u0105cego, takiego jak SHA-256.<\/li>\n<\/ol>\n

    Krok 2: Projektowanie generatora skr\u00f3t\u00f3w w Edge Worker \/ Server-Side GTM<\/h3>\n

    Poni\u017csza implementacja produkcyjna w j\u0119zyku JavaScript pokazuje, w jaki spos\u00f3b wygenerowa\u0107 zgodny z prywatno\u015bci\u0105 syntetyczny identyfikator sesji jako zmienn\u0105 niestandardow\u0105 w Server-Side GTM lub w skrypcie Cloudflare Edge Worker bez wysy\u0142ania nag\u0142\u00f3wk\u00f3w HTTP Set-Cookie<\/code>:<\/p>\n

    \/**\n * Generator syntetycznych skr\u00f3t\u00f3w sesji zgodny z prywatno\u015bci\u0105\n * Cel: Server-Side GTM \/ Edge Workers\n *\/\nconst crypto = require('crypto');\n\nfunction getSyntheticSessionId(requestHeaders, clientIp, dailySalt) {\n    \/\/ 1. Anonimizacja adresu IP (skr\u00f3cenie IPv4 do \/24 lub IPv6 do \/48)\n    let maskedIp = '0.0.0.0';\n    if (clientIp.includes('.')) {\n        maskedIp = clientIp.split('.').slice(0, 3).join('.') + '.0';\n    } else if (clientIp.includes(':')) {\n        maskedIp = clientIp.split(':').slice(0, 3).join(':') + '::';\n    }\n\n    \/\/ 2. Ekstrakcja stabilnych nag\u0142\u00f3wk\u00f3w \u015brodowiska przegl\u0105darki\n    const userAgent = requestHeaders['user-agent'] || 'unknown-ua';\n    const acceptLanguage = requestHeaders['accept-language'] || 'unknown-lang';\n\n    \/\/ 3. Budowa \u0142adunku wej\u015bciowego z rotowanym codziennie saltem\n    const rawPayload = `${maskedIp}|${userAgent}|${acceptLanguage}|${dailySalt}`;\n\n    \/\/ 4. Obliczenie skr\u00f3tu SHA-256\n    const syntheticHash = crypto\n        .createHash('sha256')\n        .update(rawPayload)\n        .digest('hex');\n\n    \/\/ Zwr\u00f3cenie skr\u00f3conego, 16-znakowego ulotnego ID\n    return 'syn_' + syntheticHash.substring(0, 16);\n}<\/code><\/pre>\n
    Krok 3: Integracja w kolektorze PHP WordPressa (functions.php)<\/h3>\n
    W infrastrukturach opar\u0142ych na WordPressie v7.0.2, kt\u00f3re wykorzystuj\u0105 w\u0142asne punkty ko\u0144cowe REST API do gromadzenia danych, obliczanie syntetycznej sesji da si\u0119 zintegrowa\u0107 w pliku functions.php<\/code> aktywnego motywu:<\/p>\n
    \/**\n * Narz\u0119dzie generowania syntetycznych skr\u00f3t\u00f3w sesji w PHP\n * Cel: WordPress v7.0.2\n *\/\nfunction lw_generate_synthetic_session_id() {\n    $client_ip = $_SERVER['REMOTE_ADDR'] ?? '127.0.0.1';\n    \n    \/\/ Maskowanie IPv4 do \/24\n    if ( strpos( $client_ip, '.' ) !== false ) {\n        $ip_parts  = explode( '.', $client_ip );\n        $ip_parts[3] = '0';\n        $masked_ip = implode( '.', $ip_parts );\n    } else {\n        \/\/ Maskowanie IPv6 do \/48\n        $ip_parts  = explode( ':', $client_ip );\n        $masked_ip = implode( ':', array_slice( $ip_parts, 0, 3 ) ) . '::';\n    }\n\n    $user_agent      = ( $_SERVER['HTTP_USER_AGENT'] ?? '' ) ?: 'unknown-ua';\r\n    $accept_language = ( $_SERVER['HTTP_ACCEPT_LANGUAGE'] ?? '' ) ?: 'unknown-lang';\n    \n    \/\/ Pobranie lub utworzenie rotowanego codziennie salta z tabeli opcji\n    $daily_salt = get_transient( 'lw_daily_privacy_salt' );\n    if ( ! $daily_salt ) {\n        $daily_salt = wp_generate_password( 32, true, true );\n        \/\/ Wyga\u015bni\u0119cie salta o p\u00f3\u0142nocy UTC (sekundy pozosta\u0142e do ko\u0144ca doby UTC)\n        set_transient( 'lw_daily_privacy_salt', $daily_salt, DAY_IN_SECONDS - ( time() % DAY_IN_SECONDS ) );\n    }\n\n    $raw_payload = $masked_ip . '|' . $user_agent . '|' . $accept_language . '|' . $daily_salt;\n    $sha256_hash = hash( 'sha256', $raw_payload );\n\n    return 'syn_' . substr( $sha256_hash, 0, 16 );\n}<\/code><\/pre>\n
    Krok 4: Mapowanie syntetycznych ID na platformy analityczne<\/h3>\n
    Po wygenerowaniu, ulotny identyfikator sesji musi zosta\u0107 przekazany do docelowej platformy analitycznej zamiast brakuj\u0105cego ciasteczka:<\/p>\n