Savoir qui vient
Visiteurs, sessions, pages vues, taux de rebond et durée de visite. Seuls les humains comptent : requêtes bloquées, robots et attaques ne créent jamais de visiteur.
Analytics
Visiteurs, sources, pages, audience, performance et trafic de sécurité de vos sites, mesurés au niveau du proxy : sans tiers, sans cookie, calculés sur votre propre plan de contrôle. Le détail est ici, avec ce que contient l'édition gratuite.
À quoi ça sert
Vos requêtes passent déjà par ToutWAF : les statistiques en sortent sans rien installer sur vos pages, et sans envoyer vos visiteurs à un service tiers.
Voir d'où ils viennent
Canaux (direct, recherche, réseaux sociaux, e-mail, sites référents, payant, assistants IA), campagnes UTM, pays et réseaux.
Repérer les pages lentes ou en erreur
Temps de réponse de votre serveur en percentiles, pages en erreur, taux de succès du cache ; Core Web Vitals avec le script.
Mesurer ce qui compte
Objectifs (page vue, événement, défilement, temps actif), événements personnalisés, clics sortants, téléchargements, formulaires.
Voir le côté sécurité
La part de trafic humain, robot, attaque et bloqué, les chemins les plus visés, les robots par nom.
Respecter vos visiteurs
Aucun cookie, aucun stockage local, aucun identifiant dans le navigateur. Do Not Track est respecté.
Deux façons de mesurer
La mesure côté serveur est toujours active ; un petit script facultatif ajoute ce que seul un navigateur sait.
Mesure côté serveur (toujours active)
Chaque requête passe déjà par ToutWAF : chemin, statut, taille, temps de réponse de votre serveur, pays, réseau, navigateur, site référent. Pas de script, rien qu'un bloqueur de publicités puisse cacher.
Script first-party (facultatif)
Un petit script servi par ToutWAF depuis votre propre domaine ajoute la taille d'écran, le temps actif, le défilement, les clics sortants, les téléchargements, les envois de formulaires (le nombre, jamais les valeurs), les erreurs JavaScript, les Core Web Vitals et vos événements. Mode automatique (ToutWAF l'ajoute aux pages HTML, par défaut), manuel (vous ajoutez une ligne) ou désactivé.
Calculé chez vous
Les chiffres sont calculés sur votre plan de contrôle, sans tiers. Sans le script, ou si un bloqueur l'empêche, la mesure côté serveur reste complète et la console l'indique.
Seuls les humains comptent comme visiteurs
ToutWAF classe chaque requête avant de compter : un robot ou un scanner ne gonfle plus votre audience.
Humain
Tout le reste. Seules les pages vues humaines créent des visiteurs et des sessions.
Robot
Robot d'indexation, agent IA ou outil HTTP connu, ou score de bot au-dessus du seuil que vous réglez.
Attaque
Une attaque laissée passer (mode détection) ou une règle de gravité élevée laissée passer.
Bloquée
ToutWAF a refusé ou défié la requête. Jamais un visiteur.
Une page vue est une requête de document (GET, HTML) réussie : les ressources, appels d'API, sondes de santé, robots et requêtes bloquées n'en sont pas.
Un rapport par question
La console propose une page par sujet, plus les paramètres.
Vue d'ensemble
Les chiffres clés avec l'évolution par rapport à la période précédente, les visiteurs dans le temps, les pages, sources, pays et navigateurs principaux.
Acquisition
Canaux, sites référents et campagnes UTM (source, support, campagne, terme, contenu).
Audience
Pays, régions et villes (si votre base de géolocalisation les contient), réseaux et opérateurs, langues, fuseaux horaires.
Comportement
Pages par session, durée de visite, parcours de la page d'entrée à la page de sortie, une visite ou plusieurs le même jour.
Pages
Vues, vues uniques, temps passé, rebond, entrées et sorties ; les pages les plus lentes et celles qui répondent en erreur.
Événements et objectifs
Objectifs avec taux de conversion et revenu, événements personnalisés, clics sortants, téléchargements, envois de formulaires, erreurs JavaScript.
Performance
Temps de réponse de votre serveur (médiane, p75, p95), codes de statut, succès du cache ; Core Web Vitals (LCP, INP, CLS, FCP, TTFB) avec le script ; par appareil et par pays.
Temps réel
Visiteurs en ligne maintenant, pages vues par minute sur les 30 dernières minutes, flux en direct, pages, sources et pays du moment.
Trafic de sécurité
Trafic humain, robot, attaque, bloqué et défié dans le temps ; attaques par type, pays, réseau et chemin ; robots par nom.
Technologie
Navigateurs et versions, systèmes, types d'appareil, tailles d'écran et résolutions, thème clair ou sombre, souris ou écran tactile.
Paramètres
Par site : activer, mode anonyme, durées de conservation, adresses et chemins exclus, durée de session, seuil de robot, mode du script, objectifs ; des valeurs par défaut héritées par les sites.
Dans la console
Un exemple de la page Vue d'ensemble : les chiffres clés, l'évolution dans le temps et les principaux canaux.
Filtrer, comparer, exporter
- Périodes : aujourd'hui, hier, 7, 30 ou 90 jours, ou des dates à vous.
- Comparaison avec la période précédente ou avec la même période l'an dernier.
- Filtres : canal, site référent, campagne UTM, pays, région, ville, réseau, navigateur, système, appareil, langue, page, page d'entrée.
- Un site ou plusieurs à la fois, selon vos droits de lecture.
- Export CSV depuis la console ; CSV ou JSON par l'API.
Les filtres portent sur la durée de conservation du détail (7 jours par défaut) et ne sont pas disponibles en mode anonyme.
https://waf.example.com:9443
Analytics
7 joursPériode précédente
Visiteurs
Pages vues
Taux de rebond
Durée de visite
Visiteurs dans le temps7 jours
Canaux
Illustration : mise en page de la console, sans chiffres réels.
Objectifs et événements
Un objectif est atteint quand une page est vue, qu'un événement est envoyé, qu'une profondeur de défilement (25, 50, 75 ou 100 %) est atteinte ou que le visiteur reste actif un nombre de secondes donné. Il est compté une fois par session et par objectif, avec un revenu fixe ou envoyé avec l'événement.
Les clics sortants, les téléchargements (extensions réglables), les envois de formulaires (le nombre seulement) et les erreurs JavaScript (regroupées par empreinte du message) sont enregistrés par le script, sans rien à coder.
JavaScript
twa("event", "signup",
{ plan: "pro", revenue: 19.9 })HTML
<button data-tw-event="newsletter">…</button>La vie privée par construction
Ce que la mesure garde, et ce qu'elle ne garde pas.
Ni cookie ni identifiant
Rien n'est conservé dans le navigateur du visiteur : ni cookie, ni stockage local, ni identifiant, avec ou sans le script.
Un visiteur est un hachage du jour
L'adresse IP et le navigateur sont hachés avec un sel aléatoire qui change chaque jour et est supprimé après deux jours : impossible de suivre un visiteur d'un jour à l'autre ou de retrouver son adresse.
Do Not Track respecté
Do Not Track et Global Privacy Control sont respectés par défaut : le script se désactive et ces requêtes ne sont pas comptées.
Mode anonyme
Ne garde que des agrégats : ni ville, ni région, ni fuseau horaire, aucun détail par page vue, pas de flux en direct.
Conservation et exclusions
Vous choisissez la durée de conservation (par défaut 90 jours pour les chiffres horaires et quotidiens, 7 jours pour le détail), les adresses IP et les chemins exclus.
Jamais le contenu
Les envois de formulaires sont comptés sans leurs valeurs ; les erreurs JavaScript sont regroupées par empreinte, sans message ni trace.
Bon à savoir
- Les « visiteurs » sur plusieurs jours sont la somme des visiteurs de chaque jour : un visiteur de retour un autre jour compte comme nouveau, et une visite qui passe minuit compte pour deux.
- Le temps de réponse est celui de votre serveur, mesuré par ToutWAF jusqu'au premier octet ; ce n'est pas ce que vit le navigateur (les Core Web Vitals, eux, viennent du script).
- Une visite sans site référent (adresse saisie, favori, réglages de confidentialité) est comptée comme directe.
- La région et la ville demandent une base de géolocalisation qui les contient sur le plan de données.
- Les visiteurs qui bloquent les scripts ne sont pas mesurés par le script ; la mesure côté serveur continue.
- Une session se termine après 30 minutes sans page vue (réglable).
La nécessité d'un consentement dépend de votre juridiction et de la façon dont vous configurez les statistiques (script, conservation, mode anonyme) : décidez-en avec votre conseil juridique. Cette page ne constitue pas un avis juridique.
Quand la page est vide, la console dit pourquoi
La carte « Mesure » met côte à côte la mesure côté serveur et le script, et s'arrête au premier maillon cassé : aucun nœud ou nœud hors ligne, DNS qui pointe ailleurs, seulement des robots, pages auxquelles le script ne peut pas être ajouté, script non chargé (bloqueur, politique de sécurité du contenu), balises refusées. Le bouton « Tester la mesure » fait visiter le site par chaque nœud, comme le ferait un navigateur.
Cas d'usage
Le marketing
Quels canaux et quelles campagnes UTM amènent des visiteurs, et lesquels convertissent.
Le produit
Quelles pages sont lues jusqu'au bout, où les sessions se terminent, quels objectifs sont atteints.
L'exploitation
Les pages les plus lentes, celles qui répondent en erreur, le taux de succès du cache.
La sécurité
Quelle part du trafic est robot ou attaque, quels chemins sont visés, d'où viennent les attaques.
Une audience propre
Robots, scanners et attaques ne gonflent plus vos visiteurs : les chiffres reflètent des personnes.
Plusieurs sites
Une vue pour un site ou pour tous ceux que vous avez le droit de lire, avec la comparaison à la période précédente.
Ce qui est inclus, par édition
L'analytique de base est dans toutes les offres ; l'analytique avancé (entonnoirs, cohortes, carte jusqu'à la ville, alertes, rapports planifiés) demande Pro ou plus.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
- Visiteurs, sessions, pages vues, taux de rebond et durée, mesurés au proxy : sans script, sans cookieGratuit
- Chaque requête classée bloquée, attaque, robot ou humain : seuls les humains créent des visiteursGratuit
- Canaux, sites référents et campagnes (UTM), audience par pays, réseau (AS) et langueGratuit
- Objectifs et événements personnalisés, clics sortants, téléchargements, formulaires ; un script facultatif hébergé chez vous ajoute le resteGratuit
- Performance : percentiles de latence de l'origine, codes d'état, cache ; Core Web Vitals avec le scriptGratuit
- Trafic de sécurité : répartition humain, robot, attaque, bloqué et défié ; principales règles, pays et cheminsGratuit
- Temps réel : visiteurs en ligne maintenant, vues par minute, flux en directGratuit
- Comparaison avec la période précédente, filtres, export CSV et JSONGratuit
- Vie privée : sel aléatoire quotidien, Do Not Track respecté, mode anonyme, rétention réglée par siteGratuit
Le plan de données ne consulte jamais la licence. Les deux offres gratuites (Free et Free +) peuvent être utilisées à titre professionnel, dans leurs limites.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.