Tracciamento, consenso e piattaforme pubblicitarie

Il sito pubblico (la home, le pagine legali, il modulo di contatto, la guida e /signup) può misurare visite e campagne. È spento finché non si imposta un id, e nulla lascia il browser del visitatore finché non dice di sì. Questa pagina è per chi gestisce le campagne.

Come funziona

Il consenso, il nostro. Un banner servito dal nostro dominio, nella lingua della pagina, con Rifiuta tutto in evidenza quanto Accetta tutto e un pannello per finalità: necessari, statistiche, pubblicità. La scelta resta sei mesi in un cookie di prima parte; un link in ogni piè di pagina la riapre. Google Consent Mode v2 parte con ogni segnale negato e si aggiorna alla scelta.
Nessuna richiesta a terzi prima del consenso. La pagina legge un piccolo file dal proprio dominio (/tracking-config.json, solo id pubblici) per sapere quali canali sono attivi. Se non ne è attivo nessuno — o l'ambiente non è la produzione — non c'è né banner né tag.
Ogni tag si carica solo per la sua finalità. Statistiche: Google Analytics 4. Pubblicità: Google Ads, Meta, LinkedIn, OpenAI. Con un contenitore Tag Manager impostato si carica Tag Manager al posto di gtag.js, dopo i valori predefiniti del consenso; gli stessi eventi arrivano al suo dataLayer.
L'host dell'app non porta nulla. La console, l'admin, le pagine di firma e la pagina di verifica non hanno né banner né tag. /signup è l'unica pagina pubblica sull'host dell'app.

I cookie e gli identificativi

Nome	Impostato da	A cosa serve	Durata
`doconure_consent`	noi, il banner	ricordare la scelta (versione, statistiche 0/1, pubblicità 0/1, ora)	6 mesi
`doconure_internal`	noi, un operatore	tenere fuori dai dati il browser di un operatore	180 giorni
`session`	noi, solo sull'host dell'app (accesso e modulo di registrazione)	la sessione della console e il token anti-contraffazione dei moduli	12 ore
`_ga`, `_ga_*`	Google Analytics, dopo statistiche	distinguere le visite	secondo Google (fino a 2 anni)
`_gcl_*`	Google Ads, dopo pubblicità	il clic che ha portato qui	secondo Google (90 giorni)
`_fbp`, `_fbc`	Meta, dopo pubblicità	il clic della campagna	secondo Meta (90 giorni)
Cookie di LinkedIn Insight	LinkedIn, dopo pubblicità	misura delle campagne	secondo LinkedIn
Archiviazione del pixel OpenAI	OpenAI, dopo pubblicità	misura delle campagne	secondo OpenAI

Il nostro registro delle campagne (le etichette UTM, la pagina di arrivo e l'id del clic portati attraverso il modulo di registrazione) è separato e non usa cookie.

Configurazione

In Settings, gruppo Tracking and ads, inserisci gli id pubblici: ga4_measurement_id (G-..., la proprietà del sito inglese), ga4_measurement_id_it (la proprietà del sito italiano, facoltativa: se è vuota le pagine italiane usano quella inglese), gtm_container_id (GTM-..., facoltativo; riceve site_language nel suo dataLayer), google_ads_id (AW-...), meta_pixel_id, linkedin_partner_id (con le sue linkedin_conversion_rules), openai_pixel_id. Ognuno vuoto è un canale spento.
Per gli eventi lato server aggiungi i segreti a infra/doconure.env sul server (mai in un modulo): GA4_API_SECRET (e GA4_API_SECRET_IT per la proprietà italiana), OPENAI_CONVERSIONS_API_KEY, LINKEDIN_CONVERSIONS_TOKEN. La produzione imposta anche TRACKING_ENABLED=1; staging e sviluppo mai, ed è per questo che da lì non parte mai nulla.
Scegli la modalità del server: SIMULATED (il valore predefinito: gli eventi sono registrati nella pagina Tracking, non si invia nulla), VALIDATE (l'endpoint di validazione del fornitore, nulla viene conteggiato) o LIVE.
Apri la pagina Tracking: ogni canale mostra off, simulated, validate o live.

Provare con GA4 DebugView

Nella pagina Tracking scegli exclude this browser e premi Mark as internal. I tag si caricano in questo browser con traffic_type: internal e debug_mode.
Apri il sito pubblico, accetta le statistiche nel banner e in Google Analytics apri Amministrazione > DebugView: lì compaiono le tue visualizzazioni e i tuoi eventi. Il filtro Traffico interno di GA4 (impostato una volta su attivo, su traffic_type = internal) li tiene fuori dai rapporti.
Per il lato server premi Validate accanto a Google Analytics 4: invia un evento di prova a /debug/mp/collect e mostra la risposta di Google.

Escludere un browser

No tracking at all non mostra il banner e non carica alcun tag in quel browser. Mark as internal li carica con traffic_type: internal. Remove lo riporta a visitatore ordinario. Il cookie è doconure_internal, sul dominio registrabile, così lo vedono sia il sito pubblico sia l'host dell'app. Si fa una volta per browser.

Eventi lato server

Cinque eventi partono dal server, mai da una richiesta: sign_up (registrazione verificata), first_pdf, first_signature, purchase (valore netto, valuta, id della transazione; il primo segnato anche first_purchase) e credit_gift_spent. Sono messi in coda insieme a ciò che riportano e inviati dal ciclo di invio; un invio fallito viene ritentato e poi segnato come fallito. Ognuno ha un id stabile, così una piattaforma può eliminare i doppioni. Il contenuto ha solo numeri e id: mai un'email, un nome, un numero di telefono, un indirizzo IP o un documento.

Vanno a Google Analytics 4 (alla proprietà del sito italiano per un'organizzazione in italiano, quando è impostata), LinkedIn e OpenAI. Meta non ne riceve: la sua Conversions API richiede lo user agent del browser, che non inviamo mai, quindi Meta ha solo il suo pixel nel browser, dopo il consenso. Nemmeno Google Ads ne riceve: le sue conversioni escono come il CSV qui sotto.

Un evento è saltato, con il motivo nella pagina Tracking, quando: l'ambiente non è la produzione; l'organizzazione è di test; un suo indirizzo verificato è su un dominio interno (l'elenco che salta l'approvazione della registrazione); il visitatore non ha dato il consenso alla finalità del fornitore (statistiche per Google Analytics, pubblicità per gli altri) o arrivava da un browser escluso; il pagamento era simulato; oppure la piattaforma non ha un identificativo per la visita.

Google Ads: le conversioni offline

Scarica il CSV dalla pagina Tracking e importalo in Conversioni > Caricamenti. Contiene l'id del clic, il nome della conversione, l'ora (UTC), il valore e la valuta e un id d'ordine, per le persone che hanno dato il consenso alla pubblicità e sono arrivate da un clic di Google. Il download è registrato nel registro delle attività.