P3P, wa's dâ? Niet alle tellers kloppen

Vraag de gemiddelde leverancier van een bezoekersteller naar P3P, en hij zal het antwoord schuldig blijven. Hoe we dit weten? Erg eenvoudig: sommige tellers maken gebruik van cookies om bij te houden of een bezoeker beschouwd moet worden als een nieuwe of als een terugkerende bezoeker. Bij de standaard instelling van Internet Explorer 6 worden echter cookies alleen geaccepteerd als aan bepaalde voorwaarden is voldaan. Een voorwaarde voor indirecte cookies is dat er een compact privacybeleid moet zijn, en hier komt P3P om de hoek kijken. Tellertest.com heeft geconstateerd, dat een groot aantal tellers niet goed werken omdat hun cookies niet geaccepteerd worden door Internet Explorer 6 vanwege het ontbreken van een P3P policy.

Indirecte cookies zijn cookies die bij de bezoeker van een webpagina geplaatst worden, terwijl de cookie niet van dezelfde website afkomstig is. Voorbeeld: je bezoekt een pagina op tellertest.com, en die pagina laadt een cookie van checkstat.nl op je PC omdat de Checkstat teller op de pagina staat. De cookie van Checkstat is nu een indirecte cookie. Dat is van belang voor Internet Explorer 6, want IE 6 heeft verschillende privacyniveaus, te bekijken en in te stellen via Extra -> Internet-opties -> Privacy. Door middel van een schuifregelaar kan uit 6 niveaus voor privacybescherming gekozen worden, van alle cookies weigeren tot alle cookies toelaten en de nuances daartussen. De instelling "Normaal", die zoals de naam doet vermoeden standaard staat ingesteld, zal indirecte cookies zonder compact privacybeleid blokkeren (evenals cookies die persoonlijke identificatiegegevens bevatten, tenzij impliciete toestemming daartoe is verleend, maar dit is even niet van belang voor de tellers).

Als je de testpagina van tellertest.com bekijkt met Internet Explorer 6 dan zal het opvallen dat er rechtsonder in de balk een rood oogje verschijnt. Op dit oogje kun je dubbelklikken en dan krijg je een overzicht van privacygevoelige items op de webpagina inclusief een lijst van geaccepteerde en geblokkeerde cookies. Kun je het rode oog niet vinden, kies dan voor Beeld -> Privacyrapport. Ook onder Netscape 7 kun je zo'n privacyrapport aanvragen. De geblokkeerde cookies op de testpagina zijn allemaal indirecte cookies zonder compact privacybeleid. Je ziet als het goed is ook geaccepteerde indirecte cookies, en dat zijn dus de cookies die wel een compact privacybeleid hebben.

Wat is dan een compact privacybeleid? De korte uitleg is dat dit een klein bestandje is dat meegezonden wordt met de cookie, en waarin het privacybeleid van het bedrijf staat dat de cookie wil plaatsen. Het privacybeleid legt uit wat er aan gegevens verzameld wordt, wat er mee gebeurt, wie er toegang toe hebben, met andere woorden: hoe wordt er met je privacy omgegaan. Let er op, dat er in een privacybeleid ook kan staan, dat alle gevoelige gegevens op straat komen te liggen, dus de aanwezigheid van een privacybeleid betekent nog niet automatisch dat je persoonlijke gegevens in goede handen zijn!

De P3P standaard is opgesteld door het Platform for Privacy Preferences Project en is een standaard manier waarop web sites kunnen communiceren over beleid ten aanzien van gegevensverwerking. Een goede uitleg van Simpson Garfinkel en Lorrie Cranor staat op deze link. P3P bestaat uit een XML file die specificeert welke gegevens verzameld worden en hoe er mee wordt omgesprongen, plus een HTML file die in leesbare vorm dezelfde informatie verstrekt, en ook nog een compact privacybeleid als er gebruik wordt gemaakt van cookies. De XML file ligt standaard op /w3c/p3p.xml. Ook tellertest.com heeft een P3P policy; de XML file is http://tellertest.com/w3c/p3p.xml en de leesbare html file is http://tellertest.com/w3c/policy.html. Tellertest.com heeft geen compact privacybeleid, omdat we geen cookies plaatsen.

Een teller die vanaf jouw site een cookie plaatst, verstrekt altijd een indirecte cookie, want deze is afkomstig van een ander domein (uitgezonderd als je een teller hebt van je eigen webhosting provider). Dus moet de tellerfirma een compact privacybeleid hebben. En dat missen Checkstat, Go-West, BelStat, ProTracker, Stealth, WebStats, Web-Side.com, CQCounter, Gheos, HitStats (ICdirect), Hitometer, Jellycounter en WebTracker v2. En daarom worden hun cookies standaard niet geaccepteerd door Internet Explorer 6. Heb je één van deze tellers, dan kloppen dus waarschijnlijk de aantallen unieke en terugkerende bezoekers niet helemaal en nu weet je ook waarom.

Van de Nederlandse tellers hebben Nedstat en Onestat.com privacy statements die aan P3P voldoen, maar beiden gebruiken geen cookies voor de teller. Addfreestats, Bravenet en HitBox hebben een compact privacybeleid voor hun cookies.

Wil je zelf ook een P3P policy opstellen voor je site, dan kun je dat het makkelijkst met een gratis p3p-editor van IBM alphaWorks (tenzij je graag handmatig XML codeert ;). De developers van de tellers die in gebreke zijn gebleven zouden deze tool eigenlijk ook eens moeten downloaden en een P3P policy in elkaar zetten!