Confidentialité et masquage
Ce que sessio enregistre, ce qu'il masque, et comment exclure des zones de vos pages.
#Masqué par défaut
- Tous les champs de formulaire sont masqués dans les replays : on voit qu'un champ est rempli, pas ce qui y est tapé.
- Les robots (navigateurs pilotés, moteurs d'indexation) ne sont pas enregistrés du tout.
- Le contenu des requêtes (payloads, réponses, en-têtes) n'est enregistré que si vous l'activez pour le site.
#Exclure une zone de la page
Deux classes CSS, à poser sur n'importe quel élément :
| Classe | Effet dans le replay |
|---|---|
sessio-block |
L'élément est remplacé par un bloc vide de même taille. Son contenu n'est jamais enregistré. |
sessio-ignore |
Les saisies dans ce champ ne sont pas enregistrées du tout. |
<div class="sessio-block">
Numéro de sécurité sociale : 1 85 05 …
</div>#Le contenu des requêtes
Une fois Contenu des requêtes activé sur le site, le replay montre les en-têtes, le corps envoyé et la réponse de chaque fetch et XMLHttpRequest. Avant de quitter le navigateur, le tracker retire les vrais secrets :
| Ce qui est masqué | Exemples |
|---|---|
| Clés évoquant un secret | password, user_password, pwd, secret, access_token, refresh_token, api_key, cvv, card_number, iban |
| En-têtes sensibles | Authorization, Cookie, Set-Cookie, X-Api-Key |
| Dans le texte libre | Jetons Bearer …, numéros de carte (vérifiés par la clé de Luhn) |
Le reste reste lisible, pour pouvoir déboguer : session_id, horodatages, identifiants de commande…
Quand l'option est désactivée, le contenu est retiré dans le navigateur, avant l'envoi : il ne transite jamais par le réseau.
#Limites
Un corps est coupé au-delà de 100 Ko, et le contenu d'une page au-delà de 4 Mo. Les réponses non textuelles (images, fichiers) ne sont pas lues.
#Identification et données personnelles
Par défaut, le tracker identifie automatiquement l'utilisateur connecté : il lit dans le stockage du navigateur et les cookies son email, son nom d'utilisateur ou son nom, et l'affiche dans votre dashboard. Ce sont des données personnelles, dont vous êtes responsable vis-à-vis de vos visiteurs. En installant sessio, vous vous engagez à :
- informer vos utilisateurs dans la politique de confidentialité de votre site que leurs visites sont enregistrées et rattachées à leur compte (email ou nom), par sessio, à des fins d'analyse et d'amélioration du service ;
- recueillir leur consentement quand votre juridiction l'exige, en chargeant le snippet seulement après leur accord ;
- couper l'identification (
autoIdentify: false) si vous n'avez pas de base légale pour rattacher les visites à une personne.
Mots de passe et jetons de connexion ne sont jamais lus.
#Consentement
Sessio n'utilise pas ses données pour de la publicité et ne les partage avec personne. Selon votre juridiction et l'usage que vous en faites, l'enregistrement de sessions peut néanmoins demander le consentement de vos visiteurs : chargez le snippet après leur accord si c'est votre cas.