GoatCounter
GoatCounter es una herramienta de analítica web de código abierto orientada a la privacidad, creada por Martin Tournoij. La versión alojada es gratuita para uso no comercial y la versión EUPL auto alojada ofrece control total. GoatCounter es deliberadamente minimalista: sin cookies, sin identificadores persistentes, sin rastreo de IP y sin fingerprinting. El servicio alojado corre en infraestructura UE. En configuración por defecto suele encajar en la exención de analítica de la CNIL.
¿Qué hace GoatCounter?
Que es GoatCounter
GoatCounter es una herramienta de analítica web de código abierto orientada a la privacidad, creada por el desarrollador neerlandés Martin Tournoij, residente actualmente en Irlanda. Se distribuye bajo licencia EUPL 1.2 y esta disponible como servicio alojado (gratis para uso no comercial hasta 100k vistas de página al mes, de pago por encima o para uso comercial) o como version auto alojada en un binario único escrito en Go. GoatCounter es intencionalmente minimalista: cuenta vistas de página y produce estadísticas agregadas, sin pretender competir con Google Analytics en amplitud funcional. La sobriedad es deliberada y constituye la base de su arquitectura orientada a la privacidad.
Que datos recoge GoatCounter
Por cada vista de página, GoatCounter recibe la URL, el document referrer, el user agent (parseado en navegador y OS), el tamaño de pantalla y la IP del visitante. La IP se hashea inmediatamente server side con una sal que rota cada 8 horas; el hash sirve para contar visitantes únicos en esa ventana y luego deja de ser reversible. No se coloca ninguna cookie. No se guarda ningún identificador persistente en el dispositivo ni en el servidor. No hay fingerprinting. La salida es un dashboard agregado de vistas, referrers, navegadores, países (geolocalización por IP antes del hash) y dispositivos.
Implicaciones RGPD y ePrivacy
Como no se colocan cookies y no se almacena ni recupera información del terminal del visitante, el artículo 5(3) de ePrivacy no se aplica a GoatCounter. Bajo el RGPD, la base jurídica es el interés legítimo del artículo 6(1)(f) para operar la web y entender el tráfico agregado. La deliberación CNIL 2020-091 lista las analíticas que cumplen ciertos criterios (sin cookies, sin identificador entre sitios, salida agregada, residencia UE) como exentas de consentimiento previo; GoatCounter cumple esos criterios en configuración por defecto.
Auto alojado vs alojado
El servicio alojado de GoatCounter corre en infraestructura UE (Alemania) bajo control del autor. La version auto alojada es un binario único que el operador ejecuta en su propia infraestructura (Linux, contenedor, VPS). El auto alojamiento ofrece control total sobre residencia, retención y respuesta a incidentes. Para operadores con requisitos estrictos de residencia o soberanía, el auto alojamiento en infraestructura UE es una opción robusta. Las instalaciones auto alojadas deben respaldarse periódicamente y actualizarse para recibir parches de seguridad.
Implicaciones para el banner de cookies
GoatCounter no necesita aparecer en el banner de cookies porque no coloca cookies. Algunos operadores eligen mencionarlo en la política de privacidad por transparencia, aunque no sea técnicamente necesario. Los operadores que usan GoatCounter solo (sin Google Analytics, Meta Pixel u otros trackers con consentimiento) pueden, en muchos casos, prescindir por completo del banner de cookies, mejorando UX y conversion.
Pasos prácticos
Usar GoatCounter en configuración por defecto (sin recogida de IP, sin cookies) para permanecer en la exención CNIL. Documentarlo en el registro de tratamientos bajo interés legítimo para seguridad y estadísticas. Mencionar GoatCounter en la política de privacidad con las categorías de datos (URL, referrer, user agent, país, tamaño de pantalla) y la base jurídica. Respetar la señal Do Not Track como hace GoatCounter por defecto. Configurar el filtro de vistas para excluir URLs administrativas si es necesario. No combinar GoatCounter con identificadores entre sitios u otras herramientas de rastreo sin aceptar las obligaciones de consentimiento que ello conllevaria.
GoatCounter y el RGPD
- Base jurídica
- Legitimate interest (GDPR Art. 6(1)(f)) for the aggregated visit statistics. Because no cookies are set and no persistent identifiers are stored, ePrivacy Directive Art. 5(3) does not apply. The CNIL accepts cookieless analytics tools with similar designs as exempt from prior consent under its 2020 deliberation.
- Nivel de riesgo
- low
- Normativa aplicable
- GDPR, ePrivacy Directive (Art. 5(3) exemption), French CNIL deliberation 2020-091 on analytics exemption criteria, German TTDSG
Evaluación de impacto (EIPD)
GoatCounter tiene por diseño implicaciones EIPD mínimas: (1) sin cookies; (2) sin identificador persistente de visitante; (3) las IPs se hashean server side con sal rotativa de 8 horas para el conteo diario de únicos y luego son irreversibles; (4) datos alojados en la Unión Europea; (5) solo se producen estadísticas agregadas (vistas de página, referrers, país, navegador, tamaño de pantalla). La CNIL acepta este diseño en su exención de analítica (deliberación 2020-091), siempre que el operador no combine GoatCounter con otros productos de rastreo. Una EIPD no suele ser necesaria.
Texto de ejemplo para su banner
Utilizamos GoatCounter (operado desde la Unión Europea) para contar visitas y entender que páginas son populares. GoatCounter no coloca cookies en su dispositivo, no almacena su dirección IP (se hashea brevemente para el conteo diario de únicos y luego se descarta) y no le rastrea entre sesiones ni entre sitios. Recogemos solo estadísticas agregadas bajo nuestro interés legítimo. No se requiere consentimiento; puede señalar opt out con la señal Do Not Track de su navegador, que respetamos.
Lo que GoatCounter instala y contacta
- Método de seguimiento
- Privacy friendly web analytics. GoatCounter loads a small JavaScript snippet (count.js, around 4 KB) that fires one POST request per page view to the GoatCounter backend. By design, it does not set any cookie, does not track visitors across sessions with a persistent identifier, does not collect IP addresses (they are hashed server side with a daily rotating salt for 8 hour unique visitor counting), and does not use fingerprinting. Open source under the EUPL 1.2 licence.
- Ubicación de los servidores
- European Union. The hosted GoatCounter service runs on servers in Germany operated by GoatCounter's author. Self hosted GoatCounter installations run wherever the operator chooses (typically EU based VPS providers).
- Modo sin cookies disponible
- Sí
Preguntas frecuentes sobre GoatCounter
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Coloca GoatCounter cookies?
No. GoatCounter no coloca cookies en el dispositivo del visitante. Es una decisión de diseño deliberada y la razón principal por la que se beneficia de la exención analítica de la CNIL.
¿Hace falta consentimiento para GoatCounter?
No. Como GoatCounter no almacena ni recupera información del terminal del visitante, el artículo 5(3) de ePrivacy no se aplica. La deliberación CNIL 2020-091 acepta como exentas de consentimiento las herramientas de analítica que cumplan ciertos criterios (sin cookies, sin identificador entre sitios, salida agregada, residencia UE) y GoatCounter los cumple en configuración por defecto.
¿Cuál es la base jurídica del tratamiento de GoatCounter?
Interés legítimo del artículo 6(1)(f) del RGPD para operar la web y entender el tráfico agregado. La dirección IP se procesa brevemente bajo esta base para calcular el hash diario de conteo de únicos.
¿Transfiere GoatCounter datos a Estados Unidos?
No. El servicio alojado corre en infraestructura UE (Alemania). Las instalaciones auto alojadas están bajo control del operador. El autor se ha comprometido públicamente a mantener todos los datos alojados en la UE.
¿Necesito una EIPD para GoatCounter?
No, una EIPD no suele ser necesaria. La arquitectura privacy by design (sin cookies, sin identificador persistente, residencia UE, salida agregada) lo mantiene muy por debajo del umbral de alto riesgo del artículo 35 del RGPD.
¿Cómo implemento GoatCounter correctamente?
Usar la configuración por defecto con la recogida de IP desactivada y el snippet count.js estándar. Documentarlo en el registro de tratamientos bajo interés legítimo. Mencionar GoatCounter en la política de privacidad con las categorías de datos y la base jurídica. Respetar Do Not Track. Configurar filtros de vistas para URLs administrativas si es necesario. No combinar GoatCounter con identificadores entre sitios u otro rastreo que anule las garantías de privacidad.
¿Qué alternativas hay a GoatCounter?
Otras herramientas de analítica orientadas a la privacidad: Plausible (Estonia), Simple Analytics (Países Bajos), Fathom (Canadá), Pirsch (Alemania), Umami (código abierto, US), Open Web Analytics (código abierto, auto alojada), Matomo (Francia, auto alojada o cloud UE) y Cabin (Canadá). Las opciones UE como Plausible, Simple Analytics y Pirsch comparten la postura de privacidad de GoatCounter.
¿Cómo actualizo la política de cookies o de privacidad?
GoatCounter no necesita aparecer en el banner de cookies porque no coloca cookies. En la política de privacidad, mencionarlo como encargado del tratamiento (o como infraestructura auto alojada) con las categorías de datos (URL, referrer, user agent, país, tamaño de pantalla), la base jurídica (interés legítimo), el plazo de conservación y la ubicación UE. No se requiere mecanismo de retirada, pero Do Not Track se respeta automáticamente.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.