#JS и PHP трекер по токену

Статус: Доступно.

Назначение: минимальный способ учитывать посещения на любом сайте без модуля: один тег <script> либо серверная отправка из PHP. Передаются путь, источник и UTM; роботов видит только серверный вариант.

#Содержание

1. Когда использовать
2. Доступ
3. JS-тег
4. Серверный вариант (PHP)
5. Запрос POST /api/v1/track/visit
6. Ответы
7. Пределы
8. Что записывается
9. Чего трекер не делает
10. Проверка
11. Открытые вопросы

#Когда использовать

#Доступ

#JS-тег

<script async src="https://formula-cream.pro/api/v1/track/js?t=0123456789abcdef0123456789abcdef"></script>

Замените домен на адрес вашей ячейки: RU https://formula-cream.pro, EN https://wfacademy.org, ID https://wfacademy.id. Токен выдаёт кабинет.

#Параметры GET /api/v1/track/js

#Ответ

Наличие токена в базе при отдаче скрипта не проверяется: проверяет приёмник хитов.

#Что отправляет скрипт

Один запрос на загрузку страницы через navigator.sendBeacon (Blob text/plain), запасной путь — fetch в режиме no-cors с keepalive.

{
  "t": "0123456789abcdef0123456789abcdef",
  "kind": "js",
  "path": "/blog/emulsions",
  "host": "example.ru",
  "ref": "https://www.google.com/",
  "utm": { "source": "newsletter", "medium": "email", "campaign": "october" }
}

#Серверный вариант (PHP)

Вставляется в init.php Bitrix (или начало любого PHP-приложения). Исходник выдаёт GET /api/v1/track/php?t=<токен>.

Что делает фрагмент: после обработки запроса отправляет хит с параметрами и не задерживает страницу — неблокирующий curl_multi с подключением 150 мс и общим таймаутом 200 мс.

Хит не отправляется, если:

• скрипт запущен из CLI;
• путь начинается с /bitrix, upload или local/templates;
• запрос — статический файл (по расширению);
• запрос ajax (X-Requested-With);
• метод не GET;
• Accept не содержит text/html или */*.

Отключить на время: добавьте define('SAPPORT_TRACKER_DISABLED', true); выше вставленного блока.

IP посетителя берётся из первого элемента X-Forwarded-For (если заголовок есть), иначе из REMOTE_ADDR. Если сайт доступен напрямую, заголовок может подделать посетитель: ставьте сервер за доверенным прокси.

#Запрос POST /api/v1/track/visit

Приёмник общий для JS-тега, PHP-кода и подписанного маячка модулей. Подпись для модулей описана в протоколе коннектора; для токена подпись не нужна.

Заголовки: Content-Type: application/json (допустим и text/plain, как у sendBeacon). CORS: *.

#Тело запроса

Тело — не более 8192 байт; больше — ответ 204 без записи.

curl -i -X POST 'https://formula-cream.pro/api/v1/track/visit' \
  -H 'Content-Type: application/json' \
  -d '{"t":"0123456789abcdef0123456789abcdef","kind":"js","path":"/blog/emulsions","host":"example.ru","ref":"","utm":{"source":"newsletter"}}'

#Ответы

Успешный приём и большинство отказов выглядят одинаково — 204 без тела, чтобы нельзя было подбирать токены.

Ошибки не возвращают application/problem+json: это отдельный приёмник счётчика, а не часть публичного API (см. Соглашения API для серверного API).

#Пределы

Квота и пределы считаются в памяти процесса: при нескольких процессах эффективный предел мягче номинального.

Хиты хранятся 180 дней.

#Что записывается

#Классификация

• Бот определяется по User-Agent по закрытому списку семейств. Неизвестный бот считается человеком.
• ИИ-ассистент определяется по суффиксу хоста реферера. У ботов реферер ИИ не учитывается.

Просто ya.ru — не Алиса: переход с него не помечается как ИИ.

#Чего трекер не делает

• SPA: учитывается загрузка страницы, а не смена адреса через History API.
• События: нет track('purchase'), кнопок и форм. Для этого предназначен API событий (Планируется).
• Сессии и посетители: нет идентификатора сессии, cookies и localStorage. «Уникальных посетителей» оценивает облако по хешам IP и User-Agent за день.
• UTM: только source, medium, campaign. Поля utm_content и utm_term не передаются.
• Роботы по JS-тегу: боты JS не исполняют, их видит только серверный вариант.
• Согласие: JS-тег не ждёт согласия и не управляется window.sapport.consent. Если для вашей юрисдикции нужно согласие, подключайте тег после него или используйте загрузчик.

#Проверка

1. Откройте страницу; во вкладке «Сеть» найдите запрос track/js?t=… (200) и затем track/visit.
2. Ответ 204 не означает, что хит записан (см. таблицу ответов); проверьте счётчик в кабинете «Продвижение → Обзор».
3. Для PHP: curl -A "Googlebot" https://ваш-сайт/ — в «ИИ-ассистенты и роботы» появится заход бота.

#Открытые вопросы

1. Техническое. В комментариях кода приёмника сказано «ответ всегда 204» и приведены пределы «~60/мин по адресу и ~600/мин по токену»; фактические значения иные (токен-бакеты, коды 429/403/500). Страница описывает фактическое поведение; комментарии в коде стоит поправить.
2. Техническое. Квота и пределы живут в памяти процесса — нужна ли общая (Redis) квота для публичных гарантий.
3. Техническое. Единица «посетитель» невозможна в режиме anonymous серверного маячка: в публичном API visitors в этом режиме равно null (Чтение аналитики).