De grens die we niet verbergen
Elke publieke pagina stuurt een Content-Security-Policy die scripts alleen van de eigen oorsprong toelaat. Dat is een bewuste keuze voor snelheid en privacy, en ze heeft een prijs.
Google Tag Manager, de Google Ads-conversietag, Meta Pixel, de LinkedIn Insight Tag, Hotjar en Microsoft Clarity kunnen hier niet laden: de browser blokkeert ze voordat ze iets kunnen meten. De enige externe inhoud die wel mag, zijn video’s via de privacyvriendelijke inbedding van YouTube en Vimeo. Er is ook geen achterdeur: geen veld voor eigen HTML, geen plek voor een stukje code in de <head>, geen lijst met toegestane scripts, geen instelling die de regel per site opheft. Het enige aanpasbare stuk code is CSS, en dat wordt gecontroleerd en afgeschermd.
Het gevolg: geen doelgroepen opbouwen voor later hergebruik, en geen meten over meerdere sessies of toestellen heen — de statistieken hashen met een dagelijks wisselend zout, zodat er bewust geen blijvende bezoekers-ID bestaat. A/B-testen en personalisatie bestaan hier niet. Geen server-naar-server doorgifte van conversies, geen offline-conversies importeren in Google Ads, en geen uitgaande webhooks. Een bestelling in de webshopmodule telt mee als een gebeurtenis met een aantal artikelen, niet met een bedrag — dus geen omzet terugrekenen naar een bron. Een koppeling met een CRM bestaat niet.
Werkt jouw rapportage vandaag op de conversiemetingen van Google Ads of op remarketingdoelgroepen in Meta, dan mist dat hier. Draait je werk vooral op de organische kant — techniek, structuur, snelheid, inhoud — dan is dit net het fundament waar je op verder bouwt.