Webanalyse: Umami führt Zwei-Faktor-Login ein

Inhaltsverzeichnis close notice This article is also available in English. It was translated with technical assistance and editorially reviewed before publication. . Die Webanalyse-Software Umami erhält mit Version 3.3.0 eine Zwei-Faktor-Authentifizierung und verknüpft Sitzungen eines identifizierten Nutzers nun über mehrere Besuche und Geräte hinweg. Weitere Neuerungen sind Filter für Sitzungs- und Ereigniseigenschaften, kopierbare Dashboards, Mini-Diagramme in Tabellen sowie eine überarbeitete Absprungerkennung für Single-Page-Applications. Weiterlesen nach der Anzeige Umami ist eine quelloffene, datenschutzorientierte Alternative zu Google Analytics. Die Software lässt sich auf eigener Infrastruktur betreiben und erfasst unter anderem Seitenaufrufe, Events, Referrer und Sitzungsdaten. Seit Umami 3.0 setzt das Projekt ausschließlich auf PostgreSQL; zuletzt hatte Version 3.2 Heatmaps und erweiterte Auswertungen ergänzt. Zweiter Faktor auch für selbst gehostete Instanzen Die zentrale Neuerung von Umami 3.3.0 ist die Unterstützung für TOTP-basierte Zwei-Faktor-Authentifizierung. Nutzer können den zweiten Faktor per QR-Code oder manuell eingegebenem Schlüssel in einer Authenticator-App einrichten. Geht der zweite Faktor verloren, erzeugt Umami zehn einmal nutzbare Backup-Codes. Administratoren können die 2FA nicht nur global, sondern auch für einzelne Nutzer oder Teams erzwingen. Bei Bedarf können sie den zweiten Faktor zurücksetzen. Wiederholte Fehlversuche begrenzt die Anwendung per Rate Limit; nach fünf fehlgeschlagenen Eingaben sperrt Umami weitere Versuche für 15 Minuten. Weitere Informationen hierzu gibt es in der Dokumentation. Für selbst betriebene Installationen ist allerdings eine Konfigurationsanpassung nötig: Vor der Aktivierung muss der Betreiber den geheimen Konfigurationswert TWO_FACTOR_ENCRYPTION_KEY setzen. Umami verschlüsselt die gespeicherten 2FA-Geheimnisse damit per AES-256-GCM. Geht der Schlüssel verloren oder wird er ersetzt, lassen sich vorhandene 2FA-Registrierungen nicht mehr lesen; betroffene Nutzer müssen den zweiten Faktor erneut einrichten. Zusammengeführte Sitzungen und präzisere Filter Umami führt Sitzungen jetzt nachträglich zusammen, wenn eine Anwendung einen Besucher identifiziert. Das betrifft etwa Webanwendungen, die nach dem Login eine interne Nutzer-ID an den Tracker übergeben. Öffnet ein Nutzer die Anwendung später auf einem zweiten Gerät, kann Umami die Aktivitäten beider Sitzungen in einem gemeinsamen Profil anzeigen. Weiterlesen nach der Anzeige Die zugrunde liegenden Sitzungen bleiben dabei getrennt. Umami verknüpft sie über die sogenannte Distinct ID und zeigt im Profil die Zahl verknüpfter IDs an. Für Betreiber entsteht so ein vollständigerer Verlauf über mehrere Geräte und Besuche. Sie sollten allerdings weiterhin möglichst interne oder gehashte Kennungen statt E-Mail-Adressen verwenden, um unnötige personenbezogene Daten in der Analyse zu vermeiden. Neu sind zudem Filter nach Eigenschaften von Sitzungen und Events. Damit lassen sich etwa nur Sitzungen von Kunden eines bestimmten Tarifs oder nur Ereignisse mit einer bestimmten Feature-Flag-Ausprägung auswerten. Umami erzwingt eindeutige Einträge für Sitzungsdaten auf Datenbankebene und optimiert die Abfragen für Sitzungsaktivitäten. Dashboards kopieren, Trends schneller erkennen Die frei konfigurierbaren Dashboards, im Projekt „Boards“ genannt, lassen sich nun klonen. Teams können damit beispielsweise ein vorhandenes Conversion-Dashboard duplizieren und es für eine neue Kampagne oder ein weiteres Produkt anpassen, ohne alle Kacheln neu anzulegen. In den Tabellen für Websites, Links und Tracking-Pixel erscheinen außerdem Sparklines. Die kleinen Liniendiagramme zeigen direkt in der Tabelle den jüngsten Trend einer Kennzahl. Sie ersetzen keine ausführliche Zeitreihenanalyse, helfen aber dabei, auffällige Projekte schneller zu erkennen. Bereits Umami 3.1 hatte Boards als flexibel zusammenstellbare Ansichten für Diagramme, Tabellen und Kennzahlen eingeführt. Beim Anlegen einer neuen Webseite führt Umami nun durch die Einbindung des Tracking-Codes. Das soll Konfigurationsfehler beim ersten Setup vermeiden. Die überarbeitete Absprungerkennung zielt insbesondere auf Single-Page-Applications: Bei diesen Anwendungen wechseln Nutzer häufig Inhalte, ohne dass ein klassischer Seitenaufruf ausgelöst wird. Eine an herkömmlichen Pageviews orientierte Bounce-Rate kann das Verhalten daher falsch einordnen. Migration und Detailverbesserungen Das Update enthält Datenbankmigrationen für die Sitzungsverknüpfung, 2FA und überarbeitete Sitzungsdaten. Laut Release Notes führt Umami diese beim Build automatisch aus. Betreiber sollten dennoch vor dem Update Backups erstellen und insbesondere prüfen, ob die neue 2FA-Schlüsselvariable sicher hinterlegt ist. Daneben behebt Version 3.3.0 Sicherheits- und Bedienungsprobleme. Dazu zählen serverseitige Prüfungen für Website-Namen und Domains, gehärtete Löschvorgänge für Event-Daten sowie längere Mindestwerte für Freigabe-Links. Der Tracker ist nun in TypeScript umgesetzt und veröffentlicht passende Typdefinitionen. Auch Referrer-Verarbeitung, CORS-Unterstützung für recorder.js, internationale Zeichensätze sowie das Layout auf Mobilgeräten wurden nachgebessert. Umami aktualisiert außerdem Abhängigkeiten wie Next.js 16.3.0 und Prisma 7.9.1. Für bestehende Installationen dürfte der Hauptaufwand jedoch bei den Datenbankmigrationen und – falls gewünscht – bei der Einführung von 2FA liegen.