埋点与隐私：无 Cookie 站点怎么量 AI 流量

十月，一家做宠物智能用品的独立站把德国站接进了同意管理平台。上线第一周，分析后台里“来自 AI 助手”的会话从每天三位数掉到个位数，Direct 却涨了一截。增长负责人带着供应商的方案来开会：不用 Cookie，用设备指纹和设备图做跨会话识别，“照样能追到同一个人”。法务只问了一句：这件事的合法基础写在哪一页？会就散了。

无 Cookie 不等于无法度量；把问题从“跟踪同一个人”换成“数清每一次会话从哪来、走到哪”，服务器日志、referrer、自有落地页约定和聚合自报就够了，而指纹只是把合规风险换成一张更贵的报表。

为什么 AI 会话天生没有 ID

Cookie 和 client_id 能成立，靠三个前提：同一个浏览器、同一台设备、页面脚本能执行。AI 引荐恰好三样都打折。

第一，链接常在 AI 客户端的内置浏览器或新窗口里打开，存储不与主浏览器共享；买家也可能手机上看答案、电脑上再下单——同一个人，两条互不相识的会话。第二，买家拒绝同意时，前端拿不到可写的标识；同意模式下，未同意的会话通常只剩聚合值，个体级 ID 直接缺席。第三，AI 的检索与预览请求不执行脚本，日志里有请求，分析工具里没有会话。

三件事叠在一起，“没有 client_id”就被报表读成“没有来源”，AI 引荐系统性掉进 Direct。这不是埋点 bug，是口径假设错了：把“能持续识别的人”当成度量单位，而这里能稳定计量的单位是“一次落地会话”。

入口不同，丢失的方式也不同。聊天助手的链接、平台内 AI 的站内跳转、agent 的预检请求，落在日志里长得完全不一样，得先分清四个入口。

无 Cookie 还剩五个数据源

换成会话单位之后，可用信号不多，但够用。每个源都有它答不了的问题，别指望一个源补齐。

数据源	能回答	答不了	合规要点
服务器或 CDN 日志	哪个入口、落地哪一页、拿到什么状态	这个人后来买了什么	IP 属个人信息：截断、短保留、限权限
Referer	从哪个域名跳来	具体是哪个回答、哪个问题	只存域名，不存完整路径与查询串
自有落地页与查询串	哪篇内容、哪次投放带来会话	AI 正文里的裸链（你改不了）	只标记自己发出的链接
服务端订单字段	成交、退款、渠道归属	买家的身份拼图	只落渠道字段，不做身份合并
结账后单题自报	买家主观上从哪知道	精确比例	聚合报告、最小样本门槛、不导出个体

第二行最容易被高估。Referer 能告诉你“从某个 AI 域名来”，却给不了回答内容；想知道 AI 说了什么，得回到固定 prompt 的采样，那是另一套方法，见AI 可见度的四层指标。

第四行决定这张表能不能对上钱。渠道字段必须在订单创建时由服务端写入，不能等前端补；前端补的那一次，往往就是同意被拒的那一次。

五步：从口径到区间报表

前两步决定“有没有数”，后三步决定“数能不能用”。

步骤	做什么	谁来做	怎么算过
1 定问题与合法基础	只回答“哪个入口带来多少会话与订单”，写清目的、保留期、谁能看	增长 + 法务	一页处理记录，法务签字
2 改采集	服务端优先、第一方域名、IP 截断、referrer 只留域名	工程	关掉 JS 与 Cookie，渠道字段仍能落库
3 建渠道字典	固定命名（如 ai-assistant、ai-search、unknown），与自报选项一一对应	数据 + 增长	两人按字典标注同一批日志，结果一致
4 出区间	点估计旁写“未知占比”，用抽样自报估区间	数据	报表能回答“最好与最坏各是多少”
5 月度复核	新入口只加字典、不改历史；季度重验 referrer 行为	增长	每月同口径可对比

第 3 步是多数团队漏掉的。渠道名一旦随手写，三个月后没人说得清 ai-chatgpt 和 chatgpt-referral 是不是一个东西；改名时历史数据就断了。

第 2 步的验收方式很土但有效：开无痕窗口、拒绝全部同意、从外部链接点进来，看订单上有没有渠道字段。落不下来，说明这套采集仍然挂在客户端。

示例：把未知会话拆成区间

以下数字均为虚构，只演示算法，不代表任何真实站点。

一个月 12,000 次落地会话。日志里能读出 referrer 的 4,800 次，其中来自 AI 域名的 600 次；剩下 7,200 次既无 referrer 也非站内跳转，报表默认叫它 Direct。如果就此收工，结论是“AI 占 5%”——这个数一定偏低。

补一步：结账后单题抽样 400 份，18% 选“AI 助手或 AI 搜索的答案”。买家样本偏向成交者，不能直接外推到全部会话，所以不给点估计：把 18% 左右各放宽一档，按 10%–20% 套到 7,200 次未知会话上，得到 720–1,440 次。加上可识别的 600 次，AI 会话落在 1,320–2,040 次，占 11%–17%。报表写“11%–17%（含估计）”，同时单列“可识别 5%”。

订单侧同理：95 单里 22 单挂了 AI 渠道字段，另有 8 单来自自报“AI 助手”，但这 8 单可能与前者重复，所以只报“22–30 单”，不报一个点。

这样报的好处是：没人能拿一个假精确的数去要预算，也没人能一句“AI 没效果”把账翻过去——区间、未知占比、样本量都摆在桌上。

边界：什么时候别这么做

平台内为主。 亚马逊、TikTok Shop 不给 access log，只有平台自己的报表；硬套这套方法，得到的是编出来的数。

量太小。 一个月几十单，任何比例都是噪声，先做定性访谈，别做看板。

靠再营销与跨设备频控的业务。 没有 ID 会真实伤害投放效率；这是取舍，不是技术问题，先算清代价再决定，不要假装没有成本。

法律环境不同。 本文不是法律意见。同意、目的限定、保留期、跨境传输各自的写法不同，别把“上了 CMP”当成合规。

设备指纹与概率匹配。 不做。它把不可解释的识别塞进报表，浏览器在对抗、监管会问、买家听不懂；一旦被质疑，整张报表都不可信。

AI 客户端行为会变。 Referer 与 UA 随时调整，渠道字典和采集口径要按季度重验，别把一次配置当成永久事实。

还有一层：无 Cookie 度量只解决“量得准”，不解决“值不值得”，增量要靠实验，见增量实验。而所有信号的前提是页面被引用、链接被点开；页面写不清，连可点的链接都没有，写法见答案单元。这条线上的其他文章在技术底座主题页。

这个月先做一件事：拉出过去 30 天的落地会话，按“可识别 referrer”和“无 referrer”分成两列，给后者单独建一个渠道名，不再并进 Direct；同时在结账后加一道单选题。下个月你就有第一个区间，而不是一句“AI 好像有效”。