IP-tracking: wat een IP-adres over bezoekers verklapt

„IP-tracking“ klinkt als bewaking. In werkelijkheid verraadt een IP-adres minder dan velen denken. Tegelijk verraadt het meer dan sommige websitebeheerders weten. Dit artikel ordent welke gegevens zich betrouwbaar uit een adres laten afleiden, welke slechts geschat zijn en welke helemaal niet.

Wat een IP-adres is

Elk apparaat dat op internet een website opvraagt, stuurt zijn verzoek vanaf een IP-adres. De website heeft dit adres nodig om het antwoord terug te sturen. Daarom kent elke server het adres van elke bezoeker, helemaal zonder cookie of script.

Het adres is echter zelden van het apparaat alleen. Op kantoor delen vaak honderden computers naar buiten één adres. Thuis deelt het hele huishouden er één. In mobiele netwerken delen vaak veel klanten tegelijk een adres.

Wat zich betrouwbaar laat aflezen

De netwerkhouder. Elk adres hoort bij een adresbereik dat in het openbare register aan een organisatie is toegewezen. Dat kan een internetaanbieder, een datacenter, een hogeschool of een bedrijf zijn. Hoe u dat zelf opzoekt, staat in Van wie is het IP-adres? Zo vindt u de eigenaar.

De soort netwerk. Uit de netwerkhouder volgt of het bezoek kwam uit een bedrijfsnetwerk, een particuliere aansluiting, een mobiel netwerk of een datacenter. Datacenters zijn vaak een aanwijzing voor bots, VPN-diensten of clouddiensten.

Het land van de vermelding. Het register noemt een land. Meestal komt het overeen met de locatie, bij internationale bedrijven en VPN-diensten echter niet.

Wat slechts wordt geschat

Stad en regio. Diensten voor geolocatie schatten de plaats uit databases, metingen en opgaven van aanbieders. Op landniveau zijn ze meestal betrouwbaar. Bij de stad zitten ze er vaak naast, in mobiele netwerken vaak honderden kilometers, omdat het adres daar bij de overgang naar het internet wordt toegekend en niet bij de mast.

Het bedrijf achter een aansluiting van een internetaanbieder. Kleine bedrijven hebben vaak een aansluiting met wisselend adres. In het register staat dan de aanbieder. Sommige hulpmiddelen schatten het bedrijf toch, bijvoorbeeld via gekochte databases of via de hostnaam van het adres. Zulke toewijzingen verouderen snel als de aanbieder het adres opnieuw toekent.

Wat een IP-adres niet verraadt

• Geen naam. Wie een aansluiting had, weet alleen de aanbieder. Die geeft dat alleen aan autoriteiten of op rechterlijk bevel vrij.
• Geen woonadres. Ook een nauwkeurige geolocatie toont hooguit een plaats, nooit een huis.
• Geen bepaald apparaat. Achter een adres kunnen veel apparaten staan. Omgekeerd wisselt een apparaat van adres zodra het van netwerk wisselt.

Wie meer wil, dus herkennen welke mens een pagina bezoekt, heeft daarvoor andere middelen nodig zoals cookies, aanmelding of fingerprinting. Dat is in de EU zonder toestemming van de bezoeker in de regel ontoelaatbaar.

IPv4 en IPv6: een belangrijk verschil

Bij IPv4 zijn adressen schaars en worden ze gedeeld. Bij IPv6 krijgt een aansluiting meestal een eigen adresbereik, vaak langere tijd hetzelfde. Daardoor kan een IPv6-adres een huishouden nauwkeuriger afbakenen dan een IPv4-adres. Privacyfuncties van besturingssystemen wisselen daarom regelmatig het achterste deel van het adres. Wie adressen analyseert, moet bij IPv6 alleen het voorste deel bekijken, dat bij het netwerk hoort.

Wat dat betekent voor websitebeheerders

Elke webserver registreert IP-adressen, vaak zonder dat de beheerder het weet. Voor de AVG geldt het IP-adres in veel gevallen als persoonsgegeven. De indeling staat in IP-adres en AVG: is het een persoonsgegeven?.

Drie eenvoudige regels helpen:

1. Alleen zo lang opslaan als nodig. Voor foutopsporing en afweer van aanvallen volstaan vaak enkele dagen.
2. Inkorten waar het kan. Voor statistieken volstaat meestal het netwerkaandeel.
3. Open beschrijven. In de privacyverklaring staat welke diensten adressen verwerken en waarvoor.

Bezoekersherkenning gebruikt precies één deel van het adres: de netwerkhouder. Een voorbeeld van dit principe, waarbij het adres na de opvraag wordt weggegooid, beschrijft Hoe werkt bedrijfsherkenning? Techniek in 6 stappen. Wie uit welke netwerken in beginsel onzichtbaar blijft, laat Thuiswerken, VPN en mobiel netwerk: wie u niet ziet zien.

Veelgestelde vragen

Kan men met een IP-adres iemand lokaliseren? Grof, op land- en soms regioniveau. Een woonadres laat zich niet afleiden.

Wat tonen „IP-tracker“-links? Zulke links registreren het adres bij de klik. Ze tonen daarna dezelfde gegevens als hierboven, dus netwerkhouder en geschatte plaats. Wie ze zonder medeweten van anderen inzet, verwerkt persoonsgegevens zonder rechtsgrond.

Ziet mijn website welk bedrijf mij bezoekt? Alleen als het bezoek uit een netwerk komt dat in het register op het bedrijf is geregistreerd. Hoe vaak dat het geval is, legt Welke bedrijven bezoeken mijn website? 3 wegen in overzicht uit.