// HEISE ONLINE — HARDWARE & GADGET
Webanalyse: Umami führt Zwei-Faktor-Login ein
Umami führt in Version 3.3.0 eine 2FA ein und verknüpft Nutzersitzungen über Geräte hinweg. Hinzu kommen Filter, kopierbare Dashboards und mehr.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Die Webanalyse-Software Umami erhält mit Version 3.3.0 eine Zwei-Faktor-Authentifizierung und verknüpft Sitzungen eines identifizierten Nutzers nun über mehrere Besuche und Geräte hinweg. Weitere Neuerungen sind Filter für Sitzungs- und Ereigniseigenschaften, kopierbare Dashboards, Mini-Diagramme in Tabellen sowie eine überarbeitete Absprungerkennung für Single-Page-Applications.
Umami ist eine quelloffene, datenschutzorientierte Alternative zu Google Analytics. Die Software lässt sich auf eigener Infrastruktur betreiben und erfasst unter anderem Seitenaufrufe, Events, Referrer und Sitzungsdaten. Seit Umami 3.0 setzt das Projekt ausschließlich auf PostgreSQL; zuletzt hatte Version 3.2 Heatmaps und erweiterte Auswertungen ergänzt.
Die zentrale Neuerung von Umami 3.3.0 ist die Unterstützung für TOTP-basierte Zwei-Faktor-Authentifizierung. Nutzer können den zweiten Faktor per QR-Code oder manuell eingegebenem Schlüssel in einer Authenticator-App einrichten. Geht der zweite Faktor verloren, erzeugt Umami zehn einmal nutzbare Backup-Codes.
Administratoren können die 2FA nicht nur global, sondern auch für einzelne Nutzer oder Teams erzwingen. Bei Bedarf können sie den zweiten Faktor zurücksetzen. Wiederholte Fehlversuche begrenzt die Anwendung per Rate Limit; nach fünf fehlgeschlagenen Eingaben sperrt Umami weitere Versuche für 15 Minuten. Weitere Informationen hierzu gibt es in der Dokumentation.
Für selbst betriebene Installationen ist allerdings eine Konfigurationsanpassung nötig: Vor der Aktivierung muss der Betreiber den geheimen Konfigurationswert TWO_FACTOR_ENCRYPTION_KEY setzen. Umami verschlüsselt die gespeicherten 2FA-Geheimnisse damit per AES-256-GCM. Geht der Schlüssel verloren oder wird er ersetzt, lassen sich vorhandene 2FA-Registrierungen nicht mehr lesen; betroffene Nutzer müssen den zweiten Faktor erneut einrichten.
Umami führt Sitzungen jetzt nachträglich zusammen, wenn eine Anwendung einen Besucher identifiziert. Das betrifft etwa Webanwendungen, die nach dem Login eine interne Nutzer-ID an den Tracker übergeben. Öffnet ein Nutzer die Anwendung später auf einem zweiten Gerät, kann Umami die Aktivitäten beider Sitzungen in einem gemeinsamen Profil anzeigen.
Die zugrunde liegenden Sitzungen bleiben dabei getrennt. Umami verknüpft sie über die sogenannte Distinct ID und zeigt im Profil die Zahl verknüpfter IDs an. Für Betreiber entsteht so ein vollständigerer Verlauf über mehrere Geräte und Besuche. Sie sollten allerdings weiterhin möglichst interne oder gehashte Kennungen statt E-Mail-Adressen verwenden, um unnötige personenbezogene Daten in der Analyse zu vermeiden.
Neu sind zudem Filter nach Eigenschaften von Sitzungen und Events. Damit lassen sich etwa nur Sitzungen von Kunden eines bestimmten Tarifs oder nur Ereignisse mit einer bestimmten Feature-Flag-Ausprägung auswerten. Umami erzwingt eindeutige Einträge für Sitzungsdaten auf Datenbankebene und optimiert die Abfragen für Sitzungsaktivitäten.