Crazy Egg vs OpenReplay nel 2026: chi conserva le registrazioni dei vostri visitatori
Nel novembre 2017 i ricercatori del Center for Information Technology Policy dell'Università di Princeton pubblicarono uno studio che avrebbe dovuto cambiare il modo in cui il web tratta la registrazione delle sessioni. Esaminando i siti più visitati, scoprirono che 482 dei primi 50.000 utilizzavano script di session replay e che diversi di questi script catturavano molto più dei movimenti del mouse: password, dettagli medici e numeri parziali di carte di pagamento venivano in alcuni casi inviati a server di terze parti prima che avvenisse qualsiasi mascheramento. Quasi un decennio dopo, la registrazione delle sessioni è più diffusa che mai e la domanda centrale sollevata da quello studio resta senza risposta sulla maggior parte dei siti: chi detiene le registrazioni, dove, e secondo le regole di quale governo? Crazy Egg e OpenReplay, i due strumenti messi a confronto qui, danno risposte radicalmente diverse. Il primo centralizza le registrazioni nel proprio cloud statunitense. Il secondo vi consente di far funzionare l'intero sistema su un server scelto da voi, in una democrazia scelta da voi. Per un'azienda europea che si rivolge ai consumatori, questa differenza non è più una preferenza tecnica. È una decisione sulla filiera democratica dei dati dei vostri visitatori.
Perché l'origine democratica conta nei software di registrazione delle sessioni
Gli strumenti di registrazione delle sessioni ricostruiscono, fotogramma per fotogramma, ciò che un visitatore ha fatto su un sito. Anche con un mascheramento accurato, le registrazioni rivelano abitudini di navigazione, interessi per i prodotti, esitazioni sulle pagine dei prezzi e talvolta frammenti di testo che non avrebbero mai dovuto essere catturati. A differenza di un semplice contatore di pagine viste, si tratta di dati comportamentali con un reale grado di intimità. L'ambiente giuridico in cui vengono conservati determina se tale intimità è protetta. Nelle democrazie piene, i dati detenuti dalle aziende sono soggetti a mandati, controllo giurisdizionale e autorità indipendenti per la protezione dei dati. Nei sistemi autoritari, le agenzie statali possono pretendere l'accesso senza alcuna supervisione, e le aziende non possono né rifiutare né rendere pubblica la richiesta. Democratic Market valuta quindi i software di session replay soprattutto attraverso due domande: in quale Paese ha sede la società che controlla il fornitore, e in quale Paese vengono conservate le registrazioni? Gli Stati Uniti, sede di Crazy Egg e dell'entità societaria di OpenReplay, ottengono 7,85 nell'indice di democrazia dell'EIU. La Germania, località molto scelta per le installazioni europee in proprio, ottiene 8,58. La Danimarca, patria dello strumento concorrente Mouseflow, arriva a 9,28. La Russia, dove Webvisor di Yandex conserva le sue registrazioni, si ferma a 2,22. Per le aziende italiane si aggiunge un profilo specifico: registrare l'attività dei dipendenti in applicazioni web interne ricade nei limiti dell'articolo 4 dello Statuto dei lavoratori.
Crazy Egg: il pioniere statunitense della mappa di calore visiva
Crazy Egg è stata fondata nel 2005 da Neil Patel e Hiten Shah, due delle figure più note del growth marketing americano, e le si attribuisce spesso il merito di aver portato le mappe di calore dei clic nel mainstream anni prima che la categoria diventasse affollata. Il prodotto si è evoluto in una suite di analisi visiva: mappe di calore dei clic, mappe di scorrimento, un rapporto «coriandoli» che segmenta i clic per sorgente di traffico, una vista in sovrimpressione che conta i clic per elemento, registrazioni delle sessioni, test A/B, sondaggi e tracciamento degli errori. Il suo punto di forza è l'accessibilità. Chi si occupa di marketing può installare uno snippet e, nel giro di un giorno, vedere quali parti di una landing page attirano l'attenzione, senza bisogno di competenze analitiche. I prezzi partono da circa 30 dollari al mese per i siti piccoli e salgono con le pagine viste tracciate e le registrazioni. Dal punto di vista democratico, il profilo di Crazy Egg è solido ma non eccezionale. Gli Stati Uniti sono una democrazia con tribunali forti e Crazy Egg opera secondo il diritto statunitense, ma le registrazioni sono conservate sulla sua infrastruttura cloud negli Stati Uniti, il che significa che i gestori di siti europei dipendono dal Data Privacy Framework UE-USA e dalle clausole contrattuali tipo per i trasferimenti. Il software è proprietario, quindi il comportamento del mascheramento non può essere verificato in modo indipendente, e i gestori non hanno alcuna opzione per mantenere le registrazioni all'interno dell'Unione europea. Per un'azienda orientata al mercato statunitense si tratta di preoccupazioni minori. Per un'azienda europea che tratta dati di cittadini europei, sono sostanziali.
OpenReplay: session replay open source che potete ospitare in proprio
OpenReplay è nato nel 2018 con il nome di Asayer, ha partecipato al programma estivo 2019 di Y Combinator ed è guidato dal fondatore Mehdi Osman. La sua entità societaria è registrata negli Stati Uniti, ma la caratteristica che definisce il prodotto è che il suo nucleo è pubblicato come open source e progettato per l'installazione in proprio. Un'azienda può distribuire l'intero stack, registrazione, archiviazione, ricerca e riproduzione, sui propri server con Docker o Kubernetes, presso un fornitore e in un Paese di sua scelta: un data center Hetzner in Germania, una regione OVHcloud o Scaleway in Francia (7,99), un provider italiano come Aruba nei suoi data center di Bergamo o Arezzo, oppure i propri rack. In questa configurazione le registrazioni non raggiungono mai l'infrastruttura di OpenReplay. Le funzioni sono pensate più per i team di prodotto e di sviluppo che per il marketing. Oltre alla riproduzione delle sessioni, cattura i log della console, le richieste di rete e le metriche di prestazione, così uno sviluppatore può vedere esattamente perché un checkout è fallito per un determinato utente. Offre il co-browsing per i team di assistenza, analisi di prodotto e opzioni di sanificazione che nascondono testi e input prima che i dati lascino il browser. È disponibile una versione cloud gestita per i team che non vogliono amministrare server, e alcune funzioni avanzate sono riservate alle licenze enterprise a pagamento. Il compromesso è operativo: ospitare in proprio significa applicare aggiornamenti, dimensionare lo spazio di archiviazione e mettere in sicurezza l'installazione da soli. Ma il risultato democratico è chiaro. Con OpenReplay la giurisdizione delle vostre registrazioni la decidete voi, non il vostro fornitore.
Strumenti di registrazione a rischio democratico: Yandex Webvisor e SDK opachi
Lo strumento di registrazione delle sessioni ad alto rischio più diffuso è Webvisor, parte del servizio di analisi russo Yandex Metrica. È gratuito, tecnicamente capace ed era tra gli script esaminati nello studio di Princeton. La Russia ottiene 2,22 nell'indice EIU ed è classificata come regime autoritario. La legge russa impone alle aziende nazionali di conservare i dati in loco e di fornire ai servizi di sicurezza un accesso tecnico tramite il sistema SORM, senza le garanzie giudiziarie tipiche delle democrazie. Qualsiasi sito che incorpora Webvisor esporta di fatto il comportamento dei propri visitatori in quell'ambiente. Molte aziende ed enti pubblici europei bloccano ormai gli script di Yandex, e le autorità di protezione dei dati hanno considerato questi trasferimenti incompatibili con il GDPR. Un secondo gruppo di rischi è meno visibile: gli SDK di registrazione delle sessioni inseriti nelle app mobili da piccoli fornitori dalla proprietà poco chiara. Le verifiche sugli store di applicazioni scoprono regolarmente librerie di replay che caricano catture dello schermo su server situati in giurisdizioni con punteggi EIU inferiori a 4, talvolta senza che lo sviluppatore dell'app comprenda appieno cosa faccia la libreria. Se un fornitore non è in grado di documentare la propria entità giuridica, la proprietà e il luogo di conservazione, Democratic Market lo classifica come di origine opaca e lo esclude dalle raccomandazioni. Il Garante italiano, che già nel 2022 ha dichiarato illecito l'uso di Google Analytics senza adeguate garanzie sui trasferimenti, ha mostrato quanto le autorità nazionali prendano sul serio questi flussi.
Crazy Egg vs OpenReplay vs alternative: funzioni, prezzo e profilo democratico
Messi uno accanto all'altro, i due strumenti servono utenti diversi. Crazy Egg è costruito per chi fa marketing e per i titolari di piccole imprese che vogliono risposte visive rapide: mappe di calore, mappe di scorrimento e test A/B con una configurazione minima, a un canone mensile prevedibile. OpenReplay è costruito per i team di prodotto e di sviluppo che devono fare il debug di sessioni utente reali, con strumenti per sviluppatori che Crazy Egg non cerca di offrire. Sul prezzo, l'abbonamento di Crazy Egg è semplice e parte da circa 30 dollari al mese; l'edizione self-hosted di OpenReplay non comporta costi di licenza per il nucleo open source, ma infrastruttura e tempo del personale sono spese reali, di solito un server virtuale modesto per i siti piccoli e molto di più per le installazioni ad alto traffico. Sul profilo democratico, entrambe le società hanno sede negli Stati Uniti, a 7,85, quindi la differenza sta nel luogo di conservazione dei dati e nella verificabilità. Crazy Egg conserva le registrazioni negli Stati Uniti su un'infrastruttura chiusa. OpenReplay può conservarle ovunque, anche in Germania a 8,58, e il suo codice può essere ispezionato. Tre alternative completano il quadro. Mouseflow, sviluppato a Copenaghen, unisce la giurisdizione danese (9,28) all'hosting nell'UE. PostHog, piattaforma open source statunitense, offre il session replay con una regione cloud europea a Francoforte oppure l'installazione completamente in proprio. Matomo, il cui gestore commerciale InnoCraft ha sede in Nuova Zelanda (9,61), fornisce un plugin self-hosted per mappe di calore e registrazioni, molto usato anche nella pubblica amministrazione italiana attraverso il servizio Web Analytics Italia promosso da AgID.
Il vero costo di gestione: abbonamento o server proprio
I costi meritano un'analisi più attenta, perché il confronto viene spesso impostato in modo scorretto. Un'installazione self-hosted di OpenReplay per un sito con qualche migliaio di sessioni al giorno può funzionare su un unico server virtuale con spazio di archiviazione sufficiente, che i fornitori europei affittano per qualche decina di euro al mese, ma qualcuno deve installare gli aggiornamenti, sorvegliare l'occupazione del disco ed eseguire il backup del database. Per un'azienda con un team di sviluppo già esistente questo sforzo aggiuntivo è modesto; per un negozio online di due persone può essere proibitivo, e allora l'edizione cloud gestita o un SaaS ospitato nell'UE diventano la strada sensata. L'abbonamento di Crazy Egg, al contrario, include hosting, manutenzione e assistenza, e i suoi prezzi crescono in modo prevedibile. Anche la politica di conservazione è diversa: l'installazione in proprio permette di stabilire esattamente quanto a lungo vivono le registrazioni e di cancellarle in modo irreversibile, mentre le pratiche di conservazione e backup di un fornitore SaaS vanno accettate sulla fiducia. Questi dettagli operativi decidono spesso l'acquisto più di qualsiasi elenco di funzioni.
Normativa UE 2026: GDPR, ePrivacy e Data Act
La registrazione delle sessioni è regolata in modo stringente nell'Unione europea. In base all'articolo 5, paragrafo 3, della direttiva ePrivacy, recepito in Italia dall'articolo 122 del Codice privacy, gli script che memorizzano o leggono informazioni sul dispositivo del visitatore richiedono un consenso preventivo e informato, e le autorità europee considerano costantemente il session replay un trattamento non essenziale che non può avvalersi delle esenzioni. Il GDPR disciplina poi tutto ciò che accade dopo il consenso: le registrazioni devono servire uno scopo definito, catturare il minimo indispensabile, mascherare i campi sensibili ed essere cancellate dopo un periodo ragionevole. I trasferimenti verso gli Stati Uniti dipendono dal Data Privacy Framework UE-USA, adottato nel luglio 2023 e confermato dal Tribunale dell'Unione europea nel settembre 2025, anche se restano possibili ulteriori ricorsi davanti alla Corte di giustizia. Un'installazione self-hosted nell'UE evita completamente la questione dei trasferimenti, ed è uno degli argomenti pratici più forti a favore di OpenReplay in Europa. Il Data Act, applicabile da settembre 2025, aggiunge un'ulteriore dimensione: impone ai fornitori di cloud e SaaS di facilitare il cambio di fornitore e la portabilità dei dati, con l'eliminazione progressiva dei costi di migrazione entro gennaio 2027. Per gli acquirenti questo rafforza la posizione di chiunque voglia abbandonare uno strumento SaaS chiuso e portare con sé i propri dati. Per le imprese classificate come soggetti essenziali o importanti ai sensi della NIS2, recepita in Italia con il decreto legislativo 138 del 2024 e vigilata dall'Agenzia per la cybersicurezza nazionale, gli obblighi di sicurezza della catena di fornitura rendono inoltre la scelta del fornitore di analisi una decisione verificabile.
Come Democratic Market valuta gli strumenti di registrazione delle sessioni
La nostra metodologia per i software di session replay pondera cinque criteri. Il primo è la giurisdizione: il punteggio EIU del Paese in cui ha sede l'entità che controlla il fornitore, con una soglia rigida di 6,0. Il secondo è la localizzazione dei dati: dove vengono conservate le registrazioni per impostazione predefinita, se sono disponibili l'archiviazione esclusivamente europea o l'installazione in proprio, e quali sub-responsabili possono accedere alle registrazioni. Il terzo è la privacy per impostazione predefinita: se testi, input ed elementi sensibili vengono mascherati prima che i dati lascino il browser oppure solo dopo aver raggiunto i server del fornitore, una distinzione che lo studio di Princeton ha dimostrato essere cruciale. Il quarto è la verificabilità: codice open source, audit di sicurezza pubblicati e certificazioni riconosciute. Il quinto è la portabilità: se registrazioni e configurazione possono essere esportate e se lo strumento può essere sostituito senza perdere i dati storici. In questo quadro, OpenReplay ottiene punteggi alti per localizzazione, verificabilità e portabilità quando è installato in proprio, mentre la sua edizione cloud si avvicina agli altri strumenti SaaS statunitensi. Crazy Egg supera il criterio della giurisdizione e si distingue per facilità d'uso, ma ottiene punteggi più bassi per localizzazione dei dati e verificabilità. Yandex Webvisor è escluso. I giudizi vengono rivisti ogni volta che cambia la proprietà, l'EIU pubblica un nuovo indice o il quadro dei trasferimenti si modifica.
Guida all'acquisto passo dopo passo per uno strumento di registrazione democratico
Partite dalla domanda a cui volete rispondere. Se vi serve sapere dove cliccano i visitatori e fin dove scorrono le pagine di marketing, uno strumento visivo come Crazy Egg o Mouseflow è efficiente. Se dovete capire perché gli utenti incontrano errori in un'applicazione web, OpenReplay o PostHog vi serviranno meglio. In secondo luogo, decidete chi deve detenere le registrazioni. Se il vostro team è in grado di gestire un server, un OpenReplay self-hosted in un data center europeo vi offre la posizione democratica e giuridica più solida. In caso contrario, scegliete un fornitore SaaS che offra l'archiviazione nell'UE. Terzo, verificate l'entità giuridica del fornitore, il punteggio EIU della sua giurisdizione e l'elenco dei sub-responsabili. Quarto, configurate il banner dei cookie in modo che lo script di registrazione si carichi solo dopo un consenso esplicito, con un comando per rifiutare chiaro quanto quello per accettare, come richiedono le linee guida del Garante. Quinto, attivate per impostazione predefinita il mascheramento di tutti i testi e gli input, e poi smascherate in modo selettivo solo gli elementi di cui avete realmente bisogno. Sesto, escludete del tutto le pagine sensibili: accesso, impostazioni dell'account, checkout e tutto ciò che riguarda salute o finanze. Settimo, fissate un periodo di conservazione da 30 a 90 giorni e limitate l'accesso a un piccolo gruppo di persone nominativamente individuate, annotandolo nel registro dei trattamenti. Infine, rivedete la configurazione ogni trimestre, perché le modifiche al sito possono esporre nuovi campi alla registrazione senza che nessuno se ne accorga.
Conclusione: quale strumento di registrazione dovrebbe scegliere un'impresa democratica
Crazy Egg resta uno strumento capace e facile da usare per chi fa marketing, e la sua origine statunitense supera la soglia di Democratic Market. Per un'azienda i cui visitatori si trovano soprattutto fuori dall'Europa, o le cui esigenze si limitano alle mappe di calore sulle pagine di marketing, è un acquisto ragionevole a circa 30 dollari al mese. Per le imprese europee, e per ogni team che prende sul serio la lezione dello studio di Princeton, OpenReplay offre un'opzione strutturalmente più solida: codice aperto che potete ispezionare e registrazioni che restano su server sotto il vostro controllo, nella democrazia che preferite, che sia la Germania, la Francia, l'Italia o i Paesi nordici. Se l'installazione in proprio supera le vostre risorse, Mouseflow in Danimarca offre l'archiviazione nell'UE sotto una delle democrazie più solide del mondo. Ciò che sconsigliamo senza eccezioni sono i servizi di registrazione gratuiti offerti da fornitori di Stati autoritari, o da fornitori che non riuscite a identificare. Il session replay vi mostra il comportamento dei visitatori con un dettaglio notevole. Il minimo che dovete loro in cambio è una risposta chiara su dove quel dettaglio viene custodito.