幹壞事是進步最大的原動力
Hacker News 上看到的消息，Alexa.com 將在 2022 年五月退役：「We will be retiring Alexa.com on May 1, 2022」，對應的討論在「We will be retiring Alexa.com (alexa.com)」這邊。
討論裡面有提到一些替代方案，大概只有 similarweb 堪用，另外也有提到「Tranco」這個：
A Research-Oriented Top Sites Ranking Hardened Against Manipulation
歷史啊...
Mozilla 對 Alexa Top 1M Sites 偏安全面向的分析：「Analysis of the Alexa Top 1M Sites」。
對一般情況比較有用的應該是看絕對數字，也就是哪些功能是大家都優先採用了... 然後可以看出 HPKP 跟 SRI 果然是大家都懶得上的功能 (事倍功半 XDDD)。
另外也可以當作是安全性確認的 list，把 HTTP header 類的安全性設定都放上去了。
Mozilla 觀測 Alexa Top 1M 網站，對 HTTPS 使用情況的分析：「Analysis of the Alexa Top 1M sites」。
可以看到比較明顯的是 HTTPS 以及 HTTP → HTTPS Redirection 這兩塊：
不過用 Alexa 的資料有種怪怪的感覺啊... 在討論 HTTPS (有點在推廣的感覺)，但 Alexa 的網站現在是做反過來的 HTTPS → HTTP Redirection XDDD
然後觀眾家裡的 Amazon Echo 就跟著買了 XDDD：「TV anchor says live on-air 'Alexa, order me a dollhouse' – guess what happens next」。
A San Diego TV station sparked complaints this week – after an on-air report about a girl who ordered a dollhouse via her parents' Amazon Echo caused Echoes in viewers' homes to also attempt to order dollhouses.
在「Police seek Amazon Echo data in murder case (updated)」這邊看到 Amazon Echo 的隱私問題，起因自警方要求要取得 Amazon Echo 的錄音內容。
Amazon Echo 會錄下所有喊出「Alexa」後的句子，並且傳到 cloud 上持續保留：
[,] Echo only captures audio and streams it to the cloud when the device hears the wake word "Alexa." A ring on the top of the device turns blue to give a visual indication that audio is being recorded. Those clips, or "utterances" as the company calls them, are stored in the cloud until a customer deletes them either individually or all at once.
這樣感覺不太好 :o
這邊探討了新聞網站引入 Adblock 反制與 Paywall 帶來的影響：「Sites that block adblockers seem to be suffering」。
作者拿了 WIRED、Bild (Axel Springer)、Forbes、City AM 以及 Washington Post 的 Alexa 數字來歸納，可以看出新聞網站的取代率太高 (甚至看不到就算了)，可以看到 bounce rate 大幅增加 (很多人發現不能看就不會繼續看下去)，而且 pageview 也大幅下降。
WIRED：
Bild：
Forbes：
City AM：
Washington Post：
不過文章還是很粗糙，有太多變數沒有考慮進去...
看到「sniffly」這個工具，可以利用 HSTS 資訊檢測逛過哪些網站，程式碼在「diracdeltas/sniffly」這邊可以找到：
Sniffly is an attack that abuses HTTP Strict Transport Security and Content Security Policy to allow arbitrary websites to sniff a user's browsing history. It has been tested in Firefox and Chrome.
測試網站則可以在這邊看到，作者拿 Alexa 上的資料網站來掃，所以熱門網站應該都會被放進去...
主要是利用 HSTS + CSP policy 的 timing attack (有逛過網站而瀏覽器裡有 HSTS 時的 redirect 會比較快，沒有逛過的時候會因為有網路連線而比較慢)：
Sniffly sets a CSP policy that restricts images to HTTP, so image sources are blocked before they are redirected to HTTPS. This is crucial! If the browser completes a request to the HTTPS site, then it will receive the HSTS pin, and the attack will no longer work when the user visits Sniffly.
When an image gets blocked by CSP, its onerror handler is called. In this case, the onerror handler does some fancy tricks to time how long it took for the image to be redirected from HTTP to HTTPS. If this time is on the order of a millisecond, it was an HSTS redirect (no network request was made), which means the user has visited the image's domain before. If it's on the order of 100 milliseconds, then a network request probably occurred, meaning that the user hasn't visited the image's domain.
由於這個技巧，HTTPS Everywhere 必須關閉才會比較準確。
在「Find Out How Much Traffic a Website Gets」這邊講到了五個分析網站流量的工具，分別是 Alexa、Compete、Similar Web、SEM Rush 以及 Quantcast。
由於你不可能知道其他網站的實際流量，這些都是估算值，就只是拿來參考用的，幫助你稍微有個概念而已 :p
CloudHarmony 發表了他們對 CDN、DNS、Cloud Computing 市占率的統計數據：
CDN 的部份可以看出來 Akamai 仍然是稱霸整個市場，不過 CloudFlare 也不是小數字就是了...
DNS 的部份比較沒有那麼明顯，由於 CloudFlare 免費方案必須把 DNS hosting 指到他們家，所以 CDN 連帶影響到 DNS 的部份，看起來頗亂，比較明顯的是 Route53 一直在成長。
Cloud Computing 的部份不知道是怎麼估算的，跟另外從營收數字估算的是另外一種面貌。雖然 EC2 還是很大，不過你要說 Rackspace 有 EC2 的 1/3 大？hmmm...
很久前 (突然找到我在 2006 的文章) 就說 Alexa 只是個參考用的工具... (參考「Search Results for: alexa」)
如果要看結論的人請直接跳到文章尾部，中間是說明發現的過程。
昨天 (星期五) 的時候跑去找肥睡睡餵食「摩斯吃到飽」，然後 xdite 也一起亂入，剛好聊到兩件事情。
第一件事情是要幫友站 Logdown 測試流量，講了一堆嘴砲方式... (惡搞的方式先拿掉了)
第二件事情是前天 (星期四) 的時候我發現前公司 pixnet.net 的 Alexa 從六月開始排名突然爆增，大約從全球 600 名跳到 120 名，台灣排名的部份居然超越了 YouTube (目前 PIXNET 在第五名，YouTube 在第六名)，但到達率、PV、停留時間都沒有大的變化，就問問 xdite 與肥睡睡有沒有什麼想法，是不是最近有上什麼功能是我沒注意到的 XD
不過餵食席間沒有討論出結果來，吃飽後閃人了... (我不確定肥睡睡有沒有吃飽啦，不過我是不怎麼餓...)
回到家後想說來研究 Logdown 使用的服務，asset 什麼的就先不管好了，到是有一段 code 我之前沒遇過：
Update：結果回到家後研究 Logdown 的服務，就看到 xdite 把 Alexa 的 js 丟上去在玩了：(剛好 xdite 也想到就同時在測了...)
<!-- Start Alexa Certify Javascript -->
<script type="text/javascript">
_atrk_opts = { atrk_acct:"KOI0g1aYS500G0", domain:"logdown.com",dynamic: true};
(function() { var as = document.createElement('script'); as.type = 'text/javascript'; as.async = true; as.src = "https://d31qbv1cthcecs.cloudfront.net/atrk.js"; var s = document.getElementsByTagName('script')[0];s.parentNode.insertBefore(as, s); })();
</script>
<noscript><img src="https://d5nxst8fruw4z.cloudfront.net/atrk.gif?account=KOI0g1aYS500G0" style="display:none" height="1" width="1" alt="" /></noscript>
<!-- End Alexa Certify Javascript -->
一開始眼殘沒看到 Alexa Certify Javascript 這段文字，第一個想法是「xdite 你沒事自己寫個 analytics service 幹嘛啊，嫌時間太多嗎」，後來轉念一想「啊啊這會不會是什麼服務？」。
拿 atrk.js 當關鍵字一查就發現是 Alexa 的服務，再回頭來看就發現自己眼殘了... XD
嘲笑自己三秒後就突然想到「咦，餵食時提到的 Alexa 排名會不會跟這個有關？」
接下來就是查證的時間了，這時候 Internet Archive Wayback Machine 拿來考察變得超好用：「http://web.archive.org/web/*/http://www.pixnet.net/」，6/9 的 snapshot 時首頁還沒有 atrk.js，6/20 就有了：
gslin@GSLIN-DESKTOP [~] [12:02/W3] curl -s http://web.archive.org/web/20130609121320/http://www.pixnet.net/ | g atrk.js
gslin@GSLIN-DESKTOP [~] [12:02/W3] curl -s http://web.archive.org/web/20130620181016/http://www.pixnet.net/ | g atrk.js
(function() { var as = document.createElement('script'); as.type = 'text/javascript'; as.async = true; as.src = "https://d31qbv1cthcecs.cloudfront.net/atrk.js"; var s = document.getElementsByTagName('script')[0];s.parentNode.insertBefore(as, s); })();
另外兩個也有類似現象的網站，分別是 mobile01.com：
以「http://web.archive.org/web/*/http://www.mobile01.com/」的資料來看，2012/12/27 的 snapshot 還沒加入 atrk.js，2013/1/15 的則加入了：
gslin@GSLIN-DESKTOP [~] [12:06/W3] curl -s http://web.archive.org/web/20121227040802/http://www.mobile01.com/ | g atrk.js
gslin@GSLIN-DESKTOP [~] [12:06/W3] curl -s http://web.archive.org/web/20130115110655/http://www.mobile01.com/ | g atrk.js
<script type="text/javascript" src="/web/20130115110655js_/https://d31qbv1cthcecs.cloudfront.net/atrk.js"></script>
以及 ck101.com：
以「http://web.archive.org/web/*/http://ck101.com/」的資料來看，4/24 還沒有 atrk.js，4/30 的加入了：
gslin@GSLIN-DESKTOP [~] [12:07/W3] curl -s http://web.archive.org/web/20130423092213/http://ck101.com/forum.php | g atrk.js
gslin@GSLIN-DESKTOP [~] [12:08/W3] curl -s http://web.archive.org/web/20130504162245/http://www.ck101.com/forum.php | g atrk.js
(function() { var as = document.createElement('script'); as.type = 'text/javascript'; as.async = true; as.src = "/web/20130504162245/https://d31qbv1cthcecs.cloudfront.net/atrk.js"; var s = document.getElementsByTagName('script')[0];s.parentNode.insertBefore(as, s); })();
所以結論就很簡單啦，如果 Alexa 排名對你是很重要的 KPI，Alexa Internet - Get Certified Site Metrics 趕快付錢加入試看看吧！XDDD
可以看到有三個不同的版本，如果要測試的話 USD$9.99/month 的第一個月還免費，可以先測試看看？(不知道是不是要 USD$149/month 的才有效...)
PS：以後看 Alexa 排名還得參考他有沒有掛這東西，好累...