Ik heb de vijf grootste pornosites gemeten in drie toestemmingsstanden: niets aanklikken, expliciet weigeren, accepteren. Bij twee van de vijf maakt die keuze niets uit. Pornhub stuurt up.orientation naar Google Analytics, xhamster stuurt xoc naar zijn advertentienetwerk, en beide doen dat in alle drie de standen. Bij xhamster is er niet eens een banner om op te weigeren.
Wat er precies vertrekt
Ik heb van elk uitgaand verzoek de volledige adresregel uitgelezen, veld voor veld, per toestemmingsstand. Niet de naam van de tracker geteld, maar de inhoud gelezen. Dit staat er in.
| Wat er weggaat | Wat het over jou zegt |
|---|---|
| Pornhub → Google Analytics, in alle drie de standen | |
| up.orientation = straight | de oriëntatie-instelling van je sessie, als vast kenmerk van je gebruikersprofiel |
| up.shorties_orientation | dezelfde voorkeur, tweede plek in hetzelfde pakketje |
| cid = 1626693809.1784357759 | client-ID, blijft staan tussen bezoeken door |
| dl en dt | de volledige pagina-URL en de volledige paginatitel |
| sr = 1920x1080, ul = nl-nl | scherm en taal, bouwstenen voor herkenning zonder cookie |
| up.connection_type, up.isp | verbindingstype en de naam van je internetprovider |
| up.login_user = No | of je was ingelogd |
| xhamster → advertentienetwerk TrafficStars, in alle drie de standen | |
| xoc = straight | de oriëntatiekeuze |
| xu = 6a5b235924a5d7.302812397f0 | je identifier bij het netwerk |
| keywords | de volledige paginatitel, inclusief het woord porn |
| subid_2 = {"page_type":"mainPage","auth":0} | welk soort pagina, en of je bent ingelogd |
| subid_6 = 112:1:b,116:3:c,... | de segmenten en testgroepen waarin je bent ingedeeld |
| Stripchat → eigen hulpdomein eizzih.com | |
| guestIdUnique | een blijvend gastnummer, ook zonder account |
| url en referrer | waar je bent en waar je vandaan kwam |
| xvideos en xnxx | |
| geen enkele externe parameter | niets |
Twee van de vijf laten helemaal niets los
Er is een vaste aanname: wie naar een pornosite gaat, levert zijn privacy in. In volume klopt die aanname niet. De verklaring is niet dat pornosites lief zijn voor hun bezoekers. Ze zijn verstoten. De advertentieveiling van Google, de handelsdesks, de merkadverteerders: vrijwel de hele reguliere industrie weigert adult-verkeer. Er is dus geen financiële reden om je bezoek aan honderd bieders te tonen, want er is niemand om aan te verkopen. Hoe die veiling voor gewone sites wél werkt staat in real-time bidding in milliseconden.
De dichte twee
xnxx en xvideos. Drie externe partijen, nul advertentiecookies, nul gedeelde identifiers, geen enkele parameter naar buiten. Samen goed voor miljarden bezoeken per maand. Dit is het bewijs dat het kan.
Het statistieklek
Pornhub. Eigen advertentiesysteem, geen advertentie-ID naar een veiling. Maar de statistiekenlaag stuurt een client-ID plus de oriëntatie-instelling naar Google, als vast kenmerk van je profiel.
De doorgever
xhamster. Elf externe partijen. Vier identifier-delingen zonder toestemming, met de oriëntatiekeuze en de paginatitel erbij. Eén ontvanger draait op een server van de Russische hoster Selectel.
| Site | Externe partijen | Cookies | Gedeelde ID's | Zonder toestemming | Oriëntatie mee |
|---|---|---|---|---|---|
| xnxx.com | 3 | 0 | 0 | 0 | nee |
| xvideos.com | 3 | 0 | 0 | 0 | nee |
| pornhub.com | 9 | 1 | 0 | 0 | ja, Google |
| stripchat.com | 9 | 95 | 3 | 2 | nee |
| xhamster.com | 11 | 2 | 9 | 4 | ja, TrafficStars |
"Gedeelde ID's" telt events waarbij een identificatienummer aantoonbaar aan een derde partij werd doorgegeven, en telt de client-ID van een statistiekendienst dus niet mee. Alle aantallen komen uit de schone meting, zonder doorkliks, gesommeerd over de drie standen.
Bij xhamster valt er niets te weigeren
xhamster gedraagt zich zoals iedereen dénkt dat pornosites zich gedragen. Negen gedeelde-identifier-events, waarvan vier zonder toestemming. En er was geen cookiebanner. In geen van de drie standen viel er iets aan te klikken. De identifiers vertrokken dus niet ondanks een weigering, maar zonder dat weigeren mogelijk was.
Het domein cm.pxltag.com wijst naar 212.41.11.107, volgens RIPE onderdeel van het netwerk van Selectel, een grote Russische hostingprovider. Het endpoint zette een cookie met een looptijd van een jaar. Dat is geen toeval: hoe gevoeliger de context, hoe langer de identifier meegaat.
Dezelfde categorie, vijf verschillende antwoorden
Dat is het punt van deze meting. Vijf sites in precies dezelfde branche, met precies dezelfde beperkingen, en toch vijf verschillende antwoorden. xnxx en xvideos bewijzen dat een pornosite van deze omvang kan draaien zonder één parameter naar buiten te sturen. Alles wat de andere drie wél doen, is dus een keuze en geen technische noodzaak.
Op de meeste sites bestaat het profiel uit wat je las of kocht. Hier bestaat het uit een voorkeur die onder artikel 9 van de AVG valt.
Voor mij stond de instelling op straight, de standaardwaarde. Het punt is niet die waarde. Het punt is dat het veld überhaupt meegaat, want bij iemand die de instelling wél verandert, vertrekt er iets heel anders.
Bezoekgegevens van een pornosite raken aan seksueel gedrag, en dat is onder de AVG een bijzondere categorie: de zwaarst beschermde soort persoonsgegevens, waarvoor het uitgangspunt een verwerkingsverbod is. Voor het meekijken op zulke sites bestaat vrijwel geen rechtvaardiging. Dat maakt de vier events zonder toestemming bij xhamster, en het oriëntatieveld bij Pornhub, juridisch zwaarder dan een vergelijkbaar aantal trackers op een willekeurige webshop.
Wat een ontvanger hiermee kan doen is niet hypothetisch. De segmentcodes die xhamster meestuurt zijn indelingen: adverteerders kopen geen individuen, ze kopen groepen. Zodra jouw nummer aan een groep hangt, ben je adresseerbaar, ook elders. En als één van de partijen jouw nummer ooit aan een e-mailadres kan verbinden, doordat je ergens anders inlogt, is het profiel niet langer anoniem.
Hoe ik heb gemeten
Vijf sites (pornhub.com, xvideos.com, xnxx.com, xhamster.com, stripchat.com), gemeten op 18 juli 2026 vanuit Nederland, in een echte zichtbare browser en dus geen kale headless-scan. Per site drie aparte sessies. Al het netwerkverkeer is vastgelegd en geanalyseerd op ontvangers, cookies en gedeelde identifiers.
Hoe ik de inhoud van de requests heb bepaald
De parameters komen uit de vastgelegde adresregels van elk uitgaand verzoek, uitgesplitst per veld en per toestemmingsstand. Er is niets afgeleid uit de naam van een tracker of uit wat een leverancier zegt te doen. Wat in de tabellen staat, stond letterlijk in het verkeer. Lange waarden zijn afgekapt, en de naam van mijn internetprovider is weggelaten omdat die niets over de sites zegt. Waarom ik geen conclusies trek uit alleen een naam in de code: een naam in de code is nog geen tracker.
Twee metingen, één bewijsbasis
Naast de diepe meting draaide een schone controlemeting zonder doorkliks. Alle aantallen komen uit die schone meting, zodat advertenties van tussenpagina's niet aan de sites zelf worden toegeschreven. Identifier-attributie loopt via de paginastructuur van de opname, niet via de referer-header, die door de meetopstelling wordt vervormd.
Server-locaties
Elke locatie in dit artikel is bepaald met een actuele geolocatiedatabase en daarna geverifieerd tegen het RIPE-register, dus tegen de registratie van het IP-blok zelf. Voor cm.pxltag.com wijzen beide bronnen naar Selectel. Waarom die dubbele controle nodig is: een landlabel is zo oud als de database die het gaf.
Wat dit onderzoek niet zegt
"Niet waargenomen" is geen bewijs van afwezigheid: server-side uitwisseling tussen bedrijven valt buiten het zicht van een browsermeting. De meting betreft de webversies vanaf een Nederlands IP zonder ingelogde accounts. Apps en ingelogde omgevingen kunnen zich anders gedragen. En één meetdag is een momentopname. Zie ook een verzoek zonder cookie bewijst niets.
Meting en analyse met de BeforeYouMick forensische scanner, schone meting in drie toestemmingsstanden. Bewijsmateriaal: netwerkopnamen en ontvanger-dossiers, run 2026-07-18, met SHA256-provenance. Server-locaties geverifieerd via RIPE RDAP.