Safari ITP a tracking reklam: co stále funguje

Intelligent Tracking Prevention (ITP) v Safari omezuje, jak dlouho může web rozpoznat vracejícího se návštěvníka. Blokuje všechny cookies třetích stran a cookies nastavené JavaScriptem omezuje na 7 dní, nebo na 24 hodin po některých kliknutích na reklamu. Nákupy odesílané server-side z dat vašich objednávek, ID kliknutí uložená při příchodu nakupujícího a hashovaná data zákazníků stále fungují.

Tento průvodce vysvětluje každé pravidlo ITP tak, jak ho dokumentuje WebKit, co pravidla dělají s atribučními okny a remarketingem a které metody trackingu e-shopu stále fungují. Končí způsobem, jak zjistit, kolik Safari ovlivňuje váš vlastní e-shop.

Co je Safari ITP?

Intelligent Tracking Prevention je sada ochran soukromí ve WebKitu, enginu prohlížeče, na kterém běží Safari na Macu, iPhonu a iPadu. WebKit ji mnohokrát rozšířil a aktuální pravidla dokumentuje na stránce Tracking Prevention.

Některá pravidla ITP platí pro všechny weby. Jiná platí jen pro domény, které ITP klasifikoval jako domény se schopností sledování napříč weby, podle toho, jak se tyto domény chovají napříč weby, které člověk navštěvuje. ITP je ve výchozím nastavení zapnuté, takže ovlivňuje každého návštěvníka vašeho e-shopu v Safari, nejen ty, kteří dbají na soukromí.

Jaké jsou limity cookies v Safari ITP?

7denní limit pro cookies ze skriptů

Většina pixelů a analytických nástrojů zapisuje vlastní first-party cookies pomocí JavaScriptu. Pixel Meta například uchovává ID prohlížeče v cookie s názvem _fbp. V Safari ITP maže cookies a další úložiště vytvořená JavaScriptem po 7 dnech bez interakce uživatele s vaším webem. WebKit definuje interakci uživatele jako kliknutí, klepnutí nebo stisk klávesy. Posouvání se nepočítá.

V praxi nakupující, který se vrátí a použije váš web do 7 dnů, cookie obvykle zachová. Nakupující, který se drží stranou déle než 7 dní, se vrátí bez ní a vypadá jako nový návštěvník.

24hodinový limit po odkazu s doplněnými parametry

Reklamní platformy přidávají do odkazů ve svých reklamách ID kliknutí. WebKit tomu říká doplňování odkazů (link decoration). Když návštěvníka na vaši stránku pošle doména, kterou ITP klasifikoval jako trackovací, a konečná URL má query string nebo fragment, jsou cookies, které JavaScript zapíše na této vstupní stránce, omezeny na 24 hodin. Limit platí pro stránku, na kterou se navigací dostanete, ne pro web jako celek.

Cookies třetích stran

Safari ve výchozím nastavení blokuje všechny cookies třetích stran a WebKit uvádí, že z tohoto blokování neexistují žádné výjimky. Třetí strana může o přístup požádat jen prostřednictvím mechanismů, jako je Storage Access API. Reklamní platforma proto nemůže uvnitř vašich stránek přečíst vlastní cookie. Spoléhá na first-party cookies, které zapisuje její pixel, a na ty se vztahují pravidla 7 dní a 24 hodin.

Maskování pomocí CNAME a IP adresy

Častým obchvatem je trackovací subdoména, například t.yourstore.com, která ukazuje na trackovací server. Cookies z této subdomény se nastavují v HTTP odpovědi, takže nejde o cookies ze skriptů. WebKit považuje subdoménu za maskovanou, když přes CNAME ukazuje na jinou doménu. Od Safari 17 ji za maskovanou považuje i tehdy, když její IP adresa vypadá jako jiná strana než váš web, například když jsou obě adresy ve zřetelně odlišných rozsazích sítě. V obou případech ITP omezuje cookies nastavené v odpovědi na 7 dní. Na tom, komu server patří, pro tato pravidla nezáleží.

Jak Safari zachází s ID kliknutí v odkazech?

ID kliknutí, například fbclid nebo gclid, je součástí URL vstupní stránky. Při běžném procházení Safari načte URL s jejími parametry, takže skript na vstupní stránce může ID kliknutí přečíst. Výše uvedený 24hodinový limit omezuje, jak dlouho vydrží cookie zapsané na této stránce. ID kliknutí z URL neodstraňuje.

Soukromé prohlížení jde dál. Od Safari 17 platí Link Tracking Protection, když návštěvník přechází z jednoho webu na jiný, například z reklamy na váš e-shop. Safari odstraní sadu parametrů dotazu, o kterých WebKit zjistil, že se používají ke sledování uživatelů nebo kliknutí napříč weby. Oznámení WebKitu parametry neuvádí. Jeho příklad odstraní trackovací parametr a ponechá parametr kampaně. Na vstupní stránce dostávají i skripty třetích stran, které čtou URL, adresu bez query stringu. Stejné ochrany jsou v běžném prohlížení k dispozici lidem, kteří zapnou pokročilou ochranu před sledováním a fingerprintingem pro veškeré prohlížení.

A co Private Relay a IP adresy?

Podle WebKitu Safari od verze 15 ve výchozím nastavení skrývá IP adresy před známými trackery. Lidé, kteří platí za iCloud+, mohou navíc zapnout iCloud Private Relay. Ten posílá provoz Safari přes dva oddělené relay servery provozované různými operátory, takže weby vidí IP adresu relay místo vlastní IP adresy návštěvníka. Apple uvádí, že adresa relay zachovává hrubou polohu návštěvníka na úrovni města a že jednu adresu může sdílet několik uživatelů ve stejné oblasti.

To oslabuje tracking, který spoléhá na IP adresu, například párování návštěvníka podle IP adresy a prohlížeče. Nemá to vliv na ID kliknutí, hashované e-mailové adresy ani data objednávek. ROASaurus používá shodu podle IP adresy jen jako poslední možnost, a to jen když sedí přesně jeden nedávný návštěvník s touto IP adresou a prohlížečem. Sdílená adresa relay pak obvykle vede k tomu, že shoda není.

Co ITP znamená pro atribuční okna?

Atribuční okno je počet dní po kliknutí, během kterých lze nákup stále připsat tomuto kliknutí. V ROASaurus si vyberete atribuční okno od 1 do 90 dní, výchozí je 7 dní. Reklamní platformy mají vlastní nastavení. V Safari může nastavení, které spoléhá jen na cookies v prohlížeči, propojit nákup s kliknutím jen po dobu, dokud cookie žije.

Efekt roste s délkou okna. Okno 1 den nebo 7 dní není delší než 7denní životnost cookie ze skriptu, pokud neplatí 24hodinový limit. U okna 28 dní závisejí nákupy v den 8 nebo později od nakupujících, kteří se mezitím nevrátili, na jiných datech.

Takto to odhadnout pro e-shop. Čísla jsou příklad; použijte svá vlastní.

Co ITP znamená pro remarketing?

Remarketingová publika se vytvářejí z událostí v prohlížeči, například z lidí, kteří zobrazili produkt nebo ho přidali do košíku. V Safari platforma nemůže použít své cookies třetích stran a first-party cookie pixelu se po 7 dnech bez návštěvy smaže. Návštěvník Safari, který se vrátí po 8 dnech, vypadá pro pixel nový. Jeho dřívější zobrazení produktů už s ním v prohlížeči nejsou spojena.

Vyplývají z toho dva efekty. Publika s dlouhou dobou trvání, například 30 nebo 180 dní, si ponechají méně návštěvníků Safari, než doba naznačuje. Vaše analytika také ukazuje víc nových a méně vracejících se návštěvníků, než ve skutečnosti máte. Publika ze seznamu zákazníků vytvořená z hashovaných e-mailových adres ve vašem obchodě nebo e-mailovém nástroji na cookies nezávisejí, takže je to takto neovlivňuje.

Co v Safari stále funguje?

Serverové události z objednávek

Nákup odeslaný z dat objednávky vašeho obchodu nezávisí na žádné cookie v Safari. Obchod objednávku zaznamená, server ji odešle do API platformy a platforma ji přijme. Událost obsahuje hashovaný e-mail a telefonní číslo z objednávky. Platforma je může spárovat s jedním ze svých uživatelů a v rámci svého atribučního okna zkontrolovat vlastní záznamy o kliknutích na reklamy a zobrazeních. Celou cestu dat najdete v článku co je server-side tracking.

ID kliknutí zachycená při příchodu

ID kliknutí je v URL první stránky. Skript ho tam může přečíst a odeslat na váš server, kde se uloží spolu s ID návštěvníka. Kopie na serveru po 7 dnech nevyprší. Vyprší cookie v prohlížeči, která propojuje vracející se návštěvu s uloženým návštěvníkem. Objednávku s uloženým kliknutím mohou stále propojit jiná data, například e-mailová adresa, kterou nakupující dříve zadal do registračního formuláře, nebo ID kliknutí v URL vstupní stránky relace, která objednávku vytvořila.

First-party sběr dat s limitem 7 dní

Poskytování trackovacího skriptu a jeho požadavků z vaší vlastní domény drží sběr dat first-party, což pomáhá i proti blokátorům reklam. Samo o sobě ale cookies nepodrží déle. Trackovací subdoména, která přes CNAME ukazuje na jinou doménu nebo kterou WebKit vidí jako IP adresu třetí strany, spadá pod 7denní limit. Trackovací subdoména ROASaurus vystavuje ID návštěvníka znovu jako HTTP cookie, ale Safari může i tuto cookie omezit na 7 dní. App proxy Shopify drží požadavky na doméně vašeho obchodu, ale Shopify z požadavků a odpovědí app proxy odstraňuje cookies, takže ID návštěvníka se tam zapisuje JavaScriptem a platí pravidlo 7 dní.

Co vám řekne nakupující

Nakupující vám mohou říct, jak vás našli, a tato odpověď na cookies nezávisí. Dotazník po nákupu se ptá po pokladně. V ROASaurus model Total Impact kombinuje odpověď s daty o kliknutích a dává dotazníku 50% zásluh, pokud existují také kliknutí.

Jak zjistit, kolik Safari ovlivňuje váš e-shop

1. Zjistěte podíl Safari ve svých objednávkách

   Ve svém analytickém nástroji seskupte nákupy podle prohlížeče. Počítejte Safari na Macu, iPhonu i iPadu.

2. Změřte čas od kliknutí k nákupu

   Zjistěte, kolik objednávek přichází víc než 7 dní po kliknutí na reklamu. V reportu atribuce v ROASaurus porovnejte okna 7, 14 a 28 dní a podívejte se, kolik zásluh se přesune.

3. Porovnejte nákupy z pixelu s objednávkami

   Spočítejte události Purchase, které váš pixel odeslal, podle prohlížeče, pokud to vaše platforma umožňuje, a porovnejte je s objednávkami za stejné období.

4. Zkontrolujte své serverové události

   Ujistěte se, že se každá zaplacená objednávka odesílá server-side s hashovaným e-mailem a telefonem a že kopie z prohlížeče a ze serveru sdílejí jedno ID události.

Pokud velká část vašich objednávek pochází ze Safari a mnohé z nich přijdou víc než 7 dní po kliknutí, samotné cookies v prohlížeči vaše reklamy podhodnotí. Nákupy odesílané z dat objednávky s hashovanými daty zákazníků dávají reklamním platformám další způsob, jak tyto objednávky spárovat. Jak to ROASaurus dělá, uvidíte na stránce server-side tracking a jak připisuje kliknutí, v části atribuce.

Zdroje

1. WebKit: Tracking Prevention in WebKit
2. WebKit: Intelligent Tracking Prevention 2.2
3. WebKit: CNAME Cloaking and Bounce Tracking Defense
4. WebKit: Private Browsing 2.0
5. Apple Developer: Prepare your network or web server for iCloud Private Relay

V ROASaurus

• Server-side tracking v ROASaurus
• Atribuce v ROASaurus
• Funnely a propojené domény

Čtěte dál