Safari ITP og annoncetracking: hvad der stadig virker

Safaris Intelligent Tracking Prevention (ITP) begrænser, hvor længe et website kan genkende en tilbagevendende besøgende. Den blokerer alle tredjepartscookies og begrænser cookies, der sættes af JavaScript, til 7 dage eller til 24 timer efter nogle annonceklik. Køb, der sendes server-side fra dine ordredata, klik-id'er, der gemmes, når shopperen lander, og hashede kundedata virker stadig.

Denne guide forklarer hver ITP-regel, som WebKit dokumenterer den, hvad reglerne gør ved attributionsvinduer og remarketing, og hvilke trackingmetoder der stadig virker for en webshop. Den slutter med en måde at tjekke, hvor meget Safari påvirker din egen shop.

Hvad er Safari ITP?

Intelligent Tracking Prevention er et sæt privatlivsbeskyttelser i WebKit, browsermotoren bag Safari på Mac, iPhone og iPad. WebKit har udvidet den mange gange og dokumenterer de nuværende regler på sin side Tracking Prevention.

Nogle ITP-regler gælder for alle websites. Andre gælder kun for domæner, som ITP har klassificeret som havende cross-site tracking-evner, baseret på hvordan de domæner opfører sig på tværs af de sites, en person besøger. ITP er slået til som standard, så den påvirker alle Safari-besøgende i din shop, ikke kun de privatlivsbevidste.

Hvilke cookiebegrænsninger gælder i Safari ITP?

Grænsen på 7 dage for scriptcookies

De fleste pixels og analyseværktøjer skriver deres egne first-party-cookies med JavaScript. Meta-pixelen gemmer for eksempel et browser-id i en cookie kaldet _fbp. I Safari sletter ITP cookies og andet lager, der er oprettet af JavaScript, efter 7 dage uden brugerinteraktion på dit site. WebKit definerer brugerinteraktion som et klik, et tryk eller et tastetryk. Scrolling tæller ikke.

I praksis beholder en shopper, der vender tilbage og bruger dit site inden for 7 dage, som regel cookien. En shopper, der holder sig væk i mere end 7 dage, vender tilbage uden den og ligner en ny besøgende.

Grænsen på 24 timer efter et dekoreret link

Annonceplatforme tilføjer klik-id'er til linkene i deres annoncer. WebKit kalder det link decoration. Når et domæne, som ITP har klassificeret som en tracker, sender den besøgende til din side, og den endelige URL har en query string eller et fragment, begrænses cookies, som JavaScript skriver på den landingsside, til 24 timer. Begrænsningen gælder for den side, der nås via den navigation, ikke for sitet som helhed.

Tredjepartscookies

Safari blokerer alle tredjepartscookies som standard, og WebKit siger, at der ikke er nogen undtagelser fra den blokering. En tredjepart kan kun bede om adgang gennem mekanismer som Storage Access API. En annonceplatform kan derfor ikke læse sin egen cookie inde fra dine sider. Den er afhængig af de first-party-cookies, dens pixel skriver, og de falder ind under reglerne om 7 dage og 24 timer.

CNAME- og IP-adresse-cloaking

En almindelig omvej er et tracking-subdomæne som t.yourstore.com, der peger på en tracking-server. Cookies fra det subdomæne sættes i HTTP-svaret, så de er ikke scriptcookies. WebKit behandler subdomænet som cloaket, når det peger via en CNAME til et andet domæne. Siden Safari 17 behandler det også subdomænet som cloaket, når dets IP-adresse ligner en anden part end dit site, for eksempel når de to adresser ligger i tydeligt forskellige netværksområder. I begge tilfælde begrænser ITP de cookies, der sættes i svaret, til 7 dage. Hvem der ejer serveren, betyder ikke noget for disse regler.

Hvordan håndterer Safari klik-id'er i links?

Et klik-id som fbclid eller gclid er en del af landings-URL'en. Ved normal browsing indlæser Safari URL'en med dens parametre, så et script på landingssiden kan læse klik-id'et. Grænsen på 24 timer ovenfor begrænser, hvor længe en cookie, der skrives på den side, holder. Den fjerner ikke klik-id'et fra URL'en.

Private Browsing går videre. Siden Safari 17 gælder Link Tracking Protection, når den besøgende navigerer fra ét website til et andet, for eksempel fra en annonce til din shop. Safari fjerner en række query-parametre, som WebKit har identificeret som brugt til cross-site tracking af brugere eller klik. WebKits meddelelse angiver ikke parametrene. Dens eksempel fjerner en tracking-parameter og beholder en kampagneparameter. På landingssiden får tredjepartsscripts, der læser URL'en, den også uden query string. De samme beskyttelser er tilgængelige ved normal browsing for personer, der slår avanceret beskyttelse mod tracking og fingerprinting til for al browsing.

Hvad med Private Relay og IP-adresser?

Ifølge WebKit har Safari som standard skjult IP-adresser for kendte trackere siden Safari 15. Folk, der betaler for iCloud+, kan også slå iCloud Private Relay til. Den sender Safari-trafik gennem to adskilte relays, drevet af forskellige operatører, så websites ser en relay-IP-adresse i stedet for den besøgendes egen. Apple siger, at relay-adressen bevarer den besøgendes grove lokation på byniveau, og at flere brugere i samme område kan dele én adresse.

Det svækker tracking, der bygger på IP-adressen, for eksempel at matche en besøgende på IP-adresse og browser. Det påvirker ikke klik-id'er, hashede e-mailadresser eller ordredata. ROASaurus bruger kun et IP-match som sidste udvej, og kun når præcis én nylig besøgende med den IP-adresse og browser passer. En delt relay-adresse fører så som regel til intet match.

Hvad betyder ITP for attributionsvinduer?

Et attributionsvindue er det antal dage efter et klik, hvor et køb stadig kan tilskrives det klik. I ROASaurus vælger du et lookback-vindue fra 1 til 90 dage, med 7 dage som standard. Annonceplatforme har deres egne indstillinger. I Safari kan en opsætning, der kun bygger på browsercookies, kun forbinde et køb med et klik, så længe cookien lever.

Effekten vokser med vinduet. Et vindue på 1 eller 7 dage er ikke længere end den 7-dages levetid for en scriptcookie, medmindre grænsen på 24 timer gælder. Med et vindue på 28 dage afhænger køb på dag 8 eller senere fra shoppere, der ikke vendte tilbage i mellemtiden, af andre data.

Sådan vurderer du omfanget for en shop. Tallene er et eksempel; brug dine egne.

Hvad betyder ITP for remarketing?

Remarketing-målgrupper bygges ud fra browser-events, for eksempel personer, der har set et produkt eller lagt det i kurven. I Safari kan platformen ikke bruge sine tredjepartscookies, og pixelens first-party-cookie slettes efter 7 dage uden besøg. En Safari-besøgende, der vender tilbage efter 8 dage, ligner en ny for pixelen. Vedkommendes tidligere produktvisninger er ikke længere knyttet til vedkommende i browseren.

Der følger to effekter. Målgrupper med lange varigheder, som 30 eller 180 dage, beholder færre Safari-besøgende, end varigheden antyder. Dine analyser viser også flere nye besøgende og færre tilbagevendende, end du i virkeligheden har. Kundelistemålgrupper, der bygges ud fra hashede e-mailadresser i din shop eller dit e-mailværktøj, afhænger ikke af cookies, så de påvirkes ikke på samme måde.

Hvad virker stadig i Safari?

Server-side events fra ordrer

Et køb, der sendes fra din shops ordredata, afhænger ikke af nogen cookie i Safari. Shoppen registrerer ordren, en server sender den til platformens API, og platformen modtager den. Eventet indeholder den hashede e-mail og det hashede telefonnummer fra ordren. Platformen kan matche dem med en af sine brugere og tjekke sine egne registre over annonceklik og visninger inden for sit eget attributionsvindue. Læs hvad server-side tracking er for hele datastien.

Klik-id'er fanget ved landing

Klik-id'et står i URL'en på den første side. Et script kan læse det dér og sende det til din server, hvor det gemmes sammen med besøgs-id'et. Serverkopien udløber ikke efter 7 dage. Det, der udløber, er den browsercookie, der forbinder et tilbagevendende besøg med den gemte besøgende. Andre data kan stadig forbinde en ordre med et gemt klik, for eksempel en e-mailadresse, shopperen har oplyst tidligere i en tilmeldingsformular, eller klik-id'et i landings-URL'en for den session, der afgav ordren.

First-party-indsamling med grænsen på 7 dage

Hvis du leverer tracking-scriptet og dets anmodninger fra dit eget domæne, forbliver indsamlingen first-party, og det hjælper også mod adblockere. Det får ikke i sig selv cookies til at holde længere. Et tracking-subdomæne, der peger via en CNAME til et andet domæne, eller som WebKit ser som en tredjeparts-IP-adresse, falder ind under grænsen på 7 dage. Et ROASaurus-tracking-subdomæne udsteder besøgs-id'et igen som en HTTP-cookie, men Safari kan stadig begrænse den cookie til 7 dage. Shopifys app proxy holder anmodninger på dit shopdomæne, men Shopify fjerner cookies fra app proxy-anmodninger og -svar, så besøgs-id'et dér skrives af JavaScript, og reglen om 7 dage gælder.

Det, shopperen fortæller dig

Shoppere kan fortælle dig, hvordan de fandt dig, og det svar afhænger ikke af cookies. Et spørgeskema efter købet spørger efter checkout. I ROASaurus kombinerer Total Impact-modellen svaret med klikdata og giver spørgeskemaet 50% af tilskrivningen, når der også er klik.

Sådan tjekker du, hvor meget Safari påvirker din shop

1. Find Safari-andelen af dine ordrer

   Gruppér køb efter browser i dit analyseværktøj. Tæl Safari på Mac, iPhone og iPad.

2. Mål tiden fra klik til køb

   Find ud af, hvor mange ordrer der kommer mere end 7 dage efter annonceklikket. Sammenlign vinduerne på 7, 14 og 28 dage i ROASaurus' attributionsrapport, og se, hvor meget tilskrivning der flytter sig.

3. Sammenlign pixelkøb med ordrer

   Tæl de Purchase-events, din pixel har sendt, opdelt efter browser, hvis din platform tillader det, og sammenlign dem med dine ordrer for samme periode.

4. Tjek dine server-events

   Sørg for, at hver betalt ordre sendes server-side med hashet e-mail og telefon, og at browser- og serverkopierne deler ét event-id.

Hvis en stor del af dine ordrer kommer fra Safari, og mange af dem kommer mere end 7 dage efter klikket, vil browsercookies alene underrapportere dine annoncer. Køb, der sendes fra ordredata med hashede kundedata, giver annonceplatformene en anden måde at matche de ordrer på. Du kan se, hvordan ROASaurus gør det, på siden om server-side tracking, og hvordan klik tilskrives, i attribution.

Kilder

1. WebKit: Tracking Prevention in WebKit
2. WebKit: Intelligent Tracking Prevention 2.2
3. WebKit: CNAME Cloaking and Bounce Tracking Defense
4. WebKit: Private Browsing 2.0
5. Apple Developer: Prepare your network or web server for iCloud Private Relay

I ROASaurus

• Server-side tracking i ROASaurus
• Attribution i ROASaurus
• Funnels og sammenkædede domæner

Læs videre