- Safari ITP bloquea todas las cookies de terceros y limita a 7 días las cookies establecidas por JavaScript, o a 24 horas en una página de llegada a la que se accede mediante un enlace decorado desde un dominio que clasifica como rastreador.
- Las cookies establecidas por un subdominio de tracking que apunta a otro dominio mediante un CNAME, o que WebKit ve como una dirección IP de terceros, también se limitan a 7 días, así que un subdominio de tracking no evita el límite.
- Un comprador de Safari que compra más de 7 días después de su última visita suele parecer nuevo para el tracking basado en el navegador, lo que acorta las ventanas de atribución y las audiencias de remarketing.
- Las compras enviadas a partir de los datos del pedido, los click ids guardados en el servidor al llegar y los datos del cliente con hash siguen funcionando, porque no dependen de una cookie en Safari.
La Intelligent Tracking Prevention (ITP) de Safari limita durante cuánto tiempo un sitio web puede reconocer a un visitante que vuelve. Bloquea todas las cookies de terceros y limita a 7 días las cookies establecidas por JavaScript, o a 24 horas tras algunos clics en anuncios. Las compras enviadas desde el servidor a partir de los datos de tus pedidos, los click ids guardados cuando el comprador llega y los datos del cliente con hash siguen funcionando.
Esta guía explica cada regla de ITP tal como la documenta WebKit, qué efectos tienen las reglas en las ventanas de atribución y el remarketing, y qué métodos de tracking siguen funcionando para una tienda online. Termina con una forma de comprobar cuánto afecta Safari a tu propia tienda.
¿Qué es Safari ITP?
Intelligent Tracking Prevention es un conjunto de protecciones de privacidad de WebKit, el motor de navegador que hay detrás de Safari en Mac, iPhone y iPad. WebKit lo ha ampliado muchas veces y documenta las reglas actuales en su página Tracking Prevention.
Algunas reglas de ITP se aplican a todos los sitios web. Otras se aplican solo a los dominios que ITP ha clasificado como capaces de rastrear entre sitios, según cómo se comportan esos dominios en los sitios que visita una persona. ITP está activada por defecto, así que afecta a todos los visitantes de Safari de tu tienda, no solo a los que se preocupan por la privacidad.
¿Cuáles son los límites de las cookies en Safari ITP?
| Qué se almacena | Ejemplo | Límite en Safari |
|---|---|---|
| Cookies de terceros | Las cookies propias de una plataforma publicitaria, enviadas con sus solicitudes desde tu página | Bloqueado |
| Cookies y almacenamiento escritos por JavaScript | El id de navegador first-party de un píxel, una cookie de id de visitante, localStorage | Se eliminan tras 7 días sin interacción del usuario |
| Cookies escritas por JavaScript tras un enlace decorado | La página de llegada, cuando un dominio clasificado envió al visitante con una cadena de consulta o un fragmento en la URL | Limitadas a 24 horas |
| Cookies establecidas por un servidor mediante un subdominio encubierto | Un subdominio de tracking que apunta a otro dominio mediante un CNAME, o que funciona en una dirección IP de terceros | Limitadas a 7 días |
| Cookies establecidas por el servidor web de tu sitio | Una cookie de sesión o de carrito establecida en la respuesta HTTP de tu tienda | No se limitan con estas reglas |
El límite de 7 días para las cookies de script
La mayoría de los píxeles y las herramientas de analítica escriben con JavaScript sus propias cookies first-party. El píxel de Meta, por ejemplo, guarda un id de navegador en una cookie llamada _fbp. En Safari, ITP elimina las cookies y otro almacenamiento creados por JavaScript tras 7 días sin interacción del usuario en tu sitio. WebKit define la interacción del usuario como un clic, un toque o una pulsación de tecla. El scroll no cuenta.
En la práctica, un comprador que vuelve y usa tu sitio en un plazo de 7 días suele conservar la cookie. Un comprador que se ausenta más de 7 días vuelve sin ella y parece un visitante nuevo.
El límite de 24 horas tras un enlace decorado
Las plataformas publicitarias añaden click ids a los enlaces de sus anuncios. WebKit lo llama decoración de enlaces. Cuando un dominio que ITP ha clasificado como rastreador envía al visitante a tu página y la URL final tiene una cadena de consulta o un fragmento, las cookies que JavaScript escribe en esa página de llegada se limitan a 24 horas. El límite se aplica a la página a la que se llega con esa navegación, no al sitio en su conjunto.
Cookies de terceros
Safari bloquea por defecto todas las cookies de terceros, y WebKit dice que este bloqueo no tiene excepciones. Un tercero solo puede pedir acceso mediante mecanismos como la Storage Access API. Por eso una plataforma publicitaria no puede leer su propia cookie desde dentro de tus páginas. Depende de las cookies first-party que escribe su píxel, que quedan sujetas a las reglas de 7 días y 24 horas.
Encubrimiento con CNAME y con dirección IP
Un truco habitual es un subdominio de tracking, como t.yourstore.com, que apunta a un servidor de tracking. Las cookies de ese subdominio se establecen en la respuesta HTTP, así que no son cookies de script. WebKit trata el subdominio como encubierto cuando apunta mediante un CNAME a un dominio distinto. Desde Safari 17, también lo trata como encubierto cuando su dirección IP parece de una parte distinta de tu sitio, por ejemplo cuando las dos direcciones están en rangos de red claramente distintos. En ambos casos ITP limita a 7 días las cookies establecidas en la respuesta. A estas reglas les da igual quién sea el dueño del servidor.
¿Cómo trata Safari los click ids de los enlaces?
Un click id como fbclid o gclid forma parte de la URL de llegada. En la navegación normal, Safari carga la URL con sus parámetros, así que un script de la página de llegada puede leer el click id. El límite de 24 horas anterior restringe cuánto dura una cookie escrita en esa página. No elimina el click id de la URL.
La navegación privada va más allá. Desde Safari 17, la Link Tracking Protection se aplica cuando el visitante navega de un sitio web a otro, por ejemplo de un anuncio a tu tienda. Safari elimina un conjunto de parámetros de consulta que WebKit ha identificado como usados para el rastreo entre sitios de usuarios o clics. El anuncio de WebKit no enumera los parámetros. Su ejemplo elimina un parámetro de rastreo y conserva un parámetro de campaña. En la página de llegada, los scripts de terceros que leen la URL también la reciben sin la cadena de consulta. Las mismas protecciones están disponibles en la navegación normal para quienes activan la protección avanzada contra el rastreo y el fingerprinting en toda la navegación.
¿Y Private Relay y las direcciones IP?
Según WebKit, Safari oculta por defecto las direcciones IP a los rastreadores conocidos desde Safari 15. Quienes pagan iCloud+ también pueden activar iCloud Private Relay. Envía el tráfico de Safari a través de dos relays separados, gestionados por operadores distintos, de modo que los sitios web ven la dirección IP de un relay en lugar de la del propio visitante. Apple dice que la dirección del relay conserva la ubicación aproximada del visitante, a nivel de ciudad, y que varios usuarios de la misma zona pueden compartir una dirección.
Esto debilita el tracking que se apoya en la dirección IP, como vincular a un visitante por su dirección IP y su navegador. No afecta a los click ids, a los emails con hash ni a los datos del pedido. ROASaurus usa la coincidencia por IP solo como último recurso, y solo cuando encaja exactamente un visitante reciente con esa dirección IP y ese navegador. Una dirección de relay compartida suele llevar entonces a que no haya coincidencia.
¿Qué significa ITP para las ventanas de atribución?
Una ventana de atribución es el número de días tras un clic durante los cuales una compra todavía puede atribuirse a ese clic. En ROASaurus eliges una ventana de atribución de 1 a 90 días, con 7 días por defecto. Las plataformas publicitarias tienen sus propios ajustes. En Safari, una configuración que depende solo de las cookies del navegador puede conectar una compra con un clic solo mientras la cookie siga viva.
Day 0 landing ?fbclid=IwAR...Click id guardado en el servidor con el id de visitante v-81f2Day 0 _fbp, visitor idCookies escritas por JavaScript, limitadas a 7 días como máximoDay 4 visitMismo visitante: las cookies se usan y se vuelven a escribirDay 13 visitNueve días sin una visita: las cookies han desaparecido, así que parece un visitante nuevoDay 13 Purchase pixel order-2087Ningún vínculo en el navegador con el clic del día 0Day 13 Purchase server order-2087Se envía desde el pedido con el email con hash, para que la plataforma pueda vincular al comprador por sí mismaEl efecto crece con la ventana. Una ventana de 1 día o de 7 días no es más larga que los 7 días de vida de una cookie de script, salvo que se aplique el límite de 24 horas. Con una ventana de 28 días, las compras del día 8 en adelante de compradores que no volvieron entre medias dependen de otros datos.
Así se puede dimensionar esto para una tienda. Las cifras son un ejemplo; usa las tuyas.
| Tienda de ejemplo, 30 días | Valor |
|---|---|
| Pedidos procedentes de clics en anuncios | 1,000 |
| Realizados en Safari | 400 (40%) |
| Pedidos de Safari realizados más de 7 días después del clic | 72 (18% de 400) |
| Porcentaje de pedidos de anuncios en riesgo con una configuración solo de navegador | 72 ÷ 1,000 = 7.2% |
¿Qué significa ITP para el remarketing?
Las audiencias de remarketing se construyen con eventos del navegador, como las personas que vieron un producto o lo añadieron al carrito. En Safari, la plataforma no puede usar sus cookies de terceros, y la cookie first-party del píxel se elimina tras 7 días sin una visita. Un visitante de Safari que vuelve a los 8 días parece nuevo para el píxel. Sus visualizaciones de producto anteriores ya no están vinculadas a él en el navegador.
De ahí se derivan dos efectos. Las audiencias con duraciones largas, como 30 o 180 días, retienen menos visitantes de Safari de lo que sugiere la duración. Además, tu analítica muestra más visitantes nuevos y menos recurrentes de los que tienes en realidad. Las audiencias de lista de clientes creadas con direcciones de email con hash de tu tienda o de tu herramienta de email no dependen de las cookies, así que no se ven afectadas del mismo modo.
¿Qué sigue funcionando en Safari?
- Cookies de terceros de las plataformas publicitarias
- Cookies del píxel tras 7 días sin una visita
- Cookies del píxel tras 24 horas en algunas páginas de llegada de anuncios
- Cookies del servidor mediante un CNAME o una dirección IP de terceros: 7 días
- La dirección IP como clave de coincidencia, con Private Relay
- Compras enviadas a partir de los datos del pedido
- Click ids guardados en el servidor al llegar
- Email y teléfono con hash en los eventos del servidor
- Click ids y UTM en la URL de llegada del pedido
- Respuestas de una encuesta posterior a la compra
Eventos server-side a partir de los pedidos
Una compra enviada a partir de los datos de pedido de tu tienda no depende de ninguna cookie en Safari. La tienda registra el pedido, un servidor lo envía a la API de la plataforma y la plataforma lo recibe. El evento incluye el email y el número de teléfono con hash del pedido. La plataforma puede vincularlos con uno de sus usuarios y consultar sus propios registros de clics y visualizaciones de anuncios, dentro de su propia ventana de atribución. Lee qué es el server-side tracking para ver el recorrido completo de los datos.
Click ids capturados al llegar
El click id está en la URL de la primera página. Un script puede leerlo ahí y enviarlo a tu servidor, donde se guarda junto con el id de visitante. La copia del servidor no caduca a los 7 días. Lo que caduca es la cookie del navegador que conecta una visita de regreso con ese visitante guardado. Otros datos aún pueden conectar un pedido con un clic guardado, como una dirección de email que el comprador dio antes en un formulario de registro, o el click id de la URL de llegada de la sesión en la que se hizo el pedido.
Recogida first-party, con el límite de 7 días
Servir el script de tracking y sus solicitudes desde tu propio dominio mantiene la recogida en first-party, lo que también ayuda frente a los bloqueadores de anuncios. Por sí solo no hace que las cookies duren más. Un subdominio de tracking que apunta mediante un CNAME a otro dominio, o que WebKit ve como una dirección IP de terceros, queda sujeto al límite de 7 días. Un subdominio de tracking de ROASaurus vuelve a emitir el id de visitante como una cookie HTTP, pero Safari aún puede limitar esa cookie a 7 días. El app proxy de Shopify mantiene las solicitudes en el dominio de tu tienda, pero Shopify elimina las cookies de las solicitudes y las respuestas del app proxy, así que el id de visitante allí lo escribe JavaScript y se aplica la regla de 7 días.
Lo que te dice el comprador
Los compradores pueden decirte cómo te encontraron, y esa respuesta no depende de las cookies. Una encuesta posterior a la compra lo pregunta después del checkout. En ROASaurus, el modelo Total Impact combina la respuesta con los datos de clics y da a la encuesta el 50% del mérito cuando también hay clics.
Cómo comprobar cuánto afecta Safari a tu tienda
- Averigua qué porcentaje de tus pedidos viene de Safari
En tu herramienta de analítica, agrupa las compras por navegador. Cuenta Safari en Mac, iPhone y iPad.
- Mide el tiempo entre el clic y la compra
Averigua cuántos pedidos llegan más de 7 días después del clic en el anuncio. En el informe de atribución de ROASaurus, compara las ventanas de 7, 14 y 28 días y mira cuánto mérito se desplaza.
- Compara las compras del píxel con los pedidos
Cuenta los eventos Purchase que envió tu píxel, desglosados por navegador si tu plataforma lo permite, y compáralos con tus pedidos del mismo periodo.
- Revisa tus eventos del servidor
Comprueba que cada pedido pagado se envía desde el servidor con el email y el teléfono con hash, y que las copias del navegador y del servidor comparten un mismo id de evento.
Si una parte grande de tus pedidos viene de Safari, y muchos llegan más de 7 días después del clic, las cookies del navegador por sí solas darán cifras por debajo de la realidad en tus anuncios. Las compras enviadas a partir de los datos del pedido, con datos del cliente con hash, ofrecen a las plataformas publicitarias otra forma de vincular esos pedidos. Puedes ver cómo lo hace ROASaurus en la página de server-side tracking, y cómo atribuye el mérito a los clics en atribución.
Fuentes
- WebKit: Tracking Prevention in WebKit
- WebKit: Intelligent Tracking Prevention 2.2
- WebKit: CNAME Cloaking and Bounce Tracking Defense
- WebKit: Private Browsing 2.0
- Apple Developer: Prepare your network or web server for iCloud Private Relay