- Safari ITP blocca tutti i cookie di terze parti e limita a 7 giorni i cookie impostati da JavaScript, o a 24 ore su una pagina di atterraggio raggiunta tramite un link decorato da un dominio che classifica come tracker.
- Anche i cookie impostati da un sottodominio di tracciamento che punta a un altro dominio tramite un CNAME, o che WebKit vede come un indirizzo IP di terze parti, sono limitati a 7 giorni, quindi un sottodominio di tracciamento non aggira il limite.
- Un acquirente Safari che compra più di 7 giorni dopo l’ultima visita di solito appare nuovo al tracciamento basato sul browser, il che accorcia le finestre di attribuzione e i pubblici di remarketing.
- Gli acquisti inviati dai dati degli ordini, i click id salvati sul server all’atterraggio e i dati dei clienti con hash continuano a funzionare, perché non dipendono da un cookie in Safari.
L’Intelligent Tracking Prevention (ITP) di Safari limita per quanto tempo un sito può riconoscere un visitatore che ritorna. Blocca tutti i cookie di terze parti e limita a 7 giorni i cookie impostati da JavaScript, o a 24 ore dopo alcuni clic sugli annunci. Gli acquisti inviati lato server dai dati dei tuoi ordini, i click id salvati quando l’acquirente atterra e i dati dei clienti con hash continuano a funzionare.
Questa guida spiega ogni regola dell’ITP come la documenta WebKit, cosa fanno le regole alle finestre di attribuzione e al remarketing, e quali metodi di tracciamento funzionano ancora per un negozio online. Si chiude con un modo per verificare quanto Safari influisce sul tuo negozio.
Che cos’è Safari ITP?
Intelligent Tracking Prevention è un insieme di protezioni della privacy in WebKit, il motore del browser dietro Safari su Mac, iPhone e iPad. WebKit lo ha esteso molte volte, e documenta le regole attuali nella sua pagina Tracking Prevention.
Alcune regole dell’ITP valgono per ogni sito web. Altre valgono solo per i domini che l’ITP ha classificato come dotati di capacità di tracciamento cross-site, in base a come questi domini si comportano sui siti che una persona visita. L’ITP è attivo per impostazione predefinita, quindi riguarda ogni visitatore Safari del tuo negozio, non solo quelli attenti alla privacy.
Quali sono i limiti ai cookie in Safari ITP?
| Cosa viene memorizzato | Esempio | Limite in Safari |
|---|---|---|
| Cookie di terze parti | I cookie propri di una piattaforma pubblicitaria, inviati con le sue richieste dalla tua pagina | Bloccato |
| Cookie e archiviazione scritti da JavaScript | L’ID browser first-party di un pixel, un cookie con il visitor id, localStorage | Eliminati dopo 7 giorni senza interazione dell’utente |
| Cookie scritti da JavaScript dopo un link decorato | La pagina di atterraggio, quando un dominio classificato ha mandato il visitatore con una query string o un frammento nell’URL | Limitati a 24 ore |
| Cookie impostati da un server tramite un sottodominio mascherato | Un sottodominio di tracciamento che punta a un altro dominio tramite un CNAME, o che gira su un indirizzo IP di terze parti | Limitati a 7 giorni |
| Cookie impostati dal web server del tuo sito | Un cookie di sessione o del carrello impostato nella risposta HTTP del tuo negozio | Non limitati da queste regole |
Il limite di 7 giorni sui cookie degli script
La maggior parte dei pixel e degli strumenti di analisi scrive con JavaScript i propri cookie first-party. Il pixel Meta, per esempio, tiene un ID browser in un cookie chiamato _fbp. In Safari, l’ITP elimina i cookie e le altre memorie create da JavaScript dopo 7 giorni senza interazione dell’utente con il tuo sito. WebKit definisce l’interazione dell’utente come un clic, un tocco o la pressione di un tasto. Lo scorrimento non conta.
In pratica, un acquirente che torna e usa il tuo sito entro 7 giorni di solito mantiene il cookie. Un acquirente che resta lontano per più di 7 giorni torna senza, e sembra un nuovo visitatore.
Il limite di 24 ore dopo un link decorato
Le piattaforme pubblicitarie aggiungono click id ai link dei loro annunci. WebKit chiama questo link decoration. Quando un dominio che l’ITP ha classificato come tracker manda il visitatore alla tua pagina, e l’URL finale ha una query string o un frammento, i cookie che JavaScript scrive su quella pagina di atterraggio sono limitati a 24 ore. Il limite si applica alla pagina raggiunta con quella navigazione, non all’intero sito.
Cookie di terze parti
Safari blocca per impostazione predefinita tutti i cookie di terze parti, e WebKit dice che questo blocco non ha eccezioni. Una terza parte può solo chiedere l’accesso tramite meccanismi come la Storage Access API. Una piattaforma pubblicitaria quindi non può leggere il proprio cookie dall’interno delle tue pagine. Dipende dai cookie first-party scritti dal suo pixel, che rientrano nelle regole dei 7 giorni e delle 24 ore.
Mascheramento tramite CNAME e indirizzo IP
Una soluzione alternativa comune è un sottodominio di tracciamento, come t.yourstore.com, che punta a un server di tracciamento. I cookie di quel sottodominio vengono impostati nella risposta HTTP, quindi non sono cookie di script. WebKit considera il sottodominio mascherato quando punta tramite un CNAME a un dominio diverso. Da Safari 17, lo considera mascherato anche quando il suo indirizzo IP sembra appartenere a una parte diversa dal tuo sito, per esempio quando i due indirizzi sono in intervalli di rete nettamente diversi. In entrambi i casi l’ITP limita a 7 giorni i cookie impostati nella risposta. Per queste regole non importa a chi appartenga il server.
Come gestisce Safari i click id nei link?
Un click id come fbclid o gclid fa parte dell’URL di atterraggio. Nella navigazione normale, Safari carica l’URL con i suoi parametri, quindi uno script nella pagina di atterraggio può leggere il click id. Il limite di 24 ore qui sopra restringe per quanto tempo dura un cookie scritto su quella pagina. Non rimuove il click id dall’URL.
La navigazione privata va oltre. Da Safari 17, la Link Tracking Protection si applica quando il visitatore passa da un sito web a un altro, per esempio da un annuncio al tuo negozio. Safari rimuove un insieme di parametri di query che WebKit ha identificato come usati per il tracciamento cross-site di utenti o clic. L’annuncio di WebKit non elenca i parametri. Il suo esempio rimuove un parametro di tracciamento e mantiene un parametro di campagna. Nella pagina di atterraggio, anche gli script di terze parti che leggono l’URL lo ricevono senza la query string. Le stesse protezioni sono disponibili nella navigazione normale per chi attiva la protezione avanzata da tracciamento e fingerprinting per tutta la navigazione.
E per quanto riguarda Private Relay e gli indirizzi IP?
Secondo WebKit, Safari nasconde per impostazione predefinita gli indirizzi IP ai tracker noti da Safari 15. Chi paga per iCloud+ può anche attivare iCloud Private Relay. Invia il traffico di Safari attraverso due relay separati, gestiti da operatori diversi, così i siti web vedono l’indirizzo IP di un relay invece di quello del visitatore. Apple dice che l’indirizzo del relay mantiene la posizione approssimativa del visitatore, a livello di città, e che più utenti nella stessa zona possono condividere un solo indirizzo.
Questo indebolisce il tracciamento che si basa sull’indirizzo IP, come associare un visitatore tramite indirizzo IP e browser. Non influisce su click id, indirizzi email con hash o dati degli ordini. ROASaurus usa un’associazione tramite IP solo come ultima risorsa, e solo quando corrisponde esattamente un visitatore recente con quell’indirizzo IP e quel browser. Un indirizzo di relay condiviso di solito porta quindi a nessuna associazione.
Cosa significa ITP per le finestre di attribuzione?
Una finestra di attribuzione è il numero di giorni dopo un clic in cui un acquisto può ancora essere attribuito a quel clic. In ROASaurus scegli una finestra di lookback da 1 a 90 giorni, con 7 giorni come impostazione predefinita. Le piattaforme pubblicitarie hanno le proprie impostazioni. In Safari, una configurazione che si affida solo ai cookie del browser può collegare un acquisto a un clic solo finché il cookie vive.
Day 0 landing ?fbclid=IwAR...Click id salvato sul server con il visitor id v-81f2Day 0 _fbp, visitor idCookie scritti da JavaScript, limitati a 7 giorni al massimoDay 4 visitStesso visitatore: i cookie vengono usati e riscrittiDay 13 visitNove giorni senza una visita: i cookie sono spariti, quindi sembra un nuovo visitatoreDay 13 Purchase pixel order-2087Nessun collegamento nel browser al clic del giorno 0Day 13 Purchase server order-2087Inviato dall’ordine con l’email con hash, così la piattaforma può associare l’acquirente da solaL’effetto cresce con la finestra. Una finestra di 1 o 7 giorni non è più lunga dei 7 giorni di vita di un cookie di script, a meno che non si applichi il limite di 24 ore. Con una finestra di 28 giorni, gli acquisti dal giorno 8 in poi di acquirenti che nel frattempo non sono tornati dipendono da altri dati.
Ecco come dimensionare questo effetto per un negozio. I numeri sono un esempio; usa i tuoi.
| Negozio di esempio, 30 giorni | Valore |
|---|---|
| Ordini da clic sugli annunci | 1,000 |
| Effettuati in Safari | 400 (40%) |
| Ordini Safari effettuati più di 7 giorni dopo il clic | 72 (18% di 400) |
| Quota di ordini generati dagli annunci a rischio per una configurazione solo browser | 72 ÷ 1,000 = 7.2% |
Cosa significa ITP per il remarketing?
I pubblici di remarketing si costruiscono dagli eventi del browser, come le persone che hanno visualizzato un prodotto o lo hanno aggiunto al carrello. In Safari, la piattaforma non può usare i suoi cookie di terze parti, e il cookie first-party del pixel viene eliminato dopo 7 giorni senza una visita. Un visitatore Safari che torna dopo 8 giorni appare nuovo al pixel. Le sue precedenti visualizzazioni di prodotto non sono più collegate a lui nel browser.
Ne derivano due effetti. I pubblici con durate lunghe, come 30 o 180 giorni, mantengono meno visitatori Safari di quanto suggerisca la durata. Le tue analisi mostrano anche più nuovi visitatori e meno visitatori di ritorno di quanti ne hai davvero. I pubblici da elenco clienti costruiti con indirizzi email con hash nel tuo negozio o nel tuo strumento di email non dipendono dai cookie, quindi non sono colpiti allo stesso modo.
Cosa funziona ancora in Safari?
- Cookie di terze parti delle piattaforme pubblicitarie
- Cookie del pixel dopo 7 giorni senza una visita
- Cookie del pixel dopo 24 ore su alcune pagine di atterraggio da annunci
- Cookie del server tramite un CNAME o un indirizzo IP di terze parti: 7 giorni
- L’indirizzo IP come chiave di associazione, con Private Relay
- Acquisti inviati dai dati degli ordini
- Click id salvati sul server all’atterraggio
- Email e telefono con hash negli eventi server
- Click id e UTM nell’URL di atterraggio dell’ordine
- Risposte a un sondaggio post-acquisto
Eventi server dagli ordini
Un acquisto inviato dai dati degli ordini del tuo negozio non dipende da nessun cookie in Safari. Il negozio registra l’ordine, un server lo invia all’API della piattaforma e la piattaforma lo riceve. L’evento include l’email e il numero di telefono con hash dell’ordine. La piattaforma può associarli a uno dei suoi utenti e controllare i propri registri di clic e visualizzazioni degli annunci, entro la propria finestra di attribuzione. Leggi che cos’è il tracciamento server-side per il percorso completo dei dati.
Click id catturati all’atterraggio
Il click id è nell’URL della prima pagina. Uno script può leggerlo lì e inviarlo al tuo server, dove viene memorizzato con il visitor id. La copia sul server non scade dopo 7 giorni. Quello che scade è il cookie del browser che collega una visita di ritorno a quel visitatore memorizzato. Altri dati possono comunque collegare un ordine a un clic memorizzato, come un indirizzo email che l’acquirente ha dato prima in un modulo di iscrizione, o il click id nell’URL di atterraggio della sessione che ha effettuato l’ordine.
Raccolta first-party, con il limite di 7 giorni
Servire lo script di tracciamento e le sue richieste dal tuo dominio mantiene la raccolta first-party, il che aiuta anche contro gli ad blocker. Non fa durare i cookie più a lungo di per sé. Un sottodominio di tracciamento che punta tramite un CNAME a un altro dominio, o che WebKit vede come un indirizzo IP di terze parti, rientra nel limite di 7 giorni. Un sottodominio di tracciamento di ROASaurus riemette il visitor id come cookie HTTP, ma Safari può comunque limitare quel cookie a 7 giorni. L’app proxy di Shopify mantiene le richieste sul dominio del tuo negozio, ma Shopify rimuove i cookie dalle richieste e dalle risposte dell’app proxy, quindi lì il visitor id viene scritto da JavaScript e si applica la regola dei 7 giorni.
Cosa ti dice l’acquirente
Gli acquirenti possono dirti come ti hanno trovato, e quella risposta non dipende dai cookie. Un sondaggio post-acquisto lo chiede dopo il checkout. In ROASaurus, il modello Total Impact combina la risposta con i dati dei clic, e dà al sondaggio il 50% del credito quando ci sono anche clic.
Come verificare quanto Safari influisce sul tuo negozio
- Trova la quota di Safari nei tuoi ordini
Nel tuo strumento di analisi, raggruppa gli acquisti per browser. Conta Safari su Mac, iPhone e iPad.
- Misura il tempo tra clic e acquisto
Scopri quanti ordini arrivano più di 7 giorni dopo il clic sull’annuncio. Nel report di attribuzione di ROASaurus, confronta le finestre di 7, 14 e 28 giorni e guarda quanto credito si sposta.
- Confronta gli acquisti del pixel con gli ordini
Conta gli eventi Purchase inviati dal tuo pixel, divisi per browser se la tua piattaforma lo consente, e confrontali con i tuoi ordini dello stesso periodo.
- Controlla i tuoi eventi server
Assicurati che ogni ordine pagato venga inviato lato server con email e telefono con hash, e che le copie del browser e del server condividano un solo event id.
Se una quota rilevante dei tuoi ordini viene da Safari, e molti di questi arrivano più di 7 giorni dopo il clic, i soli cookie del browser sottostimeranno i tuoi annunci. Gli acquisti inviati dai dati degli ordini, con dati dei clienti con hash, danno alle piattaforme pubblicitarie un altro modo per associare quegli ordini. Puoi vedere come lo fa ROASaurus nella pagina sul tracciamento server-side, e come attribuisce i clic in attribuzione.
Fonti
- WebKit: Tracking Prevention in WebKit
- WebKit: Intelligent Tracking Prevention 2.2
- WebKit: CNAME Cloaking and Bounce Tracking Defense
- WebKit: Private Browsing 2.0
- Apple Developer: Prepare your network or web server for iCloud Private Relay