- Safari ITP tüm üçüncü taraf çerezleri engeller ve JavaScript ile ayarlanan çerezleri 7 günle, ya da kendisinin takipçi olarak sınıflandırdığı bir alan adından gelen, izleme parametreleri eklenmiş bir bağlantıyla ulaşılan açılış sayfasında 24 saatle sınırlar.
- CNAME aracılığıyla başka bir alan adına işaret eden ya da WebKit'in üçüncü taraf IP adresi olarak gördüğü bir takip alt alan adının ayarladığı çerezler de 7 günle sınırlanır; bu yüzden bir takip alt alan adı sınırdan kurtarmaz.
- Son ziyaretinden 7 günden fazla sonra satın alım yapan bir Safari kullanıcısı, tarayıcı tabanlı takibe genellikle yeni biri gibi görünür; bu da atıf pencerelerini ve yeniden pazarlama kitlelerini kısaltır.
- Sipariş verisinden gönderilen satın alımlar, açılış anında sunucuda kaydedilen tıklama kimlikleri ve hash'lenmiş müşteri verisi çalışmaya devam eder, çünkü Safari'deki bir çereze bağlı değildirler.
Safari'nin Intelligent Tracking Prevention (ITP) özelliği, bir web sitesinin geri dönen bir ziyaretçiyi ne kadar süre tanıyabileceğini sınırlar. Tüm üçüncü taraf çerezleri engeller ve JavaScript ile ayarlanan çerezleri 7 günle, bazı reklam tıklamalarından sonra ise 24 saatle sınırlar. Sipariş verinizden sunucu tarafında gönderilen satın alımlar, alışveriş yapan sayfaya indiğinde kaydedilen tıklama kimlikleri ve hash'lenmiş müşteri verisi hâlâ çalışır.
Bu rehber her ITP kuralını WebKit'in belgelediği şekliyle, kuralların atıf pencerelerine ve yeniden pazarlamaya ne yaptığını ve bir online mağaza için hangi takip yöntemlerinin hâlâ çalıştığını açıklar. Safari'nin kendi mağazanızı ne kadar etkilediğini kontrol etmenin bir yoluyla biter.
Safari ITP nedir?
Intelligent Tracking Prevention, Mac, iPhone ve iPad'deki Safari'nin arkasındaki tarayıcı motoru WebKit'teki bir gizlilik korumaları kümesidir. WebKit onu birçok kez genişletmiştir ve güncel kuralları Tracking Prevention sayfasında belgeler.
Bazı ITP kuralları her web sitesi için geçerlidir. Diğerleri yalnızca, bir kişinin ziyaret ettiği sitelerdeki davranışlarına bakılarak ITP'nin siteler arası takip yeteneğine sahip diye sınıflandırdığı alan adları için geçerlidir. ITP varsayılan olarak açıktır, bu yüzden mağazanızı ziyaret eden her Safari kullanıcısını etkiler, yalnızca gizliliğe önem verenleri değil.
Safari ITP'de çerez sınırları nelerdir?
| Ne saklanıyor | Örnek | Safari'deki sınır |
|---|---|---|
| Üçüncü taraf çerezleri | Bir reklam platformunun, sayfanızdan gönderdiği isteklerle birlikte giden kendi çerezleri | Engellendi |
| JavaScript ile yazılan çerezler ve depolama | Bir pikselin birinci taraf tarayıcı kimliği, bir ziyaretçi kimliği çerezi, localStorage | Kullanıcı etkileşimi olmadan 7 gün sonra silinir |
| İzleme parametreleri eklenmiş bir bağlantıdan sonra JavaScript ile yazılan çerezler | Sınıflandırılmış bir alan adı ziyaretçiyi URL'de bir sorgu dizesi ya da fragment ile gönderdiğinde açılış sayfası | 24 saatle sınırlıdır |
| Bir sunucunun gizlenmiş bir alt alan adı üzerinden ayarladığı çerezler | CNAME ile başka bir alan adına işaret eden ya da üçüncü taraf bir IP adresinde çalışan bir takip alt alan adı | 7 günle sınırlıdır |
| Sitenizin web sunucusunun ayarladığı çerezler | Mağazanızın HTTP yanıtında ayarlanan bir oturum ya da sepet çerezi | Bu kurallarla sınırlanmaz |
Betik çerezlerinde 7 günlük sınır
Çoğu piksel ve analitik aracı kendi birinci taraf çerezlerini JavaScript ile yazar. Örneğin Meta pikseli, bir tarayıcı kimliğini _fbp adlı bir çerezde tutar. Safari'de ITP, JavaScript ile oluşturulan çerezleri ve diğer depolamayı, sitenizde kullanıcı etkileşimi olmadan 7 gün sonra siler. WebKit kullanıcı etkileşimini bir tıklama, bir dokunma veya bir tuşa basma olarak tanımlar. Kaydırma sayılmaz.
Uygulamada, geri dönüp sitenizi 7 gün içinde kullanan bir alışveriş yapan genellikle çerezini korur. 7 günden uzun süre uzak duran biri çerezsiz döner ve yeni bir ziyaretçi gibi görünür.
İzleme parametreleri eklenmiş bağlantıdan sonra 24 saatlik sınır
Reklam platformları reklamlarındaki bağlantılara tıklama kimlikleri ekler. WebKit buna link decoration der. ITP'nin takipçi olarak sınıflandırdığı bir alan adı ziyaretçiyi sayfanıza gönderdiğinde ve son URL'de bir sorgu dizesi ya da fragment varsa, o açılış sayfasında JavaScript'in yazdığı çerezler 24 saatle sınırlanır. Sınır, o gezinmeyle ulaşılan sayfa için geçerlidir, sitenin tamamı için değil.
Üçüncü taraf çerezleri
Safari varsayılan olarak tüm üçüncü taraf çerezleri engeller ve WebKit bu engellemenin istisnası olmadığını söyler. Bir üçüncü taraf yalnızca Storage Access API gibi mekanizmalarla erişim isteyebilir. Bu yüzden bir reklam platformu kendi çerezini sayfalarınızın içinden okuyamaz. Pikselinin yazdığı ve 7 günlük ile 24 saatlik kurallara tabi olan birinci taraf çerezlerine bağımlıdır.
CNAME ve IP adresi gizleme
Yaygın bir geçici çözüm, bir takip sunucusuna işaret eden t.yourstore.com gibi bir takip alt alan adıdır. Bu alt alan adının çerezleri HTTP yanıtında ayarlanır, bu yüzden betik çerezi değildir. WebKit, alt alan adı bir CNAME üzerinden farklı bir alan adına işaret ettiğinde onu gizlenmiş sayar. Safari 17'den beri, alt alan adının IP adresi sitenizden farklı bir taraf gibi göründüğünde de, örneğin iki adres açıkça farklı ağ aralıklarında olduğunda, onu gizlenmiş sayar. Her iki durumda da ITP yanıtta ayarlanan çerezleri 7 günle sınırlar. Sunucunun kime ait olduğu bu kurallar için önemli değildir.
Safari bağlantılardaki tıklama kimliklerini nasıl ele alır?
fbclid veya gclid gibi bir tıklama kimliği açılış URL'sinin parçasıdır. Normal gezinmede Safari URL'yi parametreleriyle yükler, bu yüzden açılış sayfasındaki bir betik tıklama kimliğini okuyabilir. Yukarıdaki 24 saatlik sınır, o sayfada yazılan bir çerezin ne kadar kalacağını sınırlar. Tıklama kimliğini URL'den kaldırmaz.
Özel Gezinme (Private Browsing) daha ileri gider. Safari 17'den beri Link Tracking Protection, ziyaretçi bir web sitesinden diğerine gittiğinde, örneğin bir reklamdan mağazanıza, devreye girer. Safari, WebKit'in kullanıcıların veya tıklamaların siteler arası takibi için kullanıldığını belirlediği bir dizi sorgu parametresini kaldırır. WebKit'in duyurusu parametreleri listelemez. Örneğinde bir takip parametresi kaldırılır, bir kampanya parametresi kalır. Açılış sayfasında URL'yi okuyan üçüncü taraf betikler de onu sorgu dizesi olmadan alır. Aynı korumalar, tüm gezinme için gelişmiş takip ve parmak izi korumasını açan kişiler için normal gezinmede de kullanılabilir.
Peki Private Relay ve IP adresleri?
WebKit'e göre Safari, Safari 15'ten beri IP adreslerini bilinen takipçilerden varsayılan olarak gizler. iCloud+ için ödeme yapan kişiler iCloud Private Relay'i de açabilir. Safari trafiğini farklı operatörler tarafından işletilen iki ayrı aktarıcı üzerinden geçirir, böylece web siteleri ziyaretçinin kendi IP adresi yerine bir aktarıcı IP adresi görür. Apple, aktarıcı adresinin ziyaretçinin şehir düzeyindeki kaba konumunu koruduğunu ve aynı bölgedeki birden çok kullanıcının tek bir adresi paylaşabileceğini söyler.
Bu, bir ziyaretçiyi IP adresi ve tarayıcıya göre eşleştirmek gibi IP adresine dayanan takibi zayıflatır. Tıklama kimliklerini, hash'lenmiş e-posta adreslerini ya da sipariş verisini etkilemez. ROASaurus IP eşleşmesini yalnızca son çare olarak ve yalnızca bu IP adresi ve tarayıcıyla uyuşan tam olarak bir yakın zamanlı ziyaretçi varsa kullanır. Ortak bir aktarıcı adresi bu durumda genellikle eşleşme olmamasına yol açar.
ITP atıf pencereleri için ne anlama gelir?
Atıf penceresi, bir tıklamadan sonra bir satın alımın hâlâ o tıklamaya atfedilebildiği gün sayısıdır. ROASaurus'ta 1 ila 90 gün arasında, varsayılan olarak 7 gün olan bir geriye dönük bakış penceresi (lookback) seçersiniz. Reklam platformlarının kendi ayarları vardır. Safari'de yalnızca tarayıcı çerezlerine dayanan bir kurulum, bir satın alımı bir tıklamayla yalnızca çerez yaşadığı sürece ilişkilendirebilir.
Day 0 landing ?fbclid=IwAR...Tıklama kimliği, ziyaretçi kimliği v-81f2 ile sunucuda saklanırDay 0 _fbp, visitor idJavaScript ile yazılan çerezler, en fazla 7 günle sınırlıDay 4 visitAynı ziyaretçi: çerezler kullanılır ve yeniden yazılırDay 13 visitDokuz gün ziyaret yok: çerezler gitti, bu yüzden yeni bir ziyaretçi gibi görünürDay 13 Purchase pixel order-2087Tarayıcıda 0. gündeki tıklamaya bağlantı yokDay 13 Purchase server order-2087Sipariş verisinden hash'lenmiş e-postayla gönderilir; böylece platform alıcıyı kendisi eşleştirebilirEtki pencereyle birlikte büyür. 1 günlük ya da 7 günlük bir pencere, 24 saatlik sınır geçerli olmadıkça, bir betik çerezinin 7 günlük ömründen uzun değildir. 28 günlük bir pencerede, 8. gün veya sonrasında aradaki sürede geri dönmeyen alışveriş yapanlardan gelen satın alımlar başka verilere bağlıdır.
Bunu bir mağaza için nasıl boyutlandıracağınız aşağıda. Sayılar bir örnektir; kendi sayılarınızı kullanın.
| Örnek mağaza, 30 gün | Değer |
|---|---|
| Reklam tıklamalarından gelen siparişler | 1,000 |
| Safari'de verilenler | 400 (40%) |
| Tıklamadan 7 günden fazla sonra Safari'de verilen siparişler | 72 (400'ün %18'i) |
| Yalnızca tarayıcıya dayanan bir kurulumda risk altındaki reklam kaynaklı siparişlerin payı | 72 ÷ 1,000 = 7.2% |
ITP yeniden pazarlama için ne anlama gelir?
Yeniden pazarlama kitleleri, bir ürünü görüntüleyen ya da sepete ekleyen kişiler gibi tarayıcı olaylarından oluşturulur. Safari'de platform üçüncü taraf çerezlerini kullanamaz ve pikselin birinci taraf çerezi ziyaret olmadan 7 gün sonra silinir. 8 gün sonra dönen bir Safari ziyaretçisi piksele yeni biri gibi görünür. Önceki ürün görüntülemeleri tarayıcıda artık onunla ilişkilendirilmez.
Bundan iki etki doğar. 30 ya da 180 gün gibi uzun süreli kitleler, süreden beklenenden daha az Safari ziyaretçisi tutar. Analitiğiniz de gerçekte olduğundan daha fazla yeni ve daha az geri dönen ziyaretçi gösterir. Mağazanızdaki veya e-posta aracınızdaki hash'lenmiş e-posta adreslerinden oluşturulan müşteri listesi kitleleri çerezlere bağlı değildir, bu yüzden aynı şekilde etkilenmezler.
Safari'de hâlâ ne çalışır?
- Reklam platformlarının üçüncü taraf çerezleri
- Ziyaret olmadan 7 gün sonra piksel çerezleri
- Bazı reklam açılışlarında 24 saat sonra piksel çerezleri
- CNAME veya üçüncü taraf IP adresi üzerinden sunucu çerezleri: 7 gün
- Private Relay varken eşleştirme anahtarı olarak IP adresi
- Sipariş verisinden gönderilen satın alımlar
- Açılışta sunucuda saklanan tıklama kimlikleri
- Sunucu olaylarındaki hash'lenmiş e-posta ve telefon
- Siparişin açılış URL'sindeki tıklama kimlikleri ve UTM'ler
- Satın alım sonrası anket yanıtları
Siparişlerden sunucu tarafı olaylar
Mağazanızın sipariş verisinden gönderilen bir satın alım, Safari'deki hiçbir çereze bağlı değildir. Mağaza siparişi kaydeder, bir sunucu onu platformun API'sine gönderir ve platform onu alır. Olay, siparişteki hash'lenmiş e-postayı ve telefon numarasını içerir. Platform bunları kullanıcılarından biriyle eşleştirebilir ve kendi atıf penceresi içinde reklam tıklamaları ve görüntülemelerine ilişkin kendi kayıtlarını kontrol edebilir. Tam veri yolu için sunucu tarafı takibin ne olduğunu okuyun.
Açılışta yakalanan tıklama kimlikleri
Tıklama kimliği ilk sayfanın URL'sinde bulunur. Bir betik onu oradan okuyup sunucunuza gönderebilir ve sunucu onu ziyaretçi kimliğiyle birlikte saklar. Sunucudaki kopya 7 gün sonra sona ermez. Sona eren şey, geri dönen bir ziyareti o saklanan ziyaretçiye bağlayan tarayıcı çerezidir. Bir siparişi saklanan bir tıklamaya başka veriler yine de bağlayabilir; örneğin alışveriş yapanın daha önce bir kayıt formunda verdiği e-posta adresi ya da siparişi veren oturumun açılış URL'sindeki tıklama kimliği.
Birinci taraf veri toplama ve 7 günlük sınır
Takip betiğini ve isteklerini kendi alan adınızdan sunmak veri toplamayı birinci taraf tutar; bu da reklam engelleyicilere karşı da yardımcı olur. Çerezlerin kendi başına daha uzun yaşamasını sağlamaz. Bir CNAME üzerinden başka bir alan adına işaret eden ya da WebKit'in üçüncü taraf IP adresi olarak gördüğü bir takip alt alan adı 7 günlük sınıra tabidir. ROASaurus takip alt alan adı ziyaretçi kimliğini HTTP çerezi olarak yeniden verir, ama Safari bu çerezi yine de 7 günle sınırlayabilir. Shopify'ın app proxy'si istekleri mağaza alan adınızda tutar, ancak Shopify app proxy isteklerinden ve yanıtlarından çerezleri kaldırır; bu yüzden orada ziyaretçi kimliği JavaScript ile yazılır ve 7 günlük kural geçerli olur.
Alışveriş yapanın size söyledikleri
Alışveriş yapanlar sizi nasıl bulduklarını söyleyebilir ve bu yanıt çerezlere bağlı değildir. Satın alım sonrası anket ödemeden sonra sorar. ROASaurus'ta Total Impact modeli yanıtı tıklama verisiyle birleştirir ve tıklamalar da varsa ankete atfın %50'sini verir.
Safari'nin mağazanızı ne kadar etkilediği nasıl kontrol edilir
- Siparişlerinizdeki Safari payını bulun
Analitik aracınızda satın alımları tarayıcıya göre gruplayın. Mac, iPhone ve iPad'deki Safari'yi sayın.
- Tıklamadan satın alıma geçen süreyi ölçün
Reklam tıklamasından 7 günden fazla sonra kaç siparişin geldiğini bulun. ROASaurus atıf raporunda 7, 14 ve 28 günlük pencereleri karşılaştırın ve ne kadar atfın kaydığını görün.
- Piksel satın alımlarını siparişlerle karşılaştırın
Pikselinizin gönderdiği Purchase olaylarını sayın, platformunuz izin veriyorsa tarayıcıya göre bölün ve aynı dönemdeki siparişlerinizle karşılaştırın.
- Sunucu olaylarınızı kontrol edin
Ödenmiş her siparişin hash'lenmiş e-posta ve telefonla sunucu tarafında gönderildiğinden ve tarayıcı ile sunucu kopyalarının aynı olay kimliğini paylaştığından emin olun.
Siparişlerinizin büyük bir kısmı Safari'den geliyorsa ve çoğu tıklamadan 7 günden fazla sonra geliyorsa, tarayıcı çerezleri tek başına reklamlarınızı olduğundan düşük raporlar. Hash'lenmiş müşteri verisiyle sipariş verisinden gönderilen satın alımlar, reklam platformlarına bu siparişleri eşleştirmek için başka bir yol sunar. ROASaurus'un bunu nasıl yaptığını sunucu tarafı takip sayfasında, tıklamalara nasıl atıf yaptığını ise atıf sayfasında görebilirsiniz.
Kaynaklar
- WebKit: Tracking Prevention in WebKit
- WebKit: Intelligent Tracking Prevention 2.2
- WebKit: CNAME Cloaking and Bounce Tracking Defense
- WebKit: Private Browsing 2.0
- Apple Developer: Prepare your network or web server for iCloud Private Relay