Çerez sonrası dünyada cihaz parmak izi: 2026 düzenleyici ve teknik harita

"Çerez sonrası dünya" ifadesi, çok farklı iki hikâyeyi tek bir hikâyeye indirger ve bu birleştirme, cihaz parmak izinin 2026'da hâlâ uygulanabilir olup olmadığına dair kafa karışıklığının çoğuna yol açar. Bir hikâye tekniktir: tarayıcılar üçüncü taraf çerezleri kısıtladı, sonra kaldırdı ve yerine ikame mekanizmalar geliştirdi. Diğeri yasaldır: düzenleyiciler, parmak izinin çerezlerle aynı kurallarla yönetildiğini netleştirdi. Her iki hikâye de gerçektir, her ikisi de önemlidir ve her ikisi de sıklıkla "parmak izi öldü" olarak yanlış okunur — oysa aslında ortaya koydukları şey çok daha spesifiktir.

Bu yazı her ikisini de haritalıyor — tarayıcılarda neyin değiştiğini, yasanın ne söylediğini ve ikisinin nasıl etkileşime girdiğini — tutarlı bir ana fikirle: teknik uygulanabilirliği de yasal dayanağı da belirleyen şey, mekanizma değil tanımlamanın amacıdır. Hedef kitle, cihaz zekâsını dağıtıp dağıtmayacağına ve nasıl dağıtacağına karar veren gizlilik, hukuk ve mühendislik paydaşlarıdır.

"Çerez sonrası dünya" aslında neyi kaldırdı

Çerez sonrası geçiş, üçüncü taraf çerezleri — siteler arası izleme mekanizmasını — kaldırdı; birinci taraf durumu ve birinci taraf cihaz tanımlamayı ise dokunulmadan bıraktı. Bu ayrım, parmak izini değerlendirmek için en önemli tek gerçektir ve en sık gözden kaçan olandır.

Üçüncü taraf çerez, adres çubuğundakinden farklı bir alan adı tarafından ayarlanır ve o üçüncü tarafın, kodunun çalıştığı birbiriyle ilgisiz tüm sitelerde bir kullanıcıyı tanımasına olanak tanır. Bu, siteler arası davranışsal reklamcılığın motorudur ve tarayıcıların söktüğü şey de budur. Birinci taraf çerez — gerçekten ziyaret ettiğiniz site tarafından ayarlanan, yalnızca o site tarafından okunabilen — hiçbir zaman hedef olmadı ve çalışmaya devam ediyor.

Tarayıcılar farklı zaman çizelgelerinde farklı mekanizmalarla ilerledi, ama yön aynıydı: siteler arası üçüncü taraf durumu öldür, birinci taraf ilişkiyi koru.

Safari (Intelligent Tracking Prevention). Apple'ın ITP'si 2020'den beri üçüncü taraf çerezleri varsayılan olarak engelliyor ve izleme atlatma yöntemlerini sınırlamak için betikle ayarlanan durumun birinci taraf depolama ömürlerini kademeli olarak sıkılaştırdı. ITP, özellikle siteler arası izleme kullanım senaryosunu hedefler.

Firefox (Gelişmiş İzleme Koruması / Total Cookie Protection). Firefox, üçüncü taraf izleme çerezlerini varsayılan olarak engeller ve depolamayı site başına bölümlere ayırır; böylece bir üçüncü taraf, tüm sitelerde paylaşılan tek bir kimlik yerine her sitede ayrı bir çerez kavanozu alır. Yine — hedef siteler arası bağlantıdır.

Chrome (Privacy Sandbox). Chrome'un yolu daha uzun ve daha tartışmalıydı. Google, üçüncü taraf çerezleri basitçe engellemek yerine Privacy Sandbox'ı geliştirdi — siteler arası tanımlayıcılar olmadan reklam sonuçları sunmayı amaçlayan, amaca göre kapsamlanmış bir dizi API (ilgi sinyalleri için Topics, yeniden pazarlama için Protected Audience, dönüşüm ölçümü için Attribution Reporting). Kullanıma sunum, kullanımdan kaldırma zaman çizelgesi ve kullanıcıya yönelik seçimin tam durumu 2024–2026 boyunca defalarca değişti, ama mimari niyet korundu: siteler arası tanımlayıcıyı toplu, gizlilik kapsamlı mekanizmalarla değiştir. Parmak izi üzerindeki spesifik etki Privacy Sandbox etkisi yazısında ele alınıyor.

Bunların her biri aynı şeyi hedefler: bir üçüncü tarafın, sahibi olmadığı siteler arasında bir kullanıcıyı tanıması. Hiçbiri, bir sitenin kendi sayfalarında kendi ziyaretçilerini tanımasını hedeflemez — hedefleyemez de, web'i bozmadan. Sahtekârlık parmak izinin yaşadığı boşluk işte budur.

Birinci taraf sahtekârlık parmak izi farklı bir kullanım senaryosu

Sahtekârlık önleme için parmak izi doğası gereği birinci taraf ve tek sitelidir: bir platform, güvenlik kararları vermek için kendi sayfalarında kendi ziyaretçilerini tanımlar. Bu, tarayıcıların söktüğü siteler arası reklam kullanım senaryosundan kategorik olarak farklıdır ve tarayıcı mekanizmaları bunu kısıtlamaz — çünkü her sitenin bağımlı olduğu temel işlevselliği bozmadan kısıtlayamazlar.

Bir tarayıcının birinci taraf cihaz tanımlamayı durdurmak için neyi bozması gerektiğini düşünün. Bir sitenin, kendi sayfalarını işleyen tarayıcının özelliklerini okumasını engellemesi gerekirdi — ekran boyutu, dil, bir sitenin çalışması için ihtiyaç duyduğu zamanlama ve işleme davranışı, zaten iletişim kurduğu ağ yığını. Bunlar izleme kancaları değildir; bir web uygulamasının üzerinde çalıştığı temel yüzeydir. Bunları kısıtlamak meşru işlevselliği bozar, bu yüzden tarayıcılar bu sinyallerin birinci taraf gözlemini değil, siteler arası kombinasyonunu ve istismarını kısıtlar.

İşte bu yüzden cihaz ile çerez ayrımı önemlidir. Tek bir platformda geri dönen bir cihazı tanımlayan bir sahtekârlık sistemi, bir üçüncü taraf çerezi yeniden inşa etmiyordur — üçüncü taraf çerezlerin zaten hiçbir zaman iyi yapamadığı bir şeyi yapıyordur: sitenin kendi güvenlik amacı için, silmeye dirençli kararlı bir kimlik üretmek. Ve bunu hiç çerez kullanmadan yaparak, tüm çerez kaldırma sorusunu tümüyle atlar.

Dolayısıyla teknik uygulanabilirlik hükmü açıktır: çerez sonrası tarayıcı değişiklikleri siteler arası parmak izini azaltır (daha zor, daha kısıtlı) ve birinci taraf sahtekârlık parmak izini esasen dokunulmadan bırakır. Siteler arası sinyal paylaşımına bağımlı bir sahtekârlık sistemi sıkıntıda olurdu; birinci taraf cihaz kimliği etrafında kurulan bir sistem değil.

GDPR ve ePrivacy parmak izi hakkında aslında ne söylüyor

Avrupa hukuku cihaz parmak izini, çerezlere davrandığı gibi ele alır: belirli teknolojiye göre değil, amaca ve kullanıcının cihazına erişime göre düzenler. Parmak izi, çerez olmadığı için kurallardan kaçmaz ve otomatik olarak da onların kapsamına girmez — analiz, bunu neden yaptığınıza dayanır.

İki araç uygulanır ve bunlar sırayla işler.

ePrivacy Direktifi (Madde 5(3)), kullanıcının uç ekipmanında bilgi saklama ya da zaten saklanmış bilgiye erişim edinme eylemini yönetir. Bu "çerez yasası"dır, ama metni teknolojiden bağımsızdır — "bilgi"yi ve "erişim"i kapsar; düzenleyiciler (ve Avrupa Veri Koruma Kurulu'nun kılavuzu) bunu tutarlı biçimde, cihaz özelliklerine erişen parmak izi tekniklerini de içerecek şekilde okumuştur. Dolayısıyla bir cihazdan sinyal okumak, çerez söz konusu olsun ya da olmasın ePrivacy'nin kapsamında yer alır.

Kritik olarak, Madde 5(3) muafiyetler içerir. Erişim, ya bir iletişimi iletmek için ya da kullanıcı tarafından açıkça talep edilen bir hizmeti sunmak için kesinlikle gerekliyse rıza gerekmez. Kullanıcının talep ettiği hizmetin gerçekten bağımlı olduğu güvenlik ve sahtekârlık önleme, kesinlikle gerekli muafiyeti için gerçek bir dayanağa sahiptir — aşağıda geri dönülen bir nokta.

GDPR, ortaya çıkan herhangi bir kişisel verinin işlenmesini yönetir. Bir bireyi tekilleştirebilen bir cihaz parmak izi kişisel veridir, bu yüzden işlenmesi Madde 6 uyarınca yasal bir dayanağa ihtiyaç duyar. Sahtekârlık çalışması için ilgili dayanaklar meşru menfaatler (Madde 6(1)(f)) — ve GDPR'nin kendi gerekçeleri sahtekârlık önlemeyi açıkça bir meşru menfaat olarak adlandırır — ve uygulanabildiği yerde yasal yükümlülüktür. Ayrıntılı uyum mekaniği burada yaşar: amaç sınırlaması, veri minimizasyonu, şeffaflık, saklama sınırları ve belgelenmiş bir meşru menfaat değerlendirmesi. Uyumlu bir dağıtımın pratik biçimi GDPR uyumlu cihaz parmak izi yazısında ortaya konuyor.

İki araç üst üste yığılır: ePrivacy, cihaza erişmek için rızaya ihtiyacınız olup olmadığına karar verir; GDPR, elde ettiğinizi işlemek için yasal bir dayanağınız olup olmadığına karar verir. Sahtekârlık önleme için makul yol, ePrivacy'nin kesinlikle gerekli muafiyeti artı GDPR meşru menfaatlerdir — ama bu yolun koşulları vardır ve otomatik değildir.

Sahtekârlık parmak izi rıza gerektirir mi?

Amaca bağlıdır ve ayrım keskindir: reklam, analitik ya da siteler arası izleme için parmak izi rıza gerektirir; kullanıcının talep ettiği bir sahtekârlık önleme hizmeti için kesinlikle gerekli olan parmak izi, aynı onay olmadan işlemek için gerçek bir dayanağa sahiptir. Mekanizma her iki durumda da özdeştir — yasal muamele tamamen neden üzerinde ayrışır.

Reklam ve analitik amaçları için ciddi bir tartışma yoktur: bu tam olarak ePrivacy'nin rıza gerekliliğinin yazıldığı şeydir, kullanıcının istediği hiçbir hizmet için kesinlikle gerekli değildir ve herhangi bir izleme çerezinin gerektireceği gibi önceden bilgilendirilmiş rıza gerektirir.

Sahtekârlık önleme için, kesinlikle gerekli muafiyetinin savı gerçektir ama koşulludur. En güçlü şekilde şu durumlarda geçerlidir:

• Parmak izi, kullanıcının talep ettiği bir hizmeti sunmak için gerçekten gereklidir — girişini güvence altına almak, ödemesini korumak, hesabının ele geçirilmesini önlemek. Güvenlik, kullanıcı hizmeti kullanırken istediği şeyin bir parçasıdır.
• İşleme güvenlik amacıyla sınırlıdır ve pazarlama, profilleme ya da kullanıcının talep etmediği herhangi bir şey için yeniden amaçlandırılmaz. Amaç sınırlaması burada gerçek bir iş yapıyor; aynı parmak izinin reklamı beslediği an, muafiyet savı çöker.
• Veri toplama, güvenlik amacının ihtiyaç duyduğuyla minimize edilir, saklama sınırlıdır ve işleme belgelenmiş ve şeffaftır (dayanak rıza olmasa bile gizlilik bildiriminde açıklanmıştır).

Bu bir yasal boşluk değildir ve öyle muamele edilmemelidir. Bu, yalnızca amaç sınırlı kaldığı sürece ayakta kalan, amaca bağlı bir muafiyettir. Sinyallerini sessizce bir reklam grafiğine paylaşan bir sahtekârlık sistemi artık kesinlikle gerekli güvenlik işlemesi yapmıyordur ve muafiyeti kaybeder. Kalıcı konum, iddia ettiği şeyin tam olarak kendisi olan ve öyle kalan bir sahtekârlık dağıtımıdır: birinci taraf, güvenlik amaçlı, minimize edilmiş ve pazarlamadan ayrılmış.

Bunların hiçbiri hukuki tavsiye değildir ve tam uygulama yargı yetkisine, ulusal ePrivacy uygulamalarına, sektör kurallarına ve sizin spesifik işlemenize bağlıdır — buradaki analiz genel düzenleyici biçimdir ve gerçek bir dağıtımın kendi meşru menfaat değerlendirmesine ve hukuki incelemesine ihtiyacı vardır.

Kalıcı mimari

Hem teknik hem de yasal geçişten sağ çıkan mimari, sahtekârlık odaklı parmak izinin zaten yakınsadığı mimaridir: birinci taraf, sunucu tarafı sinyallere ağırlık veren, güvenlikle amaç sınırlı ve siteler arası mekanizmalardan bağımsız.

Yukarıdaki haritadan üç tasarım taahhüdü çıkar.

Birinci taraf ve sunucu tarafı sinyallere dayanın. Tarayıcı değişiklikleri en çok siteler arası istemci tarafı incelemeleri kısıtlar. Sunucu tarafı sinyaller — ağ yığını parmak izleri, TLS özellikleri, bağlantı davranışı — kullanıcı hizmetinize bağlanırken kendi altyapınızdan gözlemlenir, doğası gereği birinci taraftır ve tarayıcıların sıkılaştırdığı istemci tarafı kısıtlamalara tabi değildir. Bunlara ağırlık veren bir sistem, kısıtlanabilecek istemci tarafı incelemeler üzerine kurulan bir sistemden daha iyi yaşlanır.

Amacı sınırlı ve görünür tutun. Yasal uygulanabilirlik tamamen güvenlik amacı içinde kalmaya bağlıdır. Bu, sahtekârlık sinyallerini pazarlama için yeniden amaçlandırmamak, bir siteler arası grafik kurmamak, işlemeyi gizlilik bildiriminde açıklamak, toplamayı minimize etmek ve saklamayı sınırlamak demektir. Bunlar sonradan cıvatalanmış uyum yükü değildir — tüm yaklaşımın yasal olmasının koşullarıdır.

Çekirdek hüküm için siteler arası sinyal paylaşımına bağımlı olmayın. Anonimleştirilmiş, toplulaştırılmış müşteriler arası zekâ tespiti güçlendirebilir, ama birincil cihaz kimliği tek başına birinci taraf sinyaller üzerinde durmalıdır; böylece sistem, hem teknik olarak kısıtlı hem de yasal olarak rıza gerektiren siteler arası mekanizmalara dayanmaz.

Bu şekilde kurulan bir sahtekârlık parmak izi sistemi gerçekten çerez sonrasıdır: çerez kullanmaz, onlara ihtiyaç duymaz, üçüncü taraf duruma dayanmaz ve bir sonraki izleme önleme özelliği geldiğinde parçalanmaz — çünkü zaten baştan beri siteler arası izleme yapmıyordu.

Tracio tam olarak bu biçim üzerine kuruludur. Kimlik birinci taraf ve çerezsizdir, sunucu tarafı ağ sinyalleri ile istemci tarafı cihaz sinyalleri arasında ağırlıklandırılmıştır, güvenlik ve sahtekârlık kararlarıyla amaç sınırlıdır ve bir reklam grafiğini beslemez. Tarayıcı gizlilik değişiklikleri boyunca kararlı kalacak şekilde tasarlanmıştır, çünkü bu değişikliklerin hedef aldığı siteler arası mekanizmalara bağımlı değildir. Ayrıntılı uyum mekaniği için GDPR dağıtım kılavuzuna bakın; sözlük temelde yatan kavramları ele alır.

Birinci taraf, güvenlik amaçlı bir cihaz kimliğinin gizlilik ve uyum duruşunuza nasıl uyduğunu görmek ister misiniz?

Ücretsiz denemenizi başlatın — 2.500 doğrulama ücretsiz, kredi kartı gerekmez. Mimariyi ve veri işlemeyi ekibimizle incelemek için demo ayırtın.