Birinci Taraf Çerez Nedir?
Kısa tanım
Birinci taraf çerez, kullanıcının ziyaret ettiği ve tarayıcının adres çubuğunda görünen sitenin alan adına ait çerezdir. Sunucunun Set-Cookie yanıt başlığıyla ya da o sayfada çalışan JavaScript ile yazılabilir. Oturum, sepet ve dil tercihi gibi işlevlerin yanında analitik araçlar da çoğu zaman birinci taraf çerez kullanır. Birinci taraf olması, çerezin rıza gerektirmediği veya verinin site sahibinde kaldığı anlamına gelmez.
Diğer adları: first-party cookie, 1st party cookie, birinci parti çerez, 1P çerez
Belirleyici olan adres çubuğu
Bir çerezin “birinci taraf” olup olmadığı, çerezin kendisinden değil bağlamdan anlaşılır. Kurum'un çerez rehberinin tanımıyla birinci taraf çerezi, doğrudan kullanıcının ziyaret ettiği internet sayfası, yani adres çubuğunda görünen alan adı yerleştirir. Aynı video platformunun çerezi, kullanıcı platformun kendi sitesindeyken birinci taraf; başka bir sitedeki gömülü oynatıcıdan gelirken üçüncü taraf çerez olur.
Tarayıcılar bu ayrımı yaparken çoğu zaman “site” kavramını kullanır: şema ile kayıtlı alan adının birleşimi. www.example.com ile blog.example.com aynı sitedir; example.com ile example-cdn.net değildir. Bu yüzden aynı firmaya ait iki ayrı alan adı arasında paylaşılan çerez, tarayıcının gözünde siteler arası bir çerezdir.
Sunucunun koyduğu, betiğin yazdığı
Birinci taraf çerez iki yoldan oluşur. Sunucu, yanıtında Set-Cookie başlığını gönderir; bu yol HttpOnly gibi öznitelikleri kullanmaya izin verdiği için oturum çerezleri için doğru yerdir. Ya da sayfadaki JavaScript document.cookie ile çerez yazar; analitik etiketlerinin çoğu böyle çalışır.
// Sayfadaki analitik betiği, ziyaret edilen alan adına kendi ziyaretçi kimliğini yazar
document.cookie = "ziyaretci_id=5c1e9a; Max-Age=31536000; Path=/; Secure; SameSite=Lax";Google Analytics 4'ün _ga çerezi bu modelin bilinen örneğidir: sitenin kendi alan adına yazılır, yani teknik olarak birinci taraftır.
“Birinci taraf” ile “veri bende kalıyor” aynı şey değil
Yaygın yanılgı, birinci taraf çerezlerin otomatik olarak gizlilik dostu ve rızadan muaf olduğudur. Oysa yukarıdaki örnekte çerezdeki kimlik, her ölçüm isteğiyle birlikte analitik sağlayıcısının sunucularına gönderilir. Hukuki değerlendirme çerezin hangi alan adında durduğuna değil, amacına ve verinin kimlerle paylaşıldığına bakar.
Kurum'un rehberi birinci taraf analitik çerezlerin rıza dışındaki bir şarta dayanabileceğini kabul eder; ama yalnızca anonim istatistik üretme, IP maskeleme, siteler arası takip yapmama, makul bir çerez ömrü ve veriyi üçüncü taraflara iletmeme gibi koşullarla. Bu koşulları karşılamayan bir kurulum için çerez onayı gerekir.
Tarayıcılar birinci taraf çerezlere de sınır koyuyor
Safari'nin Intelligent Tracking Prevention (ITP) özelliği yalnızca üçüncü taraf çerezlerle uğraşmaz. WebKit'in yayımladığı politikaya göre:
- JavaScript ile yazılan çerezler ve diğer betik erişimli depolama, siteyle 7 gün etkileşim olmazsa silinir.
- Kullanıcı takip parametreleriyle süslenmiş bir bağlantıdan (link decoration) geldiyse, açılış sayfasında JavaScript ile yazılan çerezlerin ömrü 24 saatle sınırlanır.
- Üçüncü taraf bir hizmetin CNAME kaydıyla birinci taraf gibi gösterildiği durumlarda (CNAME cloaking), o yanıtla konan çerezlerin ömrü 7 güne indirilir.
Pratik sonucu: Safari kullanıcıları analitikte daha sık “yeni ziyaretçi” görünür ve geri dönen kullanıcı oranları olduğundan düşük çıkar. Bu sınırları aşmak için kurulan düzenekler gizlilik beklentisiyle çelişir; daha sağlıklı yol, ölçümün belirsizlik payını kabul etmektir. Ayrıntılar WebKit'in izleme önleme sayfasında güncel tutulur.
Oturum çerezleri için güvenli varsayılan
Giriş oturumunu taşıyan birinci taraf çerezin JavaScript'e kapalı (HttpOnly), yalnızca HTTPS'te gönderilen (Secure), siteler arası isteklere sınırlı (SameSite=Lax veya Strict) olması ve mümkünse __Host- önekiyle adlandırılması beklenir. Bu özniteliklerin ayrıntısı çerez maddesinde anlatılıyor.