2026’da çerezler için neler değişti ve bu konuda ne yapmalı

2026’da çerez ortamı

Üçüncü taraf çerezleri artık tüm büyük tarayıcılarda fiilen ölmüş durumda. Chrome, yıllara yayılan kullanımdan kaldırma sürecini 2025’in sonlarında nihayet tamamlayarak Safari ve Firefox’a katıldı. Aynı dönemde Avrupa düzenleyicileri, "tümünü reddet" düğmelerini zorunlu kılan ve çoğu izleme faaliyeti için hukuki dayanak olarak meşru menfaati arka plana iten yeni rehberler yayımladı. Sonuç, rıza almanın zorlaştığı, izlemenin daha sınırlı hale geldiği ve birinci taraf verilerinin tek güvenilir temel olduğu bir web.

Bu bir kriz değil. Bir düzeltme. Düzinelerce sağlayıcının kullanıcıları web genelinde sessizce izleyebildiği önceki model hiçbir zaman sürdürülebilir değildi. Şimdi elimizde olan şey kısa vadede daha dağınık, ancak veri toplamanın gerçekte ne gerektirdiği konusunda daha dürüst: açık kullanıcı izni ve doğrudan ilişki.

Özellikle ne değişti

Chrome’un üçüncü taraf çerezlerini kullanımdan kaldırması tamamlandı

Chrome, üçüncü taraf çerezlerini varsayılan olarak destekleyen son büyük tarayıcıydı. 2025’in 4. çeyreği itibarıyla, ayarlarda açıkça etkinleştirilmedikçe tüm kullanıcılar için engelleniyorlar. Privacy Sandbox API’leri—Topics, Protected Audience, Attribution Reporting—yayında, ancak benimsenme hâlâ düşük. Çoğu reklamveren, bu API’lerin entegrasyon çalışmasını haklı çıkaracak kadar sinyal sağlayıp sağlamadığını hâlâ anlamaya çalışıyor.

Site sahipleri için bu, siteler arası çerezlere dayanan tüm analytics, reklamcılık veya kişiselleştirme çözümlerinin, birinci taraf ya da Privacy Sandbox yaklaşımına geçilmediği sürece Chrome’da artık çalışmadığı anlamına gelir. Safari ve Firefox’ta zaten uyumluysanız, Chrome’daki değişiklik aynı kısıtların yalnızca genişlemesidir.

AB rıza kuralları daha da sıkılaştı

European Data Protection Board, 2026’nın başlarında iki noktayı netleştiren güncellenmiş rehberler yayımladı:

1. Tümünü reddet düğmeleri, tümünü kabul et düğmeleri kadar belirgin olmalıdır. Reddetme seçeneğini gizleyen veya birden fazla tıklama gerektiren dark pattern’lar artık açıkça uyumsuz kabul ediliyor. Düzenleyiciler, reddetmeyi kabul etmekten daha zor hale getiren arayüzler için para cezaları vermeye başladı.

1. Meşru menfaat artık çoğu reklamcılık ve analytics faaliyeti için kullanılamaz. Rehber, GDPR Madde 6(1)(f) yorumunu daraltarak, kullanıcıları oturumlar veya siteler arasında izlemenin yalnızca meşru menfaat değerlendirmesiyle değil, rıza gerektirdiğini açıkça ortaya koyuyor. Bu, daha önce meşru menfaat iddiasıyla rıza banner’larından kaçınan birçok analytics platformunu etkiliyor.

Siteniz AB kullanıcılarına hizmet veriyorsa, rıza banner’ınızın muhtemelen güncellenmesi gerekiyor. Yeni standart, eşit derecede görünür iki düğmeye sahip basit bir modal: kabul et ve reddet. Önceden işaretlenmiş kutular yok, gizli anahtarlar yok, çok adımlı reddetme akışları yok.

Kullanıcılar daha agresif biçimde engelliyor

uBlock Origin ve Ghostery gibi tarayıcı eklentileri her zaman vardı, ancak kullanımları istikrarlı biçimde arttı. Daha da önemlisi, tarayıcıların kendileri artık varsayılan olarak giderek daha agresif engelleme özellikleriyle geliyor. Safari’nin Intelligent Tracking Prevention özelliği çoğu üçüncü taraf çerezini engeller ve birinci taraf çerezlerini son kullanıcı etkileşiminden sonra yedi günlük depolamayla sınırlar. Firefox’un Enhanced Tracking Protection özelliği de benzer işler yapar.

Pratik sonuç şu: uyumlu, birinci taraf analytics çözümleri bile daha gürültülü hale geliyor. Cihazlar arası oturum birleştirme daha zor. Geri dönen ziyaretçi takibi daha az güvenilir. Analytics verileriniz son bir yılda geri dönen kullanıcılarda düşüş gösteriyorsa, nedeni büyük olasılıkla budur.

Bu konuda ne yapmalı

Mevcut çerez kullanımınızı denetleyin

Önce sitenizin gerçekte hangi çerezleri ayarladığını anlayarak başlayın. Birçok site, artık kullanılmayan sağlayıcılardan veya yıllar önce eklenip hiç kaldırılmamış script’lerden kalan çerezler biriktirmiş durumda. Çerez denetimi basittir: sitenizi gizli pencerede açın, tarayıcının geliştirici araçlarında Application > Cookies bölümüne bakın ve gördüğünüz her şeyi belgeleyin.

Her çerez için şunları sorun:

• Onu ne ayarlıyor? (Birinci taraf script, üçüncü taraf sağlayıcı vb.)
• Ne için kullanılıyor? (Analytics, reklamcılık, kimlik doğrulama, tercihler vb.)
• Hâlâ gerekli mi?
• GDPR veya ePrivacy kapsamında rıza gerektiriyor mu?

Açıklayamadığınız çerezler bulursanız kaldırın. Reklam veya analytics sağlayıcılarından gelen üçüncü taraf çerezleri bulursanız, bu sağlayıcıların birinci taraf ya da Privacy Sandbox yaklaşımlarına geçip geçmediğini kontrol edin. Geçmedilerse, bir alternatife ihtiyacınız var.

Mümkün olduğunda birinci taraf analytics’e geçin

Google Analytics gibi üçüncü taraf analytics platformları hâlâ çalışıyor, ancak artık AB’de açık rıza gerektiriyor ve gizlilik odaklı kullanıcıların artan engellemeleriyle karşılaşıyor. İzleme script’inin kendi alan adınızda çalıştığı ve verilerin kendi altyapınızda saklandığı birinci taraf analytics ise daha az engelle karşılaşır.

Bu, kendi analytics platformunuzu kurmanız gerektiği anlamına gelmez. Artık birçok sağlayıcı, istekleri alan adınız üzerinden proxy’leyen ve verileri varsayılan olarak kullanıcı gizliliğine saygılı biçimde saklayan birinci taraf analytics sunuyor. Ödün genellikle daha az siteler arası izleme ve reklam platformlarıyla daha az entegrasyondur; ancak topladığınız veri daha güvenilir ve engellenme olasılığı daha düşüktür.

Hâlâ Google Analytics kullanıyorsanız, siteler arası izlemeye ve reklam entegrasyonlarına gerçekten ihtiyacınız olup olmadığını değerlendirin. Birçok site için yanıt hayırdır. Sayfa görüntülemelerine, yönlendirenlere ve temel kullanıcı akışlarına odaklanan daha basit, birinci taraf bir analytics kurulumu çoğu zaman yeterlidir ve uyumlu tutması çok daha kolaydır. Verileri tarayıcıda işlemek, gizliliğe duyarlı birçok görev için uygulanabilir bir strateji haline geldi; analytics de bunun istisnası değil.

Rıza banner’ınızı düzeltin

Rıza banner’ınızda eşit derecede belirgin bir "tümünü reddet" düğmesi yoksa, bunu şimdi düzeltin. AB rehberi açık ve düzenleyiciler bunu aktif olarak uyguluyor. Yeni standart, eşit görsel ağırlığa sahip iki düğmeli basit bir modaldır: "Tümünü kabul et" ve "Tümünü reddet." Ayrıntılı kontroller bir "Tercihleri yönet" bağlantısı üzerinden sunulabilir, ancak varsayılan seçim ikili ve açık olmalıdır.

Şunlardan kaçının:

• Ayrıntılı ayarlarda önceden işaretlenmiş kutular
• Birden fazla tıklama gerektiren reddetme akışları
• Reddetmenin siteyi bozacağını ima eden dil
• Kullanıcı kabul edene kadar içeriği engelleyen duvarlar

Bir consent management platform (CMP) kullanıyorsanız, şablonlarını yeni rehbere uyacak şekilde güncelleyip güncellemediğini kontrol edin. Birçoğu güncellemedi.

Daha az veri toplayacağınızı kabul edin

En zor uyum süreci bu. Uyumlu bir rıza banner’ınız ve birinci taraf analytics’iniz olsa bile kullanıcılarınızın önemli bir kısmı izlemeyi reddedecek veya tarayıcı düzeyinde engelleyecek. Analytics verileriniz daha az kullanıcı, daha kısa oturumlar ve daha az cihazlar arası süreklilik gösterecek. Bu bir hata değil. Yeni referans noktası bu.

Çözüm, kullanıcıları rıza olmadan izlemenin daha kurnaz yollarını bulmak değildir. Çözüm, daha az veriyle çalışan bir iş modeli kurmaktır. Rıza veren kullanıcılara odaklanın, doğrudan ilişkileri optimize edin ve toplu eğilimlerin bireysel izlemeden daha önemli olduğunu kabul edin.

Ne değişmedi

Kimlik doğrulama çerezleri, alışveriş sepeti çerezleri ve tercih çerezleri GDPR kapsamında rıza gerektirmez. Bir çerez sitenin çalışması için kesinlikle gerekliyse, sormadan ayarlayabilirsiniz. Buradaki kafa karışıklığı, "kesinlikle gerekli" ifadesinin dar bir hukuki tanıma sahip olmasından kaynaklanır. Analytics çerezleri kesinlikle gerekli değildir. Reklam çerezleri kesinlikle gerekli değildir. Hatta dil seçimi gibi bazı tercih çerezleri bile, site kullanıcının dilini tarayıcı ayarlarından çıkarabiliyorsa kesinlikle gerekli değildir.

Şüphede kaldığınızda rıza isteyin. Bir rıza banner’ının maliyeti, GDPR cezasının maliyetinden düşüktür.

Temel çıkarımlar

• Üçüncü taraf çerezleri artık tüm büyük tarayıcılarda varsayılan olarak engelleniyor; bu da kullanıcı opt-in’i olmadan siteler arası izlemeyi fiilen imkânsız hale getiriyor.
• AB rıza kuralları artık eşit derecede belirgin "kabul et" ve "reddet" düğmeleri gerektiriyor; meşru menfaat ise çoğu izleme faaliyeti için artık hukuki dayanak olarak kullanılamıyor.
• Birinci taraf analytics ve Privacy Sandbox API’leri başlıca alternatiflerdir, ancak her ikisi de AB’de açık rıza gerektirir ve tarayıcı düzeyinde artan engellemeyle karşı karşıyadır.
• Birçok site hâlâ eski sağlayıcı entegrasyonlarından gelen gereksiz çerezler ayarlıyor—çerezlerinizi denetleyin ve aktif olarak kullanmadığınız her şeyi kaldırın.
• İleriye dönük olarak daha az veri toplayacağınızı kabul edin; çözüm, rıza gerekliliklerini aşmanın yeni yollarını bulmak değil, daha az izlemeyle çalışan bir iş modeli kurmaktır.

FAQ

Q: 2026’da Google Analytics için rızaya ihtiyacım var mı?

A: AB kullanıcılarına hizmet veriyorsanız evet. Google Analytics, kullanıcıları oturumlar arasında izleyen çerezler ayarlar ve bu GDPR kapsamında açık rıza gerektirir. Google’ın artık "çerezsiz" bir mod sunması bunu değiştirmez—parmak izi alma veya birinci taraf tanımlayıcılar yoluyla bile olsa, kalıcı kullanıcı izlemesi AB’de rıza gerektirir.

Q: Privacy Sandbox API’leri üçüncü taraf çerezlerine gerçek bir alternatif mi?

A: Teoride evet. Pratikte ise benimsenme hâlâ düşük ve API’ler üçüncü taraf çerezlerinin izin verdiğinden daha kısıtlı. Topics API, bireysel izleme yerine ilgi kategorileri sağlar. Protected Audience API remarketing’e izin verir, ancak daha az ayrıntılı hedeflemeyle. Attribution Reporting API dönüşüm verisi sağlar, ancak gizlilik için gürültü eklenmiş şekilde. Çoğu küçük site için birinci taraf analytics daha basit ve daha güvenilir bir yoldur.

Q: Yeni rıza kurallarını görmezden gelirsem ne olur?

A: AB düzenleyicileri GDPR ve ePrivacy kurallarını aktif olarak uyguluyor ve cezalar ciddi—küresel cironun %4’üne veya 20 milyon €’ya kadar, hangisi daha yüksekse. Küçük siteler bile muaf değil; düzenleyiciler, ihlallerin ağır olduğu durumlarda ayda birkaç bin ziyaretçisi olan siteleri de hedef aldı. AB kullanıcılarına hizmet veriyorsanız, uyum isteğe bağlı değildir.

Q: Analytics için rıza yerine meşru menfaat kullanabilir miyim?

A: Artık hayır, en azından AB’de. 2026 EDPB rehberi, sitenizin nasıl kullanıldığını anlamakta meşru menfaatiniz olduğunu iddia etseniz bile, kullanıcıları oturumlar veya siteler arasında izlemenin rıza gerektirdiğini açıkça ortaya koyuyor. Meşru menfaat kapsamında hâlâ değerlendirilebilecek tek analytics türü, kesin biçimde birinci taraf, yalnızca oturum bazlı ve toplulaştırılmış olanlardır—esasen kalıcı tanımlayıcı içermeyen sunucu günlükleri.

Q: Sitemin üçüncü taraf çerezleri ayarlayıp ayarlamadığını nasıl anlarım?

A: Sitenizi gizli pencerede açın, tarayıcının geliştirici araçlarını açın (F12 veya Cmd+Option+I), Application > Cookies bölümüne gidin ve Domain sütununa bakın. Alan adı sitenizin alan adıyla eşleşmeyen her çerez üçüncü taraf çerezidir. Yaygın kaynaklar arasında analytics platformları, reklam ağları, sosyal medya widget’ları ve gömülü video oynatıcılar bulunur.

Kaynaklar

• European Data Protection Board: Guidelines on consent under GDPR — GDPR kapsamında geçerli rızanın ne sayılacağına ilişkin, düzenli olarak güncellenen resmî rehber.
• Chrome Privacy Sandbox documentation — Topics, Protected Audience ve Attribution Reporting dahil olmak üzere Chrome’un Privacy Sandbox API’leri için teknik dokümantasyon.
• IAB Europe: Transparency and Consent Framework — Reklam sağlayıcıları genelinde kullanıcı rızasını yönetmeye yönelik sektör standardı; yaygın biçimde benimsenmiştir ancak düzenleyiciler tarafından giderek daha fazla incelenmektedir.
• Mozilla: Enhanced Tracking Protection — Firefox’un varsayılan olarak çoğu üçüncü taraf çerezini engelleyen yerleşik izleme korumasının açıklaması.