Apple doğruladı: Safari 27, e-posta tabanlı kimlik takibini engelliyor

Apple, Safari 27’nin bazı reklam kimlik domain’lerine neden bağlanmadığını ilk kez açıkladı. 19 Ekim 2026’da yayımlanan WebKit blog yazısına göre Safari ve WebKit, giriş ya da bülten kaydı sırasında e-posta adresini toplayıp kalıcı takip kimliğine çeviren üçüncü tarafların ağ erişimini kesiyor. Engel iOS, iPadOS, macOS ve visionOS 27 sürümlerini kapsıyor.

Safari 27 identity resolution engeli neyi kapsıyor?

Engel, Apple’ın “identity resolution altyapısı” dediği yapıyı hedefliyor: e-posta girilen sayfalarda görünmeden çalışan, kendisi ne giriş sağlayıcısı ne de bülten servisi olan üçüncü taraflar. PPC Land’in aktardığına göre John Wilander, Charlie Wolfe ve Matthew Finkel imzalı yazı, engelin ağ katmanında ve domain düzeyinde çalıştığını söylüyor. Yani kimlik hiç üretilmiyor, isteğin yapısını değiştirmek de engeli aşmaya yetmiyor.

• Apple hiçbir şirketin adını vermiyor, liste de yayımlamıyor. Önceki haberler, The Trade Desk’ten Ian Meyers’ın 21 Eylül 2026’da açtığı WebKit hata kaydına dayanarak etkilenen domain’leri Unified ID 2.0, ID5, LiveRamp, Permutive ve Audigent gibi kimlik servisleriyle ilişkilendirmişti.
• The Trade Desk’in reklam sunum domain’i adsrvr.org, iOS 27.2 beta’sında yeniden açılmış görünüyor; Apple bu domain’in neden listede olduğunu açıklamadı.
• WebKit sınırı net çiziyor: “First party personalization is not tracking, and is not what our technologies seek to prevent.”
• AdExchanger’ın yüzlerce şirketi kapsayan, uzaktan güncellenen bir liste haberi ise PPC Land’in günlük derlemesine göre Apple tarafından doğrulanmadı.

Safari 27 engeli reklam hedeflemesini ve ölçümü etkiler mi?

Evet, doğrudan etkiler. Engellenen bir resolver’ın client-side script ile ürettiği kimlik, kullanıcı giriş yapsa da yapmasa da Safari 27’de oluşmuyor. Bid request’ler bu kimlik olmadan gidiyor, ona bağlı audience segmentleri eşleşmiyor ve bu segmentlere bütçe ayıran reklamverenler Safari erişiminde düşüş görür. Safari 2020’de third-party cookie’leri kapattığından beri e-posta tabanlı ID’ler, Apple cihazlarında aynı kişiyi siteler arasında tanımanın ana yoluydu; dolayısıyla burada kapanan şey küçük bir açık değil, ana alternatif.

Planlama açısından iki nokta önemli. Birincisi, yazı ham ve hash’lenmiş e-posta arasında ayrım yapmıyor; Apple’ın çerçevesinde hash’lemek bir savunma değil. İkincisi, WebKit merkezi bir resolver’ın tek bir şirketin verisini işlese bile üçüncü taraf olarak kaldığını söylüyor. Aynı çağrıları server-side’a taşımak tarayıcıdaki domain engelini teknik olarak aşar, ama WebKit politikası korumaları dolanmaya çalışanlara önceden haber vermeden yeni kısıtlamalar getirme hakkını saklı tutuyor. Server-side kimlik çözümlerini güvenli liman değil, hareketli bir hedef olarak gör.

Apple’ın “bir amaçla verilen bilgi başka bir amaçla kullanılmamalı” argümanı, KVKK’daki amaçla sınırlılık ilkesine aşina olan Türk ekiplere tanıdık gelecektir. SEO ve içerik tarafında asıl risk; bülten kayıtları, gated içerikler ve giriş formları, çünkü kimlik script’leri tam da bu noktalarda çalışıyor.

Sitendeki e-posta tabanlı takip kodlarını nasıl denetlersin?

• Form sayfalarındaki tag’leri çıkar. Giriş, kayıt ve bülten sayfalarında tetiklenen tüm üçüncü taraf tag’leri listele, kimlik vendor’larını işaretle.
• Raporları tarayıcıya göre ayır. Safari 27 erişimini, eşleşme oranlarını ve dönüşümleri Chrome ile karşılaştırarak etkiyi ölç.
• Vendor’larına doğrudan sor. Safari 27 durumlarını, kullandıkları domain’leri ve alternatif çözümlerini iste.
• First-party sinyalleri güçlendir. Kullanıcının bilerek yaptığı görünür girişler ve kendi CRM verin Apple’ın çizdiği sınırın içinde kalıyor.
• iOS 27.2’yi ve yeni WebKit yazılarını takip et. Apple domain’lerin nasıl seçildiğini ve güncellendiğini açıklamadı; liste değişebilir.

Kaynaklar

• PPC Land: Safari 27 blocks identity firms that turn email addresses into tracking IDs
• PPC Land: Safari 27 blocks identity firms as search falls to 12% of publisher traffic