W3C TAG taslağı: "Üçüncü taraf çerezler web'den mutlaka kaldırılmalı"

• Üçüncü taraf (third-party) çerezler, bireysel gizliliği ciddi biçimde ihlal eden bir teknoloji olarak görülüyor ve web platformundan kaldırılmaları gerekiyor
• Gizlilik odaklı web tasarım ilkeleri doğrultusunda birçok tarayıcı üçüncü taraf çerez engellemeyi devreye aldı; tüm tarayıcıların buna katılması gerekiyor
• Çerez tabanlı giriş, kimlik doğrulama, reklam takibi gibi mevcut yararlı işlevler yeni, amaca yönelik teknolojilerle değiştirilmeli
• Alternatif teknolojiler, tek tek ve tüm web ekosistemi içindeki etkileşimleriyle birlikte değerlendirilmek zorunda
• Web standartları, gizliliği güçlendirirken belirli iş modellerine bağımlı olmayacak şekilde tarafsızlığını korumalı

---

Third Party Cookies Must Be Removed

• Üçüncü taraf çerezler, web kullanıcılarının bilgilerini siteler arasında izler ve gizliliği ihlal eden bir unsur olarak işlev görür
• Bu belge, üçüncü taraf çerezlerin kaldırılmasının gerekçesini ve alternatif teknolojilere duyulan ihtiyacı açıklayan W3C Technical Architecture Group(TAG) uzlaşma metnidir

1. Giriş

• Web gizliliği temel bir tasarım ilkesidir ve çeşitli belge ile araçlar üzerinden bunun güvence altına alınması amaçlanır
• Bazı tarayıcılar zaten üçüncü taraf çerezleri engelliyor, ancak tüm tarayıcıların tutarlı biçimde hareket etmesi gerekiyor
• Kaldırma süreci basit değildir ve mevcut işlevlerin korunması için teknik değerlendirmeler gerektirir

2. Neden üçüncü taraf çerezler kaldırılmalı?

• Çerezler başlangıçta site ziyaretçilerini tanıma amacıyla tasarlanmıştı, ancak zamanla takip, reklam, dolandırıcılığı önleme gibi birçok alana genişledi
• Üçüncü taraf çerezler, takip ağlarının temel teknolojisidir ve kullanıcı farkında olmadan veri toplar ve paylaşır
• Bu tür merkezileşme, yeniliği engelleme ve sorumluluktan kaçma sorunlarına yol açabilir
• Gizlilik ihlali; ifade özgürlüğü, toplulukların sağlığı ve kullanıcı denetiminin zayıflamasıyla da bağlantılıdır

3. Daha önce üçüncü taraf çerezlerle karşılanan kullanım senaryoları

• Giriş, single sign-on, siteler arası kaynaklara erişim yetkisi verme, dolandırıcılık tespiti gibi işlevler şu anda üçüncü taraf çerezlere dayanıyor
• Reklam ölçümü ve hedefleme de buna dahil; alternatif teknolojilerin bu ihtiyaçları karşılaması gerekiyor
• Yeni API'ler, birlikte kullanıldıklarında izleme olasılığı taşıyabileceği için dikkatli tasarım ve gözetim gerektirir

4. Web'i bulduğumuzdan daha iyi bırakmak

• Yeni teknoloji önerileri, gizliliğe zarar vermediğini açık biçimde kanıtlamalı
• Özellikle profilleme, kullanıcı tanıma, bağlamlar arası veri paylaşımı ile ilgili öneriler için bağımsız inceleme tavsiye edilir
• Tarayıcılar ve siteler, bu iyileştirmeleri atlatacak veya zayıflatacak davranışlarda bulunmamalı
• Web ekosistemi iş modeli açısından tarafsız olmalı ve belirli gelir modellerini yapısal olarak içine gömmemeli
• Sonuç olarak, mevcut gözetim teknolojilerini sürdürmenin yeni bir aracına dönüşmemesi için alternatif teknolojiler dikkatle devreye alınmalı

[GN⁺]

Hacker News görüşü

• Bu yazı oldukça tuhaf bir izlenim veriyor ve W3C çalışma sürecinin bir parçası olup olmadığı sorgulanıyor

  • 2. bölüm: üçüncü taraf çerezlerin kötü hale geldiğine işaret ediyor
  • 3. bölüm: üçüncü taraf çerezlerin meşru kullanım senaryoları olduğunu ve yeni teknolojilerin bir araya getirilerek kullanıcı takibi için kullanılabileceği konusunda uyarıyor
  • 4. bölüm: yeni web platformu teknolojilerinin üçüncü taraf çerez sorununu kötüleştirebileceğini, bu yüzden bunun hızla çözülmesi gerektiğini savunuyor
  • W3C'nin kültürel bağlamı iyi bilinmediği için, bu belgenin daha sonra düzenlenecek bir taslak olabileceği tahmin ediliyor

• "Alternatif teknolojiler" zaten hazırlanıyor ve bunlar üçüncü taraf çerezlere eklenecek

  • Google'ın araştırmasına göre üçüncü taraf çerezlerin kaldırılması geliri azaltıyor, "gizlilik korumalı" takip ise geliri artırıyor
  • Bu nedenle her iki yöntemin de kullanılacağı düşünülüyor

• Üçüncü taraf çerezlerin meşru kullanım senaryosu, birden fazla alan adına yayılan tek bir mantıksal sitede oturumun korunmasıdır

  • Başka örnekler olup olmadığı merak ediliyor
  • Kişisel olarak, üçüncü taraf bağlamında birinci taraf çerezlerin de kullanılmaması isteniyor
  • Çerezlerin tamamen kaldırılması ve durum takibi için istemci sertifikalarının kullanılması tercih ediliyor

• Üçüncü taraf çerezler kaldırılırsa, takipçiler web sitelerinden script eklemelerini isteyerek çerezleri "birinci taraf" haline getirecek

  • Takip yöntemlerini değil, takibin kendisini engelleyen korumalara ihtiyaç var

• Çerez sorunu yalnızca görünen kısımdan ibaret; JavaScript etkinse çerez olmasa bile takip mümkün

  • Web standartlarının, JavaScript açıkken bile kullanıcıları takip etmeyi imkansız hale getirmesi için daha fazla çaba gerekiyor
  • Brave ve Firefox gibi tarayıcıların bu konuda hiçbir şey yapmadığı söyleniyor
  • Gerçek gizlilik için JavaScript devre dışı bir tarayıcı kullanmak gerekip gerekmediği sorgulanıyor

• Google bu standardı uygulamayacak

  • Şu anda yasal olarak izin verilmiyor ve reklamverenler üçüncü taraf çerezler olmadan rekabet edemeyeceklerini savunuyor
  • Google, Privacy Sandbox'u genişletiyor ve engelleme planını geri çekiyor

• Belirli amaçlara yönelik çözüm gerektiren kullanım senaryoları arasında federatif kimlik, siteler arası kaynak erişim yetkilendirmesi ve dolandırıcılık önleme var

  • Dolandırıcılık önlemede gizliliği garanti eden bir yöntem olmadığı savunuluyor
  • Ya dolandırıcılığı iş yapmanın maliyeti olarak kabul etmek ya da gizlilikten vazgeçmek gerekiyor

• Google Chrome'u kontrol ettiği sürece bu tartışma boş

  • Düzenleyiciler Google'ı Chrome'u satmaya zorlasa bile, yeni sahibin daha iyi sonuçlar üreteceği düşünülmüyor

• Üçüncü taraf çerezler her zaman engellenmiş ve tek sorun bazı web sayfalarındaki gömülü videoların oynatılamaması olmuş

• Üçüncü taraf çerezler, onların yerini alacak bir yöntem olmadan kaldırılırsa saldırgan fingerprinting yaygın hale gelecek