Çerez (Cookie) Nedir? Türleri, KVKK Çerez Politikası ve Analitiğe Etkisi

Çerez (cookie), bir web sitesinin ziyaretçinin tarayıcısına bıraktığı ve sonraki isteklerde geri okuduğu küçük bir metin dosyasıdır. Çerezler sayesinde site, oturumunuzun açık olduğunu, sepetinizdeki ürünleri, dil tercihinizi ya da sizi daha önce görüp görmediğini hatırlar. Analitik ve reklam araçları da ziyaretçiyi tanımak ve ölçmek için çerezlere dayanır; bu yüzden çerez kararları doğrudan raporlarınızdaki rakamları değiştirir.

Bu rehberde cookie nedir sorusunu teknik ayrıntıya boğmadan cevaplıyor, çerez türlerini tabloyla karşılaştırıyor, Google Analytics 4'ün çerezleri ne için kullandığını, Türkiye'de KVKK kapsamında çerez bilgilendirmesinin genel çerçevesini, iyi bir çerez bandının nasıl kurulacağını ve reddeden ziyaretçilerin ölçümde bıraktığı boşluğu nasıl yöneteceğinizi anlatıyoruz.

Çerez nasıl çalışır?

Bir sayfayı açtığınızda tarayıcınız sunucuya istek gönderir. Sunucu yanıtla birlikte bir çerez yazmak isteyebilir; bunu HTTP yanıt başlığında bir Set-Cookie satırıyla ya da sayfadaki JavaScript ile yapar. Tarayıcı bu çerezi alan adıyla eşleştirip saklar. Aynı alan adına yapılan sonraki her istekte çerez otomatik olarak geri gönderilir. Böylece HTTP'nin "durumsuz" yapısına, yani her isteğin bir öncekinden habersiz olmasına rağmen site sizi tanıyabilir.

Bir çerezin temel özellikleri şunlardır:

• Ad ve değer: Örneğin dil=tr ya da rastgele üretilmiş bir kimlik.
• Alan adı (domain): Çerezin hangi siteye ait olduğunu ve hangi isteklerde gönderileceğini belirler.
• Yol (path): Çerezin sitenin hangi bölümünde geçerli olduğunu sınırlar.
• Son kullanma tarihi: Belirtilmezse çerez tarayıcı kapanınca silinir; belirtilirse o tarihe kadar kalır.
• Güvenlik bayrakları: Secure yalnız HTTPS bağlantıda gönderilmesini, HttpOnly JavaScript ile okunamamasını, SameSite başka sitelerden gelen isteklerde gönderilip gönderilmeyeceğini kontrol eder.

Basit bir örnek yanıt başlığı şöyle görünür:

Set-Cookie: oturum=a81f3c; Path=/; Secure; HttpOnly; SameSite=Lax; Max-Age=3600

Çerezler program değildir, virüs taşımaz ve bilgisayarınızda kod çalıştırmaz. Asıl mesele güvenlik değil gizliliktir: bir kimlik değerinin sayfalar ve siteler arasında taşınabilmesi, kişinin davranışının izlenmesine imkân verir. Çerez düzenlemelerinin odağı da budur.

Çerez türleri

Çerezler üç farklı eksende sınıflandırılır: kimin yazdığı, ne kadar kaldığı ve ne amaçla kullanıldığı. Bir çerez aynı anda her üç sınıfa da girer; örneğin "birinci taraf, kalıcı, analitik" bir çerez olabilir.

Birinci taraf ve üçüncü taraf çerezler

Birinci taraf çerez, adres çubuğunda gördüğünüz sitenin kendi alan adıyla yazılır. Giriş oturumu, sepet ve dil tercihi gibi çerezler genellikle birinci taraftır. Google Analytics 4 de varsayılan olarak çerezlerini ölçüm yapılan sitenin alan adına, yani birinci taraf olarak yazar.

Üçüncü taraf çerez, ziyaret ettiğiniz sayfaya gömülü başka bir alan adı tarafından yazılır. Bir reklam ağı, sosyal medya eklentisi ya da gömülü içerik sağlayıcısı, yüzlerce farklı sitede aynı çerezi okuyarak kişiyi siteler arasında takip edebilir. Yeniden hedefleme reklamlarının ve siteler arası profil çıkarmanın klasik altyapısı budur.

Oturum ve kalıcı çerezler

Oturum çerezi son kullanma tarihi taşımaz ve tarayıcı kapanınca silinir. Form adımları arasında bilgi taşımak ya da güvenli bir işlem akışını sürdürmek için kullanılır. Kalıcı çerez belirli bir süre boyunca saklanır; "beni hatırla" seçeneği ve analitikte geri dönen ziyaretçiyi tanıma bu sayede çalışır. Not: analitikteki "oturum" kavramı tarayıcı oturum çereziyle aynı şey değildir; GA4 oturumu kendi kurallarına göre, etkinlikler arasındaki süreye bakarak tanımlar.

Amaca göre çerez kategorileri

Çerez bandlarında ve politikalarında en çok kullanılan sınıflandırma amaca göredir:

Kategori	Ne işe yarar?	Tipik örnek	Onay gerekir mi?
Zorunlu (kesinlikle gerekli)	Sitenin temel işlevi ve güvenliği	Oturum, sepet, güvenlik doğrulaması, çerez tercihinin kendisi	Genel kabul gören yaklaşım: hayır, ancak bilgilendirme yapılır
İşlevsel (tercih)	Kullanıcı tercihlerini hatırlama	Dil, para birimi, bölge seçimi	Uygulamaya göre değişir; çoğu site onaya bağlar
Analitik (performans)	Ziyaret ve davranış ölçümü	GA4 çerezleri	Genellikle evet
Pazarlama (reklam, hedefleme)	Reklam gösterimi, yeniden hedefleme, dönüşüm eşleştirme	Reklam platformu ve sosyal medya pikselleri	Evet

Tablodaki "onay gerekir mi" sütunu sektördeki yaygın uygulamayı özetler; kendi siteniz için hangi kategorinin onaya bağlanacağı, hukuk danışmanınızla birlikte vermeniz gereken bir karardır.

GA4 hangi çerezleri ne için kullanır?

Google Analytics 4, web sitelerinde varsayılan olarak birinci taraf çerezler kullanır. En bilinenleri şunlardır:

• _ga: Tarayıcıya rastgele bir istemci kimliği atar. GA4 aynı tarayıcıdan gelen ziyaretleri bu kimlikle "aynı kullanıcı" olarak birleştirir. Varsayılan ömrü uzundur (yaygın ayarda iki yıl) ve her ziyarette yenilenir.
• _ga_ ile başlayan çerez: Ölçüm kimliğinize özgüdür ve oturum durumunu tutar; oturumun ne zaman başladığı, kaçıncı oturum olduğu gibi bilgiler buradan okunur.

Bu çerezler kişinin adını veya e-postasını içermez; rastgele kimlik ve zaman bilgisi taşır. Yine de tarayıcıyı tekil olarak tanımlayan bir kimlik olduğu için gizlilik değerlendirmesinde analitik kategoride ele alınır. Ayrıntılı GA4 kurulumu ve raporların okunması için Google Analytics Nedir? GA4 Kurulumu ve Temel Raporlar Rehberi yazısına bakabilirsiniz.

Pratik sonuç şudur: _ga çerezi silinen ya da hiç yazılamayan bir tarayıcı, sonraki ziyaretinde GA4'e "yeni kullanıcı" olarak görünür. Çerez reddi, gizli sekme, tarayıcının kısa süreli çerez kısıtlamaları ve cihaz değiştirme, kullanıcı sayılarını şişirir ve geri dönen ziyaretçi oranını düşürür. Raporları yorumlarken bu sınırı akılda tutmak gerekir.

KVKK kapsamında çerez bilgilendirmesi ve açık rıza

Bu bölüm genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Siteniz için kesin değerlendirmeyi bir hukuk uzmanıyla yapın.

Türkiye'de kişisel verilerin işlenmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir. Çerezler aracılığıyla tekil bir tarayıcıyı ya da kişiyi tanımlamaya yarayan veriler işleniyorsa bu faaliyet kanunun kapsamına girebilir. Kişisel Verileri Koruma Kurumu da çerez uygulamalarına ilişkin bir rehber yayımlamıştır; güncel sürümünü Kurumun resmi sitesinden okumanızı öneririz.

Pratikte sitelerin dikkat ettiği genel ilkeler şunlardır:

• Aydınlatma: Ziyaretçiye hangi çerezlerin, hangi amaçla, ne kadar süreyle kullanıldığı ve verinin kimlerle paylaşıldığı açık ve anlaşılır biçimde anlatılır. Bu genellikle bir çerez politikası sayfası ve bant üzerindeki kısa metinle yapılır.
• Zorunlu olmayan çerezlerde rıza: Sitenin çalışması için gerekmeyen analitik ve pazarlama çerezlerinde açık rızaya dayanılması yaygın yorumdur. Rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması beklenir.
• Önce rıza, sonra çerez: Rızaya bağlı çerezlerin, ziyaretçi onay vermeden yazılmaması gerekir. Sayfa açılır açılmaz pazarlama piksellerinin çalışması, bandın ne yazdığından bağımsız olarak sorunlu bir uygulamadır.
• Geri alınabilirlik: Ziyaretçi verdiği onayı, verdiği kadar kolay bir yolla geri alabilmelidir.
• Yurt dışına aktarım: Çerez verisi yurt dışındaki hizmet sağlayıcılara gidiyorsa aktarım kuralları ayrıca değerlendirilmelidir.

Avrupa Birliği'ndeki GDPR ve ePrivacy kuralları da benzer bir mantıkla çalışır; AB'deki ziyaretçilere hizmet veren Türk siteleri bu kuralları da hesaba katmak durumunda kalabilir.

İyi bir çerez bandı nasıl kurulur?

Çerez bandı hem hukuki bir gereklilik hem de ölçüm kalitesini belirleyen bir arayüzdür. Kötü tasarlanmış bir band, ya ziyaretçiyi yanıltır ya da gereksiz yere yüksek red oranına yol açar. Aşağıdaki adımlar genel kabul gören iyi uygulamalardır.

1. Envanter çıkarın. Sitede hangi çerezlerin yazıldığını tarayıcının geliştirici araçlarındaki depolama sekmesinden listeleyin. Her çerezin sahibini, amacını ve süresini bir tabloya yazın.
2. Kategorilere ayırın. Her çerezi zorunlu, işlevsel, analitik ve pazarlama sınıflarından birine yerleştirin. Hangi etiketin hangi çerezi yazdığını not edin.
3. Kabul ve red seçeneğini eşit gösterin. "Tümünü kabul et" düğmesi büyük ve renkli, "Reddet" seçeneği gizli bir bağlantı ise ziyaretçi yönlendirilmiş olur. İki seçeneği aynı katmanda, benzer görsel ağırlıkta sunun.
4. Ayrıntılı tercih imkânı verin. Kategori bazında açma kapama sunan bir "Tercihleri yönet" ekranı ekleyin. Zorunlu olmayan kategoriler varsayılan olarak kapalı gelsin.
5. Kısa ve dürüst metin yazın. "Deneyiminizi iyileştirmek için" gibi belirsiz ifadeler yerine "ziyaret istatistikleri ve reklam ölçümü için" gibi somut amaç yazın ve çerez politikasına bağlantı verin.
6. Etiketleri rızaya bağlayın. Analitik ve pazarlama etiketlerinin ancak ilgili onay geldiğinde çalışmasını sağlayın. Bunu en temiz şekilde Google Tag Manager üzerinden yönetebilirsiniz; etiket, tetikleyici ve değişken mantığını Google Tag Manager Nedir? yazısında anlattık.
7. Tercihi saklayın ve geri alma yolu bırakın. Seçimi zorunlu bir çerezde tutun; sitenin alt kısmına "Çerez tercihleri" bağlantısı koyarak ziyaretçinin kararını değiştirebilmesini sağlayın.
8. Mobil ve performansı test edin. Bandın küçük ekranda içeriği tamamen kapatmadığından ve sayfa yüklenirken düzen kaymasına yol açmadığından emin olun. Sayfa altına sabitlenmiş, yer ayrılmış bir band, CLS sorunlarını önler.

Çerez bandı kontrol listesi

• Onay verilmeden önce yüklenen pazarlama veya analitik isteği yok.
• Kabul ve red aynı katmanda, eşit görünürlükte.
• Zorunlu olmayan kategoriler varsayılan olarak kapalı.
• Çerez politikası sayfası güncel ve banttan bağlantılı.
• Tercih değiştirme bağlantısı her sayfada erişilebilir.
• Red seçildiğinde ilgili çerezler gerçekten yazılmıyor (geliştirici araçlarıyla doğrulandı).
• Band klavyeyle kullanılabiliyor ve ekran okuyucuyla anlaşılır.

Onay modu (consent mode) nedir?

Google'ın onay modu, sitenizdeki Google etiketlerinin ziyaretçinin çerez tercihine göre davranışını değiştirmesini sağlayan bir mekanizmadır. Band, ziyaretçinin seçimini onay modu parametreleri olarak etiketlere iletir; etiketler de buna göre çerez yazar ya da yazmaz.

Temel parametreler şunlardır:

Parametre	Neyi kontrol eder?
analytics_storage	Analitik çerezlerin (ör. GA4) yazılıp yazılmayacağı
ad_storage	Reklam amaçlı çerezlerin yazılıp yazılmayacağı
ad_user_data	Kullanıcı verisinin reklam amacıyla Google'a gönderilmesine izin
ad_personalization	Kişiselleştirilmiş reklam ve yeniden hedefleme izni

Sayfa yüklenirken varsayılan durum genellikle "reddedildi" olarak ayarlanır, ziyaretçi onay verdiğinde güncellenir. Kavramsal bir örnek:

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}
  gtag('consent', 'default', {
    analytics_storage: 'denied',
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied'
  });
</script>

<!-- Ziyaretçi analitiği kabul ettiğinde band şunu çağırır: -->
<script>
  gtag('consent', 'update', { analytics_storage: 'granted' });
</script>

Temel ve gelişmiş uygulama farkı

Onay modunun iki uygulama biçimi vardır. Temel uygulamada Google etiketleri ziyaretçi onay verene kadar hiç yüklenmez; red verenden Google'a hiçbir veri gitmez. Gelişmiş uygulamada etiketler baştan yüklenir, ancak onay yoksa çerez yazmadan, tanımlayıcı içermeyen sinyaller gönderir. Google bu sinyalleri ve onay veren kullanıcıların davranışını kullanarak, uygunluk koşulları sağlanırsa eksik kısmı modelleme ile tahmin edebilir. Hangi uygulamanın sizin için uygun olduğu hem teknik hem hukuki bir karardır; gelişmiş uygulamadaki çerezsiz sinyallerin de değerlendirilmesi gerektiğini unutmayın.

Reddeden ziyaretçiler ve ölçüm boşluğu

Çerez reddi analitik verinizde ölçülebilir bir boşluk yaratır. Red veren bir ziyaretçinin oturumu, temel onay modunda GA4'te hiç görünmez; gelişmiş modda ise yalnız modellenmiş olarak ve sınırlı ayrıntıyla yer alabilir. Bunun pratik etkileri şunlardır:

• GA4 ile Search Console arasında fark büyür. Search Console tıklamaları Google'ın kendi arama verisinden gelir ve sitenizdeki çerez tercihinden etkilenmez. GA4'teki organik oturum sayısı ise yalnız ölçülebilen ziyaretçileri gösterir. Bu iki rakamın birebir tutmaması normaldir; Search Console verisini nasıl okuyacağınızı Google Search Console Nedir? yazısında anlattık.
• Dönüşüm oranı yanıltıcı olabilir. Red veren ziyaretçi satın alırsa ve sipariş etiketiniz de onaya bağlıysa, dönüşüm kaybolur. Pay ve payda farklı oranlarda eksildiği için oran yukarı ya da aşağı sapabilir.
• Kanal karşılaştırması bozulur. Red oranı cihaz, ülke ve trafik kaynağına göre değişir. Bir kanalın diğerinden "daha iyi" görünmesi kısmen o kanaldaki onay oranından kaynaklanabilir.
• Band değişikliği trafik düşüşü gibi görünür. Yeni bir çerez bandı yayına aldığınız gün GA4'te ani bir düşüş görürseniz, önce Search Console tıklamalarına bakın. Search Console sabitse sorun trafik değil ölçümdür.

Boşluğu yönetmek için pratik adımlar

1. Onay oranını ölçün. Bandınızın kabul ve red oranını, kişisel veri içermeyen sayaçlarla ya da kendi sunucu kayıtlarınızla takip edin. Hangi oranda veri kaybettiğinizi bilmeden rapor yorumlamak tahmindir.
2. Organik performansı Search Console ile doğrulayın. Organik trafik kararlarında birincil kaynak olarak Search Console tıklama ve gösterimlerini kullanın, GA4'ü sayfa içi davranış için yorumlayın. Bu iki kaynağı bir arada okuyan yaklaşımı SEO Analizi Nasıl Yapılır? rehberinde adım adım anlattık.
3. Kritik dönüşümleri arka uçta da sayın. Sipariş ve form gönderimlerini kendi veritabanınızda tutun ve dönem dönem GA4 rakamıyla kıyaslayın. Aradaki fark, ölçüm kaybınızın gerçekçi bir göstergesidir.
4. Band tasarımını test edin, ama yanıltmadan. Metni sadeleştirmek ve amacı netleştirmek onay oranını değiştirebilir. Red seçeneğini gizlemek ise hem güven hem uyum açısından risklidir.

Biz seoanalytics panelinde de organik performans özetlerini Search Console verisi üzerine kuruyoruz; GA4 tarafını ise davranış ve dönüşüm yorumu için yanında gösteriyoruz. Çerez reddinin yarattığı farkı görmek için iki kaynağı aynı tarih aralığında yan yana koymak çoğu zaman yeterlidir.

Üçüncü taraf çerezlerin azalması

Üçüncü taraf çerezler uzun süredir geriliyor. Safari ve Firefox, siteler arası izlemeyi varsayılan olarak kısıtlayan korumalar getirdi. Chrome tarafında Google'ın planları yıllar içinde birkaç kez değişti; sonuç ne olursa olsun, kullanıcıların önemli bir kısmı zaten üçüncü taraf çerezlerin sınırlı çalıştığı tarayıcılar kullanıyor. Reklam engelleyiciler ve gizlilik eklentileri de bu tabloya ekleniyor.

Bunun pazarlama ve analitiğe etkileri şöyle özetlenebilir:

• Siteler arası yeniden hedefleme kitleleri küçülür ve daha kısa süre yaşar.
• Reklam tıklamasından günler sonra gelen dönüşümlerin eşleştirilmesi zorlaşır.
• Gömülü üçüncü taraf hizmetlerin (sohbet araçları, video oynatıcılar) bazı özellikleri farklı davranabilir.
• Birinci taraf ölçüm ve kendi topladığınız verinin değeri artar.

Kampanya kaynaklarını çerezden bağımsız biçimde etiketlemek için bağlantılarınızda UTM parametrelerini tutarlı kullanmak hâlâ en sağlam yöntemlerden biridir; ayrıntısı UTM Nedir? yazısında.

Sunucu taraflı ölçüm ve birinci taraf veri

Sunucu taraflı ölçüm, tarayıcının veriyi doğrudan çok sayıda üçüncü taraf hizmete göndermesi yerine önce sizin kontrol ettiğiniz bir sunucuya göndermesi, oradan da gerekli hizmetlere iletilmesi anlamına gelir. Google Tag Manager'ın sunucu tarafı kapsayıcısı bu modelin bilinen bir örneğidir.

Bu yaklaşımın getirileri:

• Veri kontrolü: Hangi alanın hangi hizmete gideceğine siz karar verirsiniz; IP adresi gibi bilgileri iletmeden önce kırpabilir ya da çıkarabilirsiniz.
• Daha az tarayıcı yükü: Sayfada çalışan üçüncü taraf betik sayısı azalır, bu da hız açısından olumludur.
• Daha dayanıklı birinci taraf bağlam: Ölçüm istekleri kendi alt alan adınıza gittiği için bazı kısıtlamalardan daha az etkilenir.

Önemli bir uyarı: sunucu taraflı ölçüm, rıza yükümlülüğünü ortadan kaldırmaz. Ziyaretçi analitik veya pazarlama ölçümünü reddettiyse, verinin tarayıcıdan mı sunucudan mı gittiği bu kararı değiştirmez. Sunucu tarafı, rızaya saygıyı kolaylaştıran ve veri akışını sadeleştiren bir altyapıdır; reddi aşmanın yolu olarak kullanılmamalıdır.

Birinci taraf veri ise ziyaretçilerin sizinle doğrudan ilişkisinden doğan veridir: üyelik, bülten kaydı, sipariş geçmişi, form başvurusu. Açık rızayla ve şeffaf biçimde toplanan bu veri, üçüncü taraf çerezlerin gerilediği bir ortamda pazarlamanın en istikrarlı dayanağı olur. Bunu büyütmek için kayıt olmanın ziyaretçiye somut bir değer sunması gerekir: indirme, hesap içi kayıtlı liste, kişiye özel hesaplayıcı gibi.

Özet: çerez stratejisi için yol haritası

1. Sitenizdeki tüm çerezleri listeleyin ve amaçlarına göre sınıflandırın.
2. Çerez politikası metninizi bu envantere göre güncelleyin ve hukuki kontrolden geçirin.
3. Eşit seçenekli, kategori bazlı bir çerez bandı kurun.
4. Etiketleri Google Tag Manager üzerinden onay durumuna bağlayın ve onay modunu yapılandırın.
5. Red seçildiğinde çerez yazılmadığını tarayıcıda doğrulayın.
6. Onay oranını ve GA4 ile Search Console arasındaki farkı düzenli izleyin.
7. Kritik dönüşümleri arka uçta da kaydedin; uzun vadede sunucu taraflı ölçümü ve birinci taraf veriyi değerlendirin.

Sık sorulan sorular

Çerez nedir, kısaca ne işe yarar?

Çerez, bir sitenin tarayıcınıza kaydettiği küçük bir metin dosyasıdır. Oturumunuzu açık tutmak, tercihlerinizi hatırlamak, ziyaret istatistiklerini ölçmek ve reklam göstermek için kullanılır.

Cookie ile çerez aynı şey mi?

Evet. "Cookie" İngilizce terimdir, "çerez" Türkçe karşılığıdır. Yasal metinlerde ve Türkçe arayüzlerde genellikle çerez ifadesi tercih edilir.

Çerezleri reddetmek siteyi bozar mı?

Zorunlu çerezler reddedilemez ve bu yüzden site temel işlevlerini sürdürür. Analitik veya pazarlama çerezlerini reddetmek sitenin çalışmasını engellemez; yalnız ölçüm ve kişiselleştirilmiş reklam etkilenir.

KVKK'ya göre çerez bandı zorunlu mu?

Kesin cevap sitenizin hangi çerezleri ne amaçla kullandığına bağlıdır ve hukuki bir değerlendirme gerektirir. Yaygın yorum, zorunlu olmayan çerezler için aydınlatma yapılması ve açık rıza alınması yönündedir. Kişisel Verileri Koruma Kurumunun çerez rehberini okuyup bir hukuk uzmanına danışmanız en sağlıklı yoldur.