Kısım I Bölüm 3

Üçüncü Taraflar

Yayınlanma tarihi: 2026/11/03

Web Almanac karakterlerinin bir web sayfasına çeşitli şeyler taktığı kapak görseli.

Yazan Muhammad Jazlan ve Muhammad Abu Bakar Aziz

Gözden geçiren Barry Pollard

Analiz eden Muhammad Jazlan

Düzenleyen Barry Pollard

Çeviren Müslim Yılmaz

Giriş

Üçüncü taraflar web’in her yerinde. Web sitesi geliştiricileri reklam, analitik, sosyal medya entegrasyonu, ödeme işleme ve içerik dağıtımı gibi temel özellikleri hayata geçirmek için üçüncü taraflara dayanıyor. Bu modüler yaklaşım, zengin işlevlerin verimli ve hızlı biçimde devreye alınmasını sağlıyor. Ancak gizlilik, güvenlik ve performans açısından olası sorunları da beraberinde getiriyor. Bu yıl ilk kez, kullanıcıların rıza tercihlerinin web’deki üçüncü taraflar arasında nasıl aktarıldığını da analiz ediyoruz; kullanılan rıza çerçevelerini ve bu sinyalleri alan üçüncü tarafları da bu analize dahil ediyoruz.

Bu bölümde, web’deki üçüncü taraf kullanım örüntülerini ampirik olarak analiz ediyoruz. İncelediğimiz başlıklar şunlar:

Yaygınlık: Kaç web sitesinin üçüncü taraf kullandığı ve bunların oranları
Kaynak türleri: Üçüncü tarafların aldığı biçimler (görseller, JavaScript, yazı tipleri vb.)
İşlevsel kategoriler: Reklam ağları, analitik, CDN’ler, video sağlayıcıları, etiket yöneticileri ve diğerleri
Entegrasyon yöntemleri: Üçüncü tarafların sayfalara doğrudan veya dolaylı olarak nasıl yüklendiği
Rıza altyapısı: Hangi üçüncü tarafların rıza sinyallerini aktardığı ve bu aktarımların uygulamada nasıl gerçekleştiği

Tanımlar

Öncelikle, analizimiz boyunca kullanılan bazı tanımları ve terimleri belirliyoruz.

Siteler ve sayfalar

Bu bölümde, önceki yıllarda olduğu gibi, site terimini belirli bir alan adının kayıt ettirilebilir kısmını ifade etmek için kullanıyoruz; bu kısım genellikle genişletilmiş üst düzey alan adı artı bir (extended Top Level Domain plus one, eTLD+1) olarak adlandırılır. Örneğin https://www.bar.com/ URL’si için eTLD+1 bar.com, https://foo.co.uk URL’si için ise foo.co.uk olur. Sayfa (veya web sayfası) derken benzersiz bir URL’yi ya da daha açık bir ifadeyle o URL’de bulunan belgeyi (örneğin HTML veya JavaScript) kastediyoruz.

Üçüncü taraf nedir?

Önceki sürümlerle karşılaştırma yapılabilmesi için Web Almanac’ın geçmiş baskılarında kullanılan üçüncü taraf tanımına bağlı kalıyoruz.

Üçüncü taraf, site sahibinden (birinci taraf olarak da bilinir) farklı bir varlıktır. Sitenin doğrudan site sahibi tarafından oluşturulmayan ve sunulmayan yönlerini kapsar. Daha açık söylemek gerekirse üçüncü taraf içeriği, kullanıcının asıl ziyaret ettiği siteden değil, başka bir siteden yüklenir. Kullanıcının example.com sitesini (birinci taraf) ziyaret ettiğini ve example.com sitesinin awesome-cats.edu sitesinden komik kedi görselleri yüklediğini (örneğin bir <img> etiketiyle) varsayalım. Bu durumda awesome-cats.edu üçüncü taraftır, çünkü kullanıcı başlangıçta bu siteyi ziyaret etmemiştir. Ancak kullanıcı awesome-cats.edu sitesini doğrudan ziyaret ederse awesome-cats.edu birinci taraf olur.

Analizimize yalnızca, kaynakları HTTP Archive veri kümesinde en az beş benzersiz sayfada bulunabilen bir alan adından gelen üçüncü taraflar dahil edildi.

Üçüncü taraf içeriği doğrudan birinci taraf alan adından sunulduğunda birinci taraf içeriği olarak sayılır. Örneğin kendi sunucusunda barındırılan analitik betikleri, CSS veya yazı tipleri birinci taraf içeriği olarak sayılır. Benzer şekilde, üçüncü taraf alan adından sunulan birinci taraf içeriği de üçüncü taraf içeriği olarak sayılır. Bazı üçüncü taraflar içeriklerini farklı alt alan adlarından sunar. Ancak alt alan adı sayısından bağımsız olarak bunlar tek bir üçüncü taraf olarak sayılır.

Ayrıca üçüncü tarafların birinci taraf gibi gösterilmesi giderek yaygınlaşıyor. Bunu iki temel teknik mümkün kılıyor:

CNAME gizleme (CNAME cloaking), üçüncü tarafın içeriğini birinci taraf alan adından geliyormuş gibi göstermek için bir CNAME kaydı kullanır. Bu analizde CNAME ile gizlenen hizmetleri birinci taraf olarak kabul ediyoruz.
Sunucu taraflı izleme (server-side tracking), site sahibinin izleyiciyi (tracker) birinci taraf olarak gömdüğü ve tüm istekleri birinci taraf alan adı üzerinden yönlendirerek izleyiciyi birinci taraf gibi gösterdiği, yeni yeni yaygınlaşan bir eğilimdir. Örneğin www.example.com adlı bir web sitesi, Google Analytics ile birlikte sunucu taraflı Google Tag Manager’ı gömebilir ve istekleri bir Google Tag Manager kapsayıcısına göndermek için sst.example.com alt alan adını gizleyebilir. Bu şekilde üçüncü taraflara giden istekler kullanıcının tarayıcısından değil, etiket yöneticisinin sunucusundan çıkar.

Analizimizde bu tür durumları birinci taraf etkileşimi olarak ele alıyoruz, çünkü üçüncü taraf iletişimi sunucudan sunucuya gerçekleşiyor ve istemci tarafındaki HTTP Archive verilerinde doğrudan gözlemlenemiyor. Bu nedenle ölçümlerimiz, üçüncü tarafların web’deki gerçek yaygınlığının alt sınırını temsil ediyor.

Kategoriler

Daha önce belirtildiği gibi, üçüncü taraflar çeşitli kullanım senaryolarında, örneğin video eklemek, reklam sunmak veya sosyal medya sitelerinden içerik almak için kullanılabilir. Önceki yılda olduğu gibi, veri kümemizde gözlemlenen üçüncü tarafları kategorilere ayırmak için Patrick Hulce tarafından geliştirilen Third-Party Web deposuna başvuruyoruz. Depo, üçüncü tarafları aşağıdaki kategorilere ayırıyor:

Reklam (Ad): Bu betikler, reklam sunan veya ölçen reklam ağlarının parçasıdır.
Analitik (Analytics): Bu betikler kullanıcıları ve eylemlerini ölçer veya izler. Neyin izlendiğine bağlı olarak etkileri büyük ölçüde değişir.
CDN: Bunlar, farklı genel CDN’ler üzerinden sunulan, herkese açık barındırılan açık kaynaklı kütüphaneler (örneğin jQuery) ile özel CDN kullanımının bir karışımıdır.
İçerik (Content): Bu betikler içerik sağlayıcılardan veya yayıncılığa özgü satış ortaklığı izlemesinden gelir.
Müşteri Başarısı (Customer Success): Bu betikler, sohbet ve iletişim çözümleri sunan müşteri desteği/pazarlama sağlayıcılarından gelir. Genellikle daha ağırdırlar.
Barındırma (Hosting): Bu betikler web barındırma platformlarından gelir (WordPress, Wix, Squarespace vb.).
Pazarlama (Marketing): Bu betikler, açılır pencereler/bültenler vb. ekleyen pazarlama araçlarından gelir.
Sosyal (Social): Bu betikler sosyal özellikleri etkinleştirir.
Etiket Yöneticisi (Tag Manager): Bu betikler genellikle başka birçok betiği yükler ve birçok görev başlatır.
Yardımcı Araçlar (Utility): Bu betikler geliştirici yardımcı araçlarıdır (API istemcileri, site izleme, dolandırıcılık tespiti vb.).
Video: Bu betikler video oynatıcı ve akış işlevlerini sağlar.
Rıza sağlayıcı (Consent provider): Bu betikler sitelerin kullanıcı rızasını yönetmesini sağlar (örneğin Genel Veri Koruma Tüzüğü (GDPR) uyumluluğu için). Çerez Rızası (Cookie Consent) açılır pencereleri olarak da bilinirler ve genellikle kritik yolda yüklenirler.
Diğer (Other): Bunlar, ortak bir köken üzerinden sunulan, net bir kategorisi veya atfı olmayan çeşitli betiklerdir.

`Content-Type`

Üçüncü taraf kaynaklarını betikler, HTML içerik, JSON verileri, düz metin ve görseller gibi farklı türlere ayırmak için Content-Type HTTP başlığını kullanıyoruz. Bu sayede web sitelerinde sunulan üçüncü taraf kaynaklarının bileşimini analiz edebiliyoruz.

Yaygınlık

Önceki yıla kıyasla, web sitelerinde bir veya daha fazla üçüncü taraf kullanan sayfaların yüzdesinde hafif bir düşüş görüyoruz. Ancak bu düşüşe rağmen, bir veya daha fazla üçüncü taraf içeren sayfaların yüzdesi %90 veya üzerinde kalmaya devam ediyor.

Şekil 3.2. Sıralamaya göre üçüncü taraf sayısının dağılımı.

Önceki yıla kıyasla, tüm web sitesi sıralamalarında üçüncü taraf alan adı sayısının medyanında önemli bir düşüş görüyoruz; düşüş özellikle üst sıralardaki web sitelerinde çok daha büyük.

Bu düşüşün birkaç nedeni olabilir. İlk olarak, üçüncü taraflar CNAME gizleme ve sunucu taraflı izleme yoluyla giderek daha fazla gizleniyor; bu da istemci tarafı ölçümlerde görünürlüklerini azaltabilir. İkinci olarak, HTTP Archive’ın tarama botları (crawler) web sayfalarıyla etkileşime girmiyor ve sayfayı aşağı kaydırmıyor; bu da gecikmeli yükleme (lazy loading) nedeniyle bazı üçüncü tarafların düzgün yüklenmesini engelleyebilir. Sonuç olarak daha az üçüncü taraf isteği gözlemlenebilir.

Ayrıca masaüstü sayfaların genellikle mobil sayfalardan daha fazla üçüncü taraf içerdiğini görüyoruz.

Şekil 3.3. Sıralamaya göre sayfa başına üçüncü taraf isteği sayısının dağılımı.

Üst sıralardaki web siteleri daha fazla üçüncü taraf isteği yüklüyor. İlk 1.000 sitede medyan masaüstünde 129, mobilde 106 istekken, tüm sitelerde bu sayı masaüstünde 83, mobilde 79.

Yıllık bazda, üçüncü taraf istekleri tüm sıralamalarda arttı. İlk 1.000 site, 2024’e kıyasla masaüstünde 15, mobilde 15 istek artış gösterirken, daha geniş veri kümesinde artış masaüstünde beş, mobilde beş istek oldu. Bu yukarı yönlü eğilim, daha önce gözlemlediğimiz benzersiz üçüncü taraf alan adı sayısındaki düşüşe rağmen ortaya çıkıyor; bu da tek tek üçüncü tarafların sayfa başına daha fazla istek gönderdiğini düşündürüyor.

Şekil 3.4. Sıralamaya göre üçüncü taraf isteği kategorilerinin dağılımı.

Çubuk grafik, sıralama ve kategoriye göre sayfa başına üçüncü taraf sağlayıcı sayısının medyanını gösteriyor. Önceki baskıda bu analiz, sıralama ve kategoriye göre sayfa başına üçüncü taraf alan adı sayısına odaklanıyordu; bu yıl ise benzersiz üçüncü taraf sağlayıcı sayısını ölçüyoruz, bu da genel olarak daha düşük sayılarla sonuçlanıyor. Bu yıl en üst kategoriler ad, analytics ve cdn.

Şekil 3.5. Sıralamaya göre üçüncü taraf isteği türlerinin dağılımı.

Grafik, üçüncü taraf isteklerinde script, image ve other kategorisinin baskın olduğunu gösteriyor. script, image ve other birlikte tüm üçüncü taraf isteği içerik türlerinin yarısından fazlasını oluşturuyor. Bu örüntü, yine script, image ve other türlerini en üst istek türleri olarak belirleyen 2024 baskısıyla tutarlı; yani geçen yıldan bu yana çok az değişiklik var.

Şekil 3.6. Sayfa sayısına göre en yaygın üçüncü taraflar.

İlk 10 üçüncü taraf alan adına fonts.googleapis.com, googletagmanager.com, google-analytics.com, accounts.google.com ve adservice.google.com gibi Google’a ait hizmetler hâkim. Meta’ya ait facebook.com, ilk 10’daki Google dışı tek alan adı; sayfaların %21’inde bulunarak 7. sırada yer alıyor.

Üçüncü taraflar arasında rıza aktarımı

Bu bölümde, farklı üçüncü tarafların kullanıcı rızasını web genelinde nasıl ilettiğini inceliyoruz. Önceki araştırmalar, üçüncü tarafların rıza bilgilerini iletmek için sıklıkla sektör standardı çerçevelere dayandığını gösteriyor. Analizimizde ağırlıklı olarak IAB’nin üç rıza standardına odaklanıyoruz: Şeffaflık ve Rıza Çerçevesi (TCF), CCPA Çerçevesi ve Küresel Gizlilik Protokolü (GPP).

Bu çerçeveler, rıza bilgilerinin nasıl kodlanacağını ve web siteleri ile üçüncü taraflar arasında nasıl paylaşılacağını tanımlar. İşe, veri kümemizde gözlemlenen üçüncü taraflar arasında en yaygın rıza standartlarını belirleyerek başlıyoruz. Bir üçüncü tarafın hangi çerçeveyi kullandığını belirlemek için istek URL’lerinde belirli parametrelerin bulunup bulunmadığına bakıyoruz. Farklı standartların ayrıntıları aşağıda:

TCF Standardı: TCF çerçevesinin kullanımını, üçüncü taraf isteğinin IAB TCF’de belirtildiği gibi gdpr veya gdpr_consent parametrelerini içerip içermediğini kontrol ederek tespit ediyoruz.
GPP Standardı: GPP çerçevesinin kullanımını, gpp ve gpp_sid parametrelerinin varlığını kontrol ederek tespit ediyoruz.
USP Standardı ve standart dışı USP: USP Standardının kullanımını, bir isteğin IAB CCPA Çerçevesinde tanımlandığı şekilde us_privacy parametresi iletip iletmediğini kontrol ederek tespit ediyoruz. Standart dışı USP kullanımını ise önceki çalışmada belirlenen standart dışı parametreler üzerinden iletilen rıza dizelerini saptayarak belirliyoruz.

Rıza sinyallerinin yaygınlığını web sitesi sıralamaları, üçüncü taraf kategorileri ve en sık gözlemlenen rıza sinyali alan üçüncü taraflar açısından analiz ediyoruz.

Farklı sıralamalarda rıza sinyallerinin yaygınlığı

Şekil 3.7. Sıralamaya göre rıza sinyallerinin yaygınlığı.

TCF Standardının baskın rıza standardı olduğunu görüyoruz; özellikle üst sıralardaki sitelerde, tüm sitelerdeki %18’e kıyasla %36’ya ulaşıyor. Bu yüksek benimsenme, GDPR kapsamındaki daha katı açık rıza (opt-in) gereklilikleriyle uyumlu. USP Standardı, sıralamalara göre %9–17 arasında değişen benimsenme oranıyla en yaygın ikinci standart. Bu, CCPA’ya yanıt olarak getirilen IAB CCPA rıza çerçevesinin kullanımını yansıtıyor. GPP’nin amacı rıza çerçevelerini yargı bölgeleri arasında birleştirmek olsa da benimsenme oranı %3–6 ile çok düşük kalmaya devam ediyor.

Farklı kategorilerde rıza standartlarının dağılımı

Şekil 3.8. Kategoriye göre rıza sinyallerinin yaygınlığı.

Farklı üçüncü taraf kategorilerinde farklı rıza standardı tercihleri görüyoruz. Örneğin Sosyal kategorisindeki hizmetlerde TCF benimsenme oranı en yüksekken, reklam sağlayıcıları GPP, USP Standardı ve daha küçük TCF paylarından oluşan daha dengeli bir karışım kullanıyor. Ayrıca analitik sağlayıcıları ağırlıklı olarak GPP’yi benimsiyor.

Rıza sinyali alan önde gelen üçüncü taraflar

Şekil 3.9. Alan adına göre rıza sinyallerinin yaygınlığı.

Üst sıralardaki web siteleri arasında en yüksek hacimde rıza sinyalini pubmatic.com alıyor, adservice.google.com ise ikinci sırada. En fazla rıza sinyali gönderilen alan adlarının çoğu reklam ve reklam teknolojisi sağlayıcılarına ait: reklam borsaları, DSP’ler ve reklam sunucuları. Bu sezgisel olarak da anlamlı, çünkü birçok yargı bölgesinde üçüncü taraf reklam ve analitik sağlayıcıları, kullanıcı verilerini reklam ve diğer amaçlarla kullanmadan önce kullanıcı rızası almak zorunda.

Dahil etme

Önceki örneğimizi hatırlayalım: example.com (birinci taraf), awesome-cats.edu (üçüncü taraf) sitesinden bir <img> etiketiyle görsel yükleyebilir. Görselin bu şekilde eklenmesi doğrudan dahil etme sayılır. Ancak görsel, sitedeki bir üçüncü taraf betiği tarafından XMLHttpRequest aracılığıyla yüklenseydi, bu dolaylı dahil etme sayılırdı. Dolaylı olarak dahil edilen üçüncü taraflar da başka üçüncü tarafları dahil edebilir. Örneğin siteye doğrudan dahil edilen bir üçüncü taraf betiği, başka bir üçüncü taraf betiğini de dahil edebilir. Bu bölümde, üçüncü tarafların dahil etme zincirlerinin derinliklerine ilişkin temel bir analiz yapıyoruz.

Dahil etme zincirinin medyan derinliği 3’tür; bu, üçüncü tarafların çoğunun bir web sayfasında en az bir başka üçüncü tarafı dahil ettiği anlamına gelir. Dahil etme zincirinin en büyük derinliği ise 2.285’tir.

Sonuç

Bulgularımız, üçüncü tarafların web’de her yerde bulunduğunu ve giderek daha fazla yoğunlaştığını gösteriyor. Web sayfalarının onda dokuzundan fazlası bir veya daha fazla üçüncü taraf içeriyor. Benzersiz üçüncü taraf alan adı sayısının medyanı önceki yıla göre azalmış olsa da üçüncü taraflardan gelen toplam istek sayısında önemli bir artış görüyoruz; bu da tek tek sağlayıcıların sayfa başına daha fazla istek gönderdiğini düşündürüyor.

Rıza standartları açısından, TCF tüm web sitesi sıralamalarında baskın rıza standardı. Tek tek üçüncü taraflar arasında ise en yüksek hacimde rıza sinyalini pubmatic.com, adservice.google.com ve diğer reklam teknolojisi alan adları alıyor.

Son olarak, CNAME gizleme ve sunucu taraflı izleme gibi maskeleme tekniklerinin giderek daha fazla kullanılması, istemci tarafı ölçümlerde üçüncü tarafların görünürlüğünü azaltıyor; bu da bulgularımızın gerçek yaygınlığın alt sınırını temsil ettiğini düşündürüyor.