First-party versus third-party cookies, uitgelegd voor marketeers
Elk gesprek over tracking eindigt bij cookies, en in de meeste van die gesprekken betekent "first-party" goed en "third-party" ten dode opgeschreven. Het echte onderscheid is smaller en nuttiger: het gaat erom bij welk domein een cookie hoort, en dat ene feit bepaalt hoe lang browsers hem laten leven, wat bepaalt of een bezoeker die over drie weken terugkomt voor je rapporten nog dezelfde bezoeker is.
De definitie
Een cookie hoort bij het domein dat hem zette. Op yoursite.com, een cookie voor yoursite.com (of een van zijn subdomeinen) first-party. Een cookie voor facebook.com of doubleclick.net, gezet omdat een script of pixel van dat domein op je pagina laadde, is third-party. Dezelfde cookie, hetzelfde bedrijf; wat verschilt is het domein waaronder hij staat, en of de browser hem bij het volgende bezoek terugstuurt.
Wat browsers met elk doen
- Third-party cookies worden standaard geblokkeerd in Safari, Firefox en Brave, al jaren. Chrome hield ze nadat het in 2024 zijn verwijderplan terugdraaide, met trackingbescherming en een gebruikerskeuze eromheen. Voor identificatie over sites heen zijn ze nergens meer betrouwbaar.
- First-party cookies gezet door JavaScript, zoals de Google-tag
_gazet en de Meta-pixel_fbp, leven 7 dagen in Safari en iOS. Landde de bezoeker via een link die door een bekende tracker is gedecoreerd, dan 24 uur. Firefox hanteert vergelijkbare limieten. - First-party cookies gezet door je eigen server in een HTTP-antwoord houden hun volledige levensduur, tot het plafond van 400 dagen van Chrome. Safari stelt sinds versie 16.4 één voorwaarde: de server die ze zet moet op die van jezelf lijken, dus geen CNAME naar een ander bedrijf en een IP-adres in dezelfde reeks als die van je website. Een tagging subdomain op de server van een andere aanbieder zakt voor die test en valt terug op 7 dagen.
Waarom het marketeers aangaat
- Terugkerende bezoekers. Een cookie die na 7 dagen verloopt, maakt van elk tweede bezoek na een week een nieuwe gebruiker: opgeblazen aantallen nieuwe gebruikers, kortere paden, lagere lifetime value.
- Attributievensters. Een klik op maandag en een aankoop drie weken later horen alleen bij elkaar als de cookie die de klik onthoudt er nog is. De
_gcl_aw, die van Meta_fbcen die van TikTok_ttpworden allemaal op dezelfde manier begrensd. - Doelgroepen. Remarketinglijsten worden gebouwd uit herkende bezoekers. Begrens de cookie, en de lijst krimpt.
- Toestemming is een aparte vraag. First-party betekent niet toestemmingsvrij. De ePrivacy-regels gelden voor elke opslag op het apparaat die niet strikt noodzakelijk is, van wie het domein ook is.
Welke cookie is welke
| Cookie | Platform | Gezet door | Standaard in Safari |
|---|---|---|---|
_ga, _ga_* | Google Analytics | JavaScript, first-party | 7 dagen |
FPID | Google Analytics via een servercontainer | Je server, first-party | Volledige levensduur op je eigen domein |
_gcl_aw, _gcl_gb | Google Ads | JavaScript, first-party | 7 dagen |
_fbp, _fbc | Meta | JavaScript, first-party | 7 dagen |
_ttp | TikTok | JavaScript, first-party | 7 dagen |
_uetmsclkid, _uetvid | Microsoft Ads | JavaScript, first-party | 7 dagen |
_epik | JavaScript, first-party | 7 dagen | |
li_fat_id | JavaScript, first-party | 7 dagen | |
__oppref, __obref | ChatGPT Ads | JavaScript, first-party | 7 dagen |
fr, IDE | Meta, Google (advertenties tonen) | Third-party | Blocked |
Wat server-side tagging verandert, en wat niet
Je tags verhuizen naar een servercontainer op je eigen subdomein maakt de requests first-party: de container en de hits komen van mbase.yoursite.com in plaats van googletagmanager.com. De cookies in de tabel worden nog steeds door JavaScript in de browser gezet, met dezelfde 7-dagenlimiet, tenzij iets ze vanaf de server opnieuw zet. Dat is het werk van twee power-ups:
- Cookie Keeper zet de marketingcookies die hij herkent vanaf de server opnieuw met hun volledige levensduur, bij elk request.
- Same-Origin Tracking serveert de tagging vanaf een pad op je eigen website, zodat de server die die cookies zet je eigen adres is en aan de 16.4-regel van Safari is voldaan. Zonder helpt Cookie Keeper overal behalve in Safari.
Click-ID's die browsers uit de landings-URL strippen voordat er een cookie bestaat, zijn een verwant probleem, opgelost door Click ID Restorer.
Veelgestelde vragen
Is een CNAME-subdomein first-party?
Volgens de cookiespecificatie wel. Voor Safari niet: het herkent CNAME-cloaking en begrenst de cookies op 7 dagen, net als een JavaScript-cookie.
Is een tagging subdomain third-party?
Nee, het is een subdomein van je eigen domein, dus zijn cookies zijn first-party en ongevoelig voor het blokkeren van third-party cookies. De 7-dagenlimiet van Safari voor cookies van een server in een andere IP-reeks is een aparte regel, en precies die waarvoor Same-Origin Tracking bestaat.
Heb ik voor first-party cookies nog een cookiebanner nodig?
Ja, voor elke cookie die niet strikt noodzakelijk is om de site te laten werken. Analyse- en marketingcookies zijn dat niet, wie ze ook zet.