Wat zijn cookies van derden?

Een cookie heet “van derden” wanneer deze wordt geplaatst door een ander domein dan de website die een bezoeker daadwerkelijk bekijkt. Wanneer je een YouTube video insluit, kan de iframe ervoor zorgen dat Google’s domeinen cookies plaatsen in de browser van de bezoeker, ook al denkt de bezoeker gewoon op jouw site te zijn.

Waarom browsers ze beperken

Cookies van derden worden vaak gebruikt voor cross-site tracking en advertenties, waarom moderne browsers ze steeds vaker standaard blokkeren of beperken, en waarom regelgeving zoals de AVG nauwlettend let op hoe en wanneer ze worden geplaatst.

Blootstelling aan cookies van derden verminderen

Het gebruiken van het youtube-nocookie.com embeddomein, embeds uitstellen tot na toestemming, of een lichtgewicht thumbnail-dan-laden-patroon (de echte iframe pas invoegen nadat een bezoeker klikt) zijn de drie meest gebruikte oplossingen.

Hoe cookies van derden daadwerkelijk worden geplaatst via een embed

Wanneer je pagina een YouTube-iframe bevat, doet de browser van de bezoeker een rechtstreeks verzoek aan Google’s servers om de inhoud van die iframe te laden, volledig los van het verzoek dat jouw eigen pagina laadde. Omdat dat tweede verzoek naar een ander domein gaat dan het domein in de adresbalk, telt elke cookie die daarbij wordt geplaatst als cookie van derden. Dit is een structureel gevolg van hoe iframes werken, geen iets dat een site-eigenaar alleen via de eigen paginacode kan voorkomen; het kan alleen worden beïnvloed door de keuze van embeddomein en instellingen.

Een praktisch voorbeeld

Stel je een bezoeker voor op jouwsite.nl met een ingesloten YouTube video. Het laden van de standaard youtube.com-embed kan een cookie plaatsen die leesbaar is voor google.com de volgende keer dat de browser van die bezoeker een site bezoekt met een ingesloten Google-dienst, wat bijdraagt aan cross-site advertentietracking. Dezelfde video laden vanaf youtube-nocookie.com stelt dat plaatsen van cookies uit tot de bezoeker daadwerkelijk op play drukt, wat de periode waarin passieve tracking kan plaatsvinden aanzienlijk verkleint.

Cookies van derden versus cookies van de eerste partij

Een first-party cookie wordt geplaatst door het domein dat in de adresbalk staat, jouw eigen site, meestal voor zaken zoals het onthouden van een winkelwagentje of inlogsessie, en wordt over het algemeen als minder risicovol beschouwd omdat de link met de zichtbare site duidelijk is. Een cookie van een derde, geplaatst door een ingesloten bron zoals YouTube, is minder zichtbaar voor de bezoeker en is de categorie waar de meeste privacyregelgeving en moderne browserbeperkingen zich specifiek op richten. Browsers zoals Safari en Firefox blokkeren tegenwoordig standaard veel cookies van derden, wat het bereik van deze categorie geleidelijk vermindert, onafhankelijk van keuzes op sitenniveau. Zie youtube-nocookie.com voor de specifieke oplossing waar de tools van deze site standaard naar overschakelen.

Dit onderscheid begrijpen helpt te verklaren waarom een site er aan de oppervlakte identiek uit kan zien, dezelfde video, dezelfde speler, maar zich privacygewijs heel anders kan gedragen, puur afhankelijk van welk embeddomein is gebruikt.

Veelgestelde vragen