Çerez Nedir? Web Siteleri Sizi Nasıl Hatırlar?

Çerez, bir web sitesinin tarayıcınızda saklamasını ve sitenin sonraki her ziyaretinde geri göndermesini istediği küçük bir metin parçasıdır. Bir web sitesinin sizi "hatırlamasının" yolu budur: giriş yaptığınızı, sepetinizde ne olduğunu, hangi dili seçtiğinizi. Çerezler program değil, sadece veridir; ancak sizi tanımlayabildikleri için hem güvenlik hem de gizlilik açısından önemlidirler.

AI ile geliştirirken neden önemli?

Bir AI oluşturucudan isteyeceğiniz birçok özelliğin altında çerezler yatar; çoğu zaman "çerez" kelimesi hiç geçmeden:

Giriş. Çoğu web uygulamasında "oturumu açık tut" bir oturum çerezi anlamına gelir. Bu çerezin nasıl yapılandırıldığı, çalınmasının ne kadar kolay olacağını belirler.
Sepetler ve tercihler. Sayfa yenilendiğinde kaybolmayan bir sepet çoğu zaman bir çerez ya da tarayıcı depolamasına dayanır.
Analiz ve reklamlar. Google Analytics, bir Meta pikseli ya da bir sohbet widget'ı eklemek genellikle başka şirketlerden çerezler ekler.
Yasal bildirimler. Birçok yerde bazı çerezler için ziyaretçinin önce onayı gerekir; çerez bildirimleri de buradan çıkar.

Uygulamanızın hangi çerezleri ayarladığını ve nedenini biliyorsanız, güvenlik ayarları, onay ve gizlilik politikanız hakkında daha iyi kararlar verebilirsiniz.

Günlük hayattan bir benzetme

Bir garderobun numaralı fişini düşünün. Mantonuzu teslim eder ve numaralı bir fiş alırsınız. Fişin içinde mantonuz yoktur, sadece bir numara vardır. Tezgaha her döndüğünüzde fişi gösterirsiniz ve görevli hangi mantonun sizin olduğunu bilir.

Bir oturum çerezi de aynı şekilde çalışır. Giriş yaptığınızda sunucu bilgilerinizi kendi tarafında tutar ve tarayıcınıza bir fiş verir: uzun, rastgele bir kimlik. Tarayıcınız her istekte bu fişi gösterir, sunucu da kim olduğunuzu arar. Fişi kopyalayan kişi mantoyu alabilir; bu yüzden giriş çerezlerinin korunması gerekir.

Bir çerez gerçekte nasıl çalışır

Bir siteyi ziyaret edersiniz. Sunucunun yanıtı şöyle bir başlık içerir: Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Tarayıcınız bunu o sitenin alan adına bağlı olarak saklar.
Aynı siteye yapılan sonraki her istekte tarayıcı otomatik olarak Cookie: session_id=8f3k... ekler.
Sunucu bunu okur ve sizin olduğunuzu bilir.

Sayfanın JavaScript'i de çerez oluşturabilir, ama en önemli çerezler, yani oturum açma oturumları, sunucu tarafından ayarlanmalı ve JavaScript'ten gizlenmelidir.

Çerez türleri

Tür	Anlamı	Örnek
Oturum çerezi	Son kullanma tarihi yoktur; tarayıcı oturumu kapanınca silinir	Kısa süren bir ödeme adımı
Kalıcı çerez	Bir son kullanma tarihi vardır (`Expires` ya da `Max-Age`) ve yeniden başlatmalara dayanır	"30 gün beni hatırla"
Birinci taraf	Adres çubuğundaki site tarafından ayarlanır	O sitedeki girişiniz
Üçüncü taraf	Sayfaya gömülü başka bir alan adı tarafından ayarlanır	Bir reklam ağının takip kimliği
Kesinlikle gerekli	Kullanıcının istediği bir hizmet için gereklidir	Giriş oturumu, alışveriş sepeti
Zorunlu olmayan	Site sahibi için hoş bir ekstra	Analiz, reklam, A/B testi

Tarayıcılar üçüncü taraf çerezleri, insanları web siteleri arasında takip etmek için kullanıldığından, giderek daha fazla kısıtladı. Bugün birçok büyük tarayıcı bunların birçoğunu varsayılan olarak engelliyor ve ayrıntılar sürekli değiştiği için önemli hiçbir şeyi üçüncü taraf çerezlere dayandırmayın.

Çalışılmış bir örnek: küçük bir online dükkân

El yapımı mumlar satan bir dükkân yaptığınızı düşünün. Makul bir sürümün ayarlayacağı çerezler ve nedenleri şunlardır.

session - sahibi ya da bir müşteri giriş yaptığında ayarlanır. Yalnızca rastgele bir kimlik tutar; gerçek oturum verilerini sunucu saklar. Ayarlar: HttpOnly (sayfa betikleri okuyamaz), Secure (HTTPS üzerinden yalnızca gönderilir), SameSite=Lax (diğer sitelerin başlattığı çoğu istekte gönderilmez). Kesinlikle gerekli.

cart_id - giriş yapmamış bir ziyaretçinin sepetini korumasını sağlar. Veritabanında kayıtlı bir sepeti gösterir. Kesinlikle gerekli, çünkü ziyaretçi sepete ürün eklemek istemiştir.

theme - karanlık modu hatırlar. Bu bir çerez olabilirdi, ama sunucuya hiç gitmesi gerekmez; bu yüzden tarayıcı localStorage daha basittir.

Analiz çerezleri - bir analiz aracı kurarsanız eklenir. Bunlar zorunlu değildir. AB ve Birleşik Krallık'ta genellikle ayarlanmadan önce onay gerekir; bu yüzden analiz betiği, ziyaretçi "Kabul et"e tıklayana kadar beklemelidir.

Dükkânın çerezlerde saklamadığı şeye dikkat edin: müşterinin adı, adresi ya da kart bilgileri. Çerezler her istekle birlikte gider ve kullanıcının cihazında yaşar; bu yüzden kimlikleri tutmalı, kişisel verileri değil.

Sık kullanılan terimler

Terim	Anlamı
Çerez	Tarayıcının sakladığı ve siteye geri gönderdiği küçük bir ad-değer çifti.
`Set-Cookie`	Bir sunucunun çerez oluşturmak ya da güncellemek için kullandığı yanıt başlığı.
Oturum	Bir çerez kimliğine bağlı, sunucudaki giriş yapmış kullanıcı kaydı.
`HttpOnly`	Sayfa JavaScript'inin çerezi okumasını engeller; enjekte edilen betiklerden doğan zararı sınırlar.
`Secure`	Çerez yalnızca şifreli HTTPS bağlantılarında gönderilir.
`SameSite`	Çerezin diğer sitelerden gelen isteklerde gönderilip gönderilmeyeceğini belirler (`Strict`, `Lax` ya da `None`).
`Expires` / `Max-Age`	Çerezin ne zaman silinmesi gerektiği.
Domain / Path	Sitedeki hangi adreslerin çerezi alacağı.
localStorage	Sayfa kodunun okuyabildiği, ancak sunucuya otomatik gönderilmeyen tarayıcı depolaması.
XSS	Siteler arası betik çalıştırma: saldırganın betiğinin sayfanızda çalışması ve veri çalmaya çalışması.
CSRF	Siteler arası istek sahteciliği: başka bir sitenin tarayıcıyı çerezlerinizle bir istek göndermeye kandırması.
Çerez onayı	Zorunlu olmayan çerezleri ayarlamadan önce ziyaretçilerden izin istemek.

Sık yapılan hatalar ve yanlış anlamalar

"Çerezler virüstür." Düz metindirler. Bilgisayarınızda kod çalıştıramazlar.
Çerezlere hassas veri koymak. Rastgele bir kimlik saklayın ve ayrıntıları sunucuda tutun.
Giriş belirteçlerini localStorage'a koymak. Sayfadaki her betik localStorage'ı okuyabilir; enjekte edilmiş bir betik de dahil. Bir HttpOnly çerez ise sayfa betikleri tarafından hiç okunamaz.
Secure ve HttpOnly eksikliği. Bu iki bayrak çok ucuzdur ve yaygın açıkları kapatır.
Bir bildirimin her şeyi kapsadığını varsaymak. "Kabul et"e kimse tıklamadan analiz yükleyen bir bildirim işini yapmaz.
Çıkış yapmayı unutmak. Çıkış yapmak çerezi silmeli ve sunucudaki oturumu sonlandırmalıdır; böylece kopyalanmış bir çerez artık çalışmaz.
"Çerez kullanmazsam gizlilik kuralları geçerli olmaz." GDPR gibi kurallar, kişisel veriler nerede saklanırsa saklansın geçerlidir: yerel depolama, cihaz parmak izleri ve sunucu günlükleri dahil.

AI oluşturucunuzdan ne istemelisiniz

"Uygulamanın ayarladığı her çerezi, ne işe yaradığını, ne kadar süreyle kaldığını ve kesinlikle gerekli olup olmadığını listele."
"Giriş oturumu için HttpOnly, Secure, SameSite=Lax bir çerez kullan. Kimlik doğrulama belirteçlerini localStorage'a koyma."
"Çerezde yalnızca rastgele bir oturum kimliği tut; oturum verilerini sunucuda sakla."
"Çıkış yapıldığında çerezi temizle ve sunucudaki oturumu geçersiz kıl."
"Ziyaretçi kabul etmeden analiz ya da pazarlama betiklerini yükleme ve onun seçimini hatırla."
"Gizlilik politikasına, yukarıdaki listeyle eşleşen kısa bir çerez bölümü ekle."

Onay kısmı için çerez onayı nasıl eklenir rehberine bakın. Çerezlerin girişlerle nasıl ilişkili olduğunu öğrenmek için kimlik doğrulama nedir yazısını okuyun.

Mythex'te çerezler

Mythex, uygulamanızın kullanıcıları için yerleşik bir giriş sağlamaz; bu yüzden uygulamanızın ayarladığı çerezler, uygulamanın kendi kodundan ve eklediğiniz araçlardan gelir; örneğin seçtiğiniz kimlik doğrulama yaklaşımının oturum çerezi. Çerezleri listelemesi, ayarlarını sıkılaştırması ya da bir onay bildirimi eklemesi için sohbette ajana sorun ve yayınlamadan önce sonucu canlı önizlemede kontrol edin. Dokümanlardaki uygulamanıza giriş ekleme tarifi iyi bir başlangıç istemidir; geliştirdiğiniz uygulamalar için güvenlik sayfası ise anahtarları ve gizli bilgileri tarayıcının dışında tutmayı anlatır.

Sorular

Bir web sitesinde çerez nedir?

Çerez, bir web sitesinin tarayıcınızda saklamasını istediği küçük bir metin parçasıdır. Tarayıcı, o siteye sonraki her istekte çerezi geri gönderir; bu sayede site, giriş yapıp yapmadığınız ya da sepetinizde ne olduğu gibi şeyleri hatırlayabilir.

Çerezler tehlikeli mi?

Çerezler program değil, sadece veridir; kod çalıştıramaz ve bir bilgisayarı enfekte edemezler. Asıl endişeler gizlilik (üçüncü taraf çerezlerin sizi siteler arasında izlemesi) ve güvenliktir (bir giriş çerezinin çalınıp sizin adınıza kullanılması).

Birinci taraf ve üçüncü taraf çerezler arasındaki fark nedir?

Birinci taraf çerez, adres çubuğunda gördüğünüz site tarafından oluşturulur; örneğin bir giriş çerezi. Üçüncü taraf çerez ise sayfaya gömülü başka bir alan adı tarafından oluşturulur; örneğin bir reklam ağı. Çoğu zaman sizi birçok site üzerinden takip etmek için kullanılır.

Çerez bildirimine ihtiyacım var mı?

Bu, kullanıcılarınızın nerede olduğuna ve hangi çerezleri kullandığınıza bağlıdır. AB ve Birleşik Krallık'ta analiz ya da reklam gibi zorunlu olmayan çerezlerin genellikle önce onay gerektirir; oturum açma oturumu gibi hizmet için kesinlikle gerekli çerezler ise genellikle onay gerektirmez. Sizin için geçerli kuralları kontrol edin.

Çerezler ile localStorage arasındaki fark nedir?

İkisi de tarayıcıda veri saklar. Çerezler her istekte sunucuya otomatik olarak gönderilir, bu da girişler için uygundur. localStorage tarayıcıda kalır ve yalnızca sayfanın kendi kodu tarafından okunur; bu da tema gibi tercihler için uygundur.