Çerez (Cookie) Nedir? Ne İşe Yarar?
Çerez, sunucunun tarayıcıya bıraktığı küçük bir metin kaydıdır. Program değildir, çalıştırılamaz; işlevi sonraki isteklerde geri gönderilerek sizi "hatırlatmaktır".
Kısa cevap
Çerez (cookie), bir web sunucusunun tarayıcıya gönderdiği ve tarayıcının sakladığı ad-değer çiftidir. Tarayıcı, eşleşen adreslere giden sonraki isteklerde bu değeri geri gönderir; böylece oturum açık kalır, tercihler hatırlanır. Çerez bir program değildir ve kendi başına çalıştırılamaz.
Öne çıkan bilgiler
- Çerez, RFC 6265 ile tanımlanan bir HTTP mekanizmasıdır: sunucu Set-Cookie başlığıyla gönderir, tarayıcı Cookie başlığıyla geri yollar.
- RFC 6265 altı özellik tanımlar: Expires, Max-Age, Domain, Path, Secure ve HttpOnly.
- SameSite özelliği RFC 6265'te yoktur; standardın güncellenme çalışmasında (rfc6265bis) Strict, Lax ve None değerleriyle tanımlanır.
- SameSite=None yalnızca çerez aynı zamanda Secure işaretliyse geçerlidir.
- Tarayıcıların karşılaması gereken asgari sınırlar: çerez başına 4096 bayt, alan adı başına 50 çerez, toplam 3000 çerez.
- Son kullanma bilgisi verilmeyen çerez oturum çerezidir ve tarayıcı kapatıldığında silinir.
- Safari 2020'de, Firefox 2022'de üçüncü taraf çerezleri varsayılan olarak kısıtladı; Google Nisan 2025'te Chrome'da mevcut yaklaşımı sürdürme kararını duyurdu.
Hemen her sitede çıkan "çerezleri kabul ediyor musunuz?" penceresi, teknik olarak çok basit bir şeyi soruyor: tarayıcınızda küçük bir not bırakılabilir mi? O notun ne olduğunu ve neden bu kadar düzenlemeye konu olduğunu anlamak, pencereyi bilinçli kapatmayı sağlıyor.
Çerez nedir?
Çerez, bir web sunucusunun tarayıcıya gönderdiği ad-değer çiftidir. Mekanizma şöyle çalışır: sunucu yanıtında Set-Cookie: ad=değer başlığını gönderir, tarayıcı bunu saklar ve eşleşen adreslere giden sonraki isteklerde Cookie başlığıyla geri yollar.[1][2]
Standart, Nisan 2011 tarihli RFC 6265 belgesidir ("HTTP State Management Mechanism") ve kendisinden önceki RFC 2965'i yürürlükten kaldırmıştır.[1]
Buradaki en önemli nokta şudur: çerez bir metindir. Program değildir, kod içermez, kendi başına hiçbir şey yapamaz. Boyutu da küçüktür; tarayıcıların karşılaması gereken asgari sınır çerez başına 4096 bayttır.[1]
Çerezin özellikleri
RFC 6265 tam olarak altı özellik tanımlar:[1]
| Özellik | İşlevi |
|---|---|
| Expires | Çerezin geçerlilik bitiş tarihi |
| Max-Age | Saniye cinsinden ömür; Expires'a göre önceliklidir |
| Domain | Çerezin hangi alan adına gönderileceği |
| Path | Çerezin hangi yol altında geçerli olduğu |
| Secure | Yalnızca güvenli (HTTPS) bağlantıda gönderilir |
| HttpOnly | Sayfadaki betiklerin çereze erişmesini engeller |
Tanınmayan özellikler yok sayılır.[1]
Sık duyulan SameSite özelliği RFC 6265'te yoktur; standardın güncellenme çalışmasında Strict, Lax ve None değerleriyle tanımlanır.[1][3] Bu çalışma hâlâ taslak aşamasındadır ve RFC numarası almamıştır; bu yazının hazırlandığı tarihte RFC Editör kuyruğunda "son onay bekliyor" durumundadır.[4]
İki kural pratikte önemlidir: tanınmayan bir SameSite değeri Lax'a denk bir davranışa tabi tutulur, ve SameSite=None yalnızca çerez aynı zamanda Secure işaretliyse kabul edilir.[3][2] Bir tarayıcı, 80. sürümünden beri SameSite belirtilmemiş çerezleri Lax gibi işler ve SameSite=None için Secure şartı koyar.[5]
Çerez türleri
- Oturum çerezi: Expires ya da Max-Age verilmemişse çerez oturum çerezidir ve istemci kapandığında silinir. Tarayıcıların "oturumu geri yükle" özelliği bu çerezleri geri getirebilir.[2]
- Kalıcı çerez: Belirtilen tarihe kadar saklanır.
- Birinci taraf çerez: Ziyaret ettiğiniz sitenin kendi çerezi.
- Üçüncü taraf çerez: Sayfaya gömülü başka bir alan adına ait çerez; siteler arası takibin klasik aracı.
Çerezle karıştırılan bir başka depolama da var: localStorage. Köken (origin) başına çalışır, son kullanma tarihi yoktur ve çerezlerin aksine her istekte sunucuya otomatik gönderilmez; sessionStorage ise sayfa oturumu bitince temizlenir.[6] Yani "çerezleri temizledim" demek, tarayıcıdaki bütün izlerin silindiği anlamına gelmez.
Üçüncü taraf çerezler: bugün durum ne?
Bu konuda çok yanlış bilgi dolaşıyor, çünkü tarayıcılar farklı yollar izledi:
- Safari: 24 Mart 2020'de duyurulan sürümlerle üçüncü taraf çerezleri varsayılan olarak tümüyle engelledi.[7]
- Firefox: 14 Haziran 2022'de "Total Cookie Protection" özelliğini varsayılan hâle getirdi; çerezleri onları oluşturan siteyle sınırlıyor.[8]
- Chrome: 22 Nisan 2025'te yayımlanan açıklamada, üçüncü taraf çerez tercihine ilişkin mevcut yaklaşımın sürdürüleceği ve ayrı bir yeni onay istemi getirilmeyeceği belirtildi. Yani Chrome'da üçüncü taraf çerezler kaldırılmıyor; gizli sekmede ise zaten varsayılan olarak engelli.[9] 17 Ekim 2025'te ise çerez yerine geliştirilen birçok teknolojinin (Topics, Protected Audience, Attribution Reporting ve diğerleri) sonlandırıldığı duyuruldu.[10]
Hukuki taraf: neden onay isteniyor?
Avrupa'da dayanak, 12 Temmuz 2002 tarihli ePrivacy Direktifi'dir (2002/58/EC; 2009/136/EC ile değiştirildi). Direktifin 5(3) maddesi, cihazda bilgi saklamayı ya da erişmeyi kural olarak onaya bağlar ve yalnızca iki durumu muaf tutar: iletişimin ağ üzerinden iletilmesi amacıyla yapılan işlem ve kullanıcının açıkça talep ettiği hizmeti sunmak için kesinlikle gerekli olan işlem.[11][12]
Avrupa Birliği Adalet Divanı'nın 1 Ekim 2019 tarihli Planet49 kararı onayın niteliğini netleştirdi: önceden işaretlenmiş ve kullanıcının kaldırması gereken bir kutu geçerli bir onay oluşturmaz; bu sonuç, saklanan bilginin kişisel veri olup olmamasından bağımsızdır; onay belirli olmalıdır ve kullanıcıya verilecek bilgi çerezlerin süresini ve üçüncü tarafların erişip erişemeyeceğini içermelidir.[11]
Avrupa Veri Koruma Kurulu'nun 7 Ekim 2024'te 2.0 sürümü kabul edilen kılavuzu ise kapsamı genişletir: 5(3) maddesi yalnızca çerezlere özgü değildir; URL ve piksel takibi, yerel işleme, yalnızca IP üzerinden takip ve benzersiz tanımlayıcılar da kapsama girer ve "bilgi" kişisel veriyle sınırlı değildir.[12][13]
Türkiye: KVKK çerez rehberi
Kişisel Verileri Koruma Kurumu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69, Temmuz 2025) konuyu doğrudan düzenler. Rehberin tespitiyle çerezler 6698 sayılı Kanun'da açıkça düzenlenmemiştir; 5809 sayılı Elektronik Haberleşme Kanunu'nun ilgili hükmü ise ePrivacy'nin 5(3) maddesiyle yalnızca kısmi uyum taşır ve işletmecileri bağlar, sıradan web sitesi işletenleri kapsamaz.[14]
Rehber iki muafiyet ölçütü koyar:[14]
- Kriter A: Çerez yalnızca iletişimin elektronik haberleşme şebekesi üzerinden iletilmesi için kullanılıyorsa (örnek: yük dengeleme oturum çerezi).
- Kriter B: Kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekliyse. Rehberin saydığı örnekler: kullanıcı girdisi çerezleri, oturum süresiyle sınırlı kimlik doğrulama çerezleri, kullanıcı merkezli güvenlik çerezleri, multimedya oynatıcı oturum çerezleri, arayüz kişiselleştirme çerezleri, oturum açmış üyeler için sosyal eklenti içerik paylaşım çerezleri, onay yönetim platformu çerezleri ve yalnızca kitle ölçümüyle sınırlı birinci taraf analitik çerezleri.
Açık rıza gerektirenler ise nettir: sosyal eklenti takip çerezleri ve davranışsal reklamcılık çerezleri. Rehber, davranışsal reklamcılık için kullanılan çerezlerin açık rıza gerektirdiğini açıkça yazar ve zorunlu çerezlerin pazarlama amacıyla kullanılmaması gerektiğini belirtir.[14]
Pratik sonuçlar
- Çerezleri silmek oturumlarınızı kapatır ve tercihlerinizi sıfırlar; takibi tümüyle durdurmaz, çünkü parmak izi çıkarma ve yerel depolama gibi başka yöntemler vardır.[12][6]
- Site sahibi olarak zorunlu olmayan çerezleri onay alınmadan çalıştırmamak gerekir; onay penceresinin "kabul et" ile "reddet" seçeneklerini dengeli sunmak da aynı çerçevenin parçasıdır.[14][11]
- Geliştirici olarak oturum çerezlerine HttpOnly ve Secure vermek, SameSite değerini bilinçli seçmek temel güvenlik adımlarıdır.[1][3]
İlgili içerikler
Sık sorulan sorular
Çerez (cookie) nedir ve nasıl çalışır?
Çerez virüs veya program mıdır?
Çerezleri silerseniz ne olur?
Üçüncü taraf çerezler kaldırıldı mı?
Hangi çerezler için açık rıza gerekir?
SameSite özelliği ne yapar?
Kaynaklar
- RFC 6265: HTTP State Management Mechanism — IETF (erişim: 1 Kasım 2026)
- Set-Cookie başlığı — MDN Web Docs (Mozilla) (erişim: 1 Kasım 2026)
- draft-ietf-httpbis-rfc6265bis-22 (tam metin) — IETF (greenbytes aynası) (erişim: 1 Kasım 2026)
- draft-ietf-httpbis-rfc6265bis (durum sayfası) — IETF Datatracker (erişim: 1 Kasım 2026)
- SameSite cookies explained — web.dev (Google) (erişim: 1 Kasım 2026)
- Window: localStorage — MDN Web Docs (Mozilla) (erişim: 1 Kasım 2026)
- Full Third-Party Cookie Blocking and More — WebKit / Apple (erişim: 1 Kasım 2026)
- Firefox rolls out Total Cookie Protection by default — Mozilla (erişim: 1 Kasım 2026)
- Next steps for Privacy Sandbox and tracking protections in Chrome — Google Privacy Sandbox (erişim: 1 Kasım 2026)
- Update on Plans for Privacy Sandbox Technologies — Google Privacy Sandbox (erişim: 1 Kasım 2026)
- Basın duyurusu No 125/19 — C-673/17 Planet49 kararı — Avrupa Birliği Adalet Divanı (erişim: 1 Kasım 2026)
- Guidelines 2/2023 on Technical Scope of Art. 5(3) ePrivacy Directive (v2.0) — Avrupa Veri Koruma Kurulu (EDPB) (erişim: 1 Kasım 2026)
- Guidelines 2/2023 belge sayfası (kabul tarihleri) — Avrupa Veri Koruma Kurulu (EDPB) (erişim: 1 Kasım 2026)
- Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69, Temmuz 2025) — Kişisel Verileri Koruma Kurumu (erişim: 1 Kasım 2026)
Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız