De cookiecanon verklaart niet meer wat er gebeurt
Het publieke verhaal over online volgen is blijven staan bij 1998: een site zet een bestandje op je computer, je kunt het weigeren of wissen, klaar. Die canon klopt nog voor precies één techniek en dekt misschien een vijfde van wat er werkelijk gebeurt. Al het andere, de veiling, de koppeling, de doorverkoop, het vermommen, heeft eigen woorden die zelden buiten het vak komen. Dit is de kaart van die woorden, en van de scheidslijnen die er structureel tussen wegvallen.
Wat de canon zegt¶
Het standaardverhaal over online volgen gaat zo. Een website zet een klein tekstbestandje op je computer. Dat bestandje heeft een naam en een waarde, de site kan het bij een volgend bezoek terugvragen, en zo weet hij dat jij het bent. Sommige van die bestandjes zijn nodig om de site te laten werken, andere zijn er om je te volgen. Voor die laatste moet toestemming worden gevraagd. Je kunt ze weigeren, en je kunt ze wissen.
Elke zin daarvan is waar. Het probleem is dat het verhaal in 1998 compleet was en sindsdien niet is meegegroeid, terwijl de industrie eromheen dat wel deed. De canon beschrijft één techniek uit een familie van acht, één trap uit een keten van vijf, en één partij uit een keten van negen. Wie hem gebruikt om te begrijpen wat er op zijn scherm gebeurt, komt structureel te laag uit.
Dat is geen theoretisch bezwaar. Het is de reden dat het maatschappelijke gesprek over dit onderwerp vastloopt op de verkeerde knoppen. We hebben tien jaar besteed aan het regelen van de toestemmingsvraag, terwijl de drie technieken die het meest opleveren geen van drieën een cookie nodig hebben. Zie Fingerprinting ontwijkt je weigering door niets op te slaan, Server-side tagging verplaatst de tracking uit het zicht en CNAME-cloaking vermomt een derde partij als eigen subdomein.
Waar de canon precies ophoudt¶
Vier dingen ontbreken, en ze ontbreken alle vier op een manier die het beeld gunstiger maakt dan het is.
De canon kent geen veiling. In het standaardverhaal bewaart een site iets over jou om jou later te herkennen. Wat er werkelijk gebeurt bij een advertentieplek is dat jouw kenmerken in een biedverzoek worden gezet en uitgezonden naar iedereen die op dat veilingplatform mag meedoen. Niet alleen naar de winnaar. Ook naar de partijen die niet bieden, en naar de partijen die alleen maar zitten te kijken. Zie Real-time bidding biedt jouw toestel in een veiling aan, in milliseconden en Je toestelprofiel gaat de veiling in voor je iets aanraakt.
De canon kent geen koppeling. Een cookie van partij A en een cookie van partij B zijn in het standaardverhaal twee losse dingen. In de praktijk wisselen A en B hun nummers uit, zodat ze weten dat het om dezelfde persoon gaat. Vanaf dat moment is het profiel van A en het profiel van B hetzelfde profiel, zonder dat er ooit een naam aan te pas kwam. Zie Cookie-sync laat losse partijen dezelfde persoon herkennen en Van losse nummers naar een identiteitsgrafiek.
De canon kent geen doorstroom. Het bestandje staat op jouw computer, dus jij hebt er zeggenschap over. Dat klopt voor het bestandje. Het klopt niet voor wat er met de waarneming gebeurt zodra die is verzonden. Wat er aan de andere kant van de lijn mee gebeurt, staat buiten je zicht en buiten je knoppen. Zie Van aanwezig tot doorverkocht zijn vijf trappen, met vijf bewijslasten.
De canon kent geen vermomming. In het standaardverhaal zie je aan het domein van wie de cookie is. Er zijn inmiddels minstens drie routines die precies dat onzichtbaar maken: een derde partij die achter een eigen subdomein wordt gezet, een verzameling die naar één eigen adres gaat dat serverzijdig doorverdeelt, en meetcode die vanaf de eigen server wordt geserveerd. Op 1.718 Nederlandse overheidssites verbergt 41,3 procent een derde partij achter een eigen subdomein (scan van 14 juli 2026, zie CNAME-cloaking zit op vier op de tien overheidssites). Dat is geen randverschijnsel meer.
De kaart¶
De rest van dit lexicon valt uiteen in acht families. Ze staan hieronder in de volgorde waarin ze in een echte gebeurtenis achter elkaar komen, want dat is de enige volgorde waarin ze te begrijpen zijn.
1. De trappen. Aanwezigheid, verzoek, verstrekking, koppeling, doorverkoop. De ladder van bewijs die onder alles ligt. Zie Van aanwezig tot doorverkocht zijn vijf trappen, met vijf bewijslasten.
2. Het merkteken. Alles wat gebruikt wordt om je terug te herkennen: eigen cookie, derde-partij-cookie, browseropslag, cache-merkteken, reclamenummer, vingerafdruk. Zie Cookie is een familienaam, geen techniek.
3. Het gereedschap. Wat het merkteken plaatst en uitleest: pixel, tag, SDK, tagmanager, server-side eindpunt. Zie Pixel, tag, SDK en tagmanager zijn vier dingen.
4. De koppeling. Hoe losse nummers één persoon worden: cookie-sync, identity resolution, identiteitsgrafiek, gehashte e-mail, universele id. Zie Van losse nummers naar een identiteitsgrafiek.
5. De keten. Wie er tussen jouw scherm en het geld staat: uitgever, advertentieserver, verkoopplatform, veiling, inkoopplatform, doorverkoper, verificatiedienst. Zie De advertentieketen heeft negen rollen en je kent er twee.
6. De opslag. Waar het profiel woont: klantdataplatform, datamanagementplatform, databroker, clean room. Zie DMP, CDP, databroker en clean room: waar het profiel woont.
7. Het doel. Waar het allemaal voor is: contextueel, retargeting, lookalike, segment. Zie Retargeting, lookalike en contextueel: drie manieren om je te bereiken.
8. De vermomming. De woorden die een verplichting verplaatsen zonder de techniek te veranderen. Zie De woorden waarmee tracking zich vermomt.
Waarom dit onderscheid werk is en geen woordenspel¶
Ik heb dit lexicon niet gemaakt om precies te zijn om het precies zijn. Ik heb het gemaakt omdat elke keer dat ik een bevinding publiceer, de discussie erna over een woord gaat en niet over de meting.
Twee voorbeelden uit mijn eigen werk. Toen ik schreef dat de code van een reclamebedrijf in een app zat, kwam terug: dus jullie verkopen mijn data. Dat stond er niet, en het volgde er ook niet uit. Zie Ontvangen is niet doorverkopen. En toen ik in een reeks videoveilingen zag dat een advertentiebedrijf telkens een herkenningsnummer uitwisselde, was de verleiding om te schrijven dat er op de bezoeker werd geboden. In 82 geschikte veilingen bracht dat bedrijf nul keer een bod uit. Zie Een cookie-match bewijst herkenning, geen bod.
Beide keren zit het verschil in één woord, en beide keren is dat woord het verschil tussen een bevinding die standhoudt en een bevinding die een woordvoerder in één zin onderuit haalt. Vaktaal die niemand kent, kost een verhaal zijn werking. Vaktaal die je vervangt door een sterker woord dan je kunt dragen, kost het zijn geloofwaardigheid. De uitweg is niet vager schrijven, maar precies weten welke trap je hebt gemeten.