Wat zijn third-party cookies? Hoe tracking werkt (en hoe je je beschermt)

Een cookie is een klein tekstbestand dat een website via je browser op je computer opslaat. Dat is alles. Er is niets mysterieus of van nature gevaarlijks aan cookies, ze zijn een van de oudste technologieën op het web, en stammen uit 1994.

Wanneer je een website bezoekt, kan de server een klein stukje data sturen, een cookie, dat je browser opslaat. De volgende keer dat je dezelfde site bezoekt, stuurt je browser het cookie terug. Zo kan de website dingen over je onthouden tussen bezoeken door.

Cookies hebben veel legitieme en essentiële functies. Wanneer je inlogt op een website, onthoudt een cookie dat je bent ingelogd, zodat je niet op elke pagina je wachtwoord hoeft in te voeren. Wanneer je items toevoegt aan een online winkelwagen, houdt een cookie bij wat erin zit. Wanneer je een website op donkere modus zet of een taalvoorkeur kiest, onthoudt een cookie die keuze. Zonder cookies zou elke pagina opnieuw beginnen: geen inlogsessies, geen voorkeuren, geen winkelwagens.

Een cookie is gewoon een key-value pair, een naam en een waarde, zoals "session_id=abc123" of "language=en." Het bevat ook metadata: welk domein het heeft ingesteld, wanneer het verloopt en of het alleen via versleutelde verbindingen mag worden verzonden. Cookies kunnen geen code uitvoeren, geen toegang krijgen tot je bestanden en geen software installeren. Het zijn passieve gegevens, geen programma's.

De privacyproblemen komen niet voort uit de technologie zelf, maar uit hoe die wordt gebruikt. Het probleem ontstaat vooral wanneer cookies worden geplaatst door een ander domein dan het domein dat je echt bezoekt. Dat onderscheid, tussen first-party en third-party cookies, vormt de basis van moderne webtracking. Het is essentieel om te begrijpen hoe de advertentie-industrie je over internet volgt en waarom browsermakers al jaren proberen dat te stoppen.

Het onderscheid tussen first-party en third-party cookies is simpel, maar heeft enorme gevolgen voor je privacy.

Een first-party cookie wordt ingesteld door de website die je bezoekt. Als je naar example.com gaat en example.com slaat een cookie op, dan is dat een first-party cookie. Alleen example.com kan die lezen. Zulke cookies regelen meestal essentiële functies: je ingelogd houden, je voorkeuren onthouden, je winkelwagen bewaren. First-party cookies zijn over het algemeen onschuldig en nodig om websites goed te laten werken.

Een third-party cookie wordt ingesteld door een ander domein dan het domein dat je bezoekt. Als je naar example.com gaat, maar ads.tracker.com plaatst een cookie omdat example.com een advertentie of tracking-script van dat domein heeft ingebed, dan is dat een third-party cookie. Het cruciale verschil, ads.tracker.com kan dezelfde cookie op elke website met zijn tracking-script instellen en lezen.

Dit is het mechanisme dat cross-site tracking mogelijk maakt. Als tracker.com zijn script op duizenden websites heeft ingebed, nieuwswebsites, winkelsites, socialmediaplatforms, blogs, dan kan tracker.com via zijn cookies je activiteit op al die sites zien. Het weet dat je op een nieuwssite een artikel over hardloopschoenen las, daarna een schoenwinkel bezocht en vervolgens een recensiesite bekeek. Allemaal via dezelfde cookie.

First-party cookies blijven binnen één website. Third-party cookies volgen je over het web. Dat is het fundamentele verschil, en daarom zijn third-party cookies het belangrijkste doelwit van privacymaatregelen in browsers.

Het is goed om te vermelden dat de grens tussen first-party en third-party niet altijd duidelijk is. Technieken zoals CNAME cloaking laten trackingbedrijven hun cookies voordoen als first-party door een subdomein van de website die je bezoekt te gebruiken. Een trackingdomein kan er dan uitzien als analytics.example.com in plaats van tracker.com, waardoor de cookies technisch gezien first-party zijn. Safari heeft tegenmaatregelen tegen deze techniek ingebouwd, maar het laat zien hoe de trackingindustrie zich voortdurend aanpast om privacybescherming te omzeilen.

Inzicht in hoe cross-site tracking werkt, laat zien waarom third-party cookies zo waardevol zijn voor de advertentie-industrie, en zo schadelijk voor je privacy.

Zo werkt het in de praktijk. Een advertentienetwerk, noem het AdTrack, levert advertentiescripts aan duizenden websites. Wanneer je Site A bezoekt, een nieuwswebsite, laadt je browser het script van AdTrack samen met de inhoud van de pagina. AdTrack zet een cookie met een unieke identificatie, bijvoorbeeld "user_id=x7f9k2." Deze cookie wordt op je computer opgeslagen en gekoppeld aan het domein van AdTrack.

Dan bezoek je Site B, een online kledingwinkel die ook AdTrack gebruikt. Je browser laadt het script van AdTrack opnieuw en stuurt de cookie mee die het eerder heeft gezet. AdTrack weet nu dat dezelfde persoon die Site A bezocht, ook Site B heeft bezocht. Dat wordt vastgelegd. Na dagen en weken bouwt AdTrack een profiel op: je leest artikelen over technologie en koken, je koopt hardloopschoenen en boeken, je bezoekt reissites op vrijdagavond. AdTrack weet misschien niet hoe je heet, maar het kent je surfgedrag in opmerkelijk detail.

Dat profiel wordt vervolgens gebruikt voor gerichte advertenties. Wanneer je Site C bezoekt, herkent AdTrack je cookie en toont het je een advertentie voor de hardloopschoenen die je op Site B bekeek. Daarom lijkt het alsof advertenties je overal op internet volgen. Dat doen ze letterlijk.

De schaal is duizelingwekkend. Grote advertentienetwerken van Google en Meta hebben hun tracking scripts ingebed op miljoenen websites. De verschillende trackingdiensten van Google, zoals Google Analytics, Google Ads, Google Tag Manager en DoubleClick, zijn aanwezig op naar schatting 85 procent van de miljoen populairste websites. Dat betekent dat Google je activiteit op het grootste deel van het web kan volgen.

De verzamelde gegevens gaan veel verder dan alleen welke sites je bezoekt. Tracking scripts kunnen vastleggen hoe lang je op een pagina blijft, waarop je klikt, hoe ver je scrolt, waar je naar zoekt, wat je aan winkelwagens toevoegt en wat je uiteindelijk koopt. Die gegevens worden gebundeld, geanalyseerd en verkocht aan adverteerders om gedetailleerde gedragsprofielen op te bouwen. Jij bent niet de klant van deze advertentienetwerken. Jij bent het product. De websites zijn de klanten, en jouw aandacht en gegevens zijn wat er wordt verkocht.

Third-party cookies verdwijnen langzaam. Safari en Firefox blokkeren ze al jaren standaard. Google Chrome, de laatste grote tegenstander, beweegt richting beperkingen, al heeft Google volledige uitfasering herhaaldelijk uitgesteld omdat zijn advertentiebedrijf afhankelijk is van de trackinginfrastructuur die cookies mogelijk maken.

Maar het einde van third-party cookies betekent niet het einde van tracking. De advertentie-industrie heeft jaren besteed aan het ontwikkelen van alternatieve trackingmethoden die helemaal niet op cookies leunen. Het is essentieel om die methoden te begrijpen, want ze worden al op grote schaal gebruikt.

Browser fingerprinting is de meest zorgwekkende vervanger. In plaats van een identificatie op je computer op te slaan, identificeert fingerprinting je door tientallen technische details van je browser en apparaat te verzamelen: schermresolutie, geïnstalleerde lettertypen, mogelijkheden van je grafische kaart, tijdzone, taalinstellingen, versie van het besturingssysteem, browserplugins en meer. Op zichzelf zijn deze details niet uniek. Samen vormen ze een fingerprint die opvallend onderscheidend is. Onderzoek laat zien dat de combinatie van browserkenmerken voor meer dan 90 procent van de gebruikers uniek is. Geen cookies nodig.

Fingerprinting is moeilijker te blokkeren dan cookies, omdat er niets op je computer wordt opgeslagen. Er valt niets te verwijderen, er is geen banner om te tonen en geen instelling om om te zetten. Je browser moet actief voorkomen dat het gebeurt, door gestandaardiseerde of gerandomiseerde informatie aan websites te presenteren.

Server-side tracking is een andere groeiende methode. In plaats van tracking die in je browser plaatsvindt via JavaScript, gebeurt het op de server van de website. Wanneer je een pagina bezoekt, legt de server je activiteit vast en stuurt die rechtstreeks van server naar server door naar de trackingdienst. Je browser ziet het trackingverzoek nooit, wat betekent dat browsergebaseerde blokkeringstools het niet kunnen stoppen.

Google's Topics API, onderdeel van zijn Privacy Sandbox-initiatief, stelt voor om individuele tracking te vervangen door interessegebaseerde categorieën. In plaats van je exacte browsegeschiedenis te volgen, zou Chrome je interesses indelen in brede categorieën en die delen met adverteerders. Critici stellen dat dit nog steeds profilering mogelijk maakt en dat de controle van Google over zowel de browser als het advertentieplatform een anticoncurrentiële situatie creëert.

Het post-cookie tijdperk is niet vanzelf privacievriendelijker. De trackingmethoden die cookies vervangen, zijn vaak moeilijker te detecteren, moeilijker te blokkeren en minder transparant. Cookie-banners gaven je ten minste een zichtbare, al was het vervelende, aanwijzing dat tracking plaatsvond. Fingerprinting en server-side tracking gebeuren onzichtbaar.

Omdat tracking veel verder gaat dan cookies, vraagt effectieve bescherming om een gelaagde aanpak. Geen enkele tool lost het hele probleem op, maar de juiste combinatie verkleint je blootstelling enorm.

Begin bij je browser. Kies er een die third-party cookies standaard blokkeert en bescherming tegen fingerprinting bevat. Safari en Firefox doen dit allebei goed. Brave gaat verder met agressieve ingebouwde blokkering. Welke je ook kiest, bekijk de privacy-instellingen: schakel strikte trackingbescherming in, zet telemetrie en het delen van gegevens met de maker van de browser uit, en overweeg een privacygerichte zoekmachine zoals DuckDuckGo in plaats van Google.

Installeer een content blocker. uBlock Origin is de gouden standaard voor het blokkeren van tracking-scripts, advertenties en fingerprintingpogingen in je browser. Het werkt door tracking-scripts simpelweg niet te laten laden, en dat is effectiever dan proberen te beperken wat ze kunnen doen nadat ze zijn geladen. Op Safari, waar uBlock Origin niet beschikbaar is, bieden de ingebouwde content blocker en extensies zoals AdGuard vergelijkbare bescherming.

Wis cookies regelmatig. Zelfs als third-party cookies worden geblokkeerd, kunnen first-party cookies nog steeds voor tracking worden gebruikt via technieken zoals linkdecoratie en bounce tracking. Door cookies af en toe te wissen, of browserfuncties te gebruiken zoals Firefox' Total Cookie Protection die cookies per site isoleren, beperk je dit.

Gebruik een VPN op onbetrouwbare netwerken om te voorkomen dat je IP-adres als tracking-identificatie wordt gebruikt. Je IP-adres kan je globale locatie verraden en wordt door sommige trackingsystemen gebruikt om activiteit tussen sites te koppelen.

Maar hier zit het cruciale punt dat de meeste gidsen missen: cookies en browsertracking zijn maar één spoor. Je Mac-apps volgen je via hun eigen verbindingen, volledig buiten de browser om. Spotify, Zoom, Slack, Adobe en tientallen andere apps sturen telemetrie- en analyseggevens rechtstreeks naar trackingservers. De privacy-instellingen van je browser doen daar niets tegen.

Hier vult een systeemniveau-tool zoals NetMute de kloof. NetMute bewaakt elke uitgaande verbinding van elke app op je Mac, niet alleen je browser. De Tracker Shield blokkeert automatisch verbindingen naar meer dan 1100 bekende tracking-domeinen in alle apps. Een tracker die je browser succesvol blokkeert, kan nog steeds gegevens verzamelen via een desktopapp, tenzij je bescherming op applicatieniveau hebt.

De complete aanpak om tracking in 2026 te blokkeren combineert een privébrowser voor webtracking, een content blocker voor scripts en advertenties, en een firewall op app-niveau voor de rest. Cookies waren het begin van het trackingverhaal. Ze zijn niet langer het hele verhaal. Je beschermen betekent alle manieren aanpakken waarop gegevens je computer verlaten, niet alleen de manieren die in een browservenster plaatsvinden.