Çerez Onay Bandı (Cookie Banner) Nasıl Kurulur?

Çerez onay bandı kurulumu artık "iyi olur" değil, zorunlu bir iş. Zorunlu olmayan çerezler için açık rıza şartı netleştikten sonra sitesine bir cookie banner ekleyen çok oldu; ama bantların büyük kısmı hukuken hiçbir şey yapmıyor. Sayfa açılır açılmaz Google Analytics ve reklam pikselleri çalışıyor, banner ekranın altında "Kabul Et" diye bekliyor, "Reddet" butonu ise ya yok ya da üç tık ötede gri bir yazı. Bu bant rıza almıyor; sadece rıza almış gibi görünüyor.

Bu yazıda çerez onay bandını gerçekten çalışır hâlde kuruyoruz: çerezleri kategorilere ayırma, ret seçeneğini kabul ile eşit görünürlükte verme, rıza gelmeden analitik ve reklam scriptlerini tarayıcıya hiç yüklememe, ve en çok atlanan kısım — verilen ya da geri alınan onayın ispatlanabilir biçimde kaydını tutma. Vanilla JavaScript ile sıfırdan bir bant, WordPress tarafındaki uygulama, sunucu tarafında rıza kaydı şeması ve bandın gerçekten çalışıp çalışmadığını DevTools ile doğrulama adımları var. Bandın metnini nasıl yazacağınız ayrı bir konu; onun için çerez politikası nasıl hazırlanır yazısına bakın.

Çerez Onay Bandı Ne Zaman Zorunlu Olur#

Çerez onay bandı, siteniz zorunlu olmayan tek bir çerez bile yazıyorsa zorunludur. Kritik ayrım "çerez var mı" değil, "bu çerez hizmetin çalışması için şart mı"dır. Oturum çerezi, sepet çerezi, CSRF tokenı ve dil tercihi gibi kalemler hizmetin talep edilen işlevini yerine getirmek için gereklidir ve rıza istemeden yazılabilir. Ziyaretçi davranışını ölçen, kullanıcıyı siteler arası izleyen, reklam hedefleme yapan her şey ise ayrı bir kategoridir.

Pratikte şu üç kalem neredeyse her Türk sitesinde vardır ve üçü de rızaya tabidir: web analitiği (Google Analytics, Yandex Metrica benzeri ölçüm araçları), reklam ve dönüşüm pikselleri (arama ve sosyal medya reklam etiketleri), gömülü içerikler (video oynatıcılar, harita gömüleri, sosyal medya beğeni butonları). Bu üçünü siteye eklediyseniz banner zorunludur ve bandın işlevi "bilgilendirmek" değil, script'i tetiklemeden önce izin almaktır.

Çerezleri Kategorilere Ayırın#

Onay bandı kurmadan önce sitenizin yazdığı çerezleri çıkarmanız gerekir; kategorisini bilmediğiniz çerez için doğru davranışı kodlayamazsınız. Envanteri çıkarmanın en hızlı yolu tarayıcının kendisidir: gizli pencerede sitenizi açın, F12 ile geliştirici araçlarını açın, Application → Storage → Cookies altında domaininizi seçin ve listeyi kaydedin. Aynı ekranda Local Storage ve Session Storage'a da bakın; KVKK açısından "çerez" kelimesi teknik olarak yalnızca HTTP çerezini değil, terminal cihaza yazılan her izleyiciyi kapsar.

Bu tabloyu doldurduğunuzda banner'da göstereceğiniz kategori sayısı da netleşir. Üç kategori (zorunlu, istatistik, pazarlama) çoğu site için yeterlidir; ayırt edemeyeceğiniz kadar kategori koymak kullanıcıyı da sizi de yorar.

Reddet Butonu Kabul ile Aynı Görünürlükte Olmalı#

Reddetmek en az kabul etmek kadar kolay olmalıdır; bu, bandın en sık ihlal edilen kuralıdır. Sahada gördüğüm klasik ihlal deseni şudur: birinci ekranda kocaman renkli "Tümünü Kabul Et" butonu, yanında ince gri "Ayarlar" linki, reddetme ise ancak o ayarlar panelini açıp her kategoriyi tek tek kapatıp "Kaydet"e basınca mümkün. Kabul bir tık, ret dört tık. Böyle bir bantla alınan onay geçersiz sayılabilir çünkü rızanın "özgür iradeyle" verilmiş olması şartı zedelenir.

Uygulamada uyulması gereken kurallar şunlardır:

1. "Tümünü Reddet" birinci ekranda bulunsun. Ayarlar panelinin içine saklanmasın.
2. İki buton görsel olarak denk olsun. Aynı yükseklik, aynı yazı boyutu, aynı iç boşluk. Renk farkı olabilir ama biri "buton" diğeri "link" gibi görünmesin.
3. Banner kapatılamasın veya X'e basmak kabul sayılmasın. X ile kapatma varsa bu ret anlamına gelmelidir, kabul değil.
4. Kaydırma, tıklama veya sayfada gezinme rıza sayılmasın. "Siteyi kullanmaya devam etmeniz onay anlamına gelir" cümlesi geçerli bir rıza kurmaz.
5. Kategoriler varsayılan olarak kapalı gelsin. Ön işaretli kutucuk rıza değildir.
6. Rıza geri alınabilsin. Footer'da kalıcı bir "Çerez Tercihleri" bağlantısı bırakın; bandı yeniden açsın.

Rıza Gelmeden Scriptleri Engelleme#

Bandın asıl işi bir kutu göstermek değil, rıza gelene kadar scriptleri tarayıcıya çalıştırmamaktır. Türkçe kaynakların atladığı yer tam olarak burasıdır: banner'ı ekleyip Google Analytics kodunu <head> içinde olduğu gibi bırakırsanız, ziyaretçi "Reddet"e bassa bile ölçüm çerezi çoktan yazılmıştır.

Teknik çözüm, izne tabi scriptleri tarayıcının çalıştırmayacağı bir MIME tipiyle işaretlemektir. type="text/plain" olan bir <script> etiketini tarayıcı ayrıştırmaz, indirmez, çalıştırmaz — yani onay gelmeden hiçbir istek gitmez.

<!-- Rıza gelmeden ÇALIŞMAZ: type text/plain -->
<script type="text/plain" data-cc="istatistik"
        src="/js/olcum.js"></script>

<script type="text/plain" data-cc="pazarlama">
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('js', new Date());
</script>

Onay geldiğinde bu etiketleri gerçek script'e dönüştüren fonksiyon:

function scriptleriAc(kategori) {
  document
    .querySelectorAll('script[type="text/plain"][data-cc="' + kategori + '"]')
    .forEach(function (eski) {
      var yeni = document.createElement('script');
      // Orijinal etiketteki tüm nitelikleri taşı
      for (var i = 0; i < eski.attributes.length; i++) {
        var a = eski.attributes[i];
        if (a.name !== 'type' && a.name !== 'data-cc') {
          yeni.setAttribute(a.name, a.value);
        }
      }
      if (!eski.src) { yeni.text = eski.textContent; }
      eski.parentNode.replaceChild(yeni, eski);
    });
}

Bu yaklaşımın önemli bir detayı var: innerHTML ile script eklemek çalışmaz, tarayıcı bu yolla eklenen script'i icra etmez. Mutlaka document.createElement('script') kullanın. Ayrıca satır içi script'in içeriğini yeni.text ile taşıyın; innerHTML bazı tarayıcılarda kaçış sorunları çıkarır.

Gömülü iframe'ler için aynı mantığı src yerine data-src ile kurun ve rıza gelene kadar yer tutucu gösterin:

<div class="gomu-yer-tutucu" data-cc="pazarlama">
  <p>Bu içerik üçüncü taraf çerezi kullanır. Görüntülemek için pazarlama
     çerezlerine izin vermeniz gerekir.</p>
  <button data-cc-izin="pazarlama">İzin ver ve göster</button>
  <iframe data-src="https://ornek-video/embed/xyz" width="560" height="315"></iframe>
</div>

Çerez Onay Bandını Sıfırdan Kurma#

Aşağıdaki bant üç kategori sunar, ret ile kabul butonlarını denk verir, tercihi bir yıl saklar ve rıza geldiğinde ilgili scriptleri açar. Tek dosyada durur, harici bağımlılığı yoktur.

<div id="cc-bant" hidden>
  <p>Deneyimi geliştirmek, kullanımı ölçmek ve reklam performansını
     değerlendirmek için çerez kullanıyoruz. Zorunlu çerezler dışındakiler
     yalnızca izniniz varsa çalışır.</p>
  <label><input type="checkbox" id="cc-ist"> İstatistik</label>
  <label><input type="checkbox" id="cc-paz"> Pazarlama</label>
  <div class="cc-butonlar">
    <button id="cc-red"  class="cc-btn">Tümünü Reddet</button>
    <button id="cc-sec"  class="cc-btn">Seçimimi Kaydet</button>
    <button id="cc-kabul" class="cc-btn">Tümünü Kabul Et</button>
  </div>
</div>

#cc-bant { position: fixed; inset: auto 0 0 0; z-index: 9999;
           background: #fff; padding: 20px; box-shadow: 0 -2px 12px rgba(0,0,0,.15); }
.cc-butonlar { display: flex; gap: 12px; flex-wrap: wrap; margin-top: 12px; }
/* Üç buton da aynı boyut ve ağırlıkta: ret gizlenmiyor */
.cc-btn { flex: 1 1 180px; min-height: 44px; font-size: 16px; font-weight: 600;
          border-radius: 6px; border: 1px solid #333; cursor: pointer; }
#cc-kabul { background: #1f6feb; color: #fff; border-color: #1f6feb; }
#cc-red   { background: #fff;    color: #111; }

(function () {
  var AD = 'cc_riza', SURE = 365;

  function cerezYaz(ad, deger, gun) {
    var d = new Date(Date.now() + gun * 864e5);
    document.cookie = ad + '=' + encodeURIComponent(deger) +
      ';expires=' + d.toUTCString() + ';path=/;SameSite=Lax;Secure';
  }
  function cerezOku(ad) {
    var m = document.cookie.match('(^|;)\\s*' + ad + '=([^;]*)');
    return m ? decodeURIComponent(m[2]) : null;
  }

  function uygula(tercih) {
    if (tercih.istatistik) scriptleriAc('istatistik');
    if (tercih.pazarlama)  scriptleriAc('pazarlama');
  }

  function kaydet(tercih) {
    tercih.surum = 2;                       // metin değişirse artır
    tercih.tarih = new Date().toISOString();
    cerezYaz(AD, JSON.stringify(tercih), SURE);
    uygula(tercih);
    document.getElementById('cc-bant').hidden = true;
    rizaKaydiGonder(tercih);                // sunucuya ispat kaydı
  }

  var mevcut = cerezOku(AD);
  if (mevcut) {
    try { uygula(JSON.parse(mevcut)); } catch (e) { }
  } else {
    document.getElementById('cc-bant').hidden = false;
  }

  document.getElementById('cc-kabul').onclick = function () {
    kaydet({ istatistik: true, pazarlama: true });
  };
  document.getElementById('cc-red').onclick = function () {
    kaydet({ istatistik: false, pazarlama: false });
  };
  document.getElementById('cc-sec').onclick = function () {
    kaydet({
      istatistik: document.getElementById('cc-ist').checked,
      pazarlama:  document.getElementById('cc-paz').checked
    });
  };
})();

Dikkat edilecek üç nokta: çerez Secure bayrağıyla yazılıyor, yani site HTTPS olmak zorunda — sertifikanız yoksa cPanel SSL kurulumu adımlarını uygulayın. surum alanı, banner metnini veya kategori setini değiştirdiğinizde eski rızayı geçersiz saymanızı sağlar; sürüm artınca kod eski çerezi kabul etmemeli ve bandı yeniden göstermelidir. Son olarak bant <body> sonunda değil, mümkünse <head> sonrası erken yüklensin — geç yüklenen bir bant, sayfadaki diğer scriptlerin önüne geçemez.

WordPress'te Çerez Onay Bandı Kurulumu#

WordPress'te çerez onayının en büyük tuzağı, bandı bir eklentiyle kurup ölçüm kodunu başka bir eklentiyle sayfaya basmaktır; ikisi birbirini tanımaz ve ölçüm kodu izinden bağımsız çalışır. Doğru kurulum, ölçüm/piksel kodlarını tema veya eklenti tarafında rıza koşuluna bağlamaktır.

Temanızın functions.php dosyasına (tercihen child tema içine) şu yapıyı koyun:

<?php
// Ölçüm scriptini rıza gelene kadar text/plain olarak bas
add_action( 'wp_head', function () {
    ?>
    <script type="text/plain" data-cc="istatistik">
      /* ölçüm kodu buraya */
    </script>
    <?php
}, 5 );

// Banner varlıklarını her sayfada, erken yükle
add_action( 'wp_enqueue_scripts', function () {
    wp_enqueue_style( 'cc-bant', get_stylesheet_directory_uri() . '/cc/bant.css', [], '2' );
    wp_enqueue_script( 'cc-bant', get_stylesheet_directory_uri() . '/cc/bant.js', [], '2', false );
} );

wp_enqueue_script çağrısındaki son parametrenin false olması önemlidir: script <head> içine girer ve sayfadaki diğer üçüncü taraf kodlarından önce çalışır. true verirseniz bant </body> öncesinde yüklenir ve engelleme mantığı geç kalır.

Sayfa önbelleği kullanıyorsanız (LiteSpeed Cache, WP Rocket, sunucu tarafı önbellek fark etmez) banner'ın durumu asla önbelleğe girmemelidir. Bandın görünüp görünmeyeceğine sunucuda değil, tarayıcıda çerez okunarak karar verilmelidir — yukarıdaki kod tam olarak bunu yapar. PHP tarafında if ( isset( $_COOKIE['cc_riza'] ) ) diye karar verirseniz, ilk ziyaretçinin gördüğü HTML önbelleğe alınır ve rıza vermiş kullanıcılar da bandı görmeye devam eder.

Eklenti tercih edecekseniz seçim kriteri nettir: eklenti scriptleri gerçekten engelliyor mu, yoksa sadece kutu mu gösteriyor? Test etmenin yolu bir sonraki bölümde.

Rıza Kaydını Saklama ve İspat Etme#

Rızanın varlığını ispat yükü sizde olduğu için, tarayıcıdaki çerez tek başına yeterli değildir; kullanıcı çerezi silerse elinizde hiçbir kayıt kalmaz. Bu yüzden her rıza olayını sunucu tarafında da saklayın. Saklanması gereken alanlar şunlardır: anonim ziyaretçi kimliği, rızanın hangi kategorileri kapsadığı, metnin sürümü, zaman damgası ve rızanın alındığı sayfa.

CREATE TABLE cerez_rizalari (
  id            BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
  ziyaretci_id  CHAR(36)     NOT NULL,
  istatistik    TINYINT(1)   NOT NULL DEFAULT 0,
  pazarlama     TINYINT(1)   NOT NULL DEFAULT 0,
  metin_surumu  SMALLINT     NOT NULL,
  kaynak_yol    VARCHAR(255) NOT NULL,
  ip_ozeti      CHAR(64)     NULL,
  olusturuldu   DATETIME     NOT NULL,
  INDEX (ziyaretci_id), INDEX (olusturuldu)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

ip_ozeti alanına ham IP yerine tuzlanmış özet yazın; ispat için yeterlidir, gereksiz kişisel veri biriktirmez. Kayıt endpoint'i şu kadar basit olabilir:

<?php
// POST /cerez-rizasi
$g = json_decode( file_get_contents( 'php://input' ), true );
if ( ! is_array( $g ) ) { http_response_code( 400 ); exit; }

$stmt = $pdo->prepare(
  'INSERT INTO cerez_rizalari
   (ziyaretci_id, istatistik, pazarlama, metin_surumu, kaynak_yol, ip_ozeti, olusturuldu)
   VALUES (?,?,?,?,?,?,NOW())'
);
$stmt->execute( [
  $g['zid'] ?? bin2hex( random_bytes( 16 ) ),
  ! empty( $g['istatistik'] ) ? 1 : 0,
  ! empty( $g['pazarlama'] )  ? 1 : 0,
  (int) ( $g['surum'] ?? 1 ),
  substr( (string) ( $g['yol'] ?? '/' ), 0, 255 ),
  hash( 'sha256', ( $_SERVER['REMOTE_ADDR'] ?? '' ) . TUZ ),
] );
http_response_code( 204 );

Kayıtları güncelleme değil, ekleme mantığıyla tutun. Kullanıcı rızasını geri aldığında eski satırı silmeyin, yeni bir satır yazın; böylece "şu tarihte izin verdi, şu tarihte geri aldı" zinciri elinizde kalır. Bu tabloyu saklama ve imha politikanıza dahil edin, sonsuza kadar tutmayın. Rıza yönetiminin ticari ileti tarafı ayrı bir mevzuata bağlıdır; e-posta ve SMS izinleri için İYS kaydı ve ticari elektronik ileti yazısına bakın.

Bandın Gerçekten Çalıştığını Doğrulama#

Bandın çalıştığını iddia etmekle doğrulamak farklı şeylerdir; doğrulama gizli pencerede on dakikalık bir kontrolle yapılır. Sıralama şöyle:

1. Gizli pencere açın, geliştirici araçlarında Network sekmesini açın ve "Preserve log" işaretleyin.
2. Siteyi açın, hiçbir butona basmadan Network listesini filtreleyin. Analitik ve reklam alan adlarına giden tek bir istek bile görünmemeli.
3. Application → Cookies altında yalnızca zorunlu çerezler olmalı. Ölçüm çerezi görüyorsanız engelleme çalışmıyor demektir.
4. "Tümünü Reddet"e basın, sayfayı yenileyin. 2. ve 3. adımdaki tablo değişmemeli.
5. "Tümünü Kabul Et"e basın. Şimdi ilgili istekler ve çerezler görünmeli — banner bir şeyi açmalı da, sadece engellemeli değil.
6. Footer'daki "Çerez Tercihleri" bağlantısına basın, bant yeniden açılmalı ve seçimi değiştirebilmelisiniz.
7. Çerezi elle silin (Application → Cookies → sağ tık → Clear), sayfayı yenileyin, bant tekrar görünmeli.

Bu yedi adımı geçen bir bant hem teknik hem hukuki olarak ayakta durur. Takıldığınız yer genelde 2. adımdır: bir eklenti veya tema, ölçüm kodunu doğrudan <head>'e basıyordur ve sizin text/plain mantığınızdan haberi yoktur. Sayfa kaynağını görüntüleyip type="text/plain" olmayan üçüncü taraf script'lerini tek tek bulun.

Genel KVKK uyum kontrol listesini de gözden geçirmek isterseniz KVKK web sitesi uyumu yazısı bandın dışındaki yükümlülükleri toparlıyor.

Sıkça Sorulan Sorular#

Çerez onay bandı olmadan Google Analytics kullanılabilir mi#

Hayır, kullanılamaz. Analitik çerezleri hizmetin çalışması için zorunlu değildir, dolayısıyla açık rızaya tabidir ve rıza alınmadan ölçüm kodunun çalışmaması gerekir. Ölçümden tamamen vazgeçmek istemiyorsanız, çerez yazmayan ve kullanıcıyı tekil olarak izlemeyen sunucu tarafı sayaçlarına yönelebilirsiniz. Yine de sunucu loglarından üretilen istatistiklerde bile IP gibi verileri işlediğinizi aydınlatma metninizde belirtmelisiniz.

Kaydırma veya siteye devam etme onay sayılır mı#

Sayılmaz. Rızanın geçerli olması için açık, özgür iradeyle ve belirli bir konuda verilmiş olması gerekir; sayfayı kaydırmak bu şartların hiçbirini karşılamaz. "Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" cümlesi hukuken bir rıza kurmaz, sadece bilgilendirme sayılır. Kullanıcının bilinçli bir eylemle — butona basarak — onay vermesi gerekir.

Reddet butonu birinci ekranda olmak zorunda mı#

Evet, reddetmek kabul etmek kadar kolay olmalıdır. Kabul tek tıkla mümkünken reddetmek için ayarlar panelini açıp her kategoriyi kapatmak gerekiyorsa, alınan rızanın özgür iradeyle verildiği tartışmalı hâle gelir. Uygulamada iki butonu aynı satırda, aynı boyutta ve aynı yazı ağırlığında vermek en güvenli yoldur. Renk farkı kabul edilebilir ama biri buton diğeri düz metin bağlantısı gibi görünmemelidir.

Kategoriler varsayılan olarak işaretli gelebilir mi#

Gelemez. Ön işaretli kutucuk, kullanıcının bir eylemi olmadan verilmiş sayılan bir onaydır ve geçerli bir rıza oluşturmaz. Bant açıldığında istatistik ve pazarlama kutucukları boş olmalı, kullanıcı isterse işaretlemelidir. Zorunlu çerez kategorisi ise işaretli ve pasif gösterilebilir, çünkü zaten rızaya tabi değildir.

Rıza kaydını ne kadar süre saklamalıyım#

Rıza kaydını, rızanın geçerli olduğu süre boyunca ve sonrasında makul bir ispat süresi kadar saklayın. Uygulamada çerez rızası tipik olarak bir yıl geçerli tutulur ve süre dolduğunda bant yeniden gösterilir; kaydı ise ihtilaf olasılığını karşılayacak kadar tutup saklama ve imha politikanızda tanımladığınız süre sonunda silin. Süresiz saklamak "gerekli olduğu kadar tutma" ilkesine aykırıdır. Kaydı silerken de imha işlemini tutanaklamak iyi bir alışkanlıktır.

Çerez bandı sayfa hızını yavaşlatır mı#

Doğru kurulduğunda tam tersine hızlandırır. Rıza gelene kadar analitik ve reklam scriptleri hiç indirilmediği için ilk yükte onlarca kilobayt JavaScript ve birden fazla üçüncü taraf DNS çözümlemesi devreden çıkar. Bandın kendi kodu birkaç kilobayt tutar ve harici bir kaynaktan yüklenmediği sürece ölçülebilir bir maliyeti yoktur. Yavaşlama yaşıyorsanız sebep genellikle bandın kendisi değil, bant sağlayıcısının uzak sunucusundan çekilen büyük bir kütüphanedir.

Tek sayfalık bir tanıtım sitesinde de banner gerekir mi#

Site tek sayfa bile olsa, zorunlu olmayan çerez yazıyorsa gerekir. Sayfa sayısı değil, çalıştırdığınız script'ler belirleyicidir. İçinde ölçüm kodu, gömülü video veya sosyal medya widget'ı olan tek sayfalık bir siteye de bant koymanız gerekir. Hiçbir üçüncü taraf kodu olmayan, yalnızca statik içerik sunan bir sayfada ise banner'a gerek yoktur ve gereksiz bant koymak kullanıcı deneyimini boşuna bozar.

Kapanış#

Çerez onay bandı, sitenizin görünürde en küçük bileşenlerinden biri ama yanlış kurulduğunda hem hukuki riski hem de kullanıcı güvenini doğrudan etkiliyor. İşin özü üç maddede toplanıyor: çerezleri kategorilere ayırın, rıza gelmeden izne tabi hiçbir script'i tarayıcıya yüklemeyin, verilen ve geri alınan onayın sunucu tarafında kaydını tutun. "Reddet" butonunu kabul ile eşit görünürlükte vermek ve kutucukları boş açmak da pazarlığa açık ayrıntılar değil, rızanın geçerliliğini belirleyen şartlar. Yukarıdaki yedi adımlık doğrulama listesini bir kez uygulayın; bandınızın gerçekten çalışıp çalışmadığını on dakikada öğrenirsiniz.

Bu kurulumu kendi sitenizde yapmak istemiyorsanız ya da mevcut siteniz banner'ı doğru uygulayacak yapıda değilse, web tasarım hizmetimiz kurumsal sitelerde onay bandı, aydınlatma metinleri ve form akışlarını birlikte kurguluyor. WordPress kullanıyorsanız WordPress bakım paketi eklenti çakışmalarını ve önbellek kaynaklı banner sorunlarını üstleniyor, WordPress hosting paketlerinde ise bandın çalışması için gereken ücretsiz SSL sertifikası kurulu geliyor. Sertifika tarafını ayrıca yönetmek isterseniz SSL sayfasındaki seçenekleri inceleyebilirsiniz.