Zaraz

Zaraz nedir?

“Offload third-party tools and services to the cloud and improve the speed and security of your website.”

“Cloudflare Zaraz gives you complete control over third-party tools and services for your website, and allows you to offload them to Cloudflare’s edge… With Cloudflare Zaraz you can load tools such as analytics tools, advertising pixels and scripts, chatbots, marketing automation tools, and more, in the most optimized way.”

Tüm planlarda kullanılabilir.

Çözdüğü problem tanıdık: bir sayfaya Google Analytics, Meta Pixel, LinkedIn Insight, HubSpot ve bir sohbet widget’ı ekliyorsun; her biri kendi JavaScript’ini indiriyor, ana iş parçacığını meşgul ediyor ve kullanıcının tarayıcısından veri gönderiyor. Zaraz bu işi Cloudflare’in edge’ine taşıyor.

Tarayıcıda geriye ne kalıyor

Tek bir script: /cdn-cgi/zaraz/i.js

<script src="/cdn-cgi/zaraz/i.js" referrerpolicy="origin"></script>

Proxy’lenmemiş bir alan adı için proxy’li bir alt alan adından servis edilebiliyor:

<script src="https://alt-alan.ornek.com.tr/cdn-cgi/zaraz/i.js"></script>

Tarayıcı API’si: zaraz.track(), zaraz.set(), zaraz.ecommerce(), zaraz.debug(), zaraz.spaPageview(), zaraz.showConsentModal() ve zaraz.consent.* nesnesi.

Nasıl çalışır?

Managed Components

Araçlar Managed Components olarak uygulanıyor — açık kaynak bir bileşen formatı. 2024 fiyat blogundaki açıklama iyi bir benzetme yapıyor:

“Zaraz recently completed the migration of all tools to Managed Components. This makes tools on your website more like apps on your phone, allowing you to granularly decide what permissions to grant tools. For example, it allows you to prevent a tool from making client-side network requests or storing cookies.”

Kendi Managed Component’ini de yükleyebiliyorsun.

Çalışma zamanı ve faturalama ayrımı

Zaraz Cloudflare edge’inde çalışıyor ama Workers kotanı tüketmiyor — güncel modelde Zaraz Events hesap üzerinden ayrı faturalanıyor. (Geri çekilen 2023 modelinde ücretli özellikler Workers Paid aboneliği gerektiriyordu; o dönem geçti.)

Kendi Worker’ını devreye sokmak istersen iki nokta var: Worker Variables ve Context Enricher.

Araç kütüphanesi — 31 yerel + 3 özel

Amplitude, Bing, Branch, Facebook Pixel, Floodlight, Google Ads, Google Analytics, Google Analytics 4, Google Conversion Linker, Google Maps – Reserve with Google, HubSpot, iHire, Impact Radius, Instagram, Indeed, LinkedIn Insight, Mixpanel, Outbrain, Pinterest, Pinterest Conversions API, Pod Sights, Quora, Reddit, Segment, Snapchat, Snowplow, Taboola, Tatari, TikTok, Twitter Pixel, Upward, ZipRecruiter.

Özel entegrasyonlar: Custom HTML, Custom Image, HTTP Request.

HTTP Events API — sunucudan olay göndermek

“The Zaraz HTTP Events API allows you to send information to Zaraz from places that cannot run the Web API, such as your server or your mobile app.”

“The API is disabled unless you configure an endpoint for it.”

Yapılandırma: Settings → Endpoints → HTTP Events API, yol / ile başlamalı. Güvenlik notu: “To avoid getting the API used by unwanted actors, Cloudflare recommends choosing a unique path.”

Payload:

{
  "events": [
    {
      "client": {
        "__zarazTrack": "siparis tamamlandi",
        "value": "1250"
      },
      "system": {
        "page": { "url": "https://ornek.com.tr/tesekkurler", "title": "Teşekkürler" },
        "device": { "language": "tr-TR", "ip": "192.168.0.1" }
      }
    }
  ]
}

İki rezerve anahtar: __zarazTrack Event Name’e dönüşüyor, __zarazEcommerce true yapılırsa e-ticaret olayı sayılıyor.

Consent Management

“Zaraz provides a Consent Management platform (CMP) to help you address and manage required consents under the European General Data Protection Regulation (GDPR) and the Directive on privacy and electronic communications.”

“All tools use consent as a legal basis… Due to this, all purposes are opt-in.”

Tercihler birinci taraf çerezde saklanıyor. IAB TCF uyumu var ve onay kimliği yayımlanmış: “The Zaraz Consent Management Platform is compliant with the IAB Transparency & Consent Framework… The CMP ID of the approval is 433.” Google Consent Mode v2 de destekleniyor.

API yüzeyi: zaraz.consent.get(amacId), .set(), .getAll(), .setAll(), .getAllCheckboxes(), .setCheckboxes(). Olaylar: zarazConsentAPIReady, zarazConsentChoicesUpdated.

Fiyat modeli iki kez değişti

Bu, internetteki Zaraz bilgilerinin çoğunun neden yanlış olduğunu açıklıyor.

İkinci aşamanın resmî notu net: “Update, 2023-11-10: This pricing has not gone into effect.”

Birim değişikliğinin gerekçesi de mantıklı: “As the web progresses and as Single-Page-Applications are becoming more and more popular, the definition of a ‘pageview’, which was used for the old pricing system, is becoming more and more vague. Zaraz Events are agnostic to different tech stacks, and work the same when using the Zaraz HTTP API.”

Ne zaman kullanılır, ne zaman kullanılmaz

Kullanılır

• Çok sayıda ve ağır tag taşıyorsan. Kazanç tag sayısı ve ağırlığıyla ölçekleniyor.
• Reklam engelleyicilerin analytics’ini kestiği bir durumda. Sunucu tarafı olaylar bundan etkilenmiyor.
• Consent yönetimi kurman gerekiyorsa ve ayrı bir CMP ürünü almak istemiyorsan.
• PII’yi sağlayıcıya gitmeden temizlemek istiyorsan. Context Enricher Worker’ı ile “automatically remove and mask personally-identifiable information (PII) like email addresses before it reaches your providers.” Bu, KVKK açısından en güçlü argüman — ama Cloudflare bunun için bir uyum iddiası yapmıyor.
• Veri yerelliği gerekiyorsa. Zaraz, DLS’in üç özelliğiyle de tam uyumlu.

Kullanılmaz

Zone proxy’li değilse. Sert gereksinim; ya turuncu bulut ya da proxy’li bir alt alan adından i.js servisi.

Oturum kaydı veya ısı haritası araçların varsa. Taşınamazlar.

GA4’ün enhanced measurement’ına bağımlıysan. Kutudan yalnızca üç olay çıkıyor; gerisini tetikleyici ve eylem olarak kendin yazacaksın.

Custom HTML’e çok yaslanıyorsan. Cloudflare bunu açıkça caydırıyor: “HTML snippets usually depends on additional client-side requests, and require client-side code execution, which can slow down your website. They are often a security risk, as they can be hacked.” Ayrıca SPA rotalarında çift tetikleniyor.

GTM’i Zaraz içinde yüklemeyi düşünüyorsan. Teknik olarak mümkün, açıkça önerilmiyor: “Tools configured inside Google Tag Manager cannot be optimized by Zaraz, and cannot be restricted by the Zaraz privacy controls.” İki katman üst üste bindiğinde Zaraz’ın tüm faydası kayboluyor.

Aylık 1.000.000 olayın çok üstündeysen ve bütçen darsa. Aşım 1.000.000 olay başına 5 dolar — ucuz, ama SPA’da her rota değişimi bir olay olduğu için sayı beklediğinden hızlı büyüyebilir.

Somut örnekler

Özel dönüşüm olayı

zaraz.track('satin_alma', { tutar: 1250, para_birimi: 'TRY' });

Ardından panelde bir tetikleyici:

Eylemde alanlara {{ client.tutar }} ile erişiyorsun. Özel karakter içeren anahtarlar için ters tırnak gerekiyor: {{ client.my-key }}.

Sunucu tarafı sipariş onayı

Reklam engelleyicilerden ve istemci tarafı hatalarından etkilenmeyen tek yol. Ödeme onaylandıktan sonra backend’inden HTTP Events API’ye POST atarsın — payload yukarıda.

Bu, e-ticarette dönüşüm verisi kaybını gerçekten azaltan tek teknik.

Consent’e bağlı analytics

document.addEventListener('zarazConsentAPIReady', () => {
  if (zaraz.consent.get('analytics-amac-id') === undefined) {
    zaraz.consent.modal = true;      // modal'ı göster
  }
});

document.addEventListener('zarazConsentChoicesUpdated', () => {
  console.log(zaraz.consent.getAll());
});

Alt bilgideki “çerez tercihlerim” bağlantısına da zaraz.showConsentModal() bağlanıyor.

PII’yi sağlayıcıya gitmeden temizlemek

Context Enricher, kendi Worker’ını Zaraz boru hattına sokmanı sağlıyor. Cloudflare’in kendi tanımı: “automatically remove and mask personally-identifiable information (PII) like email addresses before it reaches your providers.”

KVKK kapsamında bir veri minimizasyon argümanı kurmak istiyorsan teknik dayanağın burası — ama Cloudflare bunu bir uyum iddiası olarak sunmuyor, sen kurgulamak zorundasın.

GA4’te demografi kaybını önlemek

GA4 aracında “Hide Originating IP Address” açarsan demografi verisi bozuluyor. Bunun yerine “Anonymize Originating IP Address” kullanılmalı. İkisi aynı şey değil ve fark geç fark ediliyor.

Demo 1: GA4’ü Zaraz’a taşımak ve farkı ölçmek

Bu demonun amacı Zaraz’ı kurmak değil — kazancın olup olmadığını kanıtlamak. Cloudflare bir rakam vermediği için rakamı sen üreteceksin.

Adım 1 — Başlangıç ölçümünü al

gtag.js snippet’i hâlâ sayfada dururken, Lighthouse’u beş kez çalıştır ve medyanı al.

URL="https://ornek.com.tr"
for i in $(seq 1 5); do
  npx lighthouse "$URL" \
    --only-categories=performance \
    --output=json --output-path="once-$i.json" \
    --chrome-flags="--headless" --quiet
done

for f in once-*.json; do
  jq -r '[
    .audits["total-blocking-time"].numericValue,
    .audits["largest-contentful-paint"].numericValue,
    .audits["bootup-time"].numericValue,
    (.audits["network-requests"].details.items | length),
    ([.audits["network-requests"].details.items[].transferSize] | add)
  ] | @tsv' "$f"
done

Sütunlar sırasıyla: TBT (ms), LCP (ms), JS bootup süresi (ms), istek sayısı, toplam transfer edilen byte.

Beş koşunun jq ile özetlenmiş çıktısı; TBT, LCP, bootup time, istek sayısı ve transfer boyutu sütunları

Üçüncü taraf maliyetini ayrıca çıkar:

jq '.audits["third-party-summary"].details.items[] |
    {varlik: .entity, engelleme_ms: .blockingTime, boyut: .transferSize}' once-1.json

third-party-summary çıktısı; Google entity'sinin blockingTime ve transferSize değerleri

Adım 2 — Eski snippet’i kaldır

HTML’den gtag.js bloğunu tamamen sil.

Adım 3 — Zaraz’da GA4 aracını ekle

Panelde Zaraz → Tools → Add tool → Google Analytics 4, Measurement ID’yi gir. Otomatik Pageview eyleminin oluştuğunu doğrula.

Zaraz → Tools ekranı; GA4 aracı, Measurement ID ve otomatik oluşan Pageview eylemi

Adım 4 — Rocket Loader’ı kapat

Speed → Optimization → Rocket Loader kapalı olmalı.

Speed → Optimization ekranı; Rocket Loader kapalı durumda

Gerekçe: “Rocket Loader can sometimes delay data from reaching Zaraz, causing issues.”

Adım 5 — Aynı ölçümü tekrarla

for i in $(seq 1 5); do
  npx lighthouse "$URL" --only-categories=performance \
    --output=json --output-path="sonra-$i.json" \
    --chrome-flags="--headless" --quiet
done

Beş koşunun çıktısı; adım 1'deki tabloyla yan yana karşılaştırılabilir olmalı

Gözlemlenmesi beklenen: istek sayısı ve transfer edilen byte, GA4 yükü kadar düşer; third-party-summary listesinden Google kalemi kaybolur; TBT ve bootup süresi GA4’ün ana iş parçacığında harcadığı kadar azalır.

Adım 6 — Doğruluğu da kontrol et, sadece hızı değil

DevTools Network sekmesinde www.googletagmanager.com/gtag/js isteğinin kalmadığını doğrula. Ardından GA4 Realtime’da hit’lerin gelmeye devam ettiğini gör.

DevTools Network filtresi; gtag.js isteği yok, yalnızca /cdn-cgi/zaraz/i.js var

Google Analytics Realtime ekranı; Page View, Session Start ve First Visit olaylarının geldiği

Burada beklenen olaylar yalnızca Page View, Session Start ve First Visit — enhanced measurement olayları gelmiyor. Bu, kayıp değil, belgelenmiş davranış.

Bu demoda ölçülenler: TBT, LCP ve bootup süresinin medyan farkı · istek sayısı ve transfer boyutu farkı · üçüncü taraf engelleme süresi · GA4’e ulaşan olay tipleri · koşular arası varyans.

Demo 2: Consent modal’ı, özel olay ve debug modu

Bu demo Zaraz’ın hata ayıklama yüzeyini öğretiyor — tarayıcı eklentileri çalışmadığı için tek yol bu.

Adım 1 — Bir amaç oluştur ve GA4’ü ona ata

Panelde Zaraz → Consent → Purposes → Add ile bir amaç oluştur (“Analitik”), sonra GA4 aracını o amaca ata.

Zaraz → Consent ekranı; oluşturulan amaç ve GA4 aracının o amaca atanmış olduğu

Adım 2 — Özel bir olay ekle

zaraz.track('bulten_kaydi', { plan: 'pro' });

Ardından eşleşen tetikleyiciyi ve bir eylemi oluştur.

Zaraz → Triggers ekranı; Event Name equals bulten_kaydi kuralı

Adım 3 — Debug modunu aç

Settings → Web API → Debug Key ile anahtarı al, sonra sitenin konsolunda:

zaraz.debug("DEBUG_ANAHTARIN")

Beklenen yanıt: “Zaraz’s debug mode is now enabled. A pop-up window will show up with the debugger information.”

Açılan debugger penceresi; olaylar, eşleşen tetikleyiciler, tetiklenen eylemler listesi

Debugger'da her aracın yaptığı sunucu tarafı isteğin URL'si ve HTTP yanıt kodu

Sunucu tarafı istek URL’lerini ve yanıt kodlarını görebilmek bu ürünü hata ayıklanabilir kılan şey. Aralık 2024’te eklendi ve tarayıcı eklentilerinin kaybını telafi ediyor.

Adım 4 — Temiz bir gizli pencerede consent akışını test et

Gizli pencerede açılan sitede consent modal'ı; amaçlar ve onay seçenekleri

Onay vermeden önce GA4’e hiçbir şey gitmediğini debug penceresinden doğrula.

Debug penceresinde olayların cache'lendiği, henüz sunucu tarafı istek yapılmadığı

Sonra onay ver ve önbelleklenmiş tetikleyicilerin tetiklendiğini gör.

Debug penceresinde onay sonrası tetiklenen eylemler ve giden sunucu tarafı istekler

Adım 5 — Türkçe consent metni

Consent modal’ının metinleri özelleştirilebiliyor. Türkçe bir kurulum için amaç adlarını ve açıklamalarını Türkçe yazman gerekiyor — modal metni araç adlarını olduğu gibi gösteriyor.

Amaç adları ve açıklamaları Türkçe olan consent modal'ı

Adım 6 — Olay tüketimini izle

Zaraz → Monitoring ekranı; aylık olay sayısı ve 1.000.000 ücretsiz kotaya göre konum

Bu ekran fatura sürprizini önleyen yerdir. Özellikle SPA çalıştırıyorsan rota değişimlerinin sayıyı ne kadar hızlı büyüttüğünü burada görürsün.

Adım 7 — Sunucu tarafı olayı test et

curl -X POST "https://ornek.com.tr/benzersiz-yol-secilmis" \
  -H "Content-Type: application/json" \
  --data '{"events":[{"client":{"__zarazTrack":"siparis tamamlandi","tutar":"1250"},
    "system":{"page":{"url":"https://ornek.com.tr/tesekkurler"},
    "device":{"language":"tr-TR"}}}]}'

curl çıktısı ve debug penceresinde/Monitoring ekranında görünen sunucu kaynaklı olay

Debug modundan çıkmak için argümansız zaraz.debug().

Bu demoda ölçülenler: consent verilmeden önce gönderilen olay sayısı (sıfır olmalı) · onay sonrası tetiklenen önbelleklenmiş olay sayısı · sunucu tarafı isteklerin yanıt kodları · aylık olay tüketiminin ücretsiz kotaya oranı · SPA’da rota değişimi başına olay sayısı.

Fiyatlandırma

Model

“Zaraz is available to all Cloudflare users, across all tiers. Each month, every Cloudflare account gets 1,000,000 free Zaraz Events. For additional usage, the Zaraz Paid plan costs $5 per month for each additional 1,000,000 Zaraz Events.”

“All Zaraz features and tools are always available on all accounts.”

Faturalanabilir “olay” tanımı — dikkatle okunacak cümle

“One Zaraz Event is an event you are sending to Zaraz, whether that is a page view, a zaraz.track event, or similar.”

Pratik okuması:

Bot trafiğini olaya dönüşmeden bastırabiliyorsun: Bot Score Threshold ayarı üç seçenek sunuyor — “Block none”, “Block automated only”, “Block automated and likely automated”.

Aşım davranışı

“If you don’t enable Zaraz Paid, you’ll receive email notifications when you reach 50%, 80%, and 90% of your free allocation. Zaraz will be disabled until the next billing cycle if you exceed 1,000,000 events without enabling Zaraz Paid.”

Yani kota aşımında fatura değil kesinti var. Analytics’in bir anda durur.

Limitler

Lisanslama ve hukuki çerçeve

Hizmet tescillidir. Managed Components formatı ise açık kaynaktır ve kendi bileşenini yazabilirsin.

Consent kapsamı — ne iddia ediliyor, ne edilmiyor

Zaraz CMP’si yalnızca GDPR ve ePrivacy Direktifi için sunuluyor ve IAB TCF onaylı (CMP ID 433).

Başka hiçbir düzenleme iddiası yok: CCPA iddiası yok, KVKK iddiası yok.

Veri yerelliği — Zaraz’ın öne çıktığı yer

Data Localization Suite uyumluluk tablosunda Zaraz üç özelliğin üçüyle de tam uyumlu:

Bu listede tam uyumlu satır az. Veri yerelliği gereksinimi olan bir kurumda Zaraz, analytics tarafındaki diğer ürünlerden daha rahat konumlanıyor.

Ancak Türkiye özelinde sınır aynı: Customer Metadata Boundary yalnızca ABD ve AB’yi destekliyor, Türkiye’yi değil. Ayrıntı için Analytics.

Üçüncü taraf sağlayıcı sözleşmeleri devam ediyor

Zaraz bir aracı katmandır. Google Analytics, Meta veya LinkedIn ile olan veri işleme sözleşmelerin aynen geçerlidir; Zaraz onları değiştirmez. Değiştirdiği tek şey, verinin o sağlayıcılara tarayıcıdan değil Cloudflare’in edge’inden gitmesi — ve Context Enricher ile araya girip veriyi kısabilmen.

Sık yapılan hatalar

Zone’un proxy’li olması gerektiğini unutmak. Turuncu bulut yoksa i.js sunulamaz.

Rocket Loader’ı açık bırakmak. Verinin Zaraz’a ulaşmasını geciktiriyor.

Eski tag snippet’lerini HTML’de bırakmak. Tag iki kez çalışır, sayılar ikiye katlanır.

Yeni aracı consent amacına atamayı unutmak. Araç consent’i sessizce atlar.

Tam GA4 enhanced measurement beklemek. Kutudan yalnızca üç olay çıkıyor.

“Hide Originating IP Address” ile demografiyi kaybetmek. “Anonymize” kullanılmalı.

zaraz.ecommerce() çağırmadan önce Ayarlar’da E-ticaret takibini açmamak.

Faturanın zone başına olduğunu sanmak. Hesap başına.

Araç sayısının faturayı çarptığını sanmak. Çarpmıyor — olay sayısı çarpıyor.

SPA’da rota değişimlerinin olay ürettiğini hesaba katmamak. Kota beklenenden hızlı tükenir.

Custom HTML’i SPA’da “Ignore SPA” alanı olmadan kullanmak. Çift tetikleniyor.

Tarayıcı hata ayıklama eklentileriyle test etmeye çalışmak. Debug modu kullanılmalı.

Cloudflare’in kendi GraphQL örneklerini kopyalamak. Zaraz Monitoring API dokümanındaki örneklerde iki hata var: $zoneTag: string küçük harfle yazılmış (geçersiz GraphQL, String olmalı) ve orderBy tipi sorgulanan düğümle uyuşmuyor.

GTM’i Zaraz içinde yüklemek. Zaraz’ın optimizasyonu ve gizlilik kontrolleri devre dışı kalıyor.