Wat iOS App Tracking Transparency niet tegenhoudt — en hoe je app-tracking écht blokkeert

De korte versie: ATT blokkeert één specifieke identifier (de IDFA — Apple's reclame-ID). Apps die je willen blijven volgen, stoppen simpelweg met het gebruik van de IDFA en schakelen over op een van de tientallen andere identifiers die ATT niet aanraakt. Onafhankelijk onderzoek heeft aangetoond dat veel apps doorgaan met tracken via fingerprinting, zelfs nadat gebruikers op "Ask App Not to Track" hebben getikt. Hieronder: wat ATT daadwerkelijk doet, wat het niet doet, en wat de kloof opvult.

Wat App Tracking Transparency daadwerkelijk blokkeert

ATT, geïntroduceerd met iOS 14.5 in april 2021, verplicht apps om een systeemmelding te tonen voordat ze toegang kunnen krijgen tot de IDFA (Identifier for Advertisers) van het apparaat — een enkele globale tekenreeks die Apple aan elk apparaat toekent. Als je op "Ask App Not to Track" tikt, zou de app een IDFA vol nullen moeten ontvangen. Dat is het. Dat is het volledige mechanisme.

De smalle bescherming past in Apple's redenering: ATT gaat over één door Apple beheerde identifier. Wat ATT nooit is ontworpen om te doen — en wat de meeste gebruikers aannemen dat het doet — is apps stoppen van het volgen van je gedrag via andere methoden.

Waarop apps zijn overgestapt na ATT

Toen de IDFA werd afgesloten, gaf de mobiele advertentie-industrie het niet op. Ze schakelde van techniek:

Apparaat-fingerprinting. Combineer schermresolutie, model, OS-versie, geïnstalleerde talen, tijdzone, ruispatronen van de versnellingsmeter en ~30 andere signalen tot een vingerafdruk die uniek genoeg is om je apparaat te heridentificeren tussen apps. De vingerafdruk is opgebouwd uit gegevens die Apple apps vrij laat lezen.
Gehashte gebruikers-identifiers. Als je je aanmeldt bij een gratis app met je e-mailadres, hasht de SDK dat e-mailadres en stuurt de hash naar het advertentienetwerk. De hash komt overeen met andere apps die je e-mailadres hebben. ATT verhindert dit niet — je hebt er zelf toestemming voor gegeven door je te registreren.
Gedeelde SDK's als cross-app verbinding. De SDK van Facebook is ingebed in ~30% van de mobiele apps. Wanneer je een van die apps gebruikt, rapporteert de SDK terug aan Meta — ook als je geen Facebook-account hebt. ATT vraagt toestemming aan de host-app, niet aan de afzonderlijke identifiers van de ingebedde SDK.
CNAME-cloaking. Een site of app maakt een DNS-alias (analytics.bigsite.com → eigenlijk hotjar.com) zodat de tracker er als een eigen partij uitziet. ATT heeft geen DNS-laag; browserinhoudsblokkeerders kunnen de aliasketen niet gemakkelijk oplossen.
SKAdNetwork-attributie. Apple's eigen ATT-vriendelijke vervanging — apps rapporteren installatieattributie-events via door Apple samengevoegde kanalen. Minder gedetailleerd dan IDFA, maar nog steeds attributie. Niet niets.

Het empirische beeld

Onafhankelijke onderzoekers hebben herhaaldelijk vastgesteld dat ATT in de praktijk één kanaal blokkeert en vele andere open laat: veel apps gaan door met een vorm van tracking nadat de gebruiker ATT-toestemming heeft geweigerd, voornamelijk via fingerprinting en gedeelde SDK-identifiers.

Dit is geen argument dat ATT slecht is — het is een nuttige, maar smalle bescherming. Het is een argument dat ATT alleen onvoldoende is als jouw doel is "apps mogen mij niet volgen."

Wat de kloof daadwerkelijk dicht

Al de bovenstaande technieken hebben één structureel kenmerk gemeen: ze vereisen dat de SDK een externe server bereikt. De vingerafdruk moet ergens naartoe worden verzonden. De gehashte e-mail moet naar huis bellen. De Facebook SDK moet zijn payload versturen naar graph.facebook.com. CNAME-gecloakte trackers lossen uiteindelijk toch op naar een echte bestemming.

Dat betekent dat een filter op netwerkniveau (DNS) dat verbindingen met bekende trackerdomeinen blokkeert, al deze methoden in één interventie onderschept, ongeacht welke identifier de app wilde versturen. Dit is de aanpak die Pi-hole heeft gepioneerd voor thuisnetwerken, en wat mobiele tools zoals Casper's Cloak, NextDNS en AdGuard DNS doen voor individuele apparaten.

Het mechanisme, vereenvoudigd:

De ingebedde SDK van de app probeert zijn vingerafdruk / gehashte ID / gedragssignaal te versturen naar zijn server (bijv. graph.facebook.com, amplitude.com, mixpanel.com).
Voordat die verbinding tot stand kan komen, doet het apparaat een DNS-opzoeking om het IP-adres van de server te vinden.
Het VPN-profiel op het apparaat stuurt DNS-verzoeken via een filterende resolver.
De resolver herkent dat de hostnaam een tracker is en weigert een IP-adres terug te geven.
De verbinding wordt nooit geopend. De gegevens verlaten nooit je telefoon.

Cruciaal is dat dit werkt voor elke app op het apparaat — niet alleen Safari. ATT bevindt zich op de app-SDK API-laag. Browserinhoudsblokkeerders bevinden zich op de DOM-laag. DNS-filtering bevindt zich op de netwerklaag, onder beide, waar elke app samenkomt.

Waar ATT goed in is — eer wie eer toekomt

ATT is voor twee dingen oprecht waardevol:

Het heeft de standaard verschoven. Vóór ATT stond de IDFA altijd aan. Na ATT kiezen de meeste gebruikers ervoor af als ze er om wordt gevraagd. Dat is een echte privacyverschuiving op bevolkingsniveau, zelfs met omzeilingsmethoden.
Het heeft Meta en anderen gedwongen trackinginfrastructuur te onthullen die eerder onzichtbaar was. De "App Privacy"-labels in de App Store, die apps nauwkeurig moeten invullen, zijn hier een direct gevolg van.

ATT was een nuttige interventie. Het is alleen geen volledige — en Apple heeft dat nooit beweerd.

Praktische aanbevelingen

Blijf op "Ask App Not to Track" tikken. De marginale bescherming is de paar seconden moeite waard.
Gebruik een DNS-filter naast ATT — Casper, NextDNS, AdGuard DNS, of een zelfgehoste Pi-hole. Dit is wat de technieken opvangt die ATT niet aanpakt.
Controleer de App Privacy-labels van apps voordat je ze installeert. Als de labels van een app "Data Linked to You — Identifiers" tonen voor niet-essentiële doeleinden, zoek dan een alternatief.
Besef dat "gratis" apps standaard verdienen via tracking. Betaalde alternatieven hebben vaak een wezenlijk ander privacystandpunt, omdat ze er niet van afhankelijk zijn.
Meld je niet aan via Apple/Google/Facebook als een gewoon e-mailadres ook werkt. SSO koppelt identifiers aan elkaar die anders gescheiden zouden blijven.

Conclusie

ATT is een nuttige maar smalle privacyfunctie. Het blokkeert één door Apple beheerde identifier. Apps die je willen blijven volgen, gebruiken simpelweg andere identifiers. Als jouw doel het bredere "apps mogen mij niet volgen" is, is ATT het begin, niet het einde — combineer het met een netwerkfilter dat onderschept wat ATT nooit was ontworpen te stoppen.