Hvor længe holder en affiliate-cookie? Safari, iPhone og samtykke

Hvor længe holder en affiliate-cookie – og holder de 30 dage, programmet lover affiliates, også på en iPhone? Svaret afhænger af to ting, der ofte blandes sammen: programmets cookie-vindue og cookiens levetid i browseren.

Guiden skelner mellem vinduet og levetiden. Du får en dateret oversigt over browserne pr. november 2026, ni situationer, der afgør, hvem der får salget, og de opsætninger, der holder hele perioden på hver platform. Er du affiliate, står dine råd i afsnittet om, hvordan du mister mindst provision i Safari. Er du ny i emnet, så start med guiden til affiliate marketing.

Cookie-vinduet, også kaldet attributionsvinduet, er en regel: så længe efter et klik giver et køb provision. Det er butikken, der vælger det pr. program – hos Affilyflow 14, 30, 45, 60 eller 90 dage, og vi anbefaler 30. Vinduet låses på klikket og afgøres på vores server ud fra klikkets eget tidsstempel, så browseren kan hverken forlænge eller forkorte det.

Cookiens levetid er noget helt andet: så længe gemmes klik-id'et faktisk i kundens browser. Den afhænger af browseren – og af, hvem der satte cookien. Vores script gemmer klikket i op til 90 dage fra klikket, men browseren kan slette det før. Et køb giver kun provision, når begge dele holder, og det korteste af de to afgør sagen: et program med 30 dages vindue giver 30 dage i Chrome, Edge, Firefox og på Android, men cirka en uge efter seneste besøg i Safari, hvis klikket kun er gemt af et script.

Oversigten viser, hvor længe et klik overlever med hver sporingsmetode, pr. november 2026. Den bygger på browsernes egen dokumentation, og hvordan vi låser klik og vindue på serveren, står på affiliate tracking. Det, vi ikke har kunnet efterprøve, står i afsnittene om iPhone-browsere og in-app-browsere nedenfor – ikke i tabellen.

Kilder, aflæst november 2026: WebKit, Mozilla, Google Privacy Sandbox og Stape – den fulde kildeliste står nederst. Kunden kan altid selv slette cookies; tabellen viser, hvad browseren gør af sig selv.

Hvor i klikkets rejse browseren bestemmer

Sådan rejser klikket fra affiliatens link til et registreret salg. Den fulde tekniske gennemgang står i Sådan virker sporingen.

1. 01

   Klikket registreres

   Affiliatens link går gennem Affilyflow. Her registreres klikket, og provisionen og cookie-vinduet låses på det med vores servers tidsstempel.

2. 02

   Kunden lander med et klik-id

   Butikken åbner med ?afid=c_… i adressen. Klik-id'et står i adressen, men er endnu ikke gemt i kundens browser.

3. 03

   Butikkens sporing gemmer klikket

   Et script, Shopify-pixlen, WooCommerce-pluginnet eller butikkens egen server gemmer klik-id'et på butikkens domæne. Det er her, browseren bestemmer, hvor længe det lever.

4. 04

   Købet meldes – og serveren afgør

   Ordren meldes med klik-id'et, og vores server tjekker klikkets alder mod det vindue, der blev låst ved klikket. Et nyt besøg forlænger aldrig vinduet.

Safari og iPhone (ITP): 7 dage – og nogle gange 24 timer

Safaris sporingsværn hedder Intelligent Tracking Prevention (ITP) og er en del af WebKit, motoren bag Safari på Mac, iPhone og iPad. Apple har strammet det i flere omgange. I 2019 blev cookies, som et script sætter, begrænset til 7 dage. I marts 2020 (Safari 13.1 og iOS 13.4) blev tredjepartscookies blokeret helt, og al lagring, et script kan skrive – også localStorage – slettes nu efter 7 dages brug af Safari uden interaktion med sitet.

Interaktion betyder et klik, et tryk eller en tastning på sitet. At scrolle tæller ikke. Vores script skriver cookien igen ved hvert besøg, så den gælder 7 dage fra kundens seneste besøg – men aldrig ud over 90 dage fra klikket, og fornyelsen forlænger aldrig vinduet. Lageret slettes derimod efter 7 dages brug af Safari uden et klik eller tryk på sitet. Kommer kunden ikke tilbage inden for en uge, er et klik, der kun er gemt af et script, væk.

De 24 timer er en strammere regel fra 2019 (ITP 2.2). Reglen rammer, når kunden kommer fra et domæne, Safari har klassificeret som sporingsdomæne, og landingsadressen har parametre som ?afid=. Så begrænses cookies, som et script sætter på netop den side, til en dag. Safari klassificerer blandt andet domæner, der videresender til mange forskellige sites – og det er præcis, hvad et affiliate-link gør, også vores. Om det er sket på en bestemt iPhone, kan ingen se udefra. Vores script gemmer derfor klikket både som cookie og i browserens lager og genskaber cookien fra lageret ved næste besøg, men lageret holder heller ikke mere end cirka 7 dage.

Chrome, Firefox og Edge på iPhone er ikke det samme som Safari, og vi har ikke efterprøvet, hvilke af Safaris regler de følger. Oversigten gælder Safari.

Chrome, Edge, Firefox og Android

Her holder en førstepartscookie på butikkens domæne hele vinduet. Google meddelte 17. oktober 2025, at Chrome bevarer brugerens eget valg om tredjepartscookies, og Firefox' standardbeskyttelse, Total Cookie Protection, deler tredjepartscookies op pr. site. Ingen af delene rammer et klik, der ligger som førstepartscookie hos butikken – og hos Affilyflow hviler attributionen aldrig på en tredjepartscookie. Her går klikket kun tabt på grund af kunden selv: ryddede cookies, et privat vindue eller et køb i en anden browser.

Private vinduer og in-app-browsere i Instagram og TikTok

Et privat vindue glemmer alt, når det lukkes – i alle browsere. Fra Safari 17 går Private Browsing længere med Link Tracking Protection: kendte klik-id'er fjernes fra adressen, før siden åbner, og scripts fra et andet domæne får adressen uden parametre. Et sporingsscript, der hentes fra netværkets domæne, kan derfor ikke regne med at se klik-id'et i en privat fane. Butikkens egen server ser adressen, som den blev hentet. Det samme gælder i almindelige faner for brugere, der har slået Avanceret beskyttelse mod sporing og fingeraftryk (Advanced Tracking and Fingerprinting Protection) til overalt.

Instagram og TikTok åbner links i deres egen browser inde i appen. Klik derfra tæller som klik hos os, og køber kunden i samme session i appens browser, registreres salget normalt som ellers – det har vi ikke efterprøvet i alle apps. Men appens browser har som udgangspunkt sit eget lager, adskilt fra telefonens Safari eller Chrome, så åbner kunden senere butikken i telefonens almindelige browser, kender den browser ikke klikket. Hvor længe lageret holder inde i selve appen, har vi heller ikke efterprøvet. Den sikreste reserve er en personlig rabatkode, som creatoren kan sige højt eller skrive i opslaget – se også guiden til at tjene penge på TikTok og Instagram.

En udbredt ide er at give sporingen et subdomæne som spor.dinbutik.dk, der peger på netværkets server med en CNAME- eller A-post. Så sætter netværkets server cookien i et svar fra butikkens eget domæne, og cookien ligner en førstepartscookie, som Safari lader leve. Safari har lukket begge veje.

Siden Safari 14 og iOS 14 (2020) opdager Safari et subdomæne, hvis CNAME peger på en tredjepart, og begrænser alle cookies fra dets svar til 7 dage. Senere kom samme regel for IP-adresser: ligner subdomænets IP-adresse ikke hovedsitets, begrænses cookien også til 7 dage. Ifølge Stape, der henviser til WebKits kildekode, skal de første 16 bit af en IPv4-adresse eller 64 bit af en IPv6-adresse være ens. Et subdomæne, der peger på en tredjepart, giver altså de samme 7 dage som et script.

Det, der virker, er, at butikkens egen server eller CDN sætter cookien: WooCommerce-pluginnet eller server-kodestumperne til en specialbygget webshop. En sti på jeres egen vært, fx /af/, der videresendes til os, gør det sværere for annonceblokkere at stoppe sporingen – og efter WebKits beskrivelse er et script fra jeres eget domæne ikke omfattet af reglen om adresser uden parametre i Private Browsing.

Cookieless affiliate tracking lyder som løsningen på både Safari og samtykke. I praksis dækker ordet over fire vidt forskellige ting, og de løser ikke det samme problem.

Server-side tracking (S2S): hvad det løser – og hvad det ikke løser

Det vigtigste at forstå: et salg kan godt meldes fra server til server, men klikket skal stadig huskes et sted, fra kunden lander, til kunden køber – i en cookie, på kundens konto eller på ordren. Server-til-server tracking (S2S, også kaldet postback eller server-side tracking) løser, hvordan salget kommer frem – ikke hvor længe klikket overlever, og heller ikke spørgsmålet om samtykke til at gemme det. Derfor kalder vi ikke Affilyflow cookieless: attributionen bygger på et klik-id og en førstepartscookie. Ordbogen gennemgår cookieløs sporing.

Enhver løsning, hvor butikkens egen server gemmer klikket og melder salget. Navnet på leverandøren betyder mindre end svarene på fire spørgsmål:

1. Sætter butikkens egen server cookien – fra butikkens eget domæne og ikke fra et subdomæne, der peger på leverandøren?
2. Meldes salget fra server til server, så en annonceblokker eller en lukket fane ikke stopper det?
3. Kan en personlig rabatkode give provision, når der ikke er noget klik at koble salget til?
4. Kan du se, hvor mange klik fra affiliates der når frem, bliver gemt og bliver til et salg?

Hos Affilyflow er svaret ja til alle fire for WooCommerce og for specialbyggede webshops med server-kodestumperne. Personlige rabatkoder kan bruges på de fleste af vores platforme – på mange kun, når kvitteringen eller GA4 sender koden med – men endnu ikke i Shopify-appen.

Har butikken valgt "Vent på samtykke", og siger kunden nej, gemmes klikket aldrig – og så kan kun en personlig rabatkode give provision.

Hvad der sker, afhænger af butikkens opsætning. Det er butikken, der ejer sitet og cookiebanneret og vælger, om sporingen skal vente på samtykke. Med "Vent på samtykke" gemmer scriptet intet i browseren, før kunden har sagt ja til marketing. Klik-id'et ligger kun i sidens hukommelse, så siger kunden nej, giver et senere køb ikke affiliaten provision.

Et aktivt nej sletter også det, der allerede er gemt, inklusive de klik-cookies, butikkens server har sat. Uden indstillingen opfører scriptet sig som altid, og samtykket hører til butikkens egen cookie-løsning.

Scriptet læser selv samtykket fra disse løsninger:

• Cookiebot og Cookie Information
• IAB TCF v2
• Google Consent Mode v2
• De indbyggede bannere i Shoporama, DanDomain Classic og Smartweb/HostedShop

Bruger butikken en anden løsning, skal udvikleren give scriptet besked. WooCommerce-pluginnet følger fra version 1.12.0 bannere, der understøtter WP Consent API, og Shopify-pixlen spørger ikke selv – det klarer butikkens egen cookie-løsning. Detaljerne står i Samtykke og cookies.

Den eneste vej til provision, der ikke kræver noget lager i browseren, er en personlig rabatkode: en kode, butikken knytter til en bestemt affiliate. Kunden taster den selv, så den virker også, når kunden har sagt nej til marketing-cookies. Med sporingskoden og WooCommerce-pluginnet bliver en ordre uden klik kun meldt til os, når kunden har brugt en personlig kode – de sammenligner koden med hashværdier af jeres personlige koder, før noget sendes.

Om en affiliate-cookie kræver samtykke, er et juridisk spørgsmål, og det her er ikke juridisk rådgivning. To kilder er værd at kende. Det Europæiske Databeskyttelsesråd (EDPB) nævner affiliate marketing ved navn i retningslinjer 2/2023 om ePrivacy-direktivets artikel 5, stk. 3 (version 2.0, oktober 2024, afsnit 3.1) og regner også sporingslinks med, ikke kun cookies. Datatilsynets og Digitaliseringsstyrelsens fælles vejledning om cookies (15. maj 2025) beskriver, at kun det, der er teknisk nødvendigt for at levere en tjeneste, brugeren har bedt om – som login og indkøbskurv – er undtaget fra kravet om samtykke (cookiebekendtgørelsens § 4, stk. 2). Spørg jeres egen rådgiver.

Affilyflow bruger samme model for alle salg: salget tilhører det klik-id, ordren bærer – sidste klik vinder, og provisionen deles aldrig mellem flere affiliates. Satsen låses i det øjeblik, kunden klikker. Sådan falder det ud i de situationer, butikker og affiliates typisk spørger om:

WooCommerce-rækken, hvor et andet netværks klik kom sidst, er en bevidst regel. WooCommerce-pluginnet har fra version 1.10.0 "Sidste klik vinder" slået til som standard: lander kunden via et andet netværks link efter vores klik, glemmer pluginnet vores klik, så I ikke betaler os for et salg, hvor et andet netværk havde det seneste klik. Skal de andre netværks pixels følge samme regel, kan I betinge dem med vinderen – se WooCommerce-guiden. En kode giver programmets aktuelle sats, fordi der intet klik er at låse satsen på.

Du kan ikke vælge kundens browser, men du kan gøre tre ting. Bed butikken om en personlig rabatkode, og del den sammen med linket – den giver provision uden klik, også når kunden har sagt nej til cookies eller køber på en anden enhed. Link direkte til den vare, du anbefaler, så vejen fra klik til køb er kort. Og spørg butikken, hvordan den sporer: gemmer den klikket fra sin egen server, får du hele vinduet – også i Safari.

Uanset browser låses satsen og vinduet på vores server, når kunden klikker. Et klik, der holder til købet, giver den sats, programmet viste ved klikket – også hvis butikken ændrer satsen bagefter.

Den mest robuste vej afhænger af, hvor I sælger. Tabellen viser, hvad der holder hele perioden i Safari på hver platform, og hvad der fanger resten:

Når sporingen kører, viser "Sporingens dækning" i Opsætning for de seneste 30 dage, hvor mange klik fra affiliates der nåede sporingen, blev gemt og blev til et salg. Det er det nærmeste, I kommer på at se, hvad Safari og cookiebanneret koster jer.

Vælg vinduet ud fra kundens købsrejse, ikke ud fra Safari. Hos Affilyflow kan programmet have 14, 30, 45, 60 eller 90 dage, og vi anbefaler 30. I Chrome, Edge, Firefox og på Android – og med en cookie fra jeres egen server også i Safari – holder vinduet fuldt ud, og det er det tal, affiliates ser og sammenligner, før de vælger jeres program.

Et kort vindue gør programmet mindre attraktivt: vælger I 14 dage, advarer programeditoren om, at affiliates kan vælge korte vinduer fra. Omvendt betyder et langt vindue, at I betaler for køb, der sker længe efter klikket. Har jeres kunder en lang købsrejse – dyre varer, møbler, rejser – kan 45, 60 eller 90 dage give mening. Køber de på impuls, er 30 dage rigeligt.

Vinduet låses på hvert klik. Forlænger I det senere, gælder det kun nye klik. Klik, der allerede er sket, beholder deres oprindelige vindue. Reglerne står samlet på programvilkår.

Det ærlige svar på, hvor længe en affiliate-cookie holder, er derfor: så længe vinduet siger, hvis browseren lader den leve. Vil I have hele perioden – også i Safari – skal klikket gemmes af jeres egen server. Se, hvordan pris og vilkår hænger sammen, når I starter et affiliate-program.

Kilder, aflæst november 2026: WebKit (Tracking Prevention in WebKit samt blogindlæggene om ITP 2.2, Full Third-Party Cookie Blocking and More fra marts 2020, CNAME Cloaking and Bounce Tracking Defense fra november 2020 og Private Browsing 2.0); Mozilla (oversigten over Firefox' sporingsbeskyttelse); Google (opdateringen om Privacy Sandbox fra 17. oktober 2025); Stape om IP-reglen for subdomæner med henvisning til WebKits kildekode; EDPB, retningslinjer 2/2023, version 2.0; Datatilsynet og Digitaliseringsstyrelsen, Brug af cookies og lignende teknologier (15. maj 2025).

Skrevet af

Loui Wagner

Medstifter, produkt og teknologi

Bygger Affilyflow – det danske affiliate-netværk, hvor virksomheder og affiliates kan se præcis, hvad deres samarbejde leverer.

Fandt du et tal, der ikke længere passer? Skriv til os – vi retter artiklen.