Zaraz edge پر دراصل کیا کرتا ہے

Zaraz ایک سرور سائیڈ ٹیگ مینیجر ہے جو Cloudflare Workers کے اندر ایگزیکیوٹ ہوتا ہے۔ جب کوئی وزیٹر صفحہ لوڈ کرتا ہے، تو پبلشر کے HTML میں ایک چھوٹا Zaraz initialization اسکرپٹ شامل ہوتا ہے — عام طور پر چند کلوبائٹس — جو براؤزر سے ایک منظم event payload جمع کرتا ہے (pageview، click، کسٹم event) اور اسے پبلشر کے اپنے ڈومین پر Cloudflare endpoint پر POST کرتا ہے۔ Worker اس payload کو وصول کرتا ہے اور اس پر کنفیگر کیے گئے Zaraz ٹولز چلاتا ہے: Google Analytics 4 انٹیگریشن ایک Measurement Protocol hit بھیجتی ہے، Meta Pixel انٹیگریشن ایک Conversions API event بھیجتی ہے، Mixpanel انٹیگریشن ایک HTTP API call بھیجتی ہے۔ وینڈر کا تھرڈ پارٹی JavaScript براؤزر میں کبھی لوڈ نہیں ہوتا، وینڈر کوکیز یا تو بالکل سیٹ نہیں ہوتیں یا Worker کے ذریعے Cloudflare کے فرسٹ پارٹی ڈومین کے راستے لکھی جاتی ہیں، اور وینڈر کو صرف وہ ڈیٹا ملتا ہے جو پبلشر کی Zaraz کنفیگریشن واضح طور پر فارورڈ کرتی ہے۔

یہی آرکیٹیکچرل ویلیو پروپوزیشن ہے۔ یہی وجہ بھی ہے کہ consent کی تصویر کسی بھی کلائنٹ سائیڈ ٹیگ مینیجر سے مختلف ہے۔ روایتی سیٹ اپ کے ساتھ consent کا سوال یہ ہے کہ وینڈر کا JavaScript لوڈ ہوتا ہے یا نہیں۔ Zaraz کے ساتھ JavaScript کسی بھی صورت لوڈ نہیں ہوتا — سوال یہ بن جاتا ہے کہ آیا سرور سائیڈ payload بھیجا جاتا ہے یا دبایا جاتا ہے، اور آیا payload میں وہ شناخت کار ہیں جو وینڈر کو یوزر ٹریک کرنے کے لیے چاہیے۔ دونوں سوالات کے Zaraz Consent API میں اچھی طرح سے بیان کردہ جوابات ہیں؛ پبلشر کا کام انہیں درست طریقے سے میپ کرنا ہے۔

Zaraz Consent API اور یہ کلائنٹ سائیڈ CMPs سے کیسے مختلف ہے

Zaraz ایک بلٹ ان consent ماڈیول کے ساتھ آتا ہے — Zaraz Consent Tools — جو فی وزیٹر consent state برقرار رکھتا ہے اور کنٹرول کرتا ہے کہ کون سے کنفیگر ٹولز فائر ہوتے ہیں۔ یہ state ایک چھوٹے JavaScript API کے ذریعے ظاہر ہوتی ہے: یوزر کی پسند ریکارڈ کرنے کے لیے zaraz.consent.set({ analytics: true, marketing: false })، اسے پڑھنے کے لیے zaraz.consent.get('analytics')، مکمل نقشے کے لیے zaraz.consent.getAll()، consent UI کھولنے کے لیے zaraz.consent.modal()، اور کسٹم UI رویے کے لیے zaraz.consent.onModalShown اور متعلقہ events پر event listeners۔ ڈیش بورڈ میں ہر Zaraz ٹول کو ایک یا زیادہ purpose IDs کے ساتھ کنفیگر کیا جاتا ہے، اور Worker صرف اسی وقت ٹول ایگزیکیوٹ کرتا ہے جب متعلقہ purposes وزیٹر کی consent state میں گرانٹ ہوں۔

انٹیگریشن کا انتخاب یہ ہے کہ آیا Zaraz کا بلٹ ان consent modal استعمال کریں یا Zaraz کو ایک بیرونی CMP سے جوڑیں۔ بلٹ ان modal سب سے آسان راستہ ہے: Consent Tools کو فعال کریں، purposes بیان کریں، ہر ٹول کو صحیح purpose کے ساتھ کنفیگر کریں، اور deploy کریں۔ بیرونی CMP راستہ ان تنظیموں کے لیے صحیح انتخاب ہے جو پہلے سے Cookiebot، OneTrust، Usercentrics یا کسٹم CMP پر معیاری بنا چکی ہیں — Zaraz پھر CMP کے نیچے کام کرتا ہے، جب کہ CMP zaraz.consent.set() کال کرتی ہے جیسے جیسے یوزر بینر سے گزرتا ہے۔ دونوں راستے ایک ہی نافذ نقطے پر پہنچتے ہیں: Worker ہر ٹول ایگزیکیوٹ ہونے سے پہلے consent state چیک کرتا ہے، اور جن ٹولز کے purposes گرانٹ نہیں ہیں وہ بس نہیں چلتے۔

IAB TCF سپورٹ اور علاقائی قوانین

Zaraz نے 2023 میں IAB TCF v2 سپورٹ شامل کیا اور تب سے فریم ورک کو آگے ٹریک کرتا رہا ہے۔ TCF پر مبنی اشتہاری شراکت داری کے تحت EEA اور UK میں کام کرنے والے پبلشرز کے لیے، جب پبلشر opt in کرتا ہے تو انٹیگریشن TCF consent string کو خود بخود Zaraz purpose state میں ترجمہ کر دیتی ہے۔ غیر TCF علاقوں کے لیے پبلشر کسٹم purposes — عام طور پر analytics، marketing، personalization، functional — کو متعلقہ Zaraz ٹولز پر براہ راست میپ کرتا ہے۔ یہی Worker دونوں کو نافذ کرتا ہے، جس کا مطلب ہے کہ ایک ہی Zaraz کنفیگریشن دو متوازی پائپ لائنوں کے بغیر TCF کے ذریعے EEA وزیٹر اور کسٹم مارکیٹنگ پرپس گیٹ کے ذریعے کیلیفورنیائی وزیٹر دونوں کی خدمت کر سکتی ہے۔

Zaraz GDPR اور ePrivacy کی تصویر کیوں بدلتا ہے

GDPR، ePrivacy اور CCPA کے تحت قانونی موقف سرور سائیڈ ایگزیکیوشن سے مستثنی نہیں ہے — قانونی بنیاد ڈیٹا کی پیروی کرتی ہے، نقل و حمل کی نہیں — لیکن عملی تعمیل سطح بدل جاتی ہے۔ تین تبدیلیاں اہم ہیں۔

• کوکی کی سطح سکڑ جاتی ہے۔ زیادہ تر وینڈر کوکیز کبھی نہیں لکھی جاتیں کیونکہ وینڈر JavaScript براؤزر میں کبھی نہیں چلتا۔ باقی بچنے والی کوکیز عام طور پر Zaraz کا اپنا session identifier اور وہ فرسٹ پارٹی شناخت کار ہیں جو پبلشر نے جان بوجھ کر پھیلائے ہیں۔ غیر ضروری کوکی کی وہ سطح جو بینر کو کنٹرول کرنی ہوتی ہے اس لیے ڈرامائی طور پر چھوٹی ہوتی ہے — کبھی کبھی صرف ایک یا دو کوکیز کے مقابلے میں درجنوں جو ایک معمولی کلائنٹ سائیڈ اسٹیک بناتا ہے۔
• تھرڈ پارٹی ٹرانسفر کا انکشاف بدل جاتا ہے۔ چونکہ Worker سرور ٹو سرور calls کے ذریعے وینڈرز کو ڈیٹا بھیجتا ہے، وزیٹر کے براؤزر سے ڈیٹا کا راستہ Cloudflare کے edge تک اور وہاں سے کنفیگر کیے گئے وینڈرز تک ہے۔ پرائیویسی نوٹس کو اس کی عکاسی کرنی چاہیے — Cloudflare ایک پروسیسر ہے اور ہر Zaraz ٹول ایک ڈاؤن اسٹریم وصول کنندہ ہے — لیکن انکشاف کئی طریقوں سے مساوی کلائنٹ سائیڈ راستے سے زیادہ واضح ہے کیونکہ پبلشر کا اس پر مکمل کنٹرول ہے کہ کیا فارورڈ کیا جاتا ہے۔
• آڈٹ ٹریل زیادہ مرکزی ہوتا ہے۔ چونکہ ہر وینڈر event Worker سے گزرتا ہے، پبلشر کے پاس ایک ہی نقطہ ہے جہاں consent state، event payload اور ڈاؤن اسٹریم وصول کنندہ لاگ کیا جا سکتا ہے۔ قابل استفسار consent لاگ کی توقع رکھنے والے ریگولیٹرز کو کلائنٹ سائیڈ ٹیگز کے پھیلاؤ کی نسبت Zaraz سے زیادہ واضح جواب ملتا ہے۔

وہ انٹیگریشن پیٹرن جو کام کرتا ہے

ریفرنس ڈیپلائمنٹ کے چار متحرک حصے ہیں۔ پہلا صفحے میں Zaraz initialization ہے، جو Cloudflare کے پراکسی کے ذریعے پبلشر کے ڈومین سے لوڈ ہوتا ہے۔ دوسرا یا تو بلٹ ان Consent Tools modal ہے یا ایک بیرونی CMP جو zaraz.consent.set() کال کرتی ہے جب یوزر انتخاب کرتا ہے۔ تیسرا Zaraz ڈیش بورڈ کنفیگریشن ہے جو ہر ٹول کو صحیح purposes سے میپ کرتا ہے — analytics ٹولز کو analytics purpose سے، اشتہاری ٹولز کو marketing purpose سے، session replay ٹولز کو زیادہ سخت functional یا research purpose سے، اور کوئی بھی تھرڈ پارٹی ٹرانسفر پر منحصر ٹول کو cross-border-transfer purpose سے اگر پبلشر کی پرائیویسی نوٹس اسے الگ انتخاب کے طور پر ظاہر کرتی ہے۔ چوتھا ایک سرور سائیڈ لاگ ہے — یا تو Cloudflare Analytics، پبلشر کے ڈیٹا لیک کے لیے Logpush، یا ایک کسٹم Worker جو consent فیصلوں کو قابل استفسار اسٹور میں لکھتا ہے — تاکہ ریگولیٹر کی درخواست پر consent ریکارڈ پیش کیا جا سکے۔

تصدیقی قدم وہی چار جانچ ترتیب ہے جو کسی بھی consent انٹیگریشن پر لاگو ہوتی ہے لیکن Zaraz مخصوص موڑ کے ساتھ۔ بینر دکھایا گیا لیکن کوئی انتخاب نہ کیا گیا صاف براؤزر سیشن کو وزیٹر کے براؤزر سے کسی بھی وینڈر ڈومین کی طرف صفر requests اور صفر غیر ضروری کوکیز پیدا کرنی چاہیے — دونوں Zaraz کے ساتھ کلائنٹ سائیڈ اسٹیک کی نسبت تصدیق کرنا آسان ہے کیونکہ تھرڈ پارٹی requests کی غیر موجودگی کنفیگر کردہ استثناء کی بجائے ڈیفالٹ ہے۔ رد کرنے والا وزٹ اس state کو برقرار رکھنا چاہیے۔ قبول کرنے والے وزٹ کو Zaraz endpoint POSTs پیدا کرنی چاہیے جو صرف وہ events لے کر چلیں جن کے لیے یوزر نے consent دی، اور Worker logs کو ڈاؤن اسٹریم ٹول کا فائر ہونا دکھانا چاہیے۔ واپسی کو Worker ٹول ایگزیکیوشنز فوری طور پر روکنی چاہیے، کسی بھی Zaraz سیٹ کوکیز کی میعاد ختم کرنی چاہیے، اور کنفیگر کیے گئے ڈاؤن اسٹریم وینڈرز کو مناسب حذف یا opt-out سگنلز ٹرگر کرنے چاہییں۔

جہاں Zaraz کو ابھی بھی محتاط ہینڈلنگ کی ضرورت ہے

Zaraz کوئی consent-by-architecture حل نہیں ہے جو سوچنے کی ضرورت کو ختم کر دے۔ تین شعبوں کو جان بوجھ کر سنبھالنے کی ضرورت ہے۔ Click-to-load embeds — YouTube، Twitter، Instagram، TikTok ویڈیو — اسی placeholder پیٹرن کی ضرورت ہے جو کوئی بھی consent-first ڈیپلائمنٹ استعمال کرتی ہے، کیونکہ Zaraz فی الحال embedded video iframes پراکسی نہیں کرتا۔ کلائنٹ سائیڈ شناخت کار جو پبلشر فرسٹ پارٹی مقاصد کے لیے براؤزر میں سیٹ کرنا چاہتا ہے — لاگ ان یوزر ID، سیشن ٹوکن، A/B ٹیسٹ بکٹ — پبلشر کی consent حد کے پبلشر کی طرف رہتے ہیں اور اپنی گیٹنگ لاجک کی ضرورت ہوتی ہے۔ اور پرائیویسی نوٹس کو سرور سائیڈ ٹرانسفر ماڈل کو درست طریقے سے بیان کرنا چاہیے، بشمول Cloudflare کا ایک پروسیسر کے طور پر کردار اور ڈیٹا کو ہینڈل کرنے والے Workers کا جغرافیائی مقام، کیونکہ Cloudflare edge متعدد علاقوں میں چلتا ہے اور وزیٹر کی ٹریفک ایسے علاقے میں پراسیس ہو سکتی ہے جو ان کا اپنا نہ ہو۔ یہ سب سنبھال لیے جائیں تو 2026 میں Zaraz ڈیپلائمنٹ ایک ٹیگ مینجمنٹ پروڈکٹ سے پبلشر کی چلائی جانے والی سب سے صاف consent architectures میں سے ایک بن جاتی ہے: چھوٹی کوکی سطح، کم تھرڈ پارٹی requests، مرکزی نفاذ، اور ایک آڈٹ ٹریل جسے ریگولیٹر واقعی پڑھ سکتا ہے۔