Same-origin deployment met server-side GTM via Cloudflare Workers: zo werkt het
Een same-origin deployment van server-side Google Tag Manager plaatst het sGTM-eindpunt op een submap van je hoofddomein, zoals https://www.domein.nl/measure/, in plaats van op een subdomein. Dit maakt het voor WebKit's Intelligent Tracking Prevention en veel adblockers vrijwel onmogelijk om het tracking-eindpunt te onderscheiden van de website zelf. De opzet vereist Cloudflare als proxy en een bestaande sGTM-installatie.
Submap versus subdomein: wat verschilt er concreet?
Bij een standaard sGTM-setup wijs je een subdomein toe, bijvoorbeeld sst.domein.nl. Dat subdomein is technisch gezien een andere URL-origin dan www.domein.nl, wat betekent dat browsers en trackingblockers het onderscheid kunnen maken. Bij een same-origin deployment draait sGTM op een submap van hetzelfde domein, zodat zowel de website als het sGTM-eindpunt dezelfde origin delen. WebKit's ITP en de meeste adblockers kijken naar de origin bij het beoordelen van cookielevensduur en blokkeerregels. Zolang die origin identiek is, hebben deze technieken minder houvast. Belangrijke nuance: er is geen garantie dat WebKit niet alsnog aanvullende maatregelen neemt als same-origin deployments op grote schaal worden ingezet om ITP te omzeilen.
Technische opzet: Cloudflare Worker als transparante proxy
De implementatie vereist twee dingen: een bestaande sGTM-container met een publiek toegankelijke URL, en een website die via Cloudflare wordt geproxied — het gratis plan volstaat. De kern van de oplossing is een Cloudflare Worker die alle inkomende requests naar de gekozen submap, bijvoorbeeld /measure/, onderschept en doorstuurt naar de sGTM-container. De Worker kopieert headers en body van het binnenkomende request. Omdat Cloudflare de Host-header van uitgaande requests niet laat overschrijven, gebruik je een X-Forwarded-Host-header. sGTM leest deze header en weet daardoor op welk domein cookies mogen worden gezet in de HTTP-response. Stel ook de Cache-Control-header in op no-store, anders riskeert Cloudflare het cachen van analytics-requests. De Worker stuurt vervolgens de volledige response van sGTM — inclusief body, statuscode en headers — terug naar de browser. Vanuit het perspectief van de browser communiceert de pagina uitsluitend met het eigen domein. Na het deployen van de Worker koppel je deze via een route-instelling aan je Cloudflare-zone, met een patroon als *.domein.nl/measure/*.
Testen: controleer de Set-Cookie-header
Maak voor de test een Google Tag aan in de client-side GTM-container met een GA4 Measurement ID. Voeg het veld server_container_url toe en wijs dit naar de submap van je same-origin deployment. Open Preview op zowel de web-container als de server-container. Controleer in de sGTM Preview-omgeving een binnenkomend page_view-request en kijk in de HTTP-response naar de Set-Cookie-header. Als daar een FPID-cookie staat die wordt gezet op het juiste naked domain, werkt de setup correct. Zie je geen inkomende requests terwijl Preview wel opende, controleer dan de server_container_url-waarde in je Google Tag. Opent Preview helemaal niet, dan ligt het probleem bij de Cloudflare-routering of de proxy-configuratie van je domein.
Wanneer kies je voor same-origin, en wanneer niet?
Voor de meeste sGTM-implementaties is een subdomein-setup eenvoudiger te beheren en afdoende voor marketing- en conversiemeting. Platforms als Google Ads en Meta modelleren al jaren op basis van gedeeltelijke data uit Safari en iOS, en een subdomein kan ook worden geconfigureerd voor langere cookielevensduur. Een same-origin deployment brengt specifieke risico's mee. Adblockers die dynamische domeintoewijzingen gebruiken, kunnen je volledige hoofddomein als tracking-domein markeren. Bovendien kan brede adoptie van same-origin workarounds WebKit aanleiding geven tot verdere cookiebeperkingen. Kies je toch voor same-origin, doe dat dan op basis van een concrete technische afweging — niet vanwege algemene claims dat first-party cookies verdwijnen of dat subdomein-setups niet meer werken. Die stelling is feitelijk onjuist. GTM- en GA4-beheerders doen er goed aan de voor- en nadelen van beide opties te wegen aan de hand van hun specifieke infrastructuur, het Cloudflare-gebruik en de cookievereisten van hun meetopzet.