Safari 27 blocca i servizi che trasformano le e-mail in ID di tracciamento: cosa resta intatto per un'azienda di servizi B2B che raccoglie contatti con newsletter e moduli

Cosa ha annunciato Apple per Safari 27 sugli ID basati sulle e-mail?

Il 19 ottobre 2026 il team di WebKit, il motore su cui funziona Safari, ha pubblicato sul proprio blog il post "Blocking Identity Resolution Infrastructure". La sostanza è in una frase: Safari e WebKit nelle versioni 27 di iOS, iPadOS, macOS e visionOS "bloccano l'accesso di rete all'infrastruttura di identity resolution per impedire il tracciamento tra siti diversi". L'identity resolution (risoluzione dell'identità) è il lavoro di società terze che prendono l'indirizzo e-mail che una persona scrive in un modulo di accesso o di iscrizione a una newsletter e lo trasformano in un identificativo stabile, lo stesso su tutti i siti che usano quel servizio. Così la persona può essere riconosciuta e profilata ovunque, anche se non ha mai accettato un cookie di terze parti.

Apple descrive queste società come "presenti ma invisibili su molte pagine web dove inserisci il tuo indirizzo e-mail" e aggiunge un dettaglio che spiega la severità della scelta: disconnettersi o cancellarsi dalla newsletter non elimina l'ID di tracciamento già creato. Il blocco è fatto a livello di dominio, quindi il fornitore non può aggirarlo cambiando la forma della richiesta. Il post, firmato da tre ingegneri WebKit, non nomina nessuna azienda e non pubblica l'elenco dei domini.

Punto	Cosa risulta	Fonte e solidità
Cosa viene bloccato	Le connessioni del browser verso i servizi terzi che collegano l'e-mail a un ID persistente tra siti	WebKit, 19 ottobre 2026: ufficiale
Su quali sistemi	iOS, iPadOS, macOS e visionOS 27	WebKit, 19 ottobre 2026: ufficiale
Da quando	iOS 27 è in distribuzione dal 14 settembre 2026; il meccanismo di blocco per dominio è entrato nel codice di WebKit a febbraio 2026	ppc.land, 19 ottobre e 14 ottobre 2026: fonte di settore
Chi è colpito	Unified ID 2.0 (il sistema promosso da The Trade Desk), ID5, LiveRamp, Permutive, Audigent	Elenco ricostruito da AdExchanger e ppc.land su una segnalazione del 21 settembre nel bug tracker di WebKit; Apple non l'ha confermato
Personalizzazione del sito	"La personalizzazione di prima parte non è tracciamento": non è il bersaglio	WebKit, 19 ottobre 2026: ufficiale
Meta, Google, API Conversioni, conversioni avanzate	Non citati da Apple né dalle fonti di settore che abbiamo letto	Non specificato

Perché se ne parlava già da settimane

Il post del 19 ottobre è la prima spiegazione pubblica di Apple, ma il blocco era stato notato prima. Secondo ppc.land (14 ottobre 2026), il 21 settembre un tecnico di The Trade Desk aveva aperto una segnalazione nel bug tracker di WebKit elencando nove domini bloccati, tra cui adsrvr.org, il dominio con cui The Trade Desk serve gli annunci. Con una versione di prova di iOS 27.2 quel dominio sembrerebbe di nuovo raggiungibile, ma la segnalazione risultava ancora aperta il 6 ottobre e Apple non ha spiegato perché l'avesse inserito. Per gli altri fornitori di identità il blocco resta: secondo una fonte anonima riportata dalla newsletter ADOTAT e ripresa da ppc.land, ID5 rimarrà nell'elenco. Secondo ppc.land, il CEO di ID5 ha definito la mossa un attacco al web finanziato dalla pubblicità e ha detto che le autorità dovrebbero occuparsene.

C'è un altro punto aperto. Secondo un articolo di AdExchanger del 2 ottobre, citato da ppc.land e basato su due fonti, l'elenco dei domini starebbe in una libreria di sistema che Apple può aggiornare in modo indipendente, senza un nuovo rilascio di iOS. Apple non l'ha confermato. Se fosse vero, l'elenco potrebbe allungarsi in qualunque momento e nessun fornitore saprebbe in anticipo se sarà il prossimo.

E in Italia?

Il blocco è nel software, quindi vale ovunque ci sia un iPhone, un iPad o un Mac aggiornato alla versione 27: non ci sono eccezioni per paese. Per misurare il peso possibile, secondo StatCounter (settembre 2026) Safari è il browser del 26,7% della navigazione da smartphone in Italia e del 17,6% considerando computer, smartphone e tablet insieme. Sono dati di traffico web generale, non dei siti delle PMI, e non dicono quanti utenti abbiano già aggiornato alla versione 27. Nelle ricerche in italiano che abbiamo fatto il 20 ottobre non abbiamo trovato analisi o dati sull'effetto per gli inserzionisti italiani: per l'Italia non ci sono misure.

Il quadro europeo aggiunge una cosa che le fonti americane non dicono. Molti fornitori di identità presentano l'e-mail trasformata in codice (hash, cioè una stringa ricavata dall'indirizzo con una funzione matematica non reversibile) come dato "anonimo". Il Comitato europeo per la protezione dei dati (EDPB) ha scritto, nel comunicato del 17 gennaio 2025 sulle linee guida 01/2025 sulla pseudonimizzazione, che il dato pseudonimizzato che si può ricollegare a una persona "resta un'informazione relativa a una persona fisica identificabile e quindi resta un dato personale". Le linee guida erano una versione in consultazione pubblica. Tradotto: in Europa l'e-mail in hash non esce dal GDPR, con o senza Safari.

Perché Apple blocca proprio chi lavora con le e-mail?

Per capirlo bisogna ripercorrere cosa è successo dal 2020. Safari blocca da anni i cookie di terze parti e separa la memoria del browser sito per sito: un fornitore pubblicitario non può più seguire una persona con un cookie da un sito all'altro. Il mercato della pubblicità programmatica (programmatic, cioè l'acquisto automatico di spazi su migliaia di siti attraverso piattaforme e aste) ha cercato un sostituto, e l'ha trovato nell'indirizzo e-mail. È lo stesso su tutti i siti, la persona lo scrive volontariamente e, trasformato in hash, diventa un ID che non ha bisogno di cookie.

Il post di WebKit dice in modo esplicito che questo è il problema: l'ID nasce nel momento in cui la persona inserisce l'e-mail per accedere o per iscriversi, e sopravvive anche quando la persona si cancella. Apple aggiunge che combatte attivamente anche il fingerprinting (l'"impronta digitale" del dispositivo ricavata da caratteristiche tecniche del browser) e ricorda la funzione Nascondi la mia e-mail (Hide My Email) di iCloud+, che crea un indirizzo casuale e diverso per ogni sito. La logica è coerente: chiusi i cookie, chiusa l'impronta, Apple chiude anche la strada dell'e-mail usata come ponte tra siti diversi.

La frase che conta di più per un'impresa che fa marketing è un'altra: "la personalizzazione di prima parte non è tracciamento". Prima parte (first party) significa che i dati li raccoglie e li usa il sito con cui la persona ha un rapporto diretto: il tuo negozio online che ricorda gli acquisti, il tuo portale clienti, la tua newsletter. Apple dichiara che vuole lasciare ai siti questa possibilità. Il bersaglio è il passaggio dell'e-mail a un terzo che la usa per riconoscere la persona altrove.

Una novità distinta dagli altri cambi di Safari 27

Safari 27 porta anche altre protezioni, discusse dalle fonti di settore nelle stesse settimane: la rimozione di altri parametri di tracciamento dai link e un blocco di alcuni tracciamenti pubblicitari per indirizzo IP. Non sono l'oggetto di questo articolo, anche perché le analisi pubblicate si basano in gran parte sulle versioni di prova, e chi le ha scritte, come Stape (fornitore di tracciamento server-side), avverte che "tutte queste informazioni vanno verificate quando uscirà la versione stabile". Qui parliamo solo del blocco dei servizi di identity resolution annunciato da Apple il 19 ottobre.

A chi interessa davvero il blocco degli ID costruiti sulle e-mail?

La risposta dipende da come compri la pubblicità e da quali strumenti hai sul sito, più che dalla dimensione dell'impresa. Abbiamo diviso i lettori in quattro situazioni.

• Interessa poco a chi fa campagne su Meta e Google Ads e basta. Un artigiano, un centro estetico, uno studio professionale che usa Gestione inserzioni di Meta e Google Ads non compra identità da LiveRamp o ID5 e non ha i loro script sul sito. Nessuna fonte, né Apple né la stampa di settore, indica Meta o Google tra i domini bloccati. Questo non vuol dire "zero effetti" in assoluto, perché l'elenco non è pubblico, ma oggi non c'è nessun segnale che le tue campagne siano toccate da questa specifica novità.
• Interessa a chi compra pubblicità programmatica o campagne "display" su siti di editori. Un'azienda B2B che fa campagne su una piattaforma programmatica, direttamente o tramite un'agenzia media, spesso usa senza saperlo segmenti di pubblico e misurazioni basati su ID e-mail. Su Safari 27 quei segnali spariscono: il pubblico raggiungibile con quegli ID si riduce e la misura delle conversioni si fa più incerta.
• Interessa a chi ha nel sito strumenti di dati di terze parti. Piattaforme per la gestione dei dati dei clienti (CDP), sistemi di personalizzazione o di "arricchimento" dei contatti possono appoggiarsi a fornitori di identità. Se uno di questi è nell'elenco, sui dispositivi Apple aggiornati la sua chiamata non parte. Il modulo continua a funzionare; quello che si perde è il collegamento con l'ID esterno.
• Interessa a chi ha un sito editoriale o un portale con pubblicità. Un piccolo editore locale o un portale di settore che vende spazi pubblicitari tramite circuiti programmatici può vedere calare il valore delle impressioni da Safari, se i compratori usavano quegli ID per decidere quanto offrire. Per l'Italia non ci sono dati.

Un esempio: la newsletter di uno studio di consulenza ambientale a Brescia

Immaginiamo uno studio di consulenza ambientale per aziende, con sede a Brescia, che pubblica ogni mese una newsletter sulle scadenze normative. Il sito ha un modulo di iscrizione, una campagna Google Ads sulle ricerche dei servizi, una campagna Meta per far scaricare una guida e, da qualche mese, una campagna programmatica su siti di settore gestita da un'agenzia media, che promette di "riconoscere" i responsabili HSE tra siti diversi.

Con Safari 27 la parte di Google Ads e Meta, per quello che si sa oggi, non cambia per effetto di questa novità. La campagna programmatica invece può perdere una parte del pubblico costruito sugli ID e-mail proprio sugli iPhone e sui Mac, che in un pubblico di manager sono spesso molto diffusi. Il punto che conta per lo studio è la newsletter: gli iscritti restano suoi, l'e-mail resta valida, la relazione resta intatta. È il pezzo di marketing che Safari 27 non tocca, e anzi rende più prezioso, perché diventa più difficile per chiunque altro raggiungere quelle persone.

Come controllare se il tuo sito usa servizi di identity resolution?

Non serve uno sviluppatore per fare un primo controllo. Bastano mezz'ora e l'accesso ai tuoi account.

1. Guarda quanto pesa Safari sul tuo traffico. In Google Analytics 4 apri Rapporti, poi Utenti, Tecnologia e Panoramica tecnologia: trovi la quota di sessioni per browser e per sistema operativo. Se Safari pesa poco sui tuoi visitatori, l'effetto potenziale è piccolo in partenza.
2. Fai l'elenco degli strumenti installati. In Google Tag Manager apri il contenitore del sito e scorri Tag: annota ogni tag che non sia Google, Meta o gli strumenti che riconosci. Se non usi Tag Manager, chiedi a chi gestisce il sito l'elenco degli script e dei plugin di marketing.
3. Cerca i nomi dei fornitori citati dalla stampa. Nell'elenco controlla se compaiono LiveRamp (o RampID), ID5, Unified ID 2.0 (UID2), Permutive, Audigent. Molti strumenti li incorporano senza dichiararlo in modo evidente: se hai un CDP o una piattaforma di personalizzazione, chiedi per scritto al fornitore se usa servizi di identity resolution e come si comporta su Safari 27.
4. Chiedi all'agenzia media cosa compra. Se fai campagne programmatiche, chiedi quale quota dei segmenti di pubblico si basa su ID e-mail e come stanno andando le impressioni su Safari da metà settembre, quando è partita la distribuzione di iOS 27.
5. Controlla in Meta la qualità dei segnali. In Gestione eventi apri la tua origine dati, scheda Panoramica, e guarda il punteggio di qualità della corrispondenza degli eventi (Event Match Quality) delle conversioni principali. Annotalo oggi: se nelle prossime settimane scende senza che tu abbia cambiato nulla, sai da dove partire.
6. Controlla in Google Ads le conversioni avanzate. Apri Obiettivi, poi Conversioni e Riepilogo; per ogni azione di conversione principale verifica nelle impostazioni che le conversioni avanzate (enhanced conversions) siano attive e che la diagnostica non segnali errori. Anche qui, annota lo stato di oggi.

I passi 5 e 6 non servono a scoprire un effetto di Safari 27 su Meta e Google, che nessuna fonte ha documentato: servono ad avere un punto di partenza scritto nel caso in cui qualcosa cambi più avanti, visto che l'elenco dei domini non è pubblico.

Cosa fare adesso, a seconda della tua situazione?

Se fai solo campagne Meta e Google Ads, non cambiare nulla per questa novità. Usa l'occasione per verificare che l'API Conversioni di Meta (Conversions API, cioè l'invio degli eventi dal server del sito invece che dal browser) e le conversioni avanzate di Google siano attive: sono il modo in cui le piattaforme usano l'e-mail del cliente in forma di hash, all'interno del rapporto tra te e la piattaforma. Meta, nella documentazione dei parametri cliente, indica che per l'e-mail "l'hash è obbligatorio"; Google, nella guida alle conversioni avanzate, spiega che i dati vengono normalizzati e trasformati con SHA256 prima dell'invio e confrontati con gli account Google che hanno interagito con gli annunci.

Se compri pubblicità programmatica, chiedi all'agenzia o alla piattaforma una nota scritta su come cambia il pubblico raggiungibile su Safari e quali alternative propone (campagne contestuali, cioè basate sul contenuto della pagina e non sulla persona; liste di contatti caricate con consenso; inventario acquistato direttamente dagli editori). Diffida di chi risponde che "non cambia nulla" senza mostrare i dati di Safari separati dal resto.

Se hai uno strumento di dati che usa identità di terze parti, verifica con il fornitore cosa succede sui dispositivi Apple aggiornati e se il contratto prevede qualcosa nel caso in cui una parte del servizio smetta di funzionare. Non è un problema da risolvere con un trucco tecnico: Apple ha costruito il blocco proprio per non essere aggirabile cambiando la forma delle richieste.

Se raccogli e-mail con newsletter e moduli, è il momento di investire sulla lista invece che sugli ID altrui. Un modulo chiaro, un motivo concreto per iscriversi, un'informativa leggibile e un consenso registrato bene valgono più di qualunque identificativo comprato. Sono anche la base per le liste clienti nelle campagne, per esempio per escludere chi è già cliente come spieghiamo nell'articolo sulla Customer Lifecycle Strategy di Meta.

Come si collega con Meta, Google e il resto del tuo marketing?

Safari 27 è l'ultimo passo di una serie che ha la stessa direzione. Nell'articolo su iOS 27.2 e il nuovo avviso di tracciamento delle app in Italia abbiamo raccontato l'altra metà della politica di Apple: lì il tema è il permesso di tracciamento dentro le app, qui è il passaggio dell'e-mail a terzi dentro il browser. In entrambi i casi chi ha un rapporto diretto con il cliente perde poco, chi vive di dati presi altrove perde molto.

Per Meta e Google il quadro è diverso da quello dei fornitori di identità. Le due piattaforme hanno miliardi di utenti che accedono con il proprio account: quando ricevono l'e-mail in hash da un tuo modulo, la confrontano con i propri utenti, non con una rete di siti terzi. Per questo la nostra lettura è che il blocco possa spostare budget dai circuiti programmatici verso le grandi piattaforme. È un'ipotesi: le fonti che abbiamo letto non la quantificano e nessuno ha ancora pubblicato numeri.

Il collegamento più utile, per una PMI, è con la gestione dei contatti. Se le campagne portano richieste e iscrizioni, la qualità del sistema che le raccoglie (moduli, consensi, CRM, risposta rapida) decide quanto valgono nel tempo. È il lavoro che facciamo nella generazione di contatti e, sul lato degli annunci, nella gestione delle campagne pubblicitarie: meno dipendenza da dati presi in prestito, più cura di quelli che il cliente ti ha dato direttamente.

Cosa ne pensiamo

Per la gran parte delle piccole imprese italiane questa novità non è un problema: è una conferma. Chi fa campagne su Meta e Google Ads e raccoglie i contatti con i propri moduli non perde nulla di documentato, e chi ha costruito una lista di clienti e iscritti si ritrova con un patrimonio che nessun altro può più ricostruire facilmente comprando ID. Lo diciamo con una cautela: Apple non pubblica l'elenco dei domini e, secondo AdExchanger (non confermato da Apple), potrebbe aggiornarlo senza un nuovo rilascio di iOS. Per questo consigliamo di annotare oggi i numeri di Gestione eventi e delle conversioni avanzate, non di cambiare le campagne.

Dove invece prendiamo una posizione netta è sulla pubblicità programmatica venduta alle PMI con la promessa di "riconoscere" il cliente ideale su migliaia di siti. Quella promessa si reggeva in buona parte sugli ID ricavati dalle e-mail, che in Europa erano già dati personali e che da settembre, sugli apparecchi Apple aggiornati, non funzionano più. Se ti viene proposta una campagna di questo tipo, chiedi i dati separati per Safari e una spiegazione scritta di come viene costruito il pubblico: se la risposta è vaga, spendi quei soldi su un canale che puoi misurare con i tuoi contatti reali.

La nostra esperienza va nella stessa direzione. Nel caso dell'installatore fotovoltaico in Lombardia, con campagne di generazione contatti su Meta, 740 contatti a 24 euro l'uno e un aumento del 30% dei contratti, il risultato si è misurato su contatti raccolti e lavorati, non su identità comprate da terzi. È il tipo di misura che Safari 27 non può togliere a nessuno. Se vuoi capire quanto il tuo marketing dipende da dati che non controlli, partiamo dalla prima consulenza gratuita, oppure guarda come lavoriamo.