ITMS-91064 oplossen: “Invalid tracking information”

ITMS-91064 is een automatische afwijzing van Apple, die je per e-mail krijgt nadat je je build hebt aangeleverd. Het betekent dat de twee trackingsleutels in je privacymanifest elkaar tegenspreken. De oplossing: zorg dat NSPrivacyTracking en NSPrivacyTrackingDomains met elkaar kloppen, en maak daarna een nieuwe build.

Ik kreeg hem op TradaZen, mijn app om te oefenen met traden, nadat ik een tool voor advertentiemeting had toegevoegd. Hier lees je de oorzaak en de oplossing.

Wat betekent de fout ITMS-91064?

Het bericht heet "ITMS-91064: Invalid tracking information". Het gaat over een PrivacyInfo.xcprivacy-bestand, het privacymanifest dat elke app en elke SDK kan meeleveren. Dat bestand bevat onder andere twee sleutels over tracking, in de zin van App Tracking Transparency:

• NSPrivacyTracking: true als de app of de SDK gegevens gebruikt voor tracking.
• NSPrivacyTrackingDomains: de lijst met domeinen die voor die tracking worden benaderd.

Apple beschrijft de drie afgewezen combinaties in zijn technische notitie over ongeldige manifesten:

• NSPrivacyTracking is true en de domeinlijst is leeg. Je moet de lijst invullen. Dat was bij mij het geval.
• NSPrivacyTracking is true, maar een domein is verkeerd geschreven. Een domein schrijf je zonder pad en zonder slash aan het eind.
• Er staan domeinen in de lijst terwijl NSPrivacyTracking false is. Je moet de lijst weghalen.

De basisregel staat in de documentatie over privacymanifesten: als NSPrivacyTracking true is, moet je de domeinlijst meegeven.

De e-mail van Apple noemt de naam en het pad van het foute bestand. Lees dat pad: het vertelt je of het probleem in het manifest van je app zit of in dat van een meegeleverde SDK.

Net als bij de andere ITMS-fouten is dit geen afwijzing door een reviewer. De controle gebeurt automatisch bij het aanleveren van de build, en de build wordt geweigerd.

Waarom het gebeurt: één manifest per target

Dit is de valkuil. Een SDK levert vaak zijn eigen manifest mee, met zijn domeinen. Je zou denken dat dat genoeg is. Maar je app heeft er ook een, en bij mij was het juist het manifest van de app dat Apple afwees.

Mijn geval, op 21 juli 2026. Toen ik een tool voor advertentiemeting aan TradaZen koppelde, had ik NSPrivacyTracking: true in de configuratie van de app gezet, en dat klopt ook. Maar ik had NSPrivacyTrackingDomains niet toegevoegd. Het manifest van de SDK was compleet. Dat van de app, door Expo gegenereerd uit mijn configuratie, zei "true" met een lege lijst. De build werd bij de verwerking afgewezen.

De les: het manifest van de SDK dekt dat van je app niet. Als je tracking declareert in je configuratie, declareer je ook de domeinen.

ITMS-91064 oplossen in een Expo-app

Met Expo stel je het manifest van de app in via de configuratie, onder ios.privacyManifests. Het principe staat in de documentatie van Expo over privacy, en de sleutel in de configuratiereferentie.

1. Zoek de trackingdomeinen van de SDK op. Neem de lijst over uit het manifest van de versie die in je build zit, niet die van de nieuwste versie online: die kunnen verschillen. Verzin ze niet zelf.
2. Voeg ze toe aan je configuratie. De twee domeinen hieronder zijn voorbeelden die je moet vervangen:

{
  "expo": {
    "ios": {
      "privacyManifests": {
        "NSPrivacyTracking": true,
        "NSPrivacyTrackingDomains": [
          "example-tracking-domain.com",
          "other-tracking-domain.com"
        ]
      }
    }
  }
}

3. Controleer het gegenereerde bestand voordat je voor een build betaalt, als je ios-map door Expo wordt gegenereerd en door git wordt genegeerd. Draai npx expo prebuild -p ios en open daarna het PrivacyInfo.xcprivacy-bestand dat in de ios-map is aangemaakt. Daarin moet NSPrivacyTracking op true staan, met de volledige domeinlijst.
4. Maak een nieuwe build en stuur die opnieuw in. Het manifest maakt deel uit van de binary: een update op afstand verandert er niets aan.

Let op bij stap 3: dit commando kan de ios-map verwijderen en opnieuw aanmaken. Heb je daar met de hand dingen in aangepast, draai het dan niet op je project. Werk op een kopie.

Doet je app helemaal niets aan tracking, dan is de weg korter: zet NSPrivacyTracking op false en haal de lijst weg.

Wat deze domeinen veranderen voor je gebruikers

Deze domeinen declareren is geen formaliteit. Volgens de documentatie van Apple mislukken verzoeken naar deze domeinen als de gebruiker tracking niet heeft toegestaan in het App Tracking Transparency-venster. Dat is de bedoeling: tracking gaat alleen door als iemand ja heeft gezegd.

Je App Store-pagina moet hetzelfde verhaal vertellen. Als je manifest tracking declareert, moeten de privacyverklaringen op je pagina en je privacybeleid dat ook vermelden. Anders loop je daarna het risico op een afwijzing door een reviewer, onder guideline 5.1.1 of 5.1.2: de details staan in privacybeleid voor een app.

Je build insturen zonder nare verrassingen

ITMS-fouten los je snel op als je ze weet te lezen. De afwijzingen die daarna komen vragen meer afstand: de aanpak staat op de pagina app afgewezen door Apple, en de meest voorkomende redenen in waarom Apple een app afwijst.

Om je dossier vóór het insturen te controleren, bundelt de Apple Review Kit mijn checklist en Claude Code-skills die je project nalopen. Loopt je inzending vast en wil je dat een mens meekijkt, boek dan een uur met mij: we lopen je project samen door via een videogesprek, op jouw scherm. En bereid je je eerste release voor, doe dan je gratis diagnose: die zet de stappen in de juiste volgorde en stuurt je mijn checklist tegen afwijzingen door Apple.

Veelgestelde vragen

Is ITMS-91064 een afwijzing door App Review?

Niet in de zin van een menselijke reviewer. Het is een automatische controle van de build bij het aanleveren, nog voor de review. De build wordt geweigerd: je moet het privacymanifest aanpassen en een nieuwe build insturen.

Wat moet er in NSPrivacyTrackingDomains staan?

De domeinen die je app of je SDK's voor tracking benaderen. Neem de domeinen over die de SDK vermeldt in het manifest van de versie die in je build zit. Een lege lijst met NSPrivacyTracking op true is een van de combinaties die Apple afwijst.

Is het manifest van mijn SDK niet genoeg?

Nee. Bij TradaZen was het manifest van de SDK compleet en werd de build toch afgewezen: dat van de app declareerde tracking zonder één domein. Als de configuratie van je app tracking declareert, moet die ook de domeinen vermelden.

Mijn app doet niet aan tracking: wat moet ik doen?

Zet NSPrivacyTracking op false in je configuratie en haal de domeinlijst weg. Controleer daarna of je App Store-pagina en je privacybeleid echt hetzelfde zeggen.

Kun je ITMS-91064 oplossen zonder nieuwe build?

Nee. Het privacymanifest maakt deel uit van de binary die je naar Apple stuurt. Je moet de configuratie aanpassen, een nieuwe build maken en die opnieuw insturen.