プライバシー サンドボックスの進捗状況の 10 月版をお届けします。今回は、Chrome でのサードパーティ Cookie の段階的な廃止と、よりプライバシーに配慮したウェブの実現に向けた取り組みのマイルストーンをご紹介します。毎月、プライバシー サンドボックスのタイムラインの最新情報の概要と、プロジェクト全体の最新情報をお知らせします。
イベント
11 月 3 日より、Chrome デベロッパー サミットを開催します。キーノートではプライバシー サンドボックスの最新情報をお伝えするほか、AMA でリーダーシップ チームに質問する機会や、Office Hours でエンジニアリング チームに詳細な質問をする時間も設けています。今すぐ登録して、ご参加ください。
今月は、W3C の年次会議（通称 TPAC）も開催されました。W3C のさまざまなグループが集まり、ウェブ全体に関するさまざまなトピックについて議論します。分割セッションの分数と動画と、プライバシー サンドボックス トピックを含む特定のセッションは、以下に記載されています。
カンファレンス シーズンが続く中、IETF（Internet Engineering Task Force）は、定期的な 112 回目のオンライン技術総会を開催します。TPAC と同様に、PRIV（プライバシーを尊重した値の組み込み）、PEARG（プライバシー強化と評価の研究グループ）、MASQUE（QUIC 暗号化を介した多重化アプリケーション サブストラット）の各ワーキング グループなど、プライバシー サンドボックスのトピックについて議論する個別のセッションが多数あります。プロトコル設計に関する高度な技術的なディスカッションです。適切な専門知識があり、これらのディスカッションに貢献することにご興味をお持ちの場合は、ぜひご参加ください。
クロスサイト プライバシー境界の強化
サードパーティ Cookie は、クロスサイト トラッキングを可能にする重要なメカニズムです。これらの機能を段階的に廃止できることは大きなマイルストーンですが、他の形式のクロスサイト ストレージや通信にも取り組む必要があります。
Federated Credentials Management API
Federated Credential Management（FedCM）プロポーザルは、WebID の新しい、より意味のある名前です。フェデレーション ID はウェブにとって重要なサービスですが、ID の側面を他のサイトと共有することを明示的に目的としているため、実装の詳細はクロスサイト トラッキングと重複しています。
Federated Credentials Management の提案では、既存のソリューションのシンプルな移行パスから、最小限の情報のみを共有してサービスに接続するよりプライベートな方法まで、さまざまなオプションが検討されています。
この提案はまだ初期段階にあり、W3C 連携 ID コミュニティ グループで議論をフォローできます。また、TPAC でブレークアウト セッションも開催し、提案の概要について説明しました。Chrome 89 のフラグで利用できる API の初期プロトタイプ バージョンもありますが、これはあくまで試験運用版であり、議論の進展に伴って変更される可能性があります。
クッキー
Cookie 関連の提案が進むにつれて、独自の SameSite=None またはクロスサイト Cookie を監査し、サイトで講じる必要のある措置を計画する必要があります。
CHIPS
クロスサイト コンテキストで送信される Cookie を 1:1 の関係（iframe 埋め込みや API 呼び出しなど）で設定する場合は、CHIPS プロポーザル（独立したパーティション分割状態を持つ Cookie）に従う必要があります。これにより、Cookie を「パーティション化」としてマークし、トップレベル サイトごとに個別の Cookie の格納場所に保存できます。
CHIPS の開発は進んでおり、この機能は chrome://flags/#partitioned-cookies と --partitioned-cookies CLI フラグで利用できます。ただし、まだ完全にテストできる状態ではありません。実装が完了次第、テストとデバッグの詳細をお知らせします。
ファーストパーティ セット
クロスサイト コンテキストに Cookie を設定する場合でも、所有するサイトにのみ設定する場合は、ファーストパーティ セットに従う必要があります。たとえば、.com でサービスをホストし、.co.uk でそのサービスを使用している場合です。この提案では、セットを形成するサイトを宣言し、Cookie を「SameParty」としてマークして、そのセット内のコンテキストに対してのみ送信されるようにする方法が定義されています。
First-Party Sets は、chrome://flags/#use-first-party-set フラグと chrome://flags/#sameparty-cookies-considered-first-party フラグでローカル デベロッパー テストに使用できます。これにより、関連サイトの独自のセットを指定し、それらのサイト全体で Cookie の動作をテストできます。
ストレージ パーティション
ウェブ プラットフォームには、クロスサイト トラッキングを可能にする他の形式のストレージが含まれています。ブラウザ ストレージ パーティショニングの状態に関する TPAC 分科会では、Chrome の進捗状況の概要と、他のブラウザ ベンダーとのディスカッションが行われます。
デベロッパーによる対応は直ちに必要ありませんが、SharedWorker、Web Storage、IndexedDB、CacheStorage、FileSystem API、BroadcastChannel、Web Locks API、Storage Buckets、または他の形式のストレージや通信 API を使用して、複数のサイト間でそのデータにアクセスしている場合は、今後の更新についてこのトピックをフォローしてください。
隠れたトラッキングの防止
明示的なクロスサイト トラッキングを減らすと同時に、ユーザーのフィンガープリントや秘密裏なトラッキングを可能にする識別情報を開示するウェブ プラットフォームの領域にも対処する必要があります。
ユーザー エージェント文字列の削減とユーザー エージェント クライアントのヒント
Chrome の削減された User-Agent 形式のテスト対象を、サードパーティの埋め込みを含むようにオリジン トライアルを拡大しました。主に他のサービス向けのクロスサイト コンテンツを提供している場合は、オリジン トライアルに登録する際にサードパーティ オプションを有効にして、リソースへのリクエストで圧縮形式を受け取ることができます。
Chrome の User-Agent の削減のタイムライン全体と、ロールアウト フェーズの詳細と例を確認できます。また、現在の User-Agent 形式のプラットフォーム バージョン、デバイス、フルビルド バージョンの情報を参照している場合は、User-Agent Client Hints（UA-CH）に移行する必要があります。
ヘッダー接頭辞 Sec-CH- が不足している場合は追加し、クライアント ヒントの既存の名前を標準化し続けています。承認が得られ次第、UA-CH のGREASE 文字の範囲を拡大する予定です。
関連するコンテンツと広告の表示
サードパーティ Cookie の段階的な廃止に向けて、サードパーティ Cookie に依存するユースケースを許可しつつ、クロスサイト トラッキングを許可しない API を導入する必要があります。
FLoC
FLoC は、個々のクロスサイト トラッキングを行うことなくインタレスト ベース広告を可能にする提案です。Google は、エコシステムのさらなるテストに進む前に、FLoC の以前のオリジン トライアルからのフィードバックを評価してきました。FLoC の次のステップと決定に向けて引き続き取り組む一方で、トピックのコンセプト（以前に参照）に関する探索的なコードが Chromium コードベースに近日中に表示される予定です。Chrome の開発はすべて公開されているため、この作業は公開されますが、デベロッパー テストですぐに対応できるものはありません（ユーザーにも適用されません）。今後も、新しい PATCG（Private Advertising Technology Community Group）で、これらのディスカッションと最新情報を共有していく予定です。
デジタル広告の測定
クロスサイト トラッキングなしで広告を表示する場合、その広告の効果を測定するためにプライバシー保護メカニズムが必要です。
Attribution Reporting API
Attribution Reporting API を使用すると、クロスサイト トラッキングを有効にすることなく、あるサイトのイベント（広告のクリックや表示など）が別のサイトのコンバージョンにつながったかどうかを測定できます。
Google は Attribution Reporting API のテストを継続し、Chrome 97 までオリジン トライアルを延長する予定です。現在のオリジン トライアル トークンは 10 月 12 日に期限切れになったため、テストを継続するには更新されたトークンを申請する必要があります。
ウェブでのスパムや不正行為の防止
クロスサイト トラッキングに使用できるサーフェスを減らす際のもう 1 つの課題は、これらのフィンガープリント手法がスパムや不正行為の防止にも使用されることです。プライバシーを保護する代替手段も必要です。
トラスト トークン
Trust Token API は、1 つのサイトが訪問者に関するクレーム（「人間であると思われる」など）を共有し、他のサイトがそのクレームを検証できるようにする提案です。この場合も、個人を特定する必要はありません。
トラスト トークンは、ウェブ上のスパムや不正行為に対処するための全体的な戦略の一部です。TPAC の「ウェブ向け不正行為防止」ブレークアウトでは、エコシステム全体の代表者が、現在の課題とアプローチについて議論しました。
フィードバック
Google は、こうした月次アップデートの公開とプライバシー サンドボックス全体の進展を継続し、デベロッパーの皆様が必要な情報とサポートを得られるようにしたいと考えています。このシリーズで改善できる点がございましたら、@ChromiumDev Twitter でお問い合わせください。いただいたご意見は、このフォーマットの改善に活用させていただきます。
また、プライバシー サンドボックスに関するよくある質問も追加しました。デベロッパー サポート リポジトリに送信された問題に基づいて、引き続き拡充していく予定です。提案のテストや実装についてご不明な点がございましたら、ぜひお気軽にお問い合わせください。