プライバシーサンドボックスの一部のテクノロジーは段階的に廃止されます。

プライバシーサンドボックステクノロジーに関する計画の最新情報をご覧ください。

プライバシーサンドボックスの機能のステータスでは、個々の API とプラットフォーム機能のステータスについて詳しく説明しています。

このページは Cloud Translation API によって翻訳されました。

関連ウェブサイトセット: デベロッパーガイド

関連ウェブサイトセット（RWS）は、ブラウザがドメインのコレクション間の関係を理解するのに役立つウェブプラットフォームのメカニズムです。これにより、ブラウザは特定のサイト機能（クロスサイト Cookie へのアクセスを許可するかどうかなど）を有効にするための重要な決定を行い、この情報をユーザーに提示できます。

多くのサイトでは、複数のドメインを使用して単一のユーザーエクスペリエンスを提供しています。組織は、国固有のドメインや、画像や動画をホストするサービスドメインなど、複数のユースケースで異なるトップレベルドメインを維持することがあります。関連ウェブサイトセットを使用すると、サイトは特定の制御でドメイン間でデータを共有できます。

関連ウェブサイトセットは、1 つの「セットプライマリ」と複数の「セットメンバー」で構成されるドメインの集合です。

次の例では、primary にプライマリドメインが一覧表示され、associatedSites に関連付けられたサブセットの要件を満たすドメインが一覧表示されます。

{
  "primary": "https://primary.com",
  "associatedSites": ["https://associate1.com", "https://associate2.com", "https://associate3.com"]
}

関連ウェブサイトセットは、GitHub でホストされている一般公開の JSON ファイルに記載されています。これは、承認されたすべてのセットの正規のソースです。ブラウザはこのファイルを使用して、サイトが同じ関連ウェブサイトセットに属しているかどうかを判断します。

ドメインの管理権限を持つユーザーのみが、そのドメインを含むセットを作成できます。送信者は、各「セットメンバー」と「セットプライマリ」の関係を宣言する必要があります。セットメンバーにはさまざまなドメインタイプを含めることができ、ユースケースに基づくサブセットの一部である必要があります。

アプリケーションが同じ関連ウェブサイトセット内のサイト間でクロスサイト Cookie（サードパーティ Cookie とも呼ばれます）へのアクセスに依存している場合は、Storage Access API（SAA）と requestStorageAccessFor API を使用して、これらの Cookie へのアクセスをリクエストできます。各サイトが属するサブセットに応じて、ブラウザはリクエストを異なる方法で処理する場合があります。

セットの登録プロセスと要件について詳しくは、登録ガイドラインをご覧ください。送信されたセットは、送信内容を検証するためにさまざまな技術チェックを受けます。

関連ウェブサイトセットは、組織がさまざまなトップレベルサイトで共有 ID を必要とする場合に適しています。

関連ウェブサイトセットのユースケースには、次のようなものがあります。

国別のカスタマイズ。ローカライズされたサイトを活用しながら、共有インフラストラクチャに依存している（example.co.uk が example.ca でホストされているサービスに依存しているなど）。
サービスドメインの統合。ユーザーが直接操作することはないが、同じ組織のサイト全体でサービスを提供するサービスドメイン（example-cdn.com）を活用する。
ユーザーコンテンツの分離。セキュリティ上の理由からユーザーがアップロードしたコンテンツを他のサイトコンテンツから分離している異なるドメインのデータにアクセスしながら、サンドボックス化されたドメインが認証（およびその他の）Cookie にアクセスできるようにします。アップロードされたコンテンツのうち、アクティブでないものを配信している場合は、ベストプラクティスに沿って、同じドメインで安全にホストできる可能性があります。
- 認証済みコンテンツの埋め込み。関連付けられたプロパティ全体からの埋め込みコンテンツ（動画、ドキュメント、最上位サイトにログインしたユーザーに限定されたリソース）のサポート。
ログイン。関連付けられたプロパティ全体でログインをサポートします。FedCM API も、一部のユースケースに適している可能性があります。
分析。関連するプロパティ全体でユーザージャーニーの分析と測定をデプロイし、サービスの品質を向上させるため。

関連ウェブサイトセットの統合の詳細

Storage Access API

Browser Support

Source

Storage Access API（SAA）は、埋め込まれたクロスオリジンコンテンツが、通常はファーストパーティコンテキストでのみアクセスできるストレージにアクセスする方法を提供します。

埋め込みリソースは、SAA メソッドを使用して、現在ストレージにアクセスできるかどうかを確認し、ユーザーエージェントからアクセスをリクエストできます。

サードパーティ Cookie がブロックされていても、関連ウェブサイトセット（RWS）が有効になっている場合、Chrome は RWS 内のコンテキストでは自動的に権限を付与し、それ以外の場合はユーザーにプロンプトを表示します。（「RWS 内コンテキスト」とは、埋め込みサイトとトップレベルサイトが同じ RWS にある iframe などのコンテキストです）。

ストレージアクセスを確認してリクエストする

現在ストレージにアクセスできるかどうかを確認するために、埋め込みサイトは Document.hasStorageAccess() メソッドを使用できます。

このメソッドは、ドキュメントが Cookie にすでにアクセスできるかどうかを示すブール値で解決される Promise を返します。iframe がトップフレームと同じオリジンの場合も、この Promise は true を返します。

埋め込みサイトがクロスサイトコンテキストで Cookie へのアクセスをリクエストするには、Document.requestStorageAccess()（rSA）を使用します。

requestStorageAccess() API は、iframe 内から呼び出すことを想定しています。その iframe はユーザー操作（すべてのブラウザで必須のユーザージェスチャー）を直前に受け取っている必要がありますが、Chrome ではさらに、過去 30 日間のいずれかの時点で、ユーザーがその iframe を所有するサイトにアクセスし、そのサイト（iframe ではなく最上位ドキュメントとして）を操作していることも必要です。

requestStorageAccess() は、ストレージへのアクセスが許可された場合に解決される Promise を返します。なんらかの理由でアクセスが拒否された場合、理由を挙げて Promise が拒否されます。

Chrome の requestStorageAccessFor

Browser Support

Source

Storage Access API では、埋め込みサイトはユーザー操作を受けた <iframe> 要素内からのみストレージへのアクセスをリクエストできます。

このため、Cookie を必要とするクロスサイトの画像タグやスクリプトタグを使用するトップレベルサイトで Storage Access API を採用する際に課題が生じます。

この問題を解決するため、Chrome では、トップレベルサイトが Document.requestStorageAccessFor()（rSAFor）を使用して特定のオリジンに代わってストレージアクセスをリクエストする方法が実装されています。

 document.requestStorageAccessFor('https://target.site')

requestStorageAccessFor() API は、トップレベルのドキュメントから呼び出すことを想定しています。また、そのドキュメントはユーザー操作を直前に受け取ったものでなければなりません。ただし、requestStorageAccess() とは異なり、ユーザーがすでにページにアクセスしているため、Chrome は過去 30 日間の最上位ドキュメントでのインタラクションをチェックしません。

ストレージアクセス権限を確認する

カメラや位置情報などの一部のブラウザ機能へのアクセスは、ユーザーが許可した権限に基づいています。Permissions API は、API へのアクセス権限のステータス（付与されているか、拒否されているか、プロンプトのクリックやページ操作などのユーザー操作が必要かどうか）を確認する方法を提供します。

navigator.permissions.query() を使用して権限のステータスをクエリできます。

現在のコンテキストのストレージアクセス権限を確認するには、'storage-access' 文字列を渡す必要があります。

navigator.permissions.query({name: 'storage-access'})

指定されたオリジンのストレージアクセス権限を確認するには、'top-level-storage-access' 文字列を渡す必要があります。

navigator.permissions.query({name: 'top-level-storage-access', requestedOrigin: 'https://target.site'})

埋め込みオリジンの完全性を保護するため、このチェックでは document.requestStorageAccessFor を使用してトップレベルドキュメントによって付与された権限のみがチェックされます。

権限を自動的に付与できるか、ユーザー操作が必要かによって、prompt または granted を返します。

フレームモデルごと

rSA 権限はフレームごとに適用されます。rSA 権限と rSAFor 権限は別々の権限として扱われます。

新しいフレームはそれぞれ個別にストレージアクセスをリクエストする必要があり、アクセスは自動的に許可されます。最初の要求のみにユーザー操作が必要で、ナビゲーションやサブリソースなど、iframe によって開始される後続の要求は、最初の要求によってブラウジングセッションに付与されるため、ユーザー操作を待つ必要はありません。

iframe を更新、再読み込み、または再作成すると、再度アクセス権をリクエストする必要があります。

Cookie は SameSite=None 属性と Secure 属性の両方を rSA として指定する必要があります。これにより、クロスサイトコンテキストでの使用がすでにマークされている Cookie へのアクセスが提供されます。

SameSite=Lax、SameSite=Strict、または SameSite 属性のない Cookie はファーストパーティ専用であり、rSA に関係なく、クロスサイトコンテキストで共有されることはありません。

セキュリティ

rSAFor の場合、サブリソースリクエストには、クロスオリジンリソースシェアリング（CORS）ヘッダーまたはリソースの crossorigin 属性が必要です。これにより、明示的なオプトインが保証されます。

実装の例

埋め込みクロスオリジン iframe からストレージへのアクセスをリクエストする

top-level.site に埋め込まれたサイトを示す図 — 別のサイトの埋め込みで `requestStorageAccess()` を使用する。

ストレージへのアクセス権があるかどうかを確認する

ストレージへのアクセス権がすでに付与されているかどうかを確認するには、document.hasStorageAccess() を使用します。

Promise が true を返すと、クロスサイトコンテキストでストレージにアクセスできます。false を解決する場合は、ストレージアクセスをリクエストする必要があります。

document.hasStorageAccess().then((hasAccess) => {
    if (hasAccess) {
      // You can access storage in this context
    } else {
      // You have to request storage access
    }
});

ストレージへのアクセスをリクエストする

ストレージアクセスをリクエストする必要がある場合は、まずストレージアクセス権限 navigator.permissions.query({name: 'storage-access'}) を確認して、ユーザー操作が必要かどうか、または自動的に付与できるかどうかを確認します。

権限が granted の場合は、document.requestStorageAccess() を呼び出すことができ、ユーザー操作なしで成功します。

権限ステータスが prompt の場合は、ボタンのクリックなどのユーザー操作の後に document.requestStorageAccess() 呼び出しを開始する必要があります。

注: 権限が付与される前、またはユーザー操作が登録される前に requestStorageAccess() を呼び出そうとすると、「requestStorageAccess: Must be handling a user gesture to use」というエラーがスローされます。

例:

navigator.permissions.query({name: 'storage-access'}).then(res => {
  if (res.state === 'granted') {
    // Permission has already been granted
    // You can request storage access without any user gesture
    rSA();
  } else if (res.state === 'prompt') {
    // Requesting storage access requires user gesture
    // For example, clicking a button
    const btn = document.createElement("button");
    btn.textContent = "Grant access";
    btn.addEventListener('click', () => {
      // Request storage access
      rSA();
    });
    document.body.appendChild(btn);
  }
});

function rSA() {
  if ('requestStorageAccess' in document) {
    document.requestStorageAccess().then(
      (res) => {
        // Use storage access
      },
      (err) => {
        // Handle errors
      }
    );
  }
}

フレーム内からの後続のリクエスト、ナビゲーション、サブリソースは、クロスサイト Cookie にアクセスする権限を自動的に取得します。hasStorageAccess() は true を返し、同じ関連ウェブサイトセットのクロスサイト Cookie は、追加の JavaScript 呼び出しなしでこれらのリクエストで送信されます。

クロスオリジンサイトの代わりに Cookie へのアクセスをリクエストするトップレベルサイト

最上位サイトで requestStorageAccessFor() が使用され、埋め込み内では使用されていないことを示す図 — 異なるオリジンのトップレベルサイトで `requestStorageAccessFor()` を使用する

最上位サイトは、requestStorageAccessFor() を使用して、特定のオリジンに代わってストレージアクセスをリクエストできます。

hasStorageAccess() は、呼び出し元のサイトにストレージアクセス権があるかどうかのみを確認するため、トップレベルのサイトは別のオリジンの権限を確認できます。

ユーザーにプロンプトが表示されるかどうか、または指定されたオリジンにストレージアクセス権がすでに付与されているかどうかを確認するには、navigator.permissions.query({name: 'top-level-storage-access', requestedOrigin: 'https://target.site'}) を呼び出します。

権限が granted の場合は、document.requestStorageAccessFor('https://target.site') を呼び出すことができます。ユーザー操作なしで成功する必要があります。

権限が prompt の場合は、ボタンのクリックなどのユーザー操作の背後で document.requestStorageAccessFor('https://target.site') 呼び出しをフックする必要があります。

例:

navigator.permissions.query({name:'top-level-storage-access',requestedOrigin: 'https://target.site'}).then(res => {
  if (res.state === 'granted') {
    // Permission has already been granted
    // You can request storage access without any user gesture
    rSAFor();
  } else if (res.state === 'prompt') {
    // Requesting storage access requires user gesture
    // For example, clicking a button
    const btn = document.createElement("button");
    btn.textContent = "Grant access";
    btn.addEventListener('click', () => {
      // Request storage access
      rSAFor();
    });
    document.body.appendChild(btn);
  }
});

function rSAFor() {
  if ('requestStorageAccessFor' in document) {
    document.requestStorageAccessFor().then(
      (res) => {
        // Use storage access
      },
      (err) => {
        // Handle errors
      }
    );
  }
}

requestStorageAccessFor() の呼び出しが成功すると、クロスサイトリクエストに CORS または crossorigin 属性が含まれている場合、リクエストに Cookie が含まれるため、サイトはリクエストをトリガーする前に待機することがあります。

リクエストでは credentials: 'include' オプションを使用し、リソースには crossorigin="use-credentials" 属性を含める必要があります。

function checkCookie() {
    fetch('https://related-website-sets.glitch.me/getcookies.json', {
        method: 'GET',
        credentials: 'include'
      })
      .then((response) => response.json())
      .then((json) => {
      // Do something
      });
  }

ローカルでテストする方法

前提条件

関連ウェブサイトセットをローカルでテストするには、コマンドラインから起動した Chrome 119 以降を使用し、test-third-party-cookie-phaseout Chrome フラグを有効にします。

Chrome フラグを有効にする

必要な Chrome フラグを有効にするには、アドレスバーから chrome://flags#test-third-party-cookie-phaseout に移動し、フラグを Enabled に変更します。フラグを変更したら、必ずブラウザを再起動してください。

ローカルの関連ウェブサイトセットを使用して Chrome を起動する

ローカルで宣言された関連ウェブサイトセットを使用して Chrome を起動するには、セットのメンバーである URL を含む JSON オブジェクトを作成し、それを --use-related-website-set に渡します。

詳しくは、フラグを指定して Chromium を実行する方法をご覧ください。

--use-related-website-set="{\"primary\": \"https://related-website-sets.glitch.me\", \"associatedSites\": [\"https://rws-member-1.glitch.me\"]}" \
https://related-website-sets.glitch.me/

例

関連ウェブサイトセットをローカルで有効にするには、chrome://flags で test-third-party-cookie-phaseout を有効にし、セットのメンバーである URL を含む JSON オブジェクトを指定した --use-related-website-set フラグを使用して、コマンドラインから Chrome を起動する必要があります。

--use-related-website-set="{\"primary\": \"https://related-website-sets.glitch.me\", \"associatedSites\": [\"https://rws-member-1.glitch.me\"]}" \
https://related-website-sets.glitch.me/

クロスサイト Cookie にアクセスできることを確認する

テスト対象のサイトから API（rSA または rSAFor）を呼び出し、クロスサイト Cookie へのアクセスを検証します。

エンタープライズポリシー

Chrome には、企業ユーザーのニーズを満たすための 2 つのポリシーが用意されています。

関連ウェブサイトセットと統合できないシステムでは、RelatedWebsiteSetsEnabled ポリシーを使用して、Chrome のすべてのエンタープライズインスタンスで関連ウェブサイトセット機能を無効にできます。
- 一部のエンタープライズシステムには、関連ウェブサイトセットのドメインとは異なる登録可能なドメインを持つ内部専用サイト（イントラネットなど）があります。これらのサイトを一般公開せずに（ドメインが機密情報である可能性があるため）関連ウェブサイトセットの一部として扱う必要がある場合は、RelatedWebsiteSetsOverrides ポリシーを使用して、関連ウェブサイトセットの公開リストを拡張またはオーバーライドできます。

Chrome は、replacements または additions が指定されているかどうかに応じて、パブリックセットとエンタープライズセットの交差を次の 2 つの方法のいずれかで解決します。

たとえば、一般公開セット {primary: A, associated: [B, C]} の場合:


`replacements` セット:	`{primary: C, associated: [D, E]}`
エンタープライズセットは共通サイトを吸収して新しいセットを形成します。
結果のセット:	`{primary: A, associated: [B]}` `{primary: C, associated: [D, E]}`

`additions` セット:	`{primary: C, associated: [D, E]}`
Public セットと Enterprise セットが統合されます。
結果セット:	`{primary: C, associated: [A, B, D, E]}`

関連ウェブサイトセット: デベロッパーガイド

関連ウェブサイトセットの統合の詳細

Storage Access API

ストレージアクセスを確認してリクエストする

Chrome の requestStorageAccessFor

ストレージアクセス権限を確認する

フレームモデルごと

セキュリティ

実装の例

埋め込みクロスオリジン iframe からストレージへのアクセスをリクエストする

ストレージへのアクセス権があるかどうかを確認する

ストレージへのアクセスをリクエストする

クロスオリジンサイトの代わりに Cookie へのアクセスをリクエストするトップレベルサイト

ローカルでテストする方法

前提条件

Chrome フラグを有効にする

ローカルの関連ウェブサイトセットを使用して Chrome を起動する

例

クロスサイト Cookie にアクセスできることを確認する

関連ウェブサイトセットの申請プロセス

1. RWS を特定する

2. RWS 申請を作成する

3. RWS が技術要件を満たしていることを確認する

4. RWS をローカルでテストする

5. RWS を送信する

エンタープライズポリシー

関連ウェブサイトセットのトラブルシューティング

「ユーザープロンプト」と「ユーザージェスチャー」

他のサイトの Cookie またはストレージにアクセスする

関連ウェブサイト セット: デベロッパー ガイド コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

関連ウェブサイト セットとは

関連ウェブサイト セットのユースケース

関連ウェブサイト セットの統合の詳細

Storage Access API

ストレージ アクセスを確認してリクエストする

Chrome の requestStorageAccessFor

ストレージ アクセス権限を確認する

フレームモデルごと

Cookie の要件

セキュリティ

実装の例

埋め込みクロスオリジン iframe からストレージへのアクセスをリクエストする

ストレージへのアクセス権があるかどうかを確認する

ストレージへのアクセスをリクエストする

クロスオリジン サイトの代わりに Cookie へのアクセスをリクエストするトップレベル サイト

ローカルでテストする方法

前提条件

Chrome フラグを有効にする

ローカルの関連ウェブサイト セットを使用して Chrome を起動する

例

クロスサイト Cookie にアクセスできることを確認する

関連ウェブサイト セットの申請プロセス

1. RWS を特定する

2. RWS 申請を作成する

3. RWS が技術要件を満たしていることを確認する

4. RWS をローカルでテストする

5. RWS を送信する

エンタープライズ ポリシー

関連ウェブサイト セットのトラブルシューティング

「ユーザー プロンプト」と「ユーザー ジェスチャー」

他のサイトの Cookie またはストレージにアクセスする

デフォルトでパーティション分割されていない Cookie にアクセス

フィードバックを共有

関連ウェブサイトセット: デベロッパーガイド

関連ウェブサイトセットとは

関連ウェブサイトセットのユースケース

関連ウェブサイトセットの統合の詳細

ストレージアクセスを確認してリクエストする

ストレージアクセス権限を確認する

クロスオリジンサイトの代わりに Cookie へのアクセスをリクエストするトップレベルサイト

ローカルの関連ウェブサイトセットを使用して Chrome を起動する

関連ウェブサイトセットの申請プロセス

エンタープライズポリシー

関連ウェブサイトセットのトラブルシューティング

「ユーザープロンプト」と「ユーザージェスチャー」