サードパーティのCookie

サードパーティ Cookie は、Web 広告エコシステムの一部としてWeb トラッキングに主に使用されるHTTP Cookieです。

HTTP クッキーは通常、クッキーを設定したサーバーまたは同じインターネット ドメイン内のサーバーにのみ送信されますが、Web ページには他のドメインのサーバーに保存されている画像やその他のコンポーネントが含まれている場合があります。サードパーティ クッキーは、これらのコンポーネントの取得中に設定されるクッキーです。

したがって、サードパーティ Cookie は、アドレス バーに表示されるドメインとは異なるドメインに属していても、メイン Web ページのコンテンツと関連付けられる可能性があり、複数の Web サイトにわたるユーザー訪問を追跡できます。

この種の Cookie は通常、Web ページにバナー広告などの外部 Web サイトのコンテンツが掲載されている場合に表示されます。 本来はこの目的のために意図されたものではありません。しかし、サードパーティ Cookie の存在により、ユーザーの閲覧履歴をWeb で追跡できる可能性が生まれ、広告主は各ユーザーに関連広告を提供するためにサードパーティ Cookie を使用しています。 サードパーティ Cookie は、Web ユーザーのプライバシーと匿名性に対する脅威と広く見なされています。

2024年時点で^[update]、すべての主要なウェブブラウザベンダーはサードパーティCookieを段階的に廃止する計画を立てていました。^[1]この決定は、2024年7月にGoogle Chromeで覆されました。^[2]

たとえば、ユーザーが にアクセスするとしますwww.example.org。この Web サイトには からの広告が含まれておりad.foxytracking.com、ダウンロードされると、広告のドメイン ( ad.foxytracking.com) に属する Cookie が設定されます。次に、ユーザーが別の Web サイト にアクセスすると、この Web サイトwww.foo.comにも からの広告が含まれておりad.foxytracking.com、そのドメイン ( ) に属する Cookie が設定されます。最終的には、広告の読み込み時や Web サイトへのアクセス時に、これらの Cookie の両方が広告主に送信されます。広告主は、 HTTP リファラーad.foxytracking.comヘッダー フィールドを使用して、これらの Cookie を使用し、この広告主の広告が掲載されているすべての Web サイトでのユーザーの閲覧履歴を構築できます。

2014年時点では^[update]、一部のウェブサイトでは100を超えるサードパーティドメインに読み取り可能なCookieが設定されていました。^[3]平均すると、1つのウェブサイトには10​​個のCookieが設定されており、最大Cookie数（ファーストパーティおよびサードパーティ）は800個を超えています。^[4]

クッキーの古い標準規格であるRFC 2109 ^[5]とRFC 2965 ^[6]では、ブラウザはユーザーのプライバシーを保護し、デフォルトではサーバー間でのクッキーの共有を許可しないことを推奨しています。しかし、2011年4月にリリースされた新しい標準規格であるRFC 6265 ^[7]では、ユーザーエージェントが希望するサードパーティのクッキーポリシーを実装することを明示的に許可しており、1990年代後半まで、サードパーティのクッキーを許可することは、ほとんどの主要なブラウザベンダーによって実装されたデフォルトのポリシーでした。

ウェブトラッキングは広告主にとっては有用である一方、個人のプライバシーに対する脅威であると広く考えられています。このため、ユーザーの同意なしのトラッキングを禁止する法律が制定され、その中で最も有名なのが欧州GDPRです^[8]。

これにより、「Cookie 同意」ダイアログが作成され、これは広告資金で運営される (および他の多くの) Web サイトで急速に標準機能となり、ユーザーが同意を拒否しにくくすることで追跡を許可させようとする ダーク パターンの使用で注目されました。

一部のウェブサイトは、プライバシー保護法のある国からのユーザーを 単純に地理的にブロックすることで対応しました。

最近のウェブブラウザのほとんどには、サードパーティのクッキーをブロックできるプライバシー設定が含まれており、一部のブラウザではデフォルトですべてのサードパーティのクッキーをブロックしています。2020年7月現在、そのようなブラウザにはApple Safari、^[9]、Firefox、^[10]、Braveなどがあります。^[11] Safariでは、埋め込みサイトがストレージアクセスAPIを使用して、ユーザーがサイトとやり取りするときにファーストパーティのクッキーを要求する許可を要求できます。^[12] 2020年5月、Google Chrome 83は、プライベートブラウジングのシークレットモードでサードパーティのクッキーをデフォルトでブロックする新機能を導入し、通常のブラウジング中にブロックするかどうかをオプションにしました。同じアップデートで、ファーストパーティのクッキーをブロックするオプションも追加されました。^[13] Googleは、2024年後半にサードパーティのクッキーをデフォルトでブロックすることを計画しており、2024年1月にパイロットスキームでこのプロセスを開始し、Chromeユーザーの1％に対してブロックを実装しました。^{[14] [15]}

サードパーティ Cookie ベースの Web トラッキングは既存の Web 広告エコシステムの重要な部分であったため、これを置き換えるために複数の提案が実施されています。

Google は、ブラウザベースの興味関心ターゲティングの使用を提案しています。このターゲティングでは、ユーザーの興味関心をブラウザによってローカルに記録し、ユーザーの身元を直接明らかにすることなく広告サーバーに通知することができます。Google のPrivacy Sandboxは、そのような実装の 1 つです。

他のアプローチとしては、ブラウザ フィンガープリンティングを使用してサイト間でユーザーを追跡する方法がありますが、これは一般に、サードパーティ クッキーと同じくらいプライバシーに対する脅威であると考えられています。また、興味に基づく追跡自体がユーザーのフィンガープリンティングに悪用される可能性もあるという懸念もあります。

サードパーティの Cookie のブロックを回避する方法はいくつかあります。1 つは、Web サイトの運営者がサイト独自のドメイン内の DNS 名を広告主のサーバーに向ける方法です。これにより、ブラウザの観点からは、そのサーバーに設定された Cookie がファーストパーティ Cookie になり、サードパーティが Cookie 情報を制御できるようになります。

もう 1 つのアプローチは、Web サイト運営者がクライアントからのトラフィックを追跡サービスのサーバーにプロキシすることです。この方法では、Web サイト運営者が追跡サービスに偽の情報を簡単に提供できるため、広く採用される可能性は低いでしょう。