Progress in the Privacy Sandbox 10 月版へようこそ。このシリーズでは、Chrome におけるサードパーティ Cookie の段階的廃止とウェブのプライバシー保護強化に向けた取り組みのマイルストーンをまとめています。毎月、プライバシー サンドボックスのタイムラインの更新の概要と、プロジェクト全体からのニュースをお伝えします。
イベント
11 月 3 日より、Chrome デベロッパー サミットが開催されます。プライバシー サンドボックスの最新情報は基調講演で入手できます。また、AMA のリーダーシップ チームに質問したり、オフィスアワーでエンジニアリング チームに詳細な質問を行ったりできます。今すぐご登録のうえ、ぜひご参加ください。
今月には W3C の年次総会（通称 TPAC）も含まれました。W3C のさまざまなグループが集まり、ウェブ全体でさまざまなトピックについて議論します。ブレイクアウト セッションの議事録と動画をご覧ください。プライバシー サンドボックスのトピックを含む特定のセッションについては、以下をご覧ください。
カンファレンス シーズンが続く IETF（インターネット エンジニアリング タスクフォース）は、定期的に 112 オンライン技術会議を開催しています。TPAC と同様に、PRIV（Privacy Respecting Incorporation of Values）、PEARG（Privacy Enhancements and Assessments Research Group）、MASQUE（Multiplexed Application Substrate over QUIC Encryption）ワーキング グループなど、プライバシー サンドボックスのトピックが議論される個別のセッションが多数あります。これらは、プロトコル設計に関する深い技術的議論です。適切な専門知識があり、これらの議論に参加することに関心をお持ちの場合は、参加をご検討ください。
クロスサイト プライバシーの境界を強化する
サードパーティ Cookie は、クロスサイト トラッキングを可能にする重要なメカニズムです。それらを段階的に廃止できるようにすることは大きなマイルストーンですが、他の形式のクロスサイト ストレージや通信にも取り組む必要があります。
Federated Credentials Management API
Federated Credentials Management（FedCM）提案は、WebID の新しい意味のある新しい名称です。フェデレーション ID はウェブにとって不可欠なサービスですが、ID の側面を他のサイトと明示的に共有することを考慮すると、実装の詳細はクロスサイト トラッキングと重複する部分があります。
Federated Credentials Management の提案では、既存のソリューションのシンプルな移行パスから、最小限の情報でサービスに接続するプライベートな方法まで、さまざまなオプションを検討しています。
この提案はまだ初期段階であり、W3C の Federated Identity Community Group で議論を進めることができます。グループはまた、TPAC で提案の概要を説明するブレイクアウト セッションも主催しました。Chrome 89 以降、非常に初期の API のプロトタイプ バージョンも公開されていますが、これは純粋に試験運用版であり、議論が進むにつれて変更される可能性があります。
クッキー
Cookie に関する提案が進行するにつれ、独自の SameSite=None またはクロスサイト Cookie を監査し、サイトに対して取るべき対応を計画する必要があります。
チップ
クロスサイト コンテキストで送信される Cookie を 1 対 1 の関係（iframe 埋め込み、API 呼び出しなど）で設定している場合は、CHIPS 提案（Cookies Perform Independent Partitioned State）に従う必要があります。これにより、Cookie を「Partitioned」としてマークし、トップレベル サイトごとに別個の Cookie 瓶に入れることができます。
CHIPS の作業は進行中です。この機能は chrome://flags/#partitioned-cookies と --partitioned-cookies CLI フラグの背後で使用可能ですが、まだ完全にテスト可能な状態ではありません。実装が終わり次第、テストとデバッグに関する最新の詳細をお知らせします。
ファーストパーティ セット
クロスサイト コンテキストの Cookie を設定するが、自社が所有するサイト間でのみ Cookie を設定する場合（.co.uk が使用するサービスを .com でホストしている場合など）は、ファーストパーティ セットに従う必要があります。このプロポーザルでは、セットを形成するサイトを宣言し、Cookie を「SameParty」とマークして、そのセット内のコンテキストでのみ Cookie が送信されるようにする方法を定義しています。
ファーストパーティ セットは、chrome://flags/#use-first-party-set フラグと chrome://flags/#sameparty-cookies-considered-first-party フラグの背後でローカルのデベロッパーによるテストが可能です。これにより、独自の関連サイトのセットを指定し、それらの間で Cookie の動作をテストできます。
ストレージ パーティショニング
ウェブ プラットフォームには、クロスサイト トラッキングを可能にする他の形式のストレージがあります。ブラウザ ストレージのパーティショニングの状態に関する TPAC ブレイクアウト セッションでは、Chrome の進捗状況の概要と他のブラウザ ベンダーのディスカッションをご覧になれます。
デベロッパーによる直ちに必要な対応はありませんが、SharedWorker、Web Storage、IndexedDB、CacheStorage、FileSystem API、BroadcastChannel、Web Locks API、Storage バケット、その他の形式のストレージ API や通信 API を使用して、複数のサイト間でそのデータにアクセスする必要がある場合は、今後の更新に備えてこのトピックを追跡する必要があります。
隠れたトラッキングの防止
明示的なクロスサイト トラッキングのオプションを減らすにつれ、ユーザーのフィンガープリントや隠れたトラッキングを可能にする識別情報が公開されるウェブ プラットフォーム領域にも対処する必要があります。
ユーザー エージェント文字列の削減とユーザー エージェント クライアント ヒント
Chrome の縮小版 User-Agent 形式をテストするためのオリジン トライアルを拡張し、サードパーティ埋め込みを含めるようにしました。他のサービスにクロスサイト コンテンツを主に提供する場合は、オリジン トライアルの登録時にサードパーティ オプションを有効にして、リソースへのリクエストで縮小形式を受信できます。
Chrome のユーザー エージェントを削減するためのタイムラインを、ロールアウト フェーズのその他の例と詳細とともに確認できます。プラットフォーム バージョン、デバイス、または現在の User-Agent 形式のフルビルド バージョン情報に依存している場合は、User-Agent Client Hints に移行する（UA-CH）必要もあります。
Google は、欠落している箇所に Sec-CH- ヘッダー接頭辞を追加することで、Client Hints の既存の名前の標準化に引き続き取り組んでいます。Google では、承認待ちのため、UA-CH の GREASE 文字の範囲を拡大したいと考えています。
関連性の高いコンテンツと広告を表示
サードパーティ Cookie の段階的廃止に向けて、サードパーティ Cookie に依存するユースケースはできても、クロスサイト トラッキングは行えないAPI を導入する必要があります。
FLoC
FLoC は、個別のクロスサイト トラッキングを必要とせずにインタレスト ベース広告を可能にする提案です。Google では、さらなるエコシステム テストに進む前に、FLoC の以前のオリジン トライアルからのフィードバックを評価してきました。Google は FLoC の次のステップと決定に引き続き取り組んでいますが、近日中に Chromium のコードベースに表示されるトピック（以前に参照）のコンセプトに関するいくつかの探索用コードを用意する予定です。Chrome の開発はすべてオープンソースで行われるため、作業内容は目に見える形になりますが、デベロッパーのテストについてすぐに実践できるものはありません（また、ユーザーには適用されません）。こうした議論と最新情報は、新しい PATCG（非公開広告技術コミュニティ グループ）で引き続き共有したいと考えています。
デジタル広告を測定する
Google では、クロスサイト トラッキングなしで広告を表示するための補助的な手段として、広告の効果を測定するためのプライバシー保護メカニズムが必要になります。
Attribution Reporting API
Attribution Reporting API を使用すると、クロスサイト トラッキングを有効にしなくても、あるサイトで発生したイベント（広告のクリックや表示など）が別のサイトでのコンバージョンにつながったイベントを測定できます。
Google は Attribution Reporting API のテストを継続し、Chrome 97 までオリジン トライアルを拡張する予定です。現在のオリジン トライアル トークンは 10 月 12 日に期限切れになりました。テストを継続するには、更新されたトークンを申請する必要があります。
ウェブでのスパムや不正行為に対処する
クロスサイト トラッキングに利用できるサーフェスを縮小する際のもう一つの課題は、スパムや不正行為からの保護に、こうしたフィンガープリント手法がよく利用されることです。ここでも、プライバシーに配慮した代替手段が必要です。
トラスト トークン
Trust Token API は、あるサイトが訪問者に関するクレーム（「私は人間だと思います」など）を共有し、他のサイトが個人を特定せずにそのクレームを検証できるようにする提案です。
トラスト トークンは、ウェブ上のスパムや不正行為に対処するための全体的な戦略の一部です。TPAC の「ウェブの不正防止」ブレイクアウトで、エコシステムの代表者が現在の課題とアプローチのいくつかについて議論しました。
フィードバック
Google は今後も毎月のアップデートの公開とプライバシー サンドボックス全体を通じた取り組みを進めていくなかで、デベロッパーの皆様が必要な情報とサポートを確実に得られるようにしたいと考えています。このシリーズについて改善すべき点がございましたら、@ChromiumDev Twitter からお知らせください。いただいたご意見を参考に、今後もフォーマットの改善に努めてまいります。
また、プライバシー サンドボックスに関するよくある質問も追加しました。デベロッパー サポート リポジトリに提出された問題に基づいて、継続的に内容を拡大していきます。提案のテストや実装についてご不明な点がある場合は、お問い合わせください。