כדאי להתכונן להוצאה משימוש של קובצי Cookie של צדדים שלישיים

אזהרה: ב-Chrome הודיעו שהוצאת קובצי cookie של צד שלישי (3P) משימוש הופסקה. ההנחיות שמפורטות כאן כבר לא נדרשות, ולא אמורה להיות השפעה על התוספים בתחילת 2025. עם זאת, אנחנו ב-Chrome רוצים להרחיב את האפשרויות של המשתמשים בנוגע לקובצי cookie של צד שלישי, כך שיכול להיות שבעתיד הגישה לקובצי cookie של צד שלישי תהיה מוגבלת יותר מאשר היום. לכן, המדריך הזה עדיין יכול להיות שימושי למפתחים שרוצים להבין איך משתמשים בקובצי cookie של צד שלישי בתוספים, ולתכנן מראש מפני שינויים פוטנציאליים בזמינות של קובצי cookie של צד שלישי ככל שחוויית המשתמש ב-Chrome תתפתח.

המדריך הזה יעזור לכם להבין את ההשפעה על התוסף ואת השינויים הנדרשים בעקבות סיום התמיכה של Chrome בקובצי cookie של צד שלישי.

סקירה כללית

ב-4 בינואר 2024 הושק ב-Chrome התכונה חסימת מעקב, שמגבילה כברירת מחדל את הגישה של אתרים לקובצי Cookie של צד שלישי (3P) ל-1% מהמשתמשים. בתחילת 2025, אנחנו מתכננים להוציא משימוש את קובצי ה-Cookie של צד שלישי באופן מלא ב-Chrome.

לפחות שני תהליכי שימוש מושפעים מהתוספים של Classroom:

1. התהליך של כניסה יחידה (SSO) ב-Google
2. העברת משתמשים לכרטיסיות חדשות

Google SSO

במהלך תהליך ה-SSO של Google, המשתמשים מועברים לתיבת דו-שיח כדי להיכנס לחשבון Google שלהם ולהסכים לשיתוף הנתונים.

איור 1. תצוגה חזותית של שלושת ההקשרים השונים של קובצי cookie במהלך SSO מתוך iframe:‏ (1) אפליקציית Classroom ברמה העליונה,‏ (2) ה-iframe המוטמע של הצד השלישי (DavidPuzzle ב-localhost במקרה הזה) ו-(3) תיבת הדו-שיח של OAuth ברמה העליונה.

בהטמעה רגילה של תוסף, קובץ cookie של סשן מוגדר בסיום תהליך הכניסה. ה-iframe של התוסף, שנמצא בהקשר מוטמע, נטען מחדש, עכשיו עם קובץ ה-cookie של הסשן, ומאפשר למשתמש לגשת לסשן המאומת שלו. עם זאת, כשקובצי cookie של צד שלישי מושבתים, לאתרים בהקשר מוטמע, כמו iframe של תוספים, אין גישה לקובצי cookie מההקשרים שלהם ברמה העליונה. בנוגע לתוספים של Classroom, המשתמש לא יכול לגשת לסשן המאומת שלו ונתקע בלולאת כניסה.

בהטמעות שבהן קובץ ה-cookie של הסשן מוגדר בהקשר של ה-iframe המוטמע, אפשר לצמצם את הבעיה באמצעות CHIPS API, שמאפשר לאתרים מוטמעים להגדיר קובצי cookie מחולקים (קובצי cookie עם מפתחות גם באתר המוטמע וגם בדומיין המוטמע) ולגשת אליהם. עם זאת, הטמעות שמגדירות את קובץ ה-cookie של הסשן בהקשר ברמה העליונה של תיבת הדו-שיח של הכניסה לחשבון לא יכולות לגשת לקובץ ה-cookie ללא חלוקה למחיצות ב-iframe, וכתוצאה מכך לא ניתן להיכנס לחשבון.

כרטיסיות חדשות

מסיבות דומות, אם למשתמש יש סשן מאומת שמבוסס על קובץ cookie ב-iframe של תוסף, וה-iframe מעביר את המשתמש לכרטיסייה חדשה ברמה העליונה של פעילות, לכרטיסייה ברמה העליונה אין גישה לקובץ ה-cookie של הסשן המפוצל מ-iframe. כך מצב הסשן של iframe לא יישמר בפעילות בכרטיסייה החדשה, ויכול להיות שהמשתמש ייאלץ להיכנס שוב בכרטיסייה החדשה. CHIPS API לא יכול לפתור את הבעיה הזו, מעצם הגדרתו. לא ניתן לגשת לקובצי ה-cookie של ה-iframe המחולקים בהקשר ברמה העליונה.

פעולות למפתחים

יש כמה פעולות שחשוב לבצע כדי להבטיח שהתוסף ימשיך לפעול כמצופה בזמן ש-Chrome יפסיק בהדרגה את השימוש בקובצי cookie של צד שלישי.

1. בודקים את השימוש בקובצי cookie של צד שלישי במסלולי המשתמש החיוניים של התוסף. באופן ספציפי, כדאי לבצע בדיקה כשקובצי ה-cookie של צד שלישי מושבתים כדי להעריך את ההשפעה על ההטמעה הספציפית שלכם.

2. מידע נוסף על Storage Access API בכל הטמעות התוספים, מומלץ להיעזר ב-Storage Access API‏ (SAA). SAA מאפשר לפריטי iframe לגשת לקובצי ה-cookie שלהם מחוץ להקשר של ה-iframe. התכונה זמינה כבר עכשיו ב-Chrome, ויש לה תמיכה באפליקציית Classroom.

   הערה: אם תהליך ה-SSO לא מגדיר קובצי cookie בהקשר של תיבת הדו-שיח, והתוסף לא מעביר את המשתמשים לכרטיסיות ברמה העליונה, יכול להיות שלא תצטרכו את SAA. כדאי לבדוק את CHIPS API הפשוט יותר כדי לראות אם הוא עונה על הצרכים שלכם.

3. להצטרף ל-FedCM. בנוסף, אם אתם משתמשים ב-GIS, הספרייה של 'כניסה באמצעות חשבון Google', ההנחיה הרשמית מצוות הזהויות היא להביע הסכמה ל-FedCM. האפשרות הזו לא מחליפה את היכולות של קובצי cookie של צד שלישי, אבל בסופו של דבר היא תהיה נדרשת ב-GIS כחלק מההוצאה משימוש של קובצי cookie של צד שלישי. FedCM זמין כרגע ב-Chrome ויש תמיכה בו ב-Classroom, אבל ההתנהגות והתכונות עדיין בפיתוח ואנחנו מקבלים משוב עליהם.

4. מעבר ל-GIS. אם אתם משתמשים בספריית GSIv2, שנמצאת בשימוש מופחת, שנקראת גם ספריית Google Sign-In, מומלץ מאוד להעביר את הקוד ל-GIS, כי לא ברור אם תהיה תמיכה ב-GSIv2 בעתיד.

5. הגשת בקשה להשהיית תקופת הניסיון לקראת ההוצאה משימוש ב-Chrome מציעים תקופת ניסיון להוצאה משימוש כדי לאפשר לדחות את ההשפעות של ההוצאה משימוש של קובצי Cookie של צד שלישי בתרחישי שימוש שאינם קשורים לפרסום. אם הבקשה תאושר, תקבלו אסימון שתוכלו להשתמש בו בתוסף כדי להמשיך להפעיל קובצי cookie של צד שלישי במקור שלכם עד שנת 2024, בזמן ההעברה לפתרון לטווח ארוך כמו SAA. אחרי ששולחים את הבקשה, צריך לספק מזהה באג או קישור לדוח על שגיאה. הצוות שלנו כבר דיווח על הבעיה הזו לגבי התוספים ל-Classroom, ואפשר לשלוח את הבאג הזה.

אזהרה: למפתחים שיקבלו אישור להשתתף בתוכנית הניסיון להוצאה משימוש, קובצי ה-cookie של הצד השלישי יופעלו באופן אוטומטי במהלך תקופת החסד, גם בלי האסימון באפליקציה. חשוב לזכור את האזהרה הזו אם אתם רוצים להשתמש בתוכנית הניסיון להוצאה משימוש ברמת 1% כדי לבדוק איך התוסף פועל בלי קובצי cookie של צד שלישי.

הערה: תוכנית הניסיון להוצאה משימוש מיועדת לאפליקציות קיימות. אם אתם מפתחים תוסף עכשיו, כדאי לתכנן את הפיתוח עם SAA או הטמעה אחרת שמאפשרת לתוסף לפעול בלי קובצי cookie של צד שלישי. יכול להיות שלא תהיה לך אפשרות להשתתף בתוכנית הניסוי להוצאה משימוש אם עדיין אין לך אפליקציה שמושפעת מההוצאה משימוש.

הערה: ב-Chrome הודיעו על שינוי בלוח הזמנים להוצאה משימוש של קובצי ה-Cookie של צד שלישי, מהמחצית השנייה של 2024 לתחילת 2025. השינוי הזה עשוי להשפיע על משך תקופת הניסיון להוצאה משימוש, והדף הזה יעודכן כדי לשקף את השינויים.