ウェブ向けの
プライバシー
サンドボックス

Trust Token は、ウェブサイトがボットや悪意のある攻撃者を実際の人間のトランザクションと区別 するためのものです。サイトは、アカウントへの定期的なログインなど、サイト上でのユーザーの 行動に基づいて、そのユーザーのブラウザに対して Trust Token を発行することができます。また、 他のサイトがボットか実際の人間かを確認したい場合には、その Trust Token でユーザーが正当で あることを確認できます。Trust Token は暗号化されているため、個人を識別したり、信頼できるイ ンスタンスと信頼できないインスタンスを接続してユーザー アイデンティティを検出したりするこ とはできません。

Topics は、ユーザーのウェブ閲覧履歴に基づいて、ブラウザがそのユーザーの関心の高いカテゴリを推測します。Topics を使うと、サードパーティ Cookie のように、訪問した特定のサイトの情報がウェブを横断して共有されることがなくなります。Chrome 上で、トピックの表示、不要なデータの削除、無効化を設定できます。

FLoC は、プライバシー サンドボックスが提案した、似たようなウェブ閲覧パターンを持つ人々を「コ ホート」と呼ばれる大規模な集団にクラスター化する仕組みでした。この「集団の中での安全性」というアプローチは、効果的に個人を似たような興味を持つ群衆の中に隠すために考案されました。FLoC の開発は、2021 年に終了しました。

FLEDGE は、サードパーティ Cookie に依存することなくリマ ケティングする、つまり興味を持ったサイトや製品を再認識してもらうための新しい方法です。ユーザーがウェブを閲覧した際に、以前訪問した広告主のサイトが今後そのユーザーに広告を表示したいということを、ユーザーのブラウザに知らせることができます。また、広告主は、ユーザーに表示したい特定の広告や、広告を表示するための入札金額の情報などを、ユーザーのブラウザと直接共有することができます。また、広告スペースのあるウェブサイトにユーザーがアクセスすると、ブラウザのアルゴリズムにより、どのような広告が表示されるかが通知されます。

マーケターは現在、個人のウェブ閲覧行動や広告効果に関するデータを収集するために、サードパーティ Cookie を活用しています。広告主がユーザーのプライバシーを保護しながら関連性の高い広告を掲載し、その効果を検証できるように、プライバシー サンドボックスはサードパーティCookie を新たな効果測定ツ ルやレポート ツ ルに置き換えて、異なるウェブサイトを横断して個人が識別されないようにします。これらに関連する提案は複数あります。

クロスサイト トラッキングを制限する現在の試みは、一般的な状況に対応していません。例えば、組織によっては、異なるドメインの関連サイトを持ち、それらのドメイン間で動画のようなリソースをロードしたり、別のアクティビティを実行する必要があるかもしれません。

このプライバシー サンドボックスの提案では、こうした同じエンティティに属するドメインを「First Party-Set」として宣言することができます。そのFirst-Party Set 以外のドメインでは、ユーザーのプライバシーを保護するため、情報のやり取りが制限されます。

クロスサイト トラッキングを防ぐため、ブラウザはキャッシュや localStorage といったあらゆる形態のストレージを分離しはじめています。しかし、共有ストレージを必要とする正当なケースも多く、Shared Storage API の提案はそれらに対応することを目的としています。この提案では、パーティション化されていない「共有ストレージ」を提供し、その中のデータは安全な環境でのみ読み 取れるようにする予定です。

チャット ウィジェットや埋め込み地図などの埋め込みサービスは、正しく動作するために、指定されたサイトでのユーザーのアクティビティについて知る必要がある場合があります。プライバシーサンドボックスが提案する CHIPS (Cookies Having Independent Partitioned State) は、パーティション化された Cookie を使って、必要な Cookie が指定されたサイト（または同じ First-Party Set 内のサイト）と埋め込みウィジェット間でだけ「サイトを横断して」動作することを許可するようブラウザに指示するものです。

Storage Partitioning は、サイト上の埋め込みサービス、つまりサードパーティのコンテキストで使用されているものがある場合、ストレージや通信に使用されているいくつかのウェブ プラットフォ ム API をパーティション化します。これにより、既存のサイトとの互換性をほぼ維持したまま、ウェブをより安全でユーザーのプライバシーが保護された状態に保つことができます。

Fenced Frame は、iframe のような埋め込みタイプのフレームで、ホストページと通信することはできません。Fenced Frame API は、トップサイトと識別子を結合できなくなるため、パーティション化されていないストレージに安全にアクセスできるようになります。

ブラウザのネットワークリソース（接続、DNS キャッシュ、代替サービスデータなど）は、一般的に幅広く共有されています。Network State Partitioning は、これらのリソースがファーストパーティのコンテキスト間で共有されないよう、この共有された状態の大部分をパーティション化します。 このため、各リクエストには、リソースを再利用するために 致する必要のある「ネットワークパーティションキー」が追加されます。

この追加のキーにより、サイトが他のサイトをロードして学習した共有リソースをメタデータにアクセスできないようにし、ユーザーのプライバシーを保護します。

Federated Credential Management は、サードパーティ Cookie を使わずに ID を連携します。このAPI は、サインインからサインアウト、セッションが失効した際の再度のサインインなど、サードパーティ Cookie が使われる場合や場所で、ID の連携に必要な手段を提供します。

Chrome およびその他のブラウザは、SameSite Cookie の「ラベル」を使用して、Cookie がファストパーティとサードパーティのどちらとして使用されるかを明確に指定することを開発者に求めています。 これにより、ブラウザをより正確に制御できるようになり、例えば、サードパーティーCookie だけを制御することができます。また、クロスサイト インジェクションやデータ漏洩を目的とした攻撃から Cookie を保護することで、セキュリティ上も大きな利点があります。

User Agent 文字列は、ユーザーが訪問するサイトが正しく表示され機能するために、ユーザーが使用するブラウザとデバイスに関する詳細を識別させるためのものです。 しかし、User Agent 文字列は、いわゆるパッシブ フィンガ プリントに使われてしまう重大な問題もあります。User AgentClient Hints API は、サイトが必要な情報を直接リクエストできるようにし、最終的にはUser Agent文字列に含まれる詳細情報を減らして、インターネット上で共有されるユーザー情報を制限しま す。

User Agent Reduction は、パッシブ フィンガ プリントに使用される可能性のある User Agent 文字列に含まれる識別情報を、最小限に抑える取り組みです。

Cache Partitioning では、キャッシュされたリソースは、URL に加えて、新たに「Network Isolation Key」を用いてキーが設定されます。Network Isolation Key は、トップレベルサイトとカレントフレ ムサイトで構成されています。これにより、セキュリティが一層強化されます。

DNS-over HTTPS は、ドメイン ネ ム システム（DNS）のクエリと応答を HTTPS メッセージ内にエンコードすることで暗号化するプロトコルです。 これにより、ユーザーが訪問したサイトを攻撃者が把握したり、ユーザーをフィッシングサイトに誘導するのを防ぐことができます。

Gnatcatcher は、ユーザーの IP アドレスを効果的に隠蔽するプライバシー サンドボックスの提案です。基本的には、IP アドレスを確実に隠蔽しますが、不正利用の防止などの正当な目的で IP アドレスへのアクセスが必要なサイトには、IP アドレスを悪用していないことを証明する監査を行った上で、アクセスを可能にします。

Privacy Budget は、複数の要素を組み合わせてフィンガ プリントを制限する提案です。サイトがアクセスできる識別情報の量を制限するよう設計されており、ユーザーが一意に識別されることを防止します。