今さら3rdパーティCookie トラッキング メモ

今さらながら3rdパーティ Cookieトラッキングについてメモする

* 3rdパーティCookieは、ユーザーがアクセスしているWebサイト（1stパーティ）とは別のドメイン（サードパーティ）によって発行・読み書きされるCookieのことを指す
* これらのCookieは複数のサイト間でユーザーの行動情報を収集し、広告配信や解析に活用されることが多く、「トラッキングCookie」とも呼ばれることがある

以下では、その基本的な仕組みや流れをまとめる

## 1. Cookieの仕組み

### **Cookie とは**

 WebブラウザとWebサーバーがやり取りする小さなデータ断片で、ユーザーのセッション情報や訪問履歴などを保存する

- **1stパーティCookieと3rdパーティCookie**
  - **1stパーティCookie**：ユーザーが直接アクセスしているWebサイトと同じドメインで設定されるCookie
  - **3rdパーティCookie**：ユーザーがアクセスしているサイトのドメインとは異なるドメインから設定されるCookie

例 : `example.com` を閲覧中に、そのページ内の広告枠や解析用スクリプトが `ads.example2.com` や `tracker.example3.com` を読み込んだ場合、そこから発行されるCookieは3rdパーティCookieとなる


### **Cookieとセッションの関係**

- **Cookie**: ブラウザに保存される小さなテキストデータ

- **セッション**: サーバーが管理するユーザーの状態情報

典型的なWebアプリでは、

1. サーバー側で「セッション情報」を保持
2. ブラウザに「セッションID」を含んだCookieを返却
3. ブラウザからのリクエストに、そのCookieが常に付与
4. サーバーがCookieのセッションIDを確認し、対応するセッション情報を引き当てる



```mermaid
sequenceDiagram
    participant B as ブラウザ(ユーザー)
    participant S as サーバー

    Note over B: (1) 初回アクセス時
    B->>S: Request (Cookieなし)
    S->>S: セッション情報を新規作成
    S-->>B: Response +<br/>Set-Cookie(セッションID)

    Note over B: (2) 以降のリクエストには<br/>セッションIDのCookieを付与
    B->>S: Request +<br/>Cookie(セッションID)
    S->>S: セッションIDを照合し、<br/>サーバー側のセッション情報を引き当て
    S-->>B: Response (ログイン情報や状態を返却)

```



## 2. 3rdパーティCookieによるトラッキングの流れ

```mermaid
sequenceDiagram
    participant U as ユーザーのブラウザ
    participant F as 1stパーティサーバー (www.news-site.com)
    participant T as 3rdパーティサーバー (ads-site.com)
    participant B as 別の1stパーティサイト (www.blog-site.com)

    Note over U: ①ニュースサイトにアクセス
    U->>F: GET / (news-site.com)
    F-->>U: HTML, CSS, JS 等
    Note right of F: ページ内に\nads-site.comなどの広告タグが埋め込み

    Note over U: ②広告タグの読み込み
    U->>T: GET /ads (ads-site.com)
    T-->>U: HTTPレスポンス +<br/>Set-Cookie (3rdパーティCookie)
    Note over U,T: ここでサードパーティCookieが保存される

    Note over U: ③別のサイト (blog-site.com) に移動
    U->>B: GET / (blog-site.com)
    B-->>U: HTML, CSS, JS 等
    Note right of B: 同じ3rdパーティの広告タグが埋め込み

    Note over U: ④再び広告タグを読み込み
    U->>T: GET /ads (ads-site.com)<br/>（前回の3rdパーティCookieを送信）
    T->>T: Cookie情報からユーザーを識別
    T-->>U: 広告コンテンツ 等
    Note over U,T: ユーザー行動履歴を紐付けし、ターゲティング広告に活用

```



### (1) Webページへの訪問

- ユーザーがサイト (例: `www.news-site.com`) にアクセスすると、そのサイト（1stパーティ）自身がCookieを発行するだけでなく、ページ内で読み込まれるスクリプトや画像などが別ドメイン（3rdパーティ）から提供されている場合がある

  

### (2) リソースの読み込み時にCookieが設定される

- サイトが広告サイトや解析サービスのタグ（JavaScriptなど）を埋め込んでいると、ブラウザはそのタグを通して3rdパーティのサーバー (`ads-site.com` など) にリクエストを送る

- その際、3rdパーティサーバーはブラウザにCookieを発行（レスポンスヘッダ `Set-Cookie` を付与）する。これが3rdパーティCookieとなる

  

### (3) 別サイトへの訪問

- 次にユーザーが別のサイト (例: `www.blog-site.com`) を訪問した場合も、同じ広告ネットワークや解析サービスのタグが埋め込まれていれば、再度3rdパーティサーバーへリクエストが送信される
- その際、ブラウザは前回付与された3rdパーティCookieをサーバーに送信する


### (4) 行動履歴の紐付け

- サードパーティサーバーは、送信されたCookieに含まれる固有IDなどを手がかりに、「同一ブラウザ」からのアクセス履歴を複数サイトにわたって紐付けることができる
- このようにしてユーザーの閲覧傾向や興味関心を分析し、行動履歴に基づいた広告の出し分けなどが可能になる



## 3. 3rdパーティCookieを用いたトラッキングの活用例

1. リターゲティング広告
   - 以前に閲覧した商品広告が、別サイトで再び表示される現象。広告ネットワークがCookieを利用して「同じユーザーが訪れた」と認識し、関連する広告を出し分ける
2. アクセス解析・行動分析
   - ユーザーがどんなサイトを訪れ、どのような行動パターンをとっているかを3rdパーティの分析サービスが把握し、マーケティングレポートなどを提供する


## 4. 問題とされている背景

3rdパーティCookieは、ユーザーのオンライン行動を追跡し、個人情報や関心に基づいて広告を表示する仕組みのため、プライバシーの観点で問題視されている

- ユーザーの意識しないうちに広範囲にわたってデータが収集される
- どの企業がどの情報を持っているかが分からなくなる
- ユーザーが監視や追跡されていると感じる﻿


## 5. ブラウザ側の対策

プライバシー保護の観点から、ブラウザベンダーや規制当局が3rdパーティCookieを規制・制限する動きが活発化し、下記のような対応が行われていた

1. Safari (ITP: Intelligent Tracking Prevention)
   - 3rdパーティCookieの保存期間を短縮・制限するほか、ユーザー行動を追跡しづらくする仕組みを導入
2. Firefox (ETP: Enhanced Tracking Protection)
   - 既定でトラッキングCookieと判断したものをブロックする機能を導入
3. Chrome (プライバシーサンドボックスなど)
   - 3rdパーティCookie廃止方針を打ち出していたが、２４年7月に廃止方針を撤回