Google prévoit d'arrêter le support des cookies tiers dans Chrome d'ici 2022

La société Google a annoncé sur l'intention de cesser complètement le support des cookies tiers dans Chrome au cours des deux prochaines années, cookies qui sont installés lors de l'accès à des sites différents de celui du domaine de la page actuelle. Ces cookies sont utilisés pour suivre les mouvements des utilisateurs entre les sites dans le code des réseaux publicitaires, des widgets de réseaux sociaux et des systèmes d'analyse web.

Comme l'année déclaré hier, l'intention d'unifier l'en-tête User-Agent, le retrait des cookies tiers étant promu dans le cadre de l'initiative Privacy Sandbox, visant à parvenir à un compromis entre le besoin des utilisateurs de préserver leur vie privée et le désir des réseaux publicitaires et des sites de suivre les préférences des visiteurs. D'ici la fin de cette année, en mode origin trial , une intégration dans le navigateur est attendue des API supplémentaires pour mesurer la conversion et personnaliser la publicité sans utiliser de cookies tiers.

Pour définir la catégorie d'intérêts de l'utilisateur sans identification individuelle et sans relier à l'historique de navigation sur des sites spécifiques, les réseaux publicitaires sont invités à utiliser l'API Floc, pour évaluer l'activité de l'utilisateur après avoir cliqué sur la publicité — l'API Conversion Measurement, et pour segmenter les utilisateurs sans recourir à des identifiants intersites — l'API Trust Token. Le développement des spécifications liées à l'affichage de la publicité ciblée
sans violer la vie privée est conduit par un groupe de travail distinct, créé au sein de l'organisation W3C.

Actuellement, dans le cadre de la protection contre la transmission de cookies lors de d'attaques CSRF , l'attribut SameSite qui est spécifié dans l'en-tête Set-Cookie est par défaut fixé à «SameSite=Lax» depuis Chrome 76, ce qui limite l'envoi de cookies pour les insertions de sites tiers, mais les sites peuvent annuler cette restriction en définissant explicitement la valeur SameSite=None lors de l'installation des cookies. L'attribut SameSite peut prendre deux valeurs : 'strict' ou 'lax'. En mode 'strict', les cookies sont empêchés d'être envoyés pour les demandes intersites de toute sorte. En mode 'lax', des restrictions plus douces s'appliquent, et l'envoi de cookies est bloqué uniquement pour les sous-requêtes intersites, telles que les requêtes d'images ou le chargement de contenu via iframe.

Dans Chrome 80, prévu pour le 4 février, une restriction plus stricte sera appliquée, interdisant le traitement des cookies tiers pour les requêtes sans HTTPS (les cookies avec l'attribut SameSite=None ne pourront être définis qu'en mode Secure). De plus, le travail se poursuit pour mettre en œuvre des outils permettant de détecter et de protéger contre les méthodes de contournement du suivi et de l'identification cachée (« browser fingerprinting »).

Rappelons qu'à partir de la version 69, Firefox ignore par défaut les cookies de tous les systèmes de suivi des mouvements tiers. Google considère que ce type de blocage est justifié, mais nécessite une préparation préalable de l'écosystème Web et la fourniture d'API alternatives pour traiter les tâches pour lesquelles des cookies tiers étaient précédemment utilisés, sans compromettre la confidentialité et sans nuire au modèle de monétisation des sites financés par la publicité. En réponse au blocage des cookies sans alternative, les réseaux publicitaires n'ont pas cessé de suivre, mais sont simplement passés à des méthodes plus sophistiquées basées sur l'identification cachée des utilisateurs (fingerprinting) ou à travers la création d'un traqueur de sous-domaines d'hôtels dans le domaine du site où la publicité est affichée.

Source : opennet.ru