Сторонние файлы cookie — это файлы HTTP cookie , которые в основном используются для веб-отслеживания в рамках экосистемы веб-рекламы .
В то время как HTTP-куки обычно отправляются только на сервер, устанавливающий их, или на сервер в том же интернет-домене , веб-страница может содержать изображения или другие компоненты, хранящиеся на серверах в других доменах. Сторонние куки — это куки, которые устанавливаются во время извлечения этих компонентов.
Таким образом, сторонний файл cookie может принадлежать домену, отличному от указанного в адресной строке, но при этом потенциально быть соотнесенным с содержимым главной веб-страницы, что позволяет отслеживать посещения пользователем нескольких веб-сайтов.
Этот тип cookie обычно появляется, когда веб-страницы содержат контент с внешних веб-сайтов, например, баннерную рекламу . Хотя изначально он не предназначался для этой цели, существование сторонних cookie открыло потенциал для веб-отслеживания истории просмотров пользователя и используется рекламодателями для предоставления релевантной рекламы каждому пользователю. Сторонние cookie широко рассматриваются как угроза конфиденциальности и анонимности веб-пользователей.
По состоянию на 2024 год [обновлять]все основные поставщики веб-браузеров планировали поэтапно отказаться от сторонних файлов cookie. [1] Это решение было отменено для Google Chrome в июле 2024 года. [2]
В качестве примера предположим, что пользователь посещает www.example.org. Этот веб-сайт содержит рекламу от ad.foxytracking.com, которая при загрузке устанавливает файл cookie, принадлежащий домену рекламы ( ad.foxytracking.com). Затем пользователь посещает другой веб-сайт, www.foo.com, который также содержит рекламу от ad.foxytracking.com, и устанавливает файл cookie, принадлежащий этому домену ( ad.foxytracking.com). В конечном итоге оба этих файла cookie будут отправлены рекламодателю при загрузке его рекламы или посещении его веб-сайта. Затем рекламодатель может использовать эти файлы cookie для создания истории просмотров пользователя на всех веб-сайтах, на которых размещена реклама этого рекламодателя, с помощью поля заголовка HTTP referer .
По состоянию на 2014 год [обновлять]некоторые веб-сайты устанавливали файлы cookie, доступные для чтения более чем 100 сторонним доменам. [3] В среднем один веб-сайт устанавливал 10 файлов cookie, а максимальное количество файлов cookie (основных и сторонних) достигало более 800. [4]
Более старые стандарты для файлов cookie, RFC 2109 [5] и RFC 2965, [6] рекомендуют, чтобы браузеры защищали конфиденциальность пользователей и не разрешали обмен файлами cookie между серверами по умолчанию. Однако более новый стандарт, RFC 6265, [7], выпущенный в апреле 2011 года, явно разрешал агентам пользователей реализовывать любую стороннюю политику в отношении файлов cookie по своему усмотрению, и до конца 1990-х годов разрешение использования сторонних файлов cookie было политикой по умолчанию, реализованной большинством основных поставщиков браузеров.
Хотя веб-отслеживание полезно для рекламодателей, оно широко рассматривается как угроза личной конфиденциальности. Это побудило к созданию законов против отслеживания без согласия пользователя, наиболее заметным из которых является европейский GDPR .
Это привело к созданию диалоговых окон «согласия на использование файлов cookie», которые быстро стали стандартной функцией на финансируемых рекламой (и многих других) веб-сайтах и примечательны тем, что в них используются темные шаблоны , чтобы заставить пользователей разрешить отслеживание, усложнив для них возможность отказаться предоставить согласие.
Некоторые веб-сайты также отреагировали простой геоблокировкой пользователей из стран с законами, благоприятствующими конфиденциальности.
Большинство современных веб-браузеров содержат настройки конфиденциальности , которые могут блокировать сторонние файлы cookie, а некоторые теперь блокируют все сторонние файлы cookie по умолчанию - по состоянию на июль 2020 года к таким браузерам относятся Apple Safari , [8] Firefox , [9] и Brave . [10] Safari позволяет встроенным сайтам использовать API доступа к хранилищу для запроса разрешения на установку основных файлов cookie. В мае 2020 года Google Chrome 83 представил новые функции для блокировки сторонних файлов cookie по умолчанию в режиме инкогнито для приватного просмотра, сделав блокировку необязательной во время обычного просмотра. Это же обновление также добавило возможность блокировать основные файлы cookie. [11] Google планировал начать блокировать сторонние файлы cookie по умолчанию в конце 2024 года, а в январе 2024 года начал этот процесс с пилотной схемы, в которой блокировка была реализована для 1% всех пользователей Chrome. [12] [13]
Поскольку веб-отслеживание на основе сторонних файлов cookie было неотъемлемой частью существующей экосистемы веб-рекламы, в настоящее время реализуется множество предложений с целью попытаться заменить его.
Google предлагает использовать таргетинг интересов на основе браузера, при котором интересы пользователей могут регистрироваться локально браузером, а затем передаваться на рекламные серверы без прямого раскрытия личности пользователя. Одной из таких реализаций является Privacy Sandbox от Google.
Другие подходы включают использование отпечатков браузера для отслеживания пользователей на сайтах, что обычно рассматривается как такая же плохая угроза конфиденциальности, как и сторонние файлы cookie. Существуют также опасения, что отслеживание на основе интересов может само по себе использоваться для отпечатков пользователей.
Существует ряд методов обхода блокировки сторонних файлов cookie. Один из них заключается в том, что операторы веб-сайтов указывают DNS-имя в пределах собственного домена сайта на сервере рекламодателя, тем самым фактически делая файлы cookie, установленные на этом сервере, основными файлами cookie с точки зрения браузера, при этом предоставляя третьей стороне контроль над информацией файлов cookie.
Другой подход заключается в том, что оператор веб-сайта проксирует трафик от клиента на серверы службы отслеживания. Поскольку это легко позволит оператору веб-сайта предоставлять ложную информацию службе отслеживания, это вряд ли будет широко принято.