ITPのCNAMEクッキー規制について｜AD EBiS マーテック研究会

ご無沙汰しております。11月6日に、CNAMEレコードを使って付与された1st-party cookieの規制機能を搭載したiOS14.2がリリースされましたので、その内容をまとめます。いつものことですがマーケティングよりブラウザの細かい話です。正式発表前なので誤りの可能性がありますがご了承またはご指摘ください。 規制の仕組みまず規制されるのは、AppleのWebKitエンジニアJohn Wilanderさん（ITPの発明家）が「Third-party CNAME cloaking」として定義するものです。 Third-party CNAME cloaking means a first-party subdomain resolves to a third-party domain which does not match the resolution for the top frame

[t_f_m]

"正確には条件が一つだけ残りそうで、それは「ログインしているかどうか」です。そのためにブラウザがログイン状態を把握できるようにisLoggedInという新しいJavaScript APIの標準化を進めています" / ログイン要求氾濫の兆し

[otoan52]

“WebKitのエンジニアは将来的に全てのcookieやストーレージの有効期間を無条件で制限する構想を持っています。” そこまでいくと、ユーザの情報を勝手に捨てるのってどうなのよ。という気持ちになってくるのだが

[mizchi]

indexeddb消されるといろいろなSPA動かなくなるんだが…

[yosuke_furukawa]

"WebKitのエンジニアは将来的に全てのcookieやストーレージの有効期間を無条件で制限する構想を持っています。"

[securecat]

Chromeなんかだとブラウザにログインしてるわけだから、サイトにはログインしなくていいみたくはならんのかねー。めんどいね

[kkeisuke]

“11月6日に、CNAMEレコードを使って付与された1st-party cookieの規制機能を搭載したiOS14.2がリリースされました”

[efcl]

iOS 14.2のSafariにおけるCNAME Cloaking対策について

[hazeblog]

これ最終的にどのWebサイトに行ってもログインしろっていわれる世界観になるの？つらいんだが…

[wata88]

みんなが同じcdn事業者使い出すとかの方向になったら笑う

[portal18]

"ブラウザがログイン状態を把握できるようにisLoggedInという新しいJavaScript APIの標準化を進めています。" いやいやパスワードと二段階認証の状態だけブラウザーに保存しておけばそれすら不要になるのでは。(極端)

[masatomo-m]

名前解決というレイヤをOSに抽象化させずブラウザが解決するというのはbrowser as OS的な流れの一つとして着目しておきたい感ある。いいのか悪いのかは別として（個人的には好きではない

[quality1]

過激過ぎて草も生えない。

[dltlt]

Apple「次は強制ログアウト」

[t-w-o]

これは気になる所。GoogleとFacebookが更に強くなる……「1st-party dataを7日以上蓄積する未来のために、ログインを促すための仕組みを今から考えておいた方がよさそうです。」

[Falky]

そこまでするならもうcookieもlocalstorageもindexeddbもなにもかもすべて非対応にすりゃあいいのでは（過激派）

[reef]

ITP

[otherworld]

細かい条件がわからないけど、トップレベルのリクエストとサブリソースのリクエストのホスト名のCNAMEのeTLD+1が一致したらセーフとかなのかなぁ。

[ryunosinfx]

キャーカッコイイ！！CNAMEでドメイン混ぜてもブラウザが弾くとかマジいい感じやん！確かにindexedb消えたらいろんなのが死ぬねぇ・・・

[t-wada]

"OSとブラウザエンジンの両方を握っているAppleならではの機能" "WebKitのエンジニアは将来的に全てのcookieやストーレージの有効期間を無条件で制限する構想を持っています"

[Pasta-K]

ふ〜〜む