Webサービスで「ユーザーページに独自ドメインを登録できる」機能を提供するのがなぜ難しいか

コンテンツ投稿系のWebサービスでは「ユーザーのページに好きな独自ドメインを登録できる」という機能をつけたくなることがあります。ユーザーからすると「コンテンツが自分自身の所有物であること」を感じやすいですし、コンテンツのポータビリティが上がりますし、とても夢がありますよね。僕もいつか実装してみたい機能のひとつです。 しかし、この機能を提供するには、以下のようなハードルがあります。 料金 ベンダーロックイン 複雑な実装（とくに認証） (1)の料金についてはデプロイ先によります。例えばVercelであればProプラン以上であれば無制限に独自ドメインを登録できます（Unlimited custom domains for all Pro teams）。 Google Cloudの場合にはCertificate Managerで独自ドメインごとの証明書を管理するのに「ひとつあたり○USD」という感

[tkrd]

GoogleのCertificate Managerは、Maxで月額 $0.20／ドメイン。案外安い。

[otchy210]

iframe の穴はすでに Safari で塞がれており (親ページとドメインが違う iframe 内にはファーストパーティのクッキーも送られない)、Chrome も追随予定。

[xlc]

はてなブログがHTTPS化に手間取ったのは独自ドメイン対応のためではないかと推測してる。認証はサードパーティCookieのようだが、これが禁止された場合、サービスを維持できるのか心配してる。

[gowithyou]

記事中のトークンはJWTを使うのだろうけど、JWTは認証情報の受け渡しに便利だな。やり方覚えると色々な場面で使える。

[shingo-sasaki-0529]

なるほどー。独自ドメイン付きのサービスなんとなく使ってたりしたけど、そういう課題があったんだ。

[teckl]

独自ドメイン対応の3rd party cookieについて

[ritou]

書き方の話だけど、はてなブログとかOIDCのSession Managementみたいなiframe方式、3rd party Cookieがブロックされたら動かないと思う > その<iframe>を経由してリクエストを送ることでサードパーティーCookieを回避しているのかな（？

[mohno]

「一番ネックだと感じているのが(3)の複雑な実装」/めんどくさい時代になったなあ（←他人事）（←オイ）

[napsucks]

cookieがダメならURLにセッションID乗せればいいじゃない（雑

[shields-pikes]

クロスドメインのiframeは、近いうちに滅びる予感。ブラウザ側のセキュリティ強化で。既にiOSのSafariではiframeの表示は厳しくなってる。Instagram公式のウィジェットのソースも、iframe形式じゃなくてJS形式とかにしてほしい。

[new3]

開発の初期から独自ドメインを想定していないと、良くも悪くもこういうことになる。noteもそうとう無理矢理やっていてCookie禁止にしてると独自ドメインnoteはリダイレクション上手くいかなくて見えないしね。

[manaten]

認証要らなければどうとでもなりそうだけと、認証がなあ

[mumei-0]

“Cookieがサブドメインに送られないようにする”

[prograti]

クロスドメインのSSOの要件があってWebAuthnとか色々調査中だけど難しい問題ですよね。

[nakamura-kenichi]

このレベルならやらん方が良いっていうかやったらあかんでｗ。

[dmr]

独自ドメイン

[odakaho]

認証だけでもかなりきついのにクラウド移行の可能性とか絶対やりたくないな

[Andrion]

zennの中の人の記事。独自ドメイン機能付ける予定がありそう。

[dorapon2000]

“リダイレクトを繰り返すことで、独自ドメインごとにセッションCookieを付与することはできる ただしパフォーマンス面がネックになる Cookieが奪われないようにすごーーーく注意する必要がある”

[umai_bow]

SSL証明書のためにドメイン認証することを考えるだけでやりたくなくなるな

[mano-junki]

Real world HTTPネタだ！

[fellfield]

『サービスへのドメインの紐付けを解除された場合、サービスが発行したCookieが収集されてしまう可能性』

[aktkro]

いやーやりたくない

[programmablekinoko]

なるほど。多くのサービスで有料なのがよくわかる