"JWT=ステートレス"から一歩踏み出すための考え方
おはようございます、ritouです。 この話に乗っかっていきます。 3行で ログアウト時にJWTを無効化できない実装は今後脆弱性診断で「OWASP Top 10 2021違反」と指摘されるようになりそう(今も個別にされてるかもしれないけど) JWTは単純なフォーマットなので、ステートレスなセッション管理においてログアウトしたときに文字列自体を無効化できない件は独自エンコード方式(一般的にフレームワークのCookieストアと呼ばれているもの)でも起こり得る 「セッションID vs JWTで内包」 以外にも 「セッションIDをJWTに内包」もあり得る。既存の機能を残しつつ「JWTで武装」する選択肢も考えてみてはどうか。 ステートレスなセッション管理でログアウトの際に文字列自体を無効化できない問題 これは前から言われていますし、駆け出し何とか勢のQiita記事に書かれるぐらいには一般的です。 2
「Chrome」のサードパーティークッキー廃止が2023年に延期
Googleは、「Chrome」ブラウザーに対するプライバシー関連の大きな変更として、サードパーティークッキーのサポートを2022年までに段階的に廃止する計画だったが、それを2023年中盤～終盤に延期した。同社は、ウェブパブリッシャーに収益化手段を提供しつつ、ユーザーを保護する方法を模索している。 Googleは2020年、世界で最も広く利用されているブラウザーであるChromeで、サードパーティークッキーと呼ばれる小さなテキストファイルのサポートを廃止すると発表した。サードパーティークッキーは、ユーザーに合ったターゲット広告を表示することを目的に、広告主、パブリッシャー、データブローカーによって利用されている。そのサポートが廃止されれば、例えば、ユーザーがダイエットに関するウェブサイトを訪問したことを記録して、他のサイトの減量プログラムの広告をそのユーザーに表示するということができなくな
認証用トークン保存先の第4選択肢としての「Auth0」
iCARE Developer Meetupは、月次で開催している株式会社iCAREが主催するエンジニア向けのLT勉強会です。18回目の今回は、Ruby on Railsをテーマに行いました。サーバーサイドエンジニアの越川氏からはToken認証機能について。 Rails APIモードで開発するときの認証用のトークンはどこに保存すればいいの問題 越川佳祐氏：私からは、「Rails APIモードにおけるToken認証機能について」というテーマでLT（ライトニングトーク）をしようと思っていたんですが、スライドを作っていて「あれ、これ別にRailsだけの話じゃなくない？」と思ってしまいました。みなさんの中にも、そう思う方がいるかもしれないんですが、もうこれで作っちゃったのでご了承ください。 私は株式会社iCAREで、サーバーサイドエンジニアをしている、越川と申します。Twitterは@kossy0
「サードパーティークッキー（3rd Party Cookie）」って何？
Googleが、Google Chromeで「サードパーティークッキー（3rd Party Cookie）」のサポートを2022年までに段階的に廃止する予定であると発表した。Appleは、Safariで既にサードパーティークッキーを禁止（ブロック）している。他のWebブラウザもおおむねサードパーティークッキーを禁止する方向にあるようだ。そもそも、この「サードパーティークッキー」とは何なのか、何が問題なのかについて解説していこう。 そもそもサードパーティークッキーとは サードパーティークッキーを理解するには、「クッキー（Cookie）」について知っておく必要がある。 クッキーは、Webサイト側からWebブラウザへ渡す小さな「データ片」のことだ。以後のやりとりでは、必ずそのデータをWebブラウザ側からWebサイト側へ戻してもらうようにすることで、Webページを遷移したり、時間を空けて再び訪れた
Vivaldi 3.8リリース、cookieダイアログやバナーの非表示化が可能に | スラド IT
4月29日にリリースされたVivaldi 3.8では、cookieの合意要求(ダイアログボックスやバナー)を非表示化する「Cookie Crumbler」が利用可能になっている(Vivaldiのブログ記事、 The Vergeの記事、 Ghacksの維持、 SlashGearの記事)。 Cookie Crumblerを使用するには、Vivaldi設定画面の「プライバシー→トラッカー・広告ブロック」の「ブロックレベル」で「トラッカーと広告をブロック」を選択する必要がある。あとは「個別設定」の「ソースを管理」ボタンをクリックして「広告ブロッカーのソース」で「Cookie同意ポップアップ除去 (Easylist Cookie List)」と「Cookie同意ポップアップ除去 (I don't care about cookies)」にチェックを入れればいい。この機能はAndroid版のVival
ブラウザのFavicon(ファビコン)でユーザーを追跡する「スーパークッキー」とは？
ブラウザのタブなどに表示されるFavicon(ファビコン)は、サイトのシンボルとして重要なアイコンです。しかし、このファビコンにはCookie(クッキー)のようにユーザーを追跡可能な「スーパークッキー」の問題が潜んでいると、研究者らが警鐘を鳴らしています。 Tales of Favicons and Caches – Persistent Tracking in Modern Browsers (PDFファイル)https://www.cs.uic.edu/~polakis/papers/solomos-ndss21.pdf supercookie • workwise https://supercookie.me/workwise ファビコンとは、サイトのシンボルマークとしてタブやURLの隣などに表示される小さなアイコンのことです。 イリノイ大学シカゴ校のセキュリティー研究者らは2021
Google Analytics代替として開発された、Cookie不使用のオープンソースの解析ツール・「Pirsch」
PirschはGoogle Analytics代替として開発された、Cookie不使用のオープンソースの、シンプルでプライバシーに配慮した解析ツールです。 GAほど多機能ではないものの、PVやセッション、リファラなどWebサイト解析に必要なメトリックを提供してくれます。 解析用のスクリプトも1KB未満で解析対象のWebサイトのパフォーマンスを損ないません。データはCSVでエクスポートも可能な他、メールで定期的に解析結果を送る事も可能です。 管理画面もシンプルで見やすく分かりやすい印象でした。OSSとして提供されていますが、Webサービスとしても展開しているようです。現在はベータ版のため、無償で利用できるみたいです。ライセンスはAGPL-3.0との事。 PirschOn Github
Cookieの利用を最小限にし、ユーザーエクスペリエンスを改善します
GitHubからすべてのCookieバナーを削除します。 🎉 EU法では、WebサイトにCookieが含まれていて、そのCookieがWebサイトの機能に不要なものである場合、Cookieバナーを表示し、なぜCookieがWebサイトに埋め込まれているのか、そこから取得する情報はどのように利用されるかを説明するよう定めています。Webサイトの機能に不要であると定義されているCookieは、一般的に、サードパーティによる分析、トラッキング、広告などのサービスに使われています。こうしたサービスはWeb上での人々の行動に関する情報を収集してデータベースに格納し、その情報を利用してパーソナライズされた広告表示されるようになっています。 このようなCookieバナーを好きという人はいないと思いますが、Cookieバナーはあらゆるところに存在しています。 GitHubは、開発者のプライバシー保護を重
Cookieの新しい属性、SameParty属性について - ASnoKaze blog
ChromeでCookieのSameParty属性の開発が進められている (コミット)。 現在のところ「SameParty cookie attribute explainer」に説明が書かれている。 今回は、CookieのSameParty属性について簡単にメモしていく。 背景 トラッキング対策、プライバシーの観点でサードパーティクッキーは制限する方向に進んでいる。その制限をSame Partyの場合に緩和する仕組みを提供するのがSameParty属性の話である。 例えば、同一主体により運営されているドメインの異なるサイト (例えば、google.co.jp, google.co.uk) 間においては、いわゆる(cross-site contextsで送られる)サードパーティクッキーを許可しようという話です。 もともとは、First-Party Setsを活用しSameSite属性にFi
Cookieレスの広告配信を実現する人ベースの「IDソリューション」その世界観とは？
『MarkeZine』が主催するマーケティング・イベント『MarkeZine Day』『MarkeZine Academy』『MarkeZine プレミアムセミナー』の 最新情報をはじめ、様々なイベント情報をまとめてご紹介します。 MarkeZine Day
Cookie規制が招くWeb体験の危機
欧州委員会はWebを破壊していると私は考えるようになりました。ユーザーのプライバシーを守ろうとする彼らの試み（GDPRやクッキー法とも呼ばれるeプライバシー指令）は、クッキー通知とプライバシーポリシーのオーバーレイの氾濫という予期せぬ結果を引き起こしました。 事実、平均的なユーザーの立場からすると、ネットワーク中立性の崩壊よりもクッキークライシスの方が、日々のWeb上での体験においてダメージが大きいと言えます。 それでも、ネットワーク中立性に関わるものと同じような組織的抵抗は、クッキー通知の異常性に対してはほとんど発生していません。私たちは、その意図が良いものであるために受け入れているのです。 誤解しないでほしいのですが、その意図自体は良いことです。どのサイトがトラッキングしてOKで、どの情報を収集しても良いかの主導権はユーザーが持つべきです。欧州委員会の取り組みは評価に値します。ただし、
ChromeサードパーティCookie終了後のリタゲ広告などの対処法 | 【レポート】Web担当者Forumミーティング 2020 Spring
Google ChromeでサードパーティCookieが段階的に排除されると、2020年1月に発表され話題となった。デジタルマーケティングに影響を与えることは必至であり、今後の対応について悩ましく思っている人も少なくないだろう。 「Web担当者Forum ミーティング 2020 春」に登壇した、プリンシプルの中村研太氏は、Google ChromeでサードパーティCookieのサポート終了による影響や、すでにサードパーティCookiの排除が行われたITP、法律面でGDPR、CCPA、個人情報保護法などについても説明。今後、マーケターがとるべき対応について解説した。 激震！ サードパーティCookieのサポート終了の影響とは2020年1月、「GoogleがサードパーティCookieのサポート終了を発表した」というニュースが、日経新聞の一面に取り上げられ、大きな話題となった。 情報ソースは、G
牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
Google、「Chrome 80」で導入した新しいCookie分類システムについて解説
Googleは2020年2月3日（米国時間）、「Google Chrome」ブラウザで導入された新しいCookie分類システムについて、Cookieを管理している開発者などに向けて情報を提供し、注意事項を解説した。 新しいCookie分類システムは、Cookieによるプライバシーやセキュリティの問題が生じにくいように、デフォルトで安全な状態にするもの。2020年2月4日の「Chrome 80」安定版のリリースに伴って導入が始まった。 このCookie分類システムでは、SameSite値が宣言されていないCookieは、「SameSite=Lax」として扱われる。これまではこの設定を採っていないCookieが少なくなった。今後は「SameSite=None; Secure」設定となっているCookieのみが、サードパーティーコンテキストでアクセス可能になる。つまりWebサイトをまたいでCoo
Chrome 80 クッキーのSameSite属性対応のややこしい注意点2つ - こもろぐ @tenkoma
2020年2月4日に Chrome 80 がリリースされました。 このバージョンでは既存のWebアプリケーションの振る舞いに大きな影響を与える変更として、クッキーのSameSite属性の既定値が変わるというのがあります。 ただし、振る舞いの変更は、2月18日以降に予定されています。(正確には「2月17日の週でアメリカ合衆国大統領の日を除く」) Enforcement rollout for Chrome 80 Stable: The SameSite-by-default and SameSite=None-requires-Secure behaviors will begin rolling out to Chrome 80 Stable for an initial limited population starting the week of February 17, 2020,
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Cookie規制でマーケターが知るべき技術的・法的な制限を解説。今後できなくなる施策、できる施策は？ | 【レポート】デジタルマーケターズサミット2021 Winter
Facebookの「無料提供」は維持が困難に？ iOSユーザーからの“追跡拒否”を巡る主張の現実味
「Firefox 85」が公開 ～“Supercookie”による追跡からユーザーを保護／ブックマーク機能やパスワードマネージャーも改善。Flashのサポートは完全に廃止
Google、脱「クッキー」加速 4月から広告主と試験運用 - 日本経済新聞
最新のブラウザで変わるCookieの取り扱いやPrivacyの考え方
