SPA+SSR+APIで構成したWebアプリケーションのセッション管理 - Pepabo Tech Portal
カラーミーショップ サービス基盤チームのkymmtです。この記事では、サーバサイドレンダリングするシングルページアプリケーションとAPIサーバからなるWebアプリケーションのセッション管理方法について紹介します。 アプリケーションの構成 構成の概要 今回は例としてEC事業部で提供するカラーミーリピートをとりあげます。構成としては、Railsで作られたAPIサーバ1と、Vue.jsで作られたシングルページアプリケーション(SPA)からなります。また、SPAはExpressが動くフロントエンドサーバでサーバサイドレンダリング(SSR)します。APIサーバはSPAかフロントエンドサーバだけが呼び出します。各ロールはサブドメインが異なります。 APIサーバでセッションIDを持つCookieを発行し、Redisを用いてセッション管理します。また、APIサーバへのセッションが有効なリクエストはフロント
Intelligent Tracking Prevention 2.3
Note: Read about past updates to this technology in other blog posts about Intelligent Tracking Prevention, the Storage Access API, and ITP Debug Mode. Intelligent Tracking Prevention (ITP) version 2.3 is included in Safari on iOS 13, the iPadOS beta, and Safari 13 on macOS for Catalina, Mojave, and High Sierra. Enhanced Prevention of Tracking Via Link Decoration Our previous release, ITP 2.2, foc
ネット広告用のFriendly iFrameを作る - Qiita
前提 ネット広告を配信する枠としてのFriendly iFrameを前提にしています。 また、広告を配信する側の立場としてのお話です。 そもそもiframeって？ 入れ子になった閲覧コンテキストを表現し、実際に現在のページに他の HTML ページを埋め込むことができます。*1 iframeの面倒なところ 同じドメインでiframeを呼び出す場合は問題ないんですが、異なるドメインをiframeで呼び出す場合、クロスオリジン対応をしないとiframe内部、さらにiframe内から外部のHTMLにアクセスできません。 つまり、リファラーも取れないし、「300x250のレクタングルの枠だけど、パスバックで320x50のバナー出したいからiFrameの枠を変更しちゃえ」的なDOM操作もできない。 素のiFrameでは、ネット広告的には面倒なことがいっぱいなのです。 SafeFrameとFrinedl
ITP規制とはなんなのか？どういう変更で、広告にどういう影響があるのか？| デジタルマーケティング・サイト制作の情報を発信 | 株式会社Rabo（ラボ）
最近話題のITPって何なの？ ITP規制とはなんなのか？。どういう変更で、広告にどういう影響があるのか？インターネットで情報を検索するのが当たり前になった今、個人情報に対する方針が見直されています。 IT企業ではAppleが、個人情報保護に関して積極的な姿勢を公表しています。代表的なのが、「ITP（Intelligent Tracking Prevention）」の開発と実装です。広告業界の方は、ITPについて詳しく理解しておかないと広告効果が大きく薄れてしまう危険性もあります。 今回はITPとは何か、そして仕様の変遷や具体的にどういった影響が広告配信において出てくるのかなどを解説していきます。ITPを理解して、しっかり広告配信時に対応できるようになっておきたい」という方はぜひご覧ください。 1.ITPとは？ 「ITP」とは、主にサイトの後追い行為（トラッキング）を制限するための技術です。
今からはじめるITP2.4(?)対応｜AD EBiS マーテック研究会
朝起きたらSlackに新しいメッセージが届いていました。 （と書いて、もう１週間経っていますが） 次期ITPで実装されると思われる機能です。現時点ですでに３種類の変更が見えてきているので、一旦まとめておきたいと思います。前回はITP3としてリリースされると思っていたものが2.1,2.2,2.3に分割されてリリースされたので、バージョン番号の予測だけやめておきます。時期としては早くても3月（Safari 13.1）でしょうかね。 3rd party cookieの規制強化まずは3rd party cookieの規制強化です。Safariの今までの3rd party cookieの制限を（色々省略して）まとめると ・バージョン1.0（2003年）から持っていないcookieの読み書きをデフォルトでブロック ・ITP1.0からはさらにインタラクション（click, 入力）の記録がなく、そしてトラ
牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
Chrome 80が密かに呼び寄せる地獄 ～ SameSite属性のデフォルト変更を調べてみた - Qiita
Chrome 79以下や他ブラウザのデフォルト値。 Chrome 80からこの値を設定する場合、Secure属性も必須となる。 Aサイトに対し、Bサイトからどのようなリクエストがあっても、発行したサイトでCookieヘッダーに含める (Cookieを使用する) 図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないため
GoogleはChromeでユーザーエージェント文字列を段階的に廃止する方針
by Tati Tata ブラウザがウェブサイトにアクセスする際に送信するユーザーエージェント文字列は、使用しているOSやデバイスのアーキテクチャ、ブラウザの情報などを含んだテキストであり、ウェブサイトの表示形式などに影響します。オープンソースのウェブブラウザエンジンChromiumをベースとしてGoogleが開発するGoogle Chromeが、このユーザーエージェント文字列を段階的に廃止する方針であることが明らかになりました。 Intent to Deprecate and Freeze: The User-Agent string - Google グループ https://groups.google.com/a/chromium.org/forum/#!msg/blink-dev/-2JIRNMWJ7s/yHe4tQNLCgAJ Google to phase out user-a
Chromeは2年以内にサードパーティーCookieのサポートを廃止する方針
by Glenn Carstens-Peters Googleの開発する「Chrome」や、Microsoftの開発する「Edge」は、オープンソースのウェブブラウザエンジンChromiumをベースとしたウェブブラウザです。Chromiumの開発に携わるJustin Schuh氏が、よりプライベートなウェブを構築するために、「将来的にサードパーティーCookieを廃止する予定」であることを明かしました。 Chromium Blog: Building a more private web: A path towards making third party cookies obsolete https://blog.chromium.org/2020/01/building-more-private-web-path-towards.html Googleはユーザーのプライバシー保護を向上
HTTP クッキーをより安全にする SameSite 属性について (Same-site Cookies)
1. HTTP クッキーの基本動作HTTP クッキー（以下クッキーと書きます）とは、ウェブサーバー側がクライアント（ウェブブラウザ）側に保持させることができるデータのことをいいます。 クッキーの基本的な動作は以下となります。 (1) ウェブブラウザで サイトA にアクセスする ウェブブラウザで、例えば https://misc.laboradian.com/ にアクセスします。 これは言い換えると、「https://misc.laboradian.com/ というリソースを取得するためのリクエストを misc.laboradian.com というサーバー（ホスト）に送信した」ということになります。 (2) サーバーは、要求されたリソース（ページ）を返す サーバーは、要求されたリソース（ページ）を返しますが、このレスポンスにおけるヘッダ部にクッキー（と呼ばれるデータ）をセットして返すことがで
PHPでSame-site cookie - Qiita
2020年1月13日追記 SameSite cookieは2018年12月にリリースされたPHP7.3.0のsetcookie()関数でサポートされました。 7.3.0未満のPHPやPSR-7レスポンスに対してSet-Cookieヘッダをを設定したい場合のためにbag2/cookieライブラリを開発しました。詳しくはPSR-7と生PHPに対応したSet-Cookieライブラリを作った - 超PHPerになろうをお読みください。 近年のCookieではSameSiteと呼ばれる新しい属性が提案されました。この記事では、この属性の効能や副作用については言及しません。 めんどくさいからね… Can I useによれば現時点で50%を切る程度の普及率ではありますが、非対応ブラウザ向けに利用しても属性が無視されるだけなので、利用開始しても、おそらく支障ありません。 PHPでの問題 PHPではCook
CookieのSameSite属性 NoneとLaxの違い - Qiita
概要 CookieのSameSite属性について、 None(=属性なし)とLaxではサーバで受け取るときにどう違うのか、実際に動かしてみます。 背景 Chromeに関するこの発表を受けて、CookieのSameSite属性を調べ始めたのですが、以下がわかりませんでした。 LaxとStrictではなく、Noneとの違いは？ 付与の方法はわかったけど、受け取るときはどう違うの？ 結論 先に結論だけ書くと、サーバでCookieを受け取る際、以下のように挙動が異なります。 SameSite=Lax のCookieは、サーバとCookieのドメインが一致していても受け取れない場合がある(POSTメソッドや画像、iframeなど) SameSite=NoneのCookieは、サーバとCookieのドメインが一致していれば受け取れる(受け取れない場合がない) 検証 以下のCookieを持った状態で検証
PSR-7と生PHPに対応したSet-Cookieライブラリを作った - 超PHPerになろう
Cookies default to SameSite=Lax - Chrome Platform Statusということで、何もなければ2020年2月4日にはリリースされる見込みのChrome 80(参考: Chrome Platform Status)を皮切りにCookieにデフォルトがSameSite=Lax相当になるということで、駆け込みでSameSite=Noneを付けて回る需要があるらしいですね。 PHP 7.3が正式リリースされる前に書いたPHPでSame-site cookie - Qiitaが未だに参照されていて厳しい気持ちがあり、さりとて邪悪なPolyfillをまた作ってコピペさせるのも抵抗があり、と悩んでいるうちにバッドノウハウを堂々と書いた記事が出てきてしまったので、仕方なくライブラリにすることにしました。 github.com 週末は具合が悪くて昨晩から衝動的に作
ネット広告「クッキー離れ」広がる 10兆円市場変調も
日経の記事利用サービスについて 企業での記事共有や会議資料への転載・複製、注文印刷などをご希望の方は、リンク先をご覧ください。 詳しくはこちら ネット広告産業に変調の兆しが表れている。「クッキー」と呼ばれる閲覧履歴データを巡り、広告主企業の間で利用を見直す動きが広がっているためだ。クッキーは個人の趣味や嗜好を絞り込むターゲティング（狙う）広告に使われ、同広告の世界市場は2019年に初めて10兆円を超えたもよう。だが各国当局も規制に動いており、個人データ活用の巧拙やルール対応は企業のデジタル化競争に影響を及ぼしそうだ。 キリンホールディングス
Google Developers Japan: 新しい Cookie 設定 SameSite=None; Secure の準備を始めましょう
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads 71 Ads API 11
CSRF is (really) dead
Scott Helme Security researcher, entrepreneur and international speaker who specialises in web technologies. More posts by Scott Helme. A little while back I wrote a blog post about how "CSRF is dead". It focused on SameSite cookies, a powerful yet simple feature to protect your website against CSRF attacks. As powerful as it was, and as much as it will kill CSRF, you had to enable it on your site
safariのITP2.2とは？広告やアクセス解析への影響について解説
2019年4月24日、iOS 12.3より搭載される最新版safariにITP2.2(Inteligent Tracking Prevention 2.2)が搭載予定との発表がありました。 ただし、公式情報は英語表記かつ表現も難解であるため、なるべく平易な表現に改めつつ、ITP2.2について解説して参りたいと思います。 参考：Apple社からの公式情報（WebKit） なお、バージョン2.2に至るまでのITPのこれまでの遷移や、旧バージョンの影響等については以下記事にまとめているので、合わせて参照いただけるとより理解を深められると思います。 参考：ITP2.1までの解説（当サイト過去記事） ITP2.2とは ITP2.2とはズバリ、以下全ての条件に該当した場合、1st party cookieの寿命が最長で1日に規制される機能です。 ドメインAからドメインBに対してユーザーを誘導した（広告
ITP2.1対策 Safari 12.1 でCookieの有効期限を8日以上に延長する方法 - Qiita
※クライアントサイド ＝ Javascriptのdocument.cookieで作成。 ※サーバーサイド ＝ レスポンスヘッダーのSet-Cookieで作成。 ※いずれも、HttpOnlyフラグ無し、Secureフラグ無し。 この結果は、先の公式ブログで言及されていたとおりの挙動です。 クライアントサイド（Javascript）で作成したCookieのみ、有効期限が最大で7日に制限されています。 サーバーサイド（Set-Cookie）で作成されるCookieは制限を受けません。 参考画像： Safari 12.1 Beta3 でBingのCookieを表示。 Javascriptが作成したCookie "SRCHHPGUSR" の有効期限は、表示日時から7日後に制限されている。 その他のサーバーサイドCookieは有効期限の制限を受けない。 ITP2.1の影響 ITP2.1が本来ターゲット
ITP2.1の影響と対策方法のまとめ、JavaScript生成cookie7日間問題 | marketechlabo
ITPの仕様 次々と新しいバージョンがリリースされるITP。微妙にアップデートされ、仕様がわかりにくくなっているので現時点で最新のものを解説する。 ITPの目的と概要 われわれウェブサイト運用者は cookieやローカルストレージなどを使ってブラウザにドメインのデータを保持し、 それらのデータを必要に応じてツール間で連携する ことによって行動計測やコンテンツの出し分けなどのマーケティング活動を行っている。ITPはウェブサイト訪問者のプライバシー保持のためにそれを制限する仕組みである。具体的に何をやっているのかざっくりまとめると、 この3つのケースにおいて cookieなどを使ったデータ保持が短期間しかできなくなる（期間の長さはケースごとそれぞれ異なる） リファラが使い物にならなくなる 可能性があるということである。その結果 コンバージョントラッキングができない リマーケティング広告が配信で
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Firefox」がサードパーティー製Cookieをデフォルトブロックへ ～v67.0.1をリリース／まずは新規ユーザーから
