行业动态和新闻•2020年1月17日,

SameSite安全更新为铬:什么它意味着＆如何来准备

新的文字-动作

Chrome更新7月14日，2020年7月14日：

2020年4月3日Chrome更新:

2020年2月11日更新:

  • 添加link to drop-in solution for all cookies set via JavaScript。

2020年2月3日更新:

  • 谷歌之前表示，SameSite将与Chrome v80在2020年2月4日发货，但现在是说这些更新将“从2020年2月17日那周开始面向有限的初始人口”。
  • 之前，我们曾表示，即将到来的SameSite更新不会对谷歌Analytics的跟踪产生影响。然而Simo Ahava指出，跨iframe跟踪跨站点iframe能够受影响——我们已经加了处理这些案件的说明作为一个结果。

什么是samesite更新？

去年谷歌宣布对跨站点cookie标准的更新，作为改进数据隐私和安全的持续努力的一部分。新标准将于2020年2月17日生效。Firefox和Edge计划支持，但没有具体的时间。

这些更改意味着跨站点(也就是第三方)cookie必须明确声明自己是跨站点(细节)，并只使用HTTPS (细节)．

同一网站的行业影响

SameSite更新本身并没有施加任何新的限制。唯一的直接影响是:

  • 这是开发者的过度担忧
  • 对所有的web开发人员做了一点研究，并对一些进行了少量的代码更新
  • 大量废弃的第三方cookie，为整个互联网节省了边际带宽字节

SameSite本身没有添加任何功能上的好处(或障碍)，但它将成为更有影响力的更新的立足点。第一个与安全有关，同时到达……

通过要求跨站点/第三方cookie被加密，一些黑客攻击向量被否定(例如。CSRF)．这是谷歌进一步提高HTTPS网络比例的又一举措。而转向HTTPS对平台安全和用户隐私总是有利的!

我敢打赌SameSite的cookie属性也将是一个垫脚石，从铬的未来变化隐私沙箱，这似乎是需要的周到和多样化的方法(*cough* ITP)，以保护用户，同时也使提供者受益。

有些东西会破碎

如果一切顺利，最终用户将不会看到Samesite更新中的任何更改。但实际上，我们可以在日常工具中遇到打嗝或两个人，因为我们自己是最终用户。肯定会有不太积极维护的服务，脚本，功能和插件，这些插件将部分或完全突破。并且总是有机会欺骗他们的更新！

作为最终用户，如果某些事情于2月17日或之后不久：

  1. 请清除cookies并重试。
  2. 通知供应商。
  3. 如果您不想等待提供者推出修复，可以通过禁用Chrome中的新Samesite Cookie限制来为自己“修复”它：chrome: / /标志/ # same-site-by-default-cookies(这不是一个长期的解决方案，但可以方便地让网站小部件或浏览器扩展或Trello电源再次工作!)

作为提供者，请继续阅读，以确保您的应用程序不会为您的用户中断!

你准备好去同一个网站了吗?

大多数第三方cookie的使用都是第三方跟踪或认证平台。不要担心这些，因为这些供应商将在他们的终端做出必要的更改，如果他们还没有。

如果您在站点的控制台中看到SameSite警告，请查看它的域。如果它不是你的领域，那是一个供应商的领域谁还没有作出纠正(即。GTM)．

同样的网站会影响谷歌分析吗?

这个网站更新只影响第三方cookie，所以一般不应该影响谷歌Analytics或任何其他平台，只使用第一方跟踪cookie。然而，有一个例外:跨站点iframes．

跨站点iframe本质上是页面的第三方上下文，所以SameSite可能会破坏您所拥有的任何跨站点iframe跟踪。我们希望谷歌将更新Analytics .js，所以Universal Analytics跟踪将继续在iframes中工作，就像它在SameSite更新之前做的那样，但是:

  • 它不保证Google将更新Analytics.js，因此实现自定义解决方法可能是谨慎的。
  • 即使analyze .js被谷歌自动更新，在iframe中不使用HTTPS的跟踪也会中断。
  • 老版本的GA跟踪，包括GA .js，几乎肯定不会被谷歌更新。如果你在iframe中有非通用GA跟踪，它很容易崩溃，需要更新。
  • 对于任何更新，iframe在初始加载的iframe页面上的跟踪可能会像预期的那样继续跟踪，但是在iframe重新加载后的跟踪(例如在iframe内部的表单确认页面上)可能无法访问初始iframe页面上设置的跟踪cookie。这意味着跟踪将有一个不同的GA客户端id，并且将不能访问在初始iframe页面上设置的任何cookie。

如果您依赖于跨iframe跟踪进行测量，您将需要做出改变符合Samesite更新。否则，您的Google Analytics跟踪不应受到影响。

如何预览相同的网站功能

首先，确认您的浏览器是否已经通过访问来执行Samesite更新这个网站．如果所有行都是绿色的，那么这些更新已经被强制执行了。如果没有，那么你可以通过启用两个特性标志来测试你的cookie在第三方环境下的行为:chrome: / /标志/ # same-site-by-default-cookies和Chrome：//旗帜/＃cookies-act-site-site-be-be-secure．

如何准备同一个网站

从2020年2月17日开始，同一网站的cookie要求将开始广泛实施。如果你的应用程序使用第三方cookie，你需要准备:

  • 集SameSite =没有当设置任何第三方cookie (细节)．
  • 集安全用于任何第三方cookie。这意味着，如果您使用任何非HTTPS url与第三方cookie，您将需要将它们迁移到HTTPS (细节)．
David Vallejo分享了一个优雅的解决方案它可以通过JavaScript自动处理任何cookie集的必要更改(假设页面是HTTPS)。该解决方案通过“劫持”整个页面的cookie setter处理程序来工作，因此如果实现不正确，可能会破坏所有cookie，应该进行彻底的测试。

谷歌已经一个完整的纲要对于开发人员来说,一个很好的概述视频,详细的测试指南铬队的。这是来自Auth0的深度潜水也是一个很好的资源。

跨站点Iframes中的GA跟踪

同一个站点可能会破坏你的GA跟踪的一个区域是跨站点iframes。如果您的iframe位于与所包含页面相同的顶级域，或者您没有跨iframe跟踪，那么什么都不会改变。但是如果您有跨站点iframe跟踪，那么您需要更新您的设置。

在iframe中没有导航/重载的情况下，常见的跨iframe跟踪解决方案应该继续正常工作，但为了安全起见，我们建议更新您的设置。

  1. 首先，iframes必须使用HTTPS。
  2. 有多种方法可以使主GA cookie与同一个站点兼容。添加这段代码to customTask for all GA hits in iframes是最简单和最通用的方法。看到小费的一个替代方法，它涵盖了所有JS cookie。
  3. 最后，您应该更新所有在iframe中读取或设置的自定义cookieSameSite =没有;安全．

如果，最坏的情况?

从理论上讲，如果你和你的广告/分析平台供应商都未能对SameSite进行必要的更新，那么对于Chrome用户来说:

  • 如果跟踪依赖于跨站点cookie，那么在某些或所有情况下可能不会跟踪转换。但很有可能存在退路，因此对转化率报告的影响可能仍然很小甚至没有。
  • 依赖于第三方cookie的特定分析功能(如GA的人口统计报告)将趋于平缓。
  • 再营销/广告定位将崩溃。
  • 跨站点跟踪将中断会话，并且无法连接到iframe之外的用户行为。

但是如果您信任供应商(您当然信任，否则他们不会是您的供应商!)，那么请相信他们已经为无缝过渡做好了准备。如果您对任何特定的供应商有疑问，请直接与该供应商联系以获得更多信息。

我们在Seer的团队将继续为您提供最新的数字营销消息。我们将在开发的几个月里报告SameSite的影响。与此同时，让我们来看看最近其他一些震撼这个行业的更新:

注册我们的时事通讯，了解这样的更多帖子 - 直接向您的收件箱提供！

相关的帖子