Prepararsi al ritiro dei cookie di terze parti

Avviso: Chrome ha annunciato che i cookie di terze parti non verranno più ritirati. Le indicazioni descritte qui non sono più necessarie e i componenti aggiuntivi non dovrebbero essere interessati all'inizio del 2025. Tuttavia, Chrome intende dare ancora più potere decisionale agli utenti in merito ai cookie di terze parti, quindi in futuro l'accesso ai cookie di terze parti potrebbe essere più limitato rispetto a oggi. Pertanto, questa guida potrebbe essere comunque utile per gli sviluppatori interessati a capire come vengono utilizzati i cookie di terze parti nei componenti aggiuntivi e a proteggersi in futuro da potenziali modifiche alla disponibilità dei cookie di terze parti con l'evoluzione dell'esperienza utente di Chrome.

Questa guida ti aiuta a comprendere l'impatto e le modifiche necessarie al tuo componente aggiuntivo introdotte dal ritiro del supporto per i cookie di terze parti da parte di Chrome.

Panoramica

Il 4 gennaio 2024, Chrome ha introdotto la Protezione antitracciamento, che limita per impostazione predefinita l'accesso dei siti web ai cookie di terze parti per l'1% degli utenti. All'inizio del 2025, Chrome prevede di eliminare completamente i cookie di terze parti.

Almeno due percorsi utente sono interessati nei componenti aggiuntivi di Classroom:

1. Flusso di Single Sign-On (SSO) di Google
2. Avvio degli utenti in nuove schede

SSO di Google

Durante il flusso SSO di Google, gli utenti vengono indirizzati a una finestra di dialogo per accedere al proprio Account Google e acconsentire alla condivisione dei dati.

Figura 1. Visualizzazione dei tre diversi contesti dei cookie durante l'accessoSSO da un iframe: (1) l'app Classroom di primo livello, (2) l'iframe di terze parti incorporato (in questo caso DavidPuzzle su localhost) e (3) la finestra di dialogo OAuth di primo livello.

In una tipica implementazione del componente aggiuntivo, un cookie di sessione viene impostato al termine di questa procedura di accesso. L'iframe del componente aggiuntivo, che si trova in un contesto incorporato, viene reloaded, ora con il cookie della sessione, consentendo all'utente di accedere alla sua sessione autenticata. Tuttavia, quando i cookie di terze parti sono disattivati, i siti in un contesto incorporato, come gli iframe dei componenti aggiuntivi, non possono accedere ai cookie dei rispettivi contesti di primo livello. Per i componenti aggiuntivi di Classroom, l'utente non riesce ad accedere alla sessione autenticata e rimane bloccato in un loop di accesso.

Per le implementazioni che impostano il cookie della sessione nel contesto dell'iframe incorporato, questo problema può essere attenuato dall'API CHIPS, che consente ai siti incorporati di impostare e accedere ai cookie partizionati (cookie basati sia sull'embedder sia sul dominio incorporato). Tuttavia, le implementazioni che impostano il cookie di sessione nel contesto di primo livello della finestra di dialogo di accesso non sono in grado di accedere al cookie non partizionato nell'iframe, impedendo l'accesso.

Nuove schede

Per motivi simili, se un utente ha una sessione autenticata basata su cookie in un iframe del componente aggiuntivo e l'iframe lo indirizza a una nuova scheda di primo livello per un'attività, la scheda di primo livello non è in grado di accedere al cookie della sessione partizionato dall'iframe. In questo modo, lo stato della sessione dell'iframe non viene mantenuto nell'attività della nuova scheda e, ad esempio, l'utente potrebbe dover eseguire nuovamente l'accesso nella nuova scheda. L'API CHIPS non è in grado di risolvere questo problema, per progettazione; i cookie di iframe suddivisi non sono accessibili in un contesto di primo livello.

Azioni dello sviluppatore

Esistono alcune azioni che dovresti prendere in considerazione per assicurarti che il tuo componente aggiuntivo continui a funzionare come previsto quando Chrome eliminerà gradualmente i cookie di terze parti.

1. Esegui controlli sull'utilizzo dei cookie di terze parti nei percorsi degli utenti critici del tuo componente aggiuntivo. In particolare, esegui il test con i cookie di terze parti disattivati per valutare l'impatto per la tua implementazione specifica.

2. Esplora l'API Storage Access. Per tutte le implementazioni dei componenti aggiuntivi, ti consigliamo di esplorare l'API Accesso allo spazio di archiviazione (SAA). L'ASA consente agli iframe di accedere ai propri cookie al di fuori del contesto dell'iframe. SAA è già disponibile in Chrome e supportato dall'app Classroom.

   Nota: se il flusso SSO non imposta i cookie nel contesto della finestra di dialogo e il plug-in non avvia gli utenti nelle schede di primo livello, potresti non aver bisogno di SAA. Prova la più semplice API CHIPS per vedere se soddisfa le tue esigenze.

3. Attiva FedCM. Inoltre, se utilizzi GIS, la libreria Accedi con Google, le indicazioni ufficiali del team di identità sono di attivare FedCM. Questa operazione non sostituisce le funzionalità dei cookie di terze parti, ma alla fine sarà obbligatoria in GIS nell'ambito del ritiro dei cookie di terze parti. FedCM è attualmente disponibile in Chrome e supportato in Classroom, ma il comportamento e le funzionalità sono ancora in fase di sviluppo e aperti al feedback.

4. Esegui la migrazione a GIS. Se utilizzi la libreria GSIv2 deprecata, nota anche come libreria Accedi con Google, ti consigliamo vivamente di eseguire la migrazione a GIS, poiché il supporto di GSIv2 in futuro non è chiaro.

5. Richiedi una prova del ritardo del ritiro. Chrome offre una prova del ritiro per consentire ai casi d'uso non pubblicitari di ritardare gli effetti del ritiro dei cookie di terze parti. Se accetti, ti verrà assegnato un token che potrai utilizzare nel tuo componente aggiuntivo per mantenere attivi i cookie di terze parti per la tua origine fino al 2024, mentre esegui la migrazione a una soluzione a lungo termine come SAA. Dopo aver inviato la richiesta, ti verrà chiesto di fornire un ID bug o un link per una segnalazione di malfunzionamento. Il nostro team ha già registrato il problema per i componenti aggiuntivi di Classroom e puoi fornire questo bug.

Avviso: gli sviluppatori che vengono accettati nella prova di ritiro avranno automaticamente attivati i cookie di terze parti durante un periodo di tolleranza anche senza il token nella loro app. Tieni presente questo avvertimento se vuoi utilizzare il ritiro del 1% per testare il funzionamento del tuo componente aggiuntivo senza cookie di terze parti.

Nota: la prova di ritiro è destinata alle applicazioni esistenti. Se al momento stai creando un componente aggiuntivo, pianifica di utilizzarlo con SAA o un'altra implementazione che consenta il funzionamento del componente aggiuntivo senza cookie di terze parti. Potresti non avere l'idoneità per la sperimentazione relativa al ritiro se non hai già un'applicazione interessata.

Nota: Chrome ha annunciato uno slittamento delle tempistiche dell'eliminazione graduale dei cookie di terze parti dalla seconda metà del 2024 all'inizio del 2025. Questa modifica potrebbe influire sulla durata del periodo di prova del ritiro e questa pagina verrà aggiornata in base alle modifiche.