Privacy Sandbox-Funktionen mit der Richtlinie für Berechtigungen steuern

Hier erfahren Sie, wie Sie die Verwendung einer Privacy Sandbox-Funktion auf der Seite zulassen oder ablehnen.

Richtlinie für Berechtigungen – Übersicht

Die Berechtigungsrichtlinie ist ein Webplattformmechanismus, mit dem auf einer Seite der Zugriff auf Funktionen gesteuert werden kann. Mithilfe der Berechtigungsrichtlinie kann eine Seite eine Funktion für die Seite der obersten Ebene selbst und für eingebettete ursprungsübergreifende iFrames zulassen oder ablehnen.

Beim Beantworten der Anfrage des Browsers können die Richtlinien, die auf die Seite angewendet werden sollen, im Antwortheader der Seite definiert werden. Außerdem wird im Iframe-Tag das allow-Attribut definiert, falls erforderlich, um die Funktion im Iframe zu aktivieren (sofern das übergeordnete Element auch die Berechtigung hat). Berechtigungen werden vom übergeordneten Element an das untergeordnete Element delegiert. Das untergeordnete Element eines Iframes erhält die Berechtigungen des übergeordneten Frames.

Die Berechtigungsrichtlinie funktioniert in Verbindung mit dem Antwortheader und dem allow-Attribut in iFrames. Die Funktion ist nur zulässig, wenn sie sowohl vom Antwortheader als auch vom allow-Attribut zugelassen wird. Wenn kein Header für die Berechtigungsrichtlinie angegeben ist, wird für jede Headerrichtlinie der Funktion standardmäßig * verwendet. Wenn das allow-Attribut eines Iframes nicht definiert ist, wird standardmäßig der Standardwert für die Zulassungsliste verwendet.

Wenn die Standardzulassungsliste * ist, ist die Funktion standardmäßig für die Seite der obersten Ebene und alle plattformübergreifenden Iframes auf der Seite verfügbar. Es entspricht <iframe src="some-url" allow="feature *"/> und das allow-Attribut muss nicht im Iframe definiert werden.

Wenn der Wert self ist, ist die Funktion nur für die Seite der obersten Ebene (und für iframes mit demselben Ursprung) verfügbar. Ohne explizite Delegierung durch die Seite ist sie nicht für iframes mit unterschiedlichen Ursprüngen verfügbar. Dies entspricht <iframe src="some-url" allow="feature 'self'"/>, wobei self der Ursprung des Embedbers ist. Daher muss das allow-Tag definiert werden, um die Funktion in einem plattformübergreifenden iFrame zu aktivieren.

Weitere Informationen zur Richtlinie zu Berechtigungen finden Sie in den folgenden Artikeln:

• Übersicht für Entwickler zum Steuern von Browserfunktionen mit der Berechtigungsrichtlinie – Chrome für Entwickler
• Referenzdokumentation für Entwickler zur Richtlinie zu Berechtigungen
• Vom W3C gehosteter Arbeitsentwurf für die Richtlinie zu Berechtigungen

Berechtigungsrichtlinie für Privacy Sandbox-Funktionen

In der folgenden Tabelle sind die Privacy Sandbox APIs aufgeführt, die durch die Berechtigungsrichtlinie gesteuert werden:

API	Anweisung	Beschreibung	Standard-Zulassungsliste
Attributionsberichte (Leitfaden / Spezifikation)	attribution-reporting	Ermöglicht die Nutzung der Attribution Reporting API	*
Federated Credential Management (Leitfaden / Spezifikation)	identity-credentials-get	Ermöglicht das Abrufen eines Anmeldedatenobjekts	self
Private Aggregation (Leitfaden /Spezifikation)	private-aggregation	Ermöglicht die Erstellung von Berichten mithilfe der privaten Aggregation	*
Private State Tokens (Leitfaden/Spezifikation)	private-state-token-issuance	Ermöglicht das Anfordern eines Tokens	* in Chrome 132 und höher self in früheren Versionen
	private-state-token-redemption	Ermöglicht das Einlösen eines Tokens und das Senden eines Einlösungsdatensatzes	* ab Chrome 132 self in früheren Versionen
Protected Audience (Leitfaden / Spezifikation)	join-ad-interest-group	Ermöglicht das Hinzufügen von Nutzern zu einer Interessengruppe für die Website	* während des Tests self in der Zukunft
	run-ad-auction	Ermöglicht das Ausführen einer Anzeigenauktion	*
Shared Storage (Spezifikation)	shared-storage	Ermöglicht das Lesen und Schreiben mit freigegebenem Speicher	*
	shared-storage-select-url	Ermöglicht die Ausführung des Vorgangs URL-Auswahl	*
Speicherzugriff (Leitfaden / Spezifikation)	storage-access	Ermöglicht den Zugriff auf die Storage Access API	*
requestStorageAccessFor (Leitfaden / Spezifikation)	top-level-storage-access	Ermöglicht den Zugriff auf die oberste Zugriffsebene über requestStorageAccessFor() für Websites, die in einer Gruppe ähnlicher Websites gruppiert sind	*
Themen (Leitfaden / Spezifikation)	browsing-topics	Ermöglicht das Generieren von Themen für den Nutzer und das Lesen der generierten Themen	*
User-Agent-Client-Hints (Leitfaden / Spezifikation)	Vollständige Liste der Überschriften	Ermöglicht, dass der angegebene Clienthinweis für den Anfragenden verfügbar ist.	Vollständige Liste der Standardwerte für die Zulassungsliste

Anders als bei Drittanbieter-Cookies, bei denen der Seiteninhaber keine detaillierte Kontrolle darüber hat, wie die Cookies von Drittanbieter-Iframes verwendet werden, kann auf einer Seite die Verwendung von Privacy Sandbox APIs durch die Seite selbst und Drittanbieter auf der Seite über die Berechtigungsrichtlinie zugelassen oder abgelehnt werden. So kann beispielsweise ein Seiteninhaber wie ein Publisher mithilfe der Berechtigungsrichtlinie bestimmten Drittanbietern erlauben, eine Anzeigenauktion durchzuführen, oder allen Drittanbietern das Lesen der Themen des Nutzers verweigern.

Viele Privacy Sandbox-Funktionen verwenden den Standardwert „*“ für die Zulassungsliste. Dadurch können alle websiteübergreifenden Iframes die Funktion verwenden, sofern dies nicht durch die Berechtigungsrichtlinie eingeschränkt ist. Der Seiteninhaber kann die Standardrichtlinie überschreiben und eine eigene Richtlinie verwenden, die es nur bestimmten Ursprüngen auf der Seite erlaubt, die Funktion zu verwenden. Standardmäßig sind Cookies in allen Frames zulässig, mit Ausnahme von iFrames in einer Sandbox. Sie fallen jedoch nicht unter die Berechtigungsrichtlinie und ihre Verwendung kann nicht vom Einbettungscode gesteuert werden. *.

Für einige Privacy Sandbox-Funktionen wird der Standardwert „self“ für die Zulassungsliste verwendet. Dadurch wird verhindert, dass iFrames verschiedener Herkunft die Funktion ohne explizite Deklaration verwenden. Der Seiteninhaber muss das Attribut allow verwenden, wenn er iframes mit unterschiedlichen Ursprungsdomains erstellt, um den Zugriff auf die Funktion zu ermöglichen. Später wird der Standardwert für die Zulassungsliste einiger Privacy Sandbox APIs, z. B. der join-ad-interest-group-Richtlinie für Protected Audience, in self geändert. Möglicherweise wird die Standardzulassungsliste für weitere APIs in Zukunft auf self umgestellt.