في السابق، كانت ملفات تعريف الارتباط التابعة لجهات خارجية تُستخدَم لتخزين المعلومات عن حالة المستخدم ونقلها، مثل حالة تسجيل الدخول، أو معلومات عن الجهاز الذي يستخدمه، أو ما إذا كانت معروفة وموثوقة. على سبيل المثال، ما إذا كان المستخدم قد سجّل الدخول من خلال تسجيل الدخول، أو ما إذا كان المستخدم لديه نوع معين من الأجهزة المتوافقة، أو ما إذا كان المستخدم معروفًا وموثوقًا به. مع إيقاف دعم ملفات تعريف الارتباط التابعة لجهات خارجية نهائيًا، سيتطلّب الأمر إتاحة العديد من حالات الاستخدام هذه بوسائل أخرى.
توفّر الرموز المميّزة للحالة الخاصة طريقة لمشاركة المعلومات على الإنترنت، ولكن بطريقة تحافظ على الخصوصية من خلال عناصر التحكّم في كمية البيانات التي يمكن مشاركتها.
تتيح الرموز المميّزة للحالة الخاصة (المعروفة سابقًا باسم Trust Tokens) نقل الثقة في مصداقية المستخدم من سياق إلى آخر، كما تساعد المواقع الإلكترونية في مكافحة الاحتيال والتمييز بين برامج التتبُّع والأشخاص الحقيقيين، بدون التتبّع السلبي.
يوضّح هذا المستند التفاصيل الفنية لتطبيق الرموز المميّزة للحالة الخاصة (PST). للحصول على مخطط أكثر تفصيلاً، يمكنك الاطّلاع على نظرة عامة على ملف PST.
كيف تعمل الرموز المميّزة للحالة الخاصة؟
إنّ العلاقة الأساسية التي يجب فهمها في توقيت المحيط الهادئ هي بين جهات الإصدار وجِهات تحصيل القيمة. يمكن أن تكون جهات الإصدار والمسؤولين عن تحصيل القيمة ممنوحون داخل الشركة نفسها.
- جهات الإصدار: تتضمّن هذه الكيانات إشارات عن مستخدم معيَّن (على سبيل المثال، ما إذا كان هذا المستخدم برنامج تتبُّع أم لا) وتتضمَّن إشارة إلى رمز مميّز مخزَّن على جهاز المستخدم (يمكنك الاطّلاع على مزيد من التفاصيل في الأقسام التالية).
- جهات تحصيل القيمة - قد لا يكون لدى هذه الكيانات إشارة حول المستخدم، ولكنّها تحتاج إلى معرفة معلومات عنه (على سبيل المثال، ما إذا كان هذا المستخدم برنامج تتبُّع أم لا) وتطلب تحصيل قيمة رمز مميّز من جهة الإصدار لمعرفة مدى موثوقية هذا المستخدم.
يتطلّب كل تفاعل من ملفات PST أن تتعاون جهات الإصدار وجهات تحصيل القيمة معًا لمشاركة الإشارات على الإنترنت. هذه الإشارات هي قيم تقريبية غير مفصلة بما يكفي لتحديد الأفراد.
هل الرموز المميّزة للحالة الخاصة مناسبة لي؟
قد تستفيد الشركات التي تتخذ قرارات بشأن الثقة وتريد أن تكون المعلومات في السياقات المختلفة من توقيت المحيط الهادئ. لمزيد من المعلومات حول حالات الاستخدام المحتملة لتوقيتات المحيط الهادئ، يمكنك الاطّلاع على مستنداتنا حول حالات استخدام توقيت المحيط الهادئ.
إصدار الرموز المميّزة وتحصيل قيمتها
يحدث تنفيذ ملف PST على ثلاث مراحل:
- إصدار الرموز المميّزة
- تحصيل قيمة الرموز المميّزة
- إعادة توجيه سجلّ تحصيل القيمة
في المرحلة الأولى، يتم إصدار الرموز المميّزة في متصفّح (عادةً بعد إجراء نوع من التحقّق). في المرحلة الثانية، سيطلب كيان آخر تحصيل قيمة الرمز المميّز الذي تم إصداره لقراءة القيمة في ذلك الرمز. في المرحلة الأخيرة، يتلقى الطرف المسؤول عن تحصيل القيمة سجلاً لاسترداد القيمة (RR) بالقيمة التي تم تضمينها في الرمز المميز. ويمكن لجهة تحصيل القيمة بعد ذلك استخدام هذا السجل كإقرار لذلك المستخدم لأغراض مختلفة.
تحديد استراتيجية الرموز المميّزة
لتحديد استراتيجية الرموز المميزة، يجب أن تفهم المفاهيم الأساسية لـ PST (الرموز المميزة وسجلات تحصيل القيمة)، والمتغيرات، والسلوكيات والقيود لتتمكن من التفكير في استخدامها المحتمل لحالة الاستخدام.
الرموز المميزة وسجلات تحصيل القيمة: ما العلاقة بينهما؟
يمكن لكل جهاز تخزين ما يصل إلى 500 رمز مميّز لكل جهة إصدار وموقع إلكتروني من المستوى الأعلى. أيضًا، يحتوي كل رمز مميز على بيانات وصفية تخبره بالمفتاح الذي استخدمته جهة الإصدار لإصداره. ويمكن استخدام هذه المعلومات لاتخاذ قرار بشأن تحصيل قيمة رمز مميّز أو عدم تحصيله أثناء عملية تحصيل القيمة. يتم تخزين بيانات PST داخليًا من خلال المتصفح على جهاز المستخدم ولا يمكن الوصول إليها إلا عن طريق واجهة برمجة تطبيقات PST.
عند استرداد قيمة رمز مميز، يتم تخزين سجل تحصيل القيمة (RR) على الجهاز. وتكون مساحة التخزين هذه بمثابة ذاكرة تخزين مؤقت لعمليات تحصيل القيمة المستقبلية. ويمكن تحصيل رمزَين مميّزَين كل 48 ساعة كحدّ أقصى لكل جهاز وصفحة وجهة إصدار. ستستخدم طلبات تحصيل القيمة الجديدة نُسخ السجلّ المخزّنة مؤقتًا كلما أمكن ذلك، بدلاً من إرسال طلب إلى جهة الإصدار.
- يتم إصدار رموز مميّزة جديدة (500 رمز مميّز لكل جهة إصدار وموقع إلكتروني وجهاز).
- ويتم تخزين جميع الرموز المميّزة على الجهاز (كما هو الحال مع مخزن ملفات تعريف الارتباط).
- وفي حال عدم وجود قوائم RR نشطة، يمكن إنشاء قوائم RR جديدة بعد الإصدار (بحد أقصى 2 كل 48 ساعة).
- تُعد RR R نشطة حتى انتهاء الصلاحية وسيتم استخدامها كذاكرة تخزين مؤقت محلية.
- ستظهر طلبات تحصيل القيمة الجديدة في ذاكرة التخزين المؤقت على الجهاز (لا يتم إنشاء أي قوائم تشغيل جديدة).
بعد تحديد حالة الاستخدام الخاصة بك، يجب عليك تحديد عمر RR بعناية لأن هذا سيحدد عدد المرات التي ستتمكن من استخدامها في حالتك.
تأكد من فهمك للسلوكيات والمتغيرات المهمة التالية قبل تحديد استراتيجيتك:
| المتغيّر / السلوك | الوصف | الاستخدام المحتمل |
|---|---|---|
| البيانات الوصفية لمفتاح الرمز المميّز | ويمكن إصدار كل رمز مميّز باستخدام مفتاح تشفير واحد فقط، وهناك حدّ أقصى يبلغ ستة مفاتيح لكل جهة إصدار في توقيت المحيط الهادئ. | إحدى الطرق المحتملة لاستخدام هذا المتغير هي تحديد نطاق من الثقة للرموز المميزة بناءً على مفاتيح التشفير (على سبيل المثال، المفتاح 1 = ثقة عالية بينما المفتاح 6 = بدون ثقة). |
| تاريخ انتهاء صلاحية الرمز المميّز | تاريخ انتهاء صلاحية الرمز المميّز هو نفسه تاريخ انتهاء صلاحية المفتاح. | يمكن تغيير المفاتيح كل 60 يومًا على الأقل كل 60 يومًا على الأقل، وتُعتبر جميع الرموز المميّزة الصادرة بمفاتيح غير صالحة أيضًا غير صالحة. |
| الحدّ الأقصى لمعدّل تحصيل قيمة الرمز المميّز | ويمكن لكل جهاز وجهة إصدار كحد أقصى تحصيل عمليتَي رمز مميّز كل 48 ساعة. | يعتمد ذلك على العدد المقدَّر لعمليات تحصيل القيمة التي تتطلّبها حالة الاستخدام كل 48 ساعة. |
| الحدّ الأقصى لعدد جهات الإصدار لكل مصدر من المستوى الأعلى | إنّ الحدّ الأقصى لعدد جهات الإصدار لكل أصل من المستوى الأعلى هو حاليًا اثنان. | حدد بدقة جهات إصدار كل صفحة. |
| الرموز المميّزة لكل جهة إصدار على الجهاز | يبلغ الحدّ الأقصى حاليًا لعدد الرموز المميزة لكل جهة إصدار على جهاز معيّن 500 رمز. | يُرجى الحرص على أن يكون عدد الرموز المميزة أقل من 500 لكل جهة إصدار. احرص على التعامل مع الأخطاء في صفحتك على الويب عند محاولة إصدار الرموز المميّزة. |
| عرض الالتزامات الرئيسية بالتناوب | على كل جهة إصدار ملفات PST عرض نقطة نهاية تتضمّن التزامات رئيسية يمكن تغييرها كل 60 يومًا، وسيتم تجاهل أي تغيير أسرع من ذلك. | إذا ستنتهي صلاحية مفاتيحك خلال أقل من 60 يومًا، سيكون عليك تعديل التزاماتك الرئيسية قبل هذا التاريخ لتجنُّب انقطاع الخدمة. (يُرجى الاطّلاع على التفاصيل). |
| العمر الافتراضي لسجلّ تحصيل القيمة | يمكن تحديد عمر RR من أجل تحديد تاريخ انتهاء الصلاحية. وبما أنّه يتم تخزين الردود السريعة مؤقتًا لتجنّب الطلبات الجديدة غير الضرورية لتحصيل القيمة إلى جهة الإصدار، من المهم التأكّد من توفُّر إشارات جديدة بما يكفي لتحصيل القيمة. | بما أنّ هناك حدًّا أقصى لمعدل تحصيل القيمة، وهو رمزان مميّزان كل 48 ساعة، من المهم تحديد عمر RR لتتمكّن من تنفيذ طلبات تحصيل القيمة بنجاح خلال هذه الفترة الزمنية على الأقل (يجب ضبط عمر RR وفقًا لذلك). يوصى بتعيين هذا العمر بترتيب الأسابيع. |
أمثلة على السيناريوهات
السيناريو 1: عمر RR أقل من 24 ساعة (t=t) ويتم تحصيل القيمة عدة مرات خلال فترة 48 ساعة.
السيناريو 2: تبلغ مدة RR 24 ساعة ويتم تحصيل القيمة عدة مرات خلال فترة 48 ساعة.
السيناريو 3: تبلغ مدة RR 48 ساعة ويتم تحصيل القيمة عدة مرات خلال فترة 48 ساعة.
تشغيل العرض التوضيحي
قبل استخدام توقيت المحيط الهادئ، ننصحك بإعداد الإصدار التجريبي أولاً. لتجربة الإصدار التجريبي من ملف PST، يجب تشغيل Chrome مزودًا بعلامة لتفعيل الالتزامات الرئيسية لجهة إصدار العرض التوضيحي (اتّبِع التعليمات المتاحة في صفحة العرض التوضيحي).
من خلال تشغيل هذا العرض التوضيحي، يستخدم متصفحك خوادم جهة الإصدار التجريبي وخوادم تحصيل القيمة لتوفير الرموز المميّزة واستخدامها.
اعتبارات فنية
سيتم تشغيل العرض التوضيحي على أفضل نحو في حال تنفيذ الخطوات التالية:
- تأكَّد من إيقاف جميع نُسخ Chrome الافتراضية قبل تشغيل Chrome باستخدام العلامات.
- في حال كنت تعمل على جهاز يعمل بنظام التشغيل Windows، يمكنك إلقاء نظرة على هذا الدليل حول كيفية تمرير المعلمات إلى البرنامج الثنائي القابل للتنفيذ في Chrome.
- افتح "أدوات مطوري البرامج في Chrome" ضمن التطبيقات > مساحة التخزين > الرموز المميّزة للحالة الخاصة أثناء استخدام تطبيق العرض التوضيحي للاطّلاع على الرموز المميّزة التي تم إصدارها/استردادها من خلال جهة إصدار العرض التوضيحي.
الإعداد للاعتماد
الانضمام إلى جهات الإصدار
تلعب جهات الإصدار دورًا رئيسيًا في توقيت المحيط الهادئ. ويقوم بتعيين قيم للرموز المميزة لتحديد ما إذا كان المستخدم برنامج تتبع أم لا. إذا أردت بدء استخدام PST كجهة إصدار، عليك التسجيل من خلال إكمال عملية تسجيل جهة الإصدار.
لتقديم طلب لتصبح جهة إصدار، على مشغِّل الموقع الإلكتروني الخاص بجهة الإصدار فتح مشكلة جديدة في مستودع GitHub باستخدام نموذج "جهة إصدار ملفات PST الجديدة". اتّبِع الإرشادات الواردة في المستودع لملء المشكلة. بعد التحقق من نقطة النهاية، سيتم دمجها في هذا المستودع وستبدأ البنية الأساسية من جهة خادم Chrome في جلب تلك المفاتيح.
خوادم جهة الإصدار
جهات الإصدار وجهات تحصيل القيمة هي الجهات الفاعلة الرئيسية في توقيت المحيط الهادئ، والخوادم والرموز المميزة هي الأدوات الرئيسية لتوقيت منطقة المحيط الهادئ. لقد قدّمنا بعض التفاصيل حول الرموز المميّزة وفي مستندات GitHub، ولكن أردنا تقديم المزيد من التفاصيل حول خوادم PST. للحصول على دور جهة إصدار ملفات PST، عليك أولاً إعداد خادم إصدار.
نشر بيئتك: خوادم جهة الإصدار
لتنفيذ خادم جهة إصدار الرمز المميز، ستحتاج إلى إنشاء تطبيق خاص بك من جهة الخادم يعرض نقاط نهاية HTTP.
يتكوّن مكوِّن جهة الإصدار من وحدتين رئيسيتين: (1) خادم جهة الإصدار و (2) جهة إصدار الرمز المميز.
كما هي الحال مع جميع التطبيقات الموجَّهة للويب، ننصح باستخدام طبقة حماية إضافية لخادم جهة الإصدار.
خادم جهة الإصدار: في مثالنا عن عملية التنفيذ، يكون خادم الإصدار هو خادم Node.js يستخدم إطار عمل Express لاستضافة نقاط نهاية HTTP لجهة الإصدار. يمكنك الاطّلاع على نموذج الرمز على GitHub.
جهة إصدار الرمز المميّز: لا يتطلب مكوّن ترميز جهة الإصدار استخدام أي لغة محدّدة، ولكن بسبب متطلبات الأداء لهذا المكوِّن، نقدّم كمثال على تنفيذ C يستخدم مكتبة Boring SSL لإدارة الرموز المميّزة. يمكنك العثور على مثال رمز جهة الإصدار والمزيد من المعلومات حول عملية التثبيت على GitHub.
المفاتيح: يستخدم مكوّن جهة إصدار الرمز المميّز مفاتيح EC مخصصة لتشفير الرموز المميّزة. ويجب حماية هذه المفاتيح وتخزينها في مساحة تخزين آمنة.
المتطلبات الفنية لخوادم جهة الإصدار
وفقًا للبروتوكول، عليك تنفيذ نقطتَي نهاية HTTP على الأقل في خادم جهة الإصدار:
- التزام المفتاح (مثل
/.well-known/private-state-token/key-commitment): نقطة النهاية هذه هي المكان الذي تتوفر فيه تفاصيل المفتاح العام للتشفير للمتصفّحات للتأكد من صحة الخادم. - إصدار الرموز المميّزة (مثل
/.well-known/private-state-token/issuance): نقطة نهاية إصدار الرمز المميّز التي سيتم من خلالها معالجة جميع طلبات الرموز المميّزة. ستكون نقطة النهاية هذه نقطة الدمج لمكون جهة إصدار الرمز المميز.
كما ذكرنا سابقًا، ونظرًا لارتفاع عدد الزيارات المتوقّعة التي من المحتمل أن يتعامل معها هذا الخادم، ننصحك بنشره باستخدام بنية أساسية قابلة للتطوير (على سبيل المثال، في بيئة سحابية) ليتمكّن من تعديل الخلفية بناءً على طلب متغير.
إرسال مكالمة إلى خادم جهة الإصدار
يمكنك تنفيذ طلب استرجاع بيانات الموقع الإلكتروني في حزمة جهة الإصدار لإصدار رموز مميزة جديدة.
// issuer request
await fetch("/.well-known/private-state-token/issuance", {
method: "POST",
privateToken: {
version: 1,
operation: "token-request"
}
});
خوادم تحصيل القيمة
وسيكون عليك تنفيذ خدمة تحصيل قيمة الرموز المميزة من خلال إنشاء تطبيقك الخاص من جهة الخادم. سيسمح لك ذلك بقراءة الرموز المميزة التي ترسلها جهة الإصدار. توضّح الخطوات التالية كيفية تحصيل قيمة الرموز المميّزة وكيفية قراءة سجلات تحصيل القيمة المرتبطة بهذه الرموز المميّزة.
يمكنك اختيار تشغيل جهة الإصدار وبرنامج تحصيل القيمة على الخادم نفسه (أو مجموعة من الخوادم).
المتطلبات الفنية لخوادم تحصيل القيمة
وفقًا للبروتوكول، عليك تنفيذ نقطتَي نهاية HTTP على الأقل لخادم تحصيل القيمة:
/.well-known/private-state-token/redemption: نقطة النهاية التي سيتم من خلالها معالجة كل الرموز المميّزة ستكون نقطة النهاية هذه هي المكان الذي سيتم فيه دمج مكوِّن أداة استرداد الرمز المميّز.
إرسال مكالمة إلى خادم تحصيل القيمة
لتحصيل قيمة الرموز المميّزة، عليك تنفيذ طلب استرجاع الموقع الإلكتروني على حزمة تحصيل القيمة بهدف تحصيل قيمة الرموز المميّزة التي تم إصدارها سابقًا.
// redemption request
await fetch("/.well-known/private-state-token/redemption", {
method: "POST",
privateToken: {
version: 1,
operation: "token-redemption",
refreshPolicy: "none"
}
});
اطّلِع على نموذج التعليمات البرمجية.
بعد تحصيل قيمة رمز مميّز، يمكنك إرسال سجلّ تحصيل القيمة (RR) من خلال إجراء طلب استرجاع آخر:
// attach redemption records from the issuers to the request
await fetch("<DESTINATION_RESOURCE>", {
method: "POST",
privateToken: {
version: 1,
operation: "send-redemption-record",
issuers: [<ISSUER_DOMAIN>]
}
});
اطّلِع على نموذج التعليمات البرمجية.
نشر عملية التنفيذ
لاختبار عملية التنفيذ، انتقِل أولاً إلى صفحة الويب التي يتم فيها طلب إصدار الطلب وتأكَّد من إنشاء الرموز المميّزة وفقًا لمنطقك. في الخلفية، عليك التأكّد من أنّه تم إجراء المكالمات وفقًا للمواصفات. بعد ذلك، انتقل إلى صفحة الويب التي يتم فيها إجراء استدعاء تحصيل القيمة وتأكد من إنشاء RR، باتباع منطقك.
النشر في العالم الحقيقي
وننصحك باختيار المواقع الإلكترونية المستهدفة التي تشكّل جزءًا من حالة الاستخدام المحددة لديك:
- عدد صغير من الزيارات الشهرية (حوالي < مليون زيارة شهريًا): عليك البدء بنشر واجهة برمجة التطبيقات لمجموعة صغيرة من الجمهور أولاً.
- امتلاكه والتحكّم به: إذا لزم الأمر، يمكنك إيقاف التنفيذ بسرعة بدون موافقات معقدة
- ما مِن جهة إصدار واحدة: للحدّ من عدد الرموز المميّزة من أجل تبسيط الاختبار
- ما لا يزيد عن مستخدمَين لتحصيل القيمة: عليك تبسيط عملية تحديد المشاكل وحلّها في حال حدوث مشاكل.
تحديد المشاكل وحلّها
يمكنك فحص ملفات PST من علامتَي التبويب "الشبكة" و"التطبيق" في "أدوات مطوري البرامج في Chrome".
في علامة التبويب "الشبكة" :
في علامة التبويب "التطبيق":
يمكنك الاطّلاع على المزيد من المعلومات حول دمج أدوات مطوّري البرامج.
أفضل ممارسات الخادم وتحديد المشاكل وحلّها
لكي يعمل خادم جهة الإصدار وخادم تحصيل القيمة بشكل فعّال، ننصحك باتّباع أفضل الممارسات التالية لضمان عدم مواجهة أي مشاكل متعلّقة بالوصول أو الأمان أو التسجيل أو الزيارات لتوقيت منطقة المحيط الهادئ.
- يجب أن تطبق نقاط النهاية تشفيرًا قويًا باستخدام طبقة النقل الآمنة (TLS) 1.3 أو 1.2.
- يجب أن تكون البنية الأساسية جاهزة للتعامل مع أعداد حركة المرور المتغيّرة (بما في ذلك الارتفاعات المفاجئة في عدد الزيارات).
- تأكَّد من أنّ مفاتيحك محمية وآمنة، وتتوافق مع "سياسة التحكّم في الوصول" و"استراتيجية إدارة المفاتيح" و"خطط استمرارية العمل".
- يمكنك إضافة مقاييس الملاحظة إلى الحزمة للتأكّد من أنّه بإمكانك فهم الاستخدام والعوامل السلبية ومشاكل الأداء بعد الانتقال إلى مرحلة الإنتاج.
مزيد من المعلومات
- مراجعة مستندات المطوّرين:
- ابدأ بقراءة نظرة عامة للاطّلاع على آخر المعلومات عن توقيت المحيط الهادئ وإمكاناته.
- يمكنك مشاهدة فيديو تقديمي عن توقيت المحيط الهادئ.
- جرِّب العرض التوضيحي لتوقيت منطقة المحيط الهادئ.
- يمكنك أيضًا الاطّلاع على شرح واجهة برمجة التطبيقات لفهم المزيد من التفاصيل حولها.
- يمكنك الاطّلاع على مزيد من المعلومات حول المواصفات الحالية لواجهة برمجة التطبيقات.
- يمكنك المساهمة في المحادثة عبر مشاكل GitHub أو مكالمات W3C.
- لفهم أي من المصطلحات بشكل أفضل، يُرجى مراجعة مسرد مصطلحات "مبادرة حماية الخصوصية".
- للمزيد من المعلومات حول مفاهيم Chrome، مثل "تجربة الوصول إلى إصدار تجريبي" أو "عمليات الإبلاغ عن Chrome"، يمكنك مراجعة الفيديوهات القصيرة والمقالات المتاحة على الرابط goo.gle/cc.