โทเค็นสถานะส่วนตัว

สถานะการติดตั้งใช้งาน

โทเค็นสถานะส่วนตัวคืออะไร

   

โทเค็นสถานะส่วนตัวช่วยให้สามารถส่งความน่าเชื่อถือของผู้ใช้จากบริบทหนึ่งไปยังอีกบริบทหนึ่งได้ เพื่อช่วยให้เว็บไซต์ต่อสู้กับการประพฤติมิชอบและแยกบ็อตออกจากผู้ใช้จริงได้โดยไม่ต้องมีการติดตามแบบไม่โต้ตอบ

  • เว็บไซต์ผู้ออกบัตรสามารถออกโทเค็นให้กับเว็บเบราว์เซอร์ของผู้ใช้ที่แสดงให้เห็นว่าเชื่อถือได้ เช่น ผ่านการใช้งานบัญชีอย่างต่อเนื่อง การทำธุรกรรมให้เสร็จสมบูรณ์ หรือได้คะแนน reCAPTCHA ที่ยอมรับได้
  • เว็บไซต์ผู้แลกสิทธิ์สามารถยืนยันว่าผู้ใช้ไม่ใช่ผู้ใช้ปลอมได้โดยตรวจสอบว่าผู้ใช้มีโทเค็นจากผู้ออกบัตรที่ผู้แลกสิทธิ์เชื่อถือหรือไม่ จากนั้นจึงแลกสิทธิ์โทเค็นตามที่จำเป็น

โทเค็นสถานะส่วนตัวได้รับการเข้ารหัส จึงไม่สามารถระบุตัวบุคคลหรือเชื่อมต่ออินสแตนซ์ที่เชื่อถือและไม่เชื่อถือเพื่อค้นหาตัวตนของผู้ใช้

เหตุใดเราจึงต้องใช้โทเค็นสถานะส่วนตัว

เว็บต้องมีวิธีสร้างและสื่อสัญญาณความน่าเชื่อถือซึ่งแสดงให้เห็นว่าผู้ใช้เป็นบุคคลที่อ้างว่าเป็น และไม่ใช่บ็อตที่แอบอ้างเป็นมนุษย์หรือบุคคลที่สามที่ประสงค์ร้ายซึ่งฉ้อโกงบุคคลหรือบริการจริง การป้องกันกลโกงมีความสําคัญอย่างยิ่งสําหรับผู้ลงโฆษณา ผู้ให้บริการโฆษณา และ CDN

แต่น่าเสียดายที่กลไกที่มีอยู่มากมายในการวัดและเผยแพร่ความน่าเชื่อถือ เช่น การตรวจสอบว่ามีการโต้ตอบกับเว็บไซต์จากมนุษย์จริงหรือไม่ ใช้ประโยชน์จากเทคนิคที่สามารถใช้สำหรับการเก็บข้อมูลลายนิ้วมือได้ด้วย กลไกในการสื่อให้เห็นถึงความน่าเชื่อถือต้องรักษาความเป็นส่วนตัว ซึ่งช่วยให้สามารถเผยแพร่ความน่าเชื่อถือในเว็บไซต์ต่างๆ ได้โดยไม่ต้องติดตามผู้ใช้แต่ละราย

Private State Token API ช่วยให้เว็บไซต์สามารถออกโทเค็นการเข้ารหัสให้กับผู้ใช้ที่เชื่อถือได้ ซึ่งผู้ใช้สามารถนำไปใช้ที่อื่นในภายหลัง เบราว์เซอร์ของผู้ใช้จะจัดเก็บโทเค็นอย่างปลอดภัย จากนั้นจึงแลกสิทธิ์ในบริบทอื่นๆ เพื่อยืนยันความถูกต้องของผู้ใช้ ซึ่งช่วยให้ผู้ใช้เว็บไซต์หนึ่ง (เช่น เว็บไซต์โซเชียลมีเดียหรือบริการอีเมล) ไว้วางใจเว็บไซต์อื่น (เช่น ผู้เผยแพร่โฆษณาหรือร้านค้าออนไลน์) ได้โดยไม่ต้องระบุตัวตนของผู้ใช้หรือเชื่อมโยงข้อมูลประจำตัวในเว็บไซต์ต่างๆ

โทเค็นสถานะส่วนตัวทํางานอย่างไร

ในตัวอย่างนี้ เว็บไซต์ของผู้เผยแพร่โฆษณาต้องการตรวจสอบว่าผู้ใช้เป็นบุคคลจริง ไม่ใช่บ็อต ก่อนที่จะแสดงโฆษณา

  1. ผู้ใช้เข้าชมเว็บไซต์ (เรียกว่าผู้ออกบัตร) และดำเนินการต่างๆ ที่ทําให้เว็บไซต์เชื่อว่าผู้ใช้เป็นบุคคลจริง เช่น การซื้อ ใช้บัญชีอีเมล หรือทํา reCAPTCHA จนเสร็จสมบูรณ์
  2. เว็บไซต์ผู้ออกบัตรใช้ JavaScript API ของโทเค็นสถานะส่วนตัวเพื่อเรียกใช้คําขอโทเค็นความน่าเชื่อถือสําหรับเบราว์เซอร์ของผู้ใช้
  3. เว็บไซต์ของผู้ออกบัตรจะตอบกลับด้วยข้อมูลโทเค็น
  4. เบราว์เซอร์ของผู้ใช้จะจัดเก็บข้อมูลสำหรับโทเค็นความน่าเชื่อถืออย่างปลอดภัย
  5. ผู้ใช้เข้าชมเว็บไซต์อื่น (เช่น ผู้เผยแพร่ข่าว) ที่ต้องการยืนยันว่าผู้ใช้เป็นบุคคลจริงหรือไม่ เช่น เมื่อแสดงโฆษณา
  6. เว็บไซต์ใช้ Private State Token API เพื่อตรวจสอบว่าเบราว์เซอร์ของผู้ใช้มีโทเค็นความน่าเชื่อถือที่จัดเก็บไว้สำหรับผู้ออกใบอนุญาตที่เว็บไซต์เชื่อถือหรือไม่
  7. พบโทเค็นสถานะส่วนตัวของผู้ออกใบอนุญาตที่ผู้ใช้เข้าชมก่อนหน้านี้
  8. เว็บไซต์ของผู้เผยแพร่โฆษณาส่งคําขอไปยังผู้ออกบัตรเพื่อแลกโทเค็นความน่าเชื่อถือ
  9. เว็บไซต์ของผู้ออกบัตรจะตอบกลับด้วยบันทึกการแลกสิทธิ์
  10. เว็บไซต์ของผู้เผยแพร่โฆษณาส่งคําขอไปยังแพลตฟอร์มโฆษณา รวมถึงบันทึกการแลกสิทธิ์เพื่อแสดงว่าผู้ใช้ได้รับการเชื่อถือจากผู้ออกบัตรว่าเป็นบุคคลจริง
  11. แพลตฟอร์มโฆษณาให้ข้อมูลที่จําเป็นในการแสดงโฆษณา
  12. เว็บไซต์ของผู้เผยแพร่โฆษณาแสดงโฆษณา
  13. ระบบจะนับการแสดงโฆษณา

มีเครื่องมือสำหรับโทเค็นสถานะส่วนตัวไหม

เครื่องมือสำหรับนักพัฒนาเว็บใน Chrome จะเปิดการตรวจสอบจากแท็บเครือข่ายและแอปพลิเคชัน อ่านข้อมูลเพิ่มเติมเกี่ยวกับการผสานรวมกับเครื่องมือสำหรับนักพัฒนาเว็บนี้และเกี่ยวกับโทเค็นสถานะส่วนตัว

เว็บไซต์จัดการโทเค็นจากผู้ออกบัตรที่เชื่อถือได้หลายรายอย่างไร

เว็บไซต์จะตรวจสอบเบราว์เซอร์ของผู้ใช้เพื่อหาโทเค็นที่ถูกต้องด้วย document.hasTrustToken() ของผู้ออกบัตรได้ครั้งละ 1 ราย หากผลลัพธ์คือ true และโทเค็นพร้อมใช้งาน เว็บไซต์จะแลกสิทธิ์รับโทเค็นและหยุดค้นหาโทเค็นอื่นๆ ได้

เว็บไซต์ต้องตัดสินใจว่าจะตรวจสอบผู้ออกโทเค็นรายใดและตรวจสอบตามลำดับใด

กรณีการใช้งาน

โทเค็นสถานะส่วนตัว (PST) รองรับกรณีการใช้งานการป้องกันการประพฤติมิชอบที่หลากหลาย หัวใจสําคัญของ PST คือสามารถทําหน้าที่เป็นสัญญาณความน่าเชื่อถือเพิ่มเติมได้ เนื่องจาก API สามารถเข้ารหัสข้อมูลบางส่วนที่จะช่วยสื่อความน่าเชื่อถือจากบริบทหนึ่งไปยังอีกบริบทหนึ่ง เมื่อคุกกี้ของบุคคลที่สามจะหยุดให้บริการ เราตระหนักดีว่าจะต้องตรวจสอบให้แน่ใจว่ากรณีการใช้งานต่อไปนี้ยังคงทํางานได้ตามที่ต้องการ Use Case ทั้งหมดของ PST กำหนดให้ทั้งผู้ออกบัตรและผู้แลกสิทธิ์ต้องทำงานร่วมกัน คุณอาจต้องพิจารณาใช้ PST หากมีกรณีการใช้งานที่คล้ายกับกรณีต่อไปนี้

  • บริการป้องกันการประพฤติมิชอบ: การป้องกันการประพฤติมิชอบเป็น Use Case ที่ถูกต้องตามกฎหมายที่เว็บควรรองรับ แต่ไม่ควรต้องใช้ตัวระบุแบบคงที่ทั่วโลกต่อผู้ใช้ ในบริบทของบุคคลที่สาม คุณสามารถใช้ PST เพื่อแบ่งกลุ่มผู้ใช้ออกเป็นกลุ่มที่เชื่อถือและไม่เชื่อถือ
  • การวิเคราะห์การประพฤติมิชอบเกี่ยวกับโฆษณา: PST อาจมีประโยชน์ในการวิเคราะห์การคลิก การแสดงผล และรูปแบบของบ็อตที่เป็นการประพฤติมิชอบในบริการเทคโนโลยีโฆษณา
  • การตรวจหาบ็อต: หลังจากวิเคราะห์ว่าเบราว์เซอร์เป็นบ็อตหรือไม่ PST จะช่วยเข้ารหัสข้อมูลดังกล่าวเพื่อแชร์จากบริบทหนึ่งไปยังอีกบริบทหนึ่ง
  • การชำระเงินที่ปลอดภัย: หากต้องการตรวจหาภัยคุกคามที่ระบุได้ยากขึ้นในบริบทของบุคคลที่สามซึ่งมีข้อมูลจํากัด (เช่น การโจรกรรมข้อมูลบัตรเครดิต) คุณสามารถใช้ PST เป็นสัญญาณเพิ่มเติมเพื่อสื่อถึงความน่าเชื่อถือ
  • บริการป้องกันการละเมิดในอีคอมเมิร์ซ: การตรวจหาบ็อตในการโต้ตอบทางอีคอมเมิร์ซ (การคลิก การชำระเงิน การซื้อ การให้คะแนนผลิตภัณฑ์ บ็อตแชท การส่งคืนสินค้า) มีความสำคัญอย่างยิ่งในการหลีกเลี่ยงการคัดลอกข้อมูลหน้าเว็บและการโต้ตอบที่ไม่ได้มาจากมนุษย์ ข้อมูลนี้อาจเป็นสัญญาณเพิ่มเติมที่สําคัญในการตรวจหาตัวแทนอัตโนมัติสําหรับผู้ให้บริการป้องกันการประพฤติมิชอบของบุคคลที่สามในแพลตฟอร์มอีคอมเมิร์ซ
  • บริการ CDN: PST มีกลไกที่จะช่วยในการรายงานและตรวจจับการเข้าชมที่เป็นการฉ้อโกง

รายการ Use Case นี้ไม่ได้ครอบคลุมความสามารถทั้งหมดในการป้องกันการประพฤติมิชอบซึ่งอาจได้รับประโยชน์จากโทเค็นสถานะส่วนตัว นอกจากนี้ รายการนี้ยังไม่ใช่รายการที่ครอบคลุมทั้งหมด เนื่องจาก PST อาจเป็นประโยชน์ต่อเวิร์กโฟลว์การป้องกันการประพฤติมิชอบหลายรายการ

เส้นทางของผู้ใช้

การออกและการแลกสิทธิ์เป็นองค์ประกอบหลักของโทเค็นสถานะส่วนตัว แม้ว่า Use Case ก่อนหน้านี้จะเป็นพื้นที่หลักที่รองรับ PST แต่คุณอาจพิจารณาช่วงเวลาต่อไปนี้ในเส้นทางของผู้ใช้บางเส้นทางเป็นกรณีที่คุณต้องการออกหรือแลกโทเค็น

  • ออกโทเค็นระหว่างขั้นตอนการจัดการบัญชี (การเข้าสู่ระบบ การลงชื่อสมัครใช้ รีเซ็ตรหัสผ่าน และอื่นๆ)
  • ออกโทเค็นหลังจากยืนยันการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA)
  • ออกโทเค็นหลังจากการดำเนินการที่มีความเสี่ยงสูง เช่น การลบประวัติการชำระเงิน
  • แลกโทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงปานกลาง
  • แลกโทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงสูง

การปฏิบัติตามกฎหมายว่าด้วยความเป็นส่วนตัวทางอิเล็กทรอนิกส์

การออกโทเค็นสถานะส่วนตัวเกี่ยวข้องกับการจัดเก็บข้อมูลในอุปกรณ์ปลายทางของผู้ใช้ จึงถือเป็นกิจกรรมที่อยู่ภายใต้กฎหมายความเป็นส่วนตัวทางอิเล็กทรอนิกส์ในเขตเศรษฐกิจยุโรป (EEA) และสหราชอาณาจักร ซึ่งโดยทั่วไปต้องได้รับความยินยอมจากผู้ใช้ ในฐานะผู้ออกบัตร คุณมีหน้าที่พิจารณาว่าการใช้ Private State Tokens API ของคุณจําเป็นอย่างยิ่งในการให้บริการออนไลน์ที่ผู้ใช้ขออย่างชัดเจนหรือไม่ และด้วยเหตุนี้จึงได้รับการยกเว้นจากข้อกําหนดความยินยอม หากต้องการข้อมูลเพิ่มเติม เราขอแนะนำให้คุณอ่านคำถามที่พบบ่อยเกี่ยวกับการปฏิบัติตามข้อกำหนดด้านความเป็นส่วนตัวใน Privacy Sandbox

มีส่วนร่วมและแชร์ความคิดเห็น

ดูข้อมูลเพิ่มเติม