Privacy Sandbox-Funktionen mit der Richtlinie für Berechtigungen steuern

Hier erfahren Sie, wie Sie die Nutzung einer Privacy Sandbox-Funktion auf der Seite zulassen oder ablehnen können.

Berechtigungsrichtlinie – Übersicht

Die Berechtigungsrichtlinie ist ein Webplattformmechanismus, mit dem eine Seite den Zugriff auf Funktionen auf der Seite steuern kann. Mithilfe einer Berechtigungsrichtlinie kann eine Seite eine Funktion für die Seite auf oberster Ebene selbst und eingebettete ursprungsübergreifende iFrames zulassen oder ablehnen.

Wenn auf die Anfrage des Browsers geantwortet wird, können im Antwortheader die Richtlinien definieren, die auf die Seite angewendet werden sollen. Außerdem wird mit dem iFrame-Tag gegebenenfalls das Attribut allow definiert, um die Funktion im iFrame zu aktivieren, sofern das übergeordnete Element ebenfalls die entsprechende Berechtigung hat. Berechtigungen werden vom übergeordneten an den untergeordneten Frame delegiert. Das untergeordnete Element eines iFrames erhält die Berechtigungen des übergeordneten Frames.

Die Berechtigungsrichtlinie arbeitet in Verbindung mit dem Antwortheader und dem Attribut allow bei iFrames. Die Funktion ist nur zulässig, wenn sie sowohl vom Antwortheader als auch vom Attribut allow zugelassen wird. Wenn kein Header für die Berechtigungsrichtlinie angegeben ist, wird standardmäßig für jede Feature-Header-Richtlinie „*“ verwendet. Wenn das Attribut allow eines iFrames nicht definiert ist, wird standardmäßig der Standardwert der Zulassungsliste für das Attribut verwendet.

Wenn die Standard-Zulassungsliste * lautet, ist die Funktion standardmäßig für die Seite der obersten Ebene und für alle ursprungsübergreifenden iFrames auf der Seite verfügbar. Es entspricht <iframe src="some-url" allow="feature *"/> und das Attribut allow muss nicht im iFrame definiert werden.

Wenn der Wert self ist, ist die Funktion nur für die Seite der obersten Ebene (und für Same-Origin-iFrames) und nicht für ursprungsübergreifende iFrames verfügbar, ohne dass dies explizit durch die Seite delegiert wird. Dies entspricht <iframe src="some-url" allow="feature 'self'"/>, wobei self der Ursprung des Einbettungselements ist. Daher muss das Tag allow definiert werden, um die Funktion in einem ursprungsübergreifenden iFrame zu aktivieren.

Weitere Informationen zur Richtlinie für Berechtigungen finden Sie in den folgenden Abschnitten:

Berechtigungsrichtlinie für Privacy Sandbox-Funktionen

In der folgenden Tabelle sind die Privacy Sandbox APIs aufgeführt, die über die Berechtigungsrichtlinie gesteuert werden:

ß
API Anweisung Beschreibung Standard-Zulassungsliste
Attributionsberichte

(Leitfaden / Spezifikationen)

 attribution-reporting Ermöglicht die Verwendung der Attribution Reporting API *
Federated Credential Management

(Leitfaden / Spezifikationen)

 identity-credentials-get Erlaubt den Abruf eines Berechtigungsnachweisobjekts self
Private Aggregation

(Leitfaden /Spezifikationen)

 private-aggregation Ermöglicht die Berichterstellung mit der privaten Aggregation *
Private State Tokens
(Anleitung/Spezifikation) 		private-state-token-issuance Ermöglicht das Anfordern eines Tokens self
private-state-token-redemption Erlaubt das Einlösen eines Tokens und das Senden eines Einlösungsdatensatzes self
Protected Audience

(Leitfaden / Spezifikationen)

 join-ad-interest-group Ermöglicht das Hinzufügen eines Nutzers zu einer Interessengruppe für die Website * während der Tests
self in Zukunft
run-ad-auction Ermöglicht die Durchführung einer Anzeigenauktion *
Gemeinsam genutzter Speicher

(Spezifikation)

shared-storage Ermöglicht das Lesen und Schreiben mit freigegebenem Speicher *
shared-storage-select-url Ermöglicht die Ausführung der URL-Auswahl *
Speicherzugriff

(Leitfaden / Spezifikationen)

storage-access Ermöglicht den Zugriff auf die Storage Access API *
requestStorageAccessFor

(Leitfaden / Spezifikationen)

top-level-storage-access Gewährt über requestStorageAccessFor() Zugriff auf den Zugriff der obersten Ebene für Websites, die zu einer Gruppe ähnlicher Websites gehören *
Themen

(Leitfaden / Spezifikationen)

browsing-topics Ermöglicht das Erstellen von Themen für den Nutzer und das Lesen der generierten Themen *
User-Agent-Client-Hints

(Leitfaden / Spezifikationen)

Eine vollständige Liste der Überschriften finden Sie im Leitfaden. Erlaubt dem Anfragenden, den angegebenen Clienthinweis verfügbar zu machen In der Spezifikation finden Sie eine vollständige Liste der Standardwerte für die Zulassungsliste.

Im Gegensatz zu Drittanbieter-Cookies, bei denen der Seiteninhaber keine detaillierte Kontrolle darüber hat, wie die Cookies von Drittanbieter-iFrames verwendet werden, kann eine Seite mithilfe der Richtlinie für Berechtigungen zulassen oder verhindern, dass Privacy Sandbox APIs von der Seite selbst und Dritten auf der Seite verwendet werden. Beispielsweise kann ein Seitenbetreiber wie ein Publisher mithilfe der Berechtigungsrichtlinie bestimmten Drittanbietern die Durchführung einer Anzeigenauktion erlauben oder allen Dritten verweigern, die Themen des Nutzers zu lesen.

Bei vielen Privacy Sandbox-Funktionen wird der Standardwert von * für die Zulassungsliste verwendet. Dadurch kann die Funktion von allen websiteübergreifenden iFrames verwendet werden, sofern dies nicht durch eine Berechtigungsrichtlinie eingeschränkt ist. Der Inhaber der Seite kann die Standardrichtlinie überschreiben und seine eigene Richtlinie verwenden, sodass nur angegebene Ursprünge auf der Seite die Funktion verwenden können. Beachten Sie, dass das Standardverhalten von Cookies in allen Frames mit Ausnahme von Sandbox-iFrames zulässig ist. Es unterliegt jedoch nicht den Berechtigungsrichtlinien und seine Verwendung kann nicht vom Einbettungscode gesteuert werden. *.

Für einige Privacy Sandbox-Funktionen wird der Standardwert „self“ für die Zulassungsliste verwendet. Dadurch wird verhindert, dass die ursprungsübergreifenden iFrames die Funktion ohne ausdrückliche Angabe verwenden. Der Seiteninhaber muss beim Erstellen von ursprungsübergreifenden iFrames das Attribut allow verwenden, um den Zugriff auf die Funktion zu ermöglichen. Später wird der Standardwert der Zulassungsliste bei einigen Privacy Sandbox APIs, z. B. der join-ad-interest-group-Richtlinie für Protected Audience, zu self geändert. Künftig wird die Standard-Zulassungsliste möglicherweise von weiteren APIs auf self umgestellt.