Prepárate para la baja de las cookies de terceros

Advertencia: Chrome anunció que las cookies de terceros (3P) ya no se darán de baja. La orientación que se describe aquí ya no es necesaria, y los complementos no deberían verse afectados a principios del 2025. Sin embargo, Chrome tiene la intención de seguir priorizando la elección del usuario en relación con las cookies de terceros, por lo que es posible que, en el futuro, el acceso a las cookies de terceros sea más limitado que en la actualidad. Por lo tanto, esta guía puede ser útil para los desarrolladores interesados en comprender cómo se usan las cookies de terceros en los complementos y en prepararse para los posibles cambios en la disponibilidad de las cookies de terceros a medida que evoluciona la experiencia del usuario de Chrome.

Esta guía te ayuda a comprender el impacto y los cambios necesarios en tu complemento que se introdujeron cuando Chrome dejó de admitir las cookies de terceros.

Descripción general

El 4 de enero de 2024, Chrome presentó la Protección contra seguimiento, que restringe el acceso de los sitios web a las cookies de terceros (3P) de forma predeterminada para el 1% de los usuarios. A principios de 2025, Chrome espera retirar gradualmente las cookies de terceros por completo.

Al menos dos recorridos del usuario se ven afectados en los complementos de Classroom:

1. Flujo del inicio de sesión único (SSO) de Google
2. Cómo iniciar a los usuarios en pestañas nuevas

SSO de Google

Durante el flujo de SSO de Google, se dirige a los usuarios a un diálogo para que accedan a su Cuenta de Google y den su consentimiento para compartir datos.

Figura 1: Visualización de los tres contextos de cookies diferentes durante el SSO desde un iframe: (1) la app de Classroom de nivel superior, (2) el iframe incorporado de terceros (DavidPuzzle en localhost en este caso) y (3) el diálogo de OAuth de nivel superior.

En una implementación típica de un complemento, se establece una cookie de sesión cuando se completa este proceso de acceso. Se vuelve a cargar el iframe del complemento, que se encuentra en un contexto incorporado, ahora con la cookie de sesión, lo que permite que el usuario acceda a su sesión autenticada. Sin embargo, cuando las cookies de terceros están inhabilitadas, los sitios en un contexto incorporado, como los iframes de complementos, no pueden acceder a las cookies de sus respectivos contextos de nivel superior. En el caso de los complementos de Classroom, el usuario no puede acceder a su sesión autenticada y queda atrapado en un bucle de acceso.

En el caso de las implementaciones que establecen la cookie de sesión en el contexto del iframe incorporado, este problema se puede mitigar con la API de CHIPS, que permite que los sitios incorporados establezcan y accedan a cookies particionadas (cookies indexadas tanto en el dominio incorporador como en el incorporado). Sin embargo, las implementaciones que configuran la cookie de sesión en el contexto de nivel superior del diálogo de acceso no pueden acceder a la cookie sin particionar en el iframe, lo que impide el acceso.

Pestañas nuevas

Por motivos similares, si un usuario tiene una sesión autenticada basada en cookies en un iframe de complemento y el iframe inicia al usuario en una nueva pestaña de nivel superior para una actividad, la pestaña de nivel superior no podrá acceder a la cookie de sesión particionada desde el iframe. Esto evita que el estado de la sesión del iframe persista en la actividad de la pestaña nueva y podría obligar al usuario a acceder de nuevo en la pestaña nueva, por ejemplo. Por diseño, la API de CHIPS no puede resolver este problema, ya que no se puede acceder a las cookies de iframe particionadas en un contexto de nivel superior.

Acciones del desarrollador

Hay algunas acciones que debes considerar para garantizar que tu complemento siga funcionando según lo previsto a medida que Chrome descontinúa las cookies de terceros.

1. Audita el uso de cookies de terceros en los recorridos críticos del usuario de tu complemento. Más específicamente, realiza pruebas con las cookies de terceros inhabilitadas para evaluar el impacto en tu implementación específica.

2. Explora la API de Storage Access. Para todas las implementaciones de complementos, te recomendamos que explores la API de Storage Access (SAA). SAA permite que los iframes accedan a sus cookies fuera del contexto del iframe. SAA está disponible en Chrome hoy en día y es compatible con la app de Classroom.

   Nota: Si tu flujo de SSO no establece cookies en el contexto del diálogo y tu complemento no inicia a los usuarios en pestañas de nivel superior, es posible que no necesites SAA. Explora la API de CHIPS más simple para ver si satisface tus necesidades.

3. Habilita FedCM. Además, si usas GIS, la biblioteca de Acceder con Google, la orientación oficial del equipo de Identity es que habilite FedCM. Esto no reemplaza las capacidades de las cookies de terceros, pero, con el tiempo, se requerirá en GIS como parte de la baja de las cookies de terceros. Actualmente, FedCM está disponible en Chrome y es compatible con Classroom, pero el comportamiento y las funciones aún están en desarrollo y se aceptan comentarios.

4. Migra a GIS. Si usas la biblioteca de GSIv2 obsoleta, también conocida como la biblioteca de Acceso con Google, te recomendamos que migres a GIS, ya que no está claro si se seguirá brindando asistencia para GSIv2.

5. Solicita un retraso en la prueba de baja. Chrome ofrece una prueba de baja para permitir que los casos de uso no publicitarios retrasen los efectos de la baja de las cookies de terceros. Si se acepta, recibirás un token que podrás usar en tu complemento para mantener habilitadas las cookies de terceros para tu origen hasta el 2024, mientras migras a una solución a largo plazo, como SAA. Después de aplicar, se te pedirá que proporciones un ID o un vínculo de error para un informe de interrupción. Nuestro equipo ya presentó este problema para los complementos de Classroom, y tú puedes proporcionar este error.

Advertencia: Los desarrolladores que sean aceptados en la prueba de baja tendrán habilitadas automáticamente las cookies de terceros durante un período de gracia, incluso sin el token en su app. Ten en cuenta esta advertencia si deseas usar la baja del 1% para probar cómo funciona tu complemento sin cookies de terceros.

Nota: La prueba de baja está destinada a las aplicaciones existentes. Si vas a crear un complemento hoy, planifica hacerlo con SAA o con otra implementación que permita que el complemento funcione sin cookies de terceros. Es posible que no cumplas con los requisitos para participar en la prueba de baja si aún no tienes una aplicación afectada.

Nota: Chrome anunció un cambio en el cronograma de la eliminación gradual de las cookies de terceros, que se pospuso de la segunda mitad de 2024 a principios de 2025. Este cambio podría afectar la duración de la prueba de baja, y esta página se actualizará para reflejar los cambios.