עזרה בבדיקת הקלות במעקב אחר עזיבה מהדף הראשון

Ben Kelly

Anusmita Ray

כחלק מהמאמצים שלנו לשפר את הפרטיות באינטרנט, צוות Chrome פועל באופן אקטיבי כדי למנוע מעקב אחרי משתמשים באתרים שונים. בהמשך השנה אנחנו מתכננים להשיק אמצעי הגנה שיגבילו את המעקב באמצעות טכניקה מסוימת שנקראת "מעקב אחרי הפניה אוטומטית".

אנחנו לא צופים שהשינויים האלה ישפיעו לרעה על הרבה אתרים שלא עוקבים אחרי משתמשים, אבל אנחנו מזמינים מפתחים לבדוק את התכונה החדשה הזו באמצעות דגלים של תכונות ולשלוח לנו משוב.

מה זה מעקב אחרי הפניה אוטומטית?

מעקב אחרי הפניה אוטומטית הוא טכניקה שמאפשרת לאתר צד שלישי לאחסן קובץ Cookie גם כשקובצי Cookie של צד שלישי חסומים. אפשר להשתמש בקוד מעקב על ידי צד שלישי שמוטמע בדף כדי להפנות משתמש לאתר של כלי מעקב, שבו אפשר להגדיר קובץ Cookie, ואז להחזיר אותו לדף המקורי. ההפניה הזו יכולה לקרות כל כך מהר שהמשתמשים לא ישימו לב אליה.

מעקב אחרי הפניה אוטומטית יכול להתבצע כ'הפניה אוטומטית חזרה' או כ'הפניה אוטומטית דרך'.

בשני המקרים, יכול להיות שהמשתמשים לא יודעים שהם ביקרו ב-tracker.example. יכול להיות שהם חושבים שהם רק ביקרו בכתובת site1.example או ניסו לנווט לכתובת site2.example.

מה השינויים שמתוכננים ב-Chrome?

‫Chrome מתכוון להגן על המשתמשים מפני מעקב אחרי הפניה אוטומטית על ידי מחיקה תקופתית של מצב האתרים האלה למעקב. התהליך יתבצע באופן הבא:

1. ‫Chrome יעקוב אחרי ניווטים ויסמן באופן פנימי אתרים שמשתתפים ב'הפניה חוזרת עם שמירת מצב'. המשמעות היא שהניווט הופנה דרך האתר, והאתר ניגש למצב במהלך ההפניה. ההפניות האלה כוללות הפניות מחדש שמתחילות בשרת והפניות מחדש בצד הלקוח שבהן JavaScript מפעיל ניווט באופן פרוגרמטי. הגישה למצב כוללת גם קובצי Cookie וגם סוגים אחרים של אחסון, למשל localstorage,‏ indexedDB וכו'.
2. דפדפן Chrome יבדוק מעת לעת את רשימת האתרים שסומנו, כדי לראות אם המשתמש השתמש באתר באופן פעיל באמצעות אינטראקציה איתו ב-45 הימים האחרונים. האינטראקציה הזו יכולה להתרחש לפני, במהלך או אחרי שהמערכת מזהה את היציאה מהדף.
3. אם באתר אין אינטראקציה עם המשתמש וקובצי Cookie של צד שלישי חסומים, המצב שלו יימחק.

אנחנו מקווים להשיק את השינויים האלה למשתמשים שהביעו הסכמה לחסימת קובצי Cookie של צד שלישי בתחילת הרבעון השלישי של 2023.

האם זה ישבור תהליכי הפניה אוטומטית אחרים?

הבדיקה של אינטראקציות המשתמשים נועדה להגן על אתרים שלא עוקבים אחרי משתמשים מפני מחיקה במקרים שבהם הם גם משתמשים בתהליך הפניה אוטומטית. לדוגמה, תהליכי SSO, אימות מאוחד ותהליכי תשלום מבצעים לעיתים קרובות אינטראקציות מהסוג הזה. לכן, אנחנו לא צופים שתהיה השפעה על כניסה יחידה (SSO), על אימות מאוחד או על תהליכי תשלום. לדוגמה, פעולת הכניסה לספק הזהויות נחשבת לאינטראקציה של המשתמש ומונעת את המחיקה.

איך אפשר לדעת אם האתר מושפע?

אמצעים לצמצום מעקב אחרי הפניה אוטומטית זמינים לבדיקה באמצעות feature flags מגרסה 115 של Chrome (נכון לעכשיו, הגרסה האחרונה של Canary):

1. יוצרים פרופיל Chrome חדש. יכול להיות שבפרופיל קיים שבו השתמשתם לפיתוח אתרים מתועדות אינטראקציות באתר המקפץ, שמשתמשים רגילים באתר לא חווים.
2. מגדירים את התכונה הניסיונית ב-chrome://flags/#bounce-tracking-mitigations כ'מופעל עם מחיקה'.
3. מפעילים את חסימת קובצי Cookie של צד שלישי ב-chrome://settings/cookies על ידי בחירה באפשרות 'חסימת קובצי Cookie של צד שלישי'.
4. מבצעים את תהליך העבודה שכולל הפניות אוטומטיות.
5. פותחים את הכרטיסייה Issues ב-כלי פיתוח ל-Chrome ומחפשים הודעה עם הכותרת Chrome may soon delete state for intermediate websites in a recent navigation chain (יכול להיות שבקרוב Chrome ימחק את הסטטוס של אתרי ביניים בשרשרת ניווט אחרונה).
6. כדי להריץ את הבדיקה למחיקת מעקב אחרי הפניה אוטומטית, נכנסים לחלונית Application (אפליקציה) בכלי הפיתוח, לוחצים על Bounce Tracking Mitigations (אמצעים לצמצום בעיות שקשורות למעקב אחרי הפניה אוטומטית) בקטע Background Services (שירותים שפועלים ברקע) ואז לוחצים על Force Run (הפעלה בכוח). אפשרות אחרת היא לחכות עד שעתיים עד שהמחיקה תתבצע.
7. מבצעים את תהליך העבודה שבו מצפים שהסטטוס יהיה נוכח באתר שהמשתמש עבר דרכו.

לדוגמה, אם בשלב (4) תבקרו בדף ההדגמה הזה ותבחרו בקישור 'bounce me', תוכלו לראות בעיה בכלי הפיתוח:

לאחר מכן, בשלב 6, אפשר לכפות את המחיקה באופן מיידי באמצעות חלונית האפליקציה בכלי הפיתוח:

אם תחזרו אל הדמו ותבצעו את ההקפצה, אמור להיווצר מזהה חדש כי המצב נמחק.

תרחישי שימוש ב-Enterprise

חלק מהארגונים משתמשים במכשירים מנוהלים באופן שמכניס את המשתמשים לאתר ה-SSO שלהם באופן אוטומטי. מכיוון שהמשתמש לא מבצע אינטראקציה עם אתר ה-SSO, יכול להיות ש-Chrome יתייחס לאתר כאל כלי למעקב אחר נטישת משתמשים.

כדי לפתור את הבעיה הזו, ארגונים יכולים להשתמש במדיניות בנושא קובצי Cookie כדי להפעיל קובצי Cookie של צד שלישי באתר ה-SSO. כך לא יחולו הקלות במעקב אחרי הפניה אוטומטית באתר הזה.

משוב

אפשר לשלוח משוב בכלי למעקב אחרי באגים של Chromium באמצעות הרכיב Privacy>NavTracking. אפשר גם להשאיר משוב כבעיה ב-W3C PrivacyCG Navigation-based Tracking Mitigations.