प्राइवेट स्टेट टोकन

ट्रस्ट टोकन का नाम बदलकर निजी स्थिति वाले टोकन कर दिया गया है लेख पढ़ें.

लागू करने की स्थिति

प्राइवेट स्टेट टोकन क्या होते हैं?

 

प्राइवेट स्टेट टोकन की मदद से, उपयोगकर्ता के भरोसेमंद होने की जानकारी को एक कॉन्टेक्स्ट से दूसरे पर दिखाया जा सकता है. इससे, साइटों को पैसिव ट्रैकिंग के बिना, धोखाधड़ी से निपटने और इंसान और बॉट में अंतर करने में मदद मिलती है.

  • जारी करने वाली संस्था की वेबसाइट, किसी ऐसे व्यक्ति के वेब ब्राउज़र को टोकन जारी कर सकती है जो भरोसेमंद हो. उदाहरण के लिए, लगातार खाते का इस्तेमाल करके, लेन-देन पूरा करके या reCAPTCHA का स्वीकार्य स्कोर पाकर.
  • रिडीमर वेबसाइट यह पुष्टि कर सकती है कि कोई उपयोगकर्ता फ़र्ज़ी नहीं है. इसके लिए, वह यह जांच करती है कि उपयोगकर्ता के पास, रिडीमर के भरोसेमंद इश्यूअर के टोकन हैं या नहीं. इसके बाद, वह ज़रूरत के हिसाब से टोकन रिडीम करती है.

प्राइवेट स्टेट टोकन एन्क्रिप्ट (सुरक्षित) किए जाते हैं. इसलिए, किसी व्यक्ति की पहचान करना या उपयोगकर्ता की पहचान का पता लगाने के लिए, भरोसेमंद और गैर-भरोसेमंद इंस्टेंस को कनेक्ट करना मुमकिन नहीं है.

हमें प्राइवेट स्टेट टोकन की ज़रूरत क्यों पड़ती है?

वेब को ऐसे तरीके चाहिए जिनसे भरोसे के सिग्नल को सेट अप किया जा सके और दिखाया जा सके. इससे यह पता चलता है कि कोई उपयोगकर्ता वही है जो वह होने का दावा कर रहा है. साथ ही, वह ऐसा बॉट नहीं है जो इंसान होने का नाटक कर रहा है या कोई ऐसा दुर्भावनापूर्ण तीसरा पक्ष नहीं है जो किसी असली व्यक्ति या सेवा के साथ धोखाधड़ी कर रहा है. धोखाधड़ी से सुरक्षा, विज्ञापन देने वाले लोगों या कंपनियों, विज्ञापन से जुड़ी सेवा देने वाली कंपनियों, और सीडीएन के लिए खास तौर पर ज़रूरी है.

माफ़ करें, लेकिन भरोसेमंद होने का आकलन करने और उसे बढ़ावा देने के लिए, मौजूदा समय में इस्तेमाल किए जा रहे कई तरीकों में ऐसी तकनीकों का इस्तेमाल किया जाता है जिनका इस्तेमाल फ़िंगरप्रिंटिंग के लिए भी किया जा सकता है. उदाहरण के लिए, यह पता लगाना कि किसी साइट के साथ इंटरैक्शन करने वाला व्यक्ति असल में इंसान है या नहीं. भरोसेमंद सिग्नल भेजने के तरीकों में निजता बनाए रखने की सुविधा होनी चाहिए. इससे, हर उपयोगकर्ता को ट्रैक किए बिना, अलग-अलग साइटों पर भरोसेमंद सिग्नल भेजे जा सकते हैं.

Private State Token API की मदद से, कोई वेबसाइट किसी ऐसे उपयोगकर्ता को क्रिप्टोग्राफ़िक टोकन जारी कर सकती है जिस पर उसे भरोसा है. इन टोकन का इस्तेमाल बाद में किसी दूसरी जगह किया जा सकता है. टोकन को उपयोगकर्ता का ब्राउज़र सुरक्षित तरीके से सेव करता है. इसके बाद, उपयोगकर्ता की पहचान की पुष्टि करने के लिए, इन्हें अन्य संदर्भों में रिडीम किया जा सकता है. इससे किसी एक वेबसाइट (जैसे, सोशल मीडिया साइट या ईमेल सेवा) पर उपयोगकर्ता के भरोसे को दूसरी वेबसाइट (जैसे, पब्लिशर या ऑनलाइन स्टोर) पर ट्रांसफ़र किया जा सकता है. हालांकि, इसमें उपयोगकर्ता की पहचान ज़ाहिर नहीं की जाती है और न ही अलग-अलग साइटों पर पहचान को लिंक किया जाता है.

मुख्य शब्द: फ़िंगरप्रिंटिंग की मदद से साइटें, अलग-अलग उपयोगकर्ताओं की पहचान कर सकती हैं और उन्हें ट्रैक कर सकती हैं. इसके लिए, वे उनके डिवाइस, ऑपरेटिंग सिस्टम, और ब्राउज़र सेटअप (जैसे कि भाषा की प्राथमिकताएं, उपयोगकर्ता एजेंट, और उपलब्ध फ़ॉन्ट) या डिवाइस की स्थिति में हुए बदलावों के बारे में डेटा इकट्ठा करती हैं. यह काम सर्वर पर, अनुरोध हेडर की जांच करके किया जा सकता है. इसके अलावा, क्लाइंट पर JavaScript की मदद से भी ऐसा किया जा सकता है. फ़िंगरप्रिंटिंग में ऐसे तरीकों का इस्तेमाल किया जाता है जिनके बारे में उपयोगकर्ताओं को पता नहीं होता और वे उन्हें कंट्रोल नहीं कर सकते.

प्राइवेट स्टेट टोकन कैसे काम करते हैं?

इस उदाहरण में, पब्लिशर की वेबसाइट यह जांच करना चाहती है कि कोई उपयोगकर्ता असली इंसान है या बॉट. इसके बाद ही, वह विज्ञापन दिखाएगी.

  1. कोई उपयोगकर्ता किसी वेबसाइट (जिसे जारी करने वाली कंपनी कहा जाता है) पर जाता है और ऐसी कार्रवाइयां करता है जिनसे साइट को लगता है कि उपयोगकर्ता कोई असली व्यक्ति है. जैसे, खरीदारी करना, ईमेल खाते का इस्तेमाल करना या reCAPTCHA को सफलतापूर्वक पूरा करना.
  2. इश्यू करने वाली साइट, Private State Token JavaScript API का इस्तेमाल करके, उपयोगकर्ता के ब्राउज़र के लिए ट्रस्ट टोकन का अनुरोध ट्रिगर करती है.
  3. कार्ड जारी करने वाली कंपनी की साइट, टोकन का डेटा भेजती है.
  4. उपयोगकर्ता का ब्राउज़र, ट्रस्ट टोकन के लिए डेटा को सुरक्षित तरीके से सेव करता है.
  5. उपयोगकर्ता किसी ऐसी वेबसाइट (जैसे, समाचार पब्लिशर) पर जाता है जो यह पुष्टि करना चाहती है कि उपयोगकर्ता कोई असली इंसान है या नहीं. उदाहरण के लिए, विज्ञापन दिखाते समय.
  6. यह साइट, Private State Token API का इस्तेमाल करती है. इससे यह पता चलता है कि उपयोगकर्ता के ब्राउज़र में, उन जारीकर्ताओं के लिए ट्रस्ट टोकन सेव किए गए हैं जिन पर साइट भरोसा करती है.
  7. उपयोगकर्ता ने पहले जिस जारी करने वाले व्यक्ति या कंपनी की साइट पर विज़िट किया था उसके लिए प्राइवेट स्टेट टोकन मिले हैं.
  8. पब्लिशर की साइट, ट्रस्ट टोकन रिडीम करने के लिए जारी करने वाले को अनुरोध भेजती है.
  9. कार्ड जारी करने वाली साइट, रिडेंप्शन रिकॉर्ड के साथ जवाब देती है.
  10. पब्लिशर की साइट, विज्ञापन प्लैटफ़ॉर्म से अनुरोध करती है. इसमें रिडेंप्शन रिकॉर्ड भी शामिल होता है. इससे यह पता चलता है कि जारी करने वाले व्यक्ति को उपयोगकर्ता पर भरोसा है कि वह असली इंसान है.
  11. विज्ञापन प्लैटफ़ॉर्म, विज्ञापन दिखाने के लिए ज़रूरी डेटा उपलब्ध कराता है.
  12. पब्लिशर की साइट पर विज्ञापन दिखता है.
  13. विज्ञापन व्यू इंप्रेशन को गिना जाता है.

क्या Private State Tokens के लिए टूलिंग उपलब्ध है?

Chrome DevTools, नेटवर्क और ऐप्लिकेशन टैब से जांच करने की सुविधा चालू करता है. DevTools इंटिग्रेशन और Private State Tokens के बारे में ज़्यादा पढ़ें.

वेबसाइटें, भरोसेमंद कई इकाइयों के टोकन कैसे मैनेज करती हैं?

साइट, एक बार में एक ही जारी करने वाले के लिए, document.hasTrustToken() की मदद से उपयोगकर्ता के ब्राउज़र में मान्य टोकन की जांच कर सकती है. अगर यह true दिखाता है और टोकन उपलब्ध है, तो साइट टोकन को रिडीम कर सकती है और अन्य टोकन ढूंढना बंद कर सकती है.

वेबसाइट को यह तय करना होगा कि किन टोकन जारी करने वालों की जांच करनी है और किस क्रम में करनी है.

उपयोग के उदाहरण

प्राइवेट स्टेट टोकन (पीएसटी), धोखाधड़ी से बचाव के लिए कई तरह के इस्तेमाल के उदाहरणों के साथ काम करते हैं. PST, भरोसे का एक अतिरिक्त सिग्नल हो सकता है. ऐसा इसलिए, क्योंकि एपीआई जानकारी के ऐसे हिस्सों को कोड में बदल सकता है जो एक कॉन्टेक्स्ट से दूसरे कॉन्टेक्स्ट में भरोसे को बढ़ावा देने में मदद कर सकते हैं. तीसरे पक्ष की कुकी के बंद होने के बाद, यह ज़रूरी होगा कि इस्तेमाल के ये उदाहरण अब भी काम करें. पीएसटी के सभी इस्तेमाल के उदाहरणों में, जारी करने वाले और रिडीम करने वाले, दोनों को एक साथ काम करना होता है. अगर आपको यहां दिए गए किसी भी उदाहरण की तरह, पीएसटी का इस्तेमाल करना है, तो इसे आज़माएं:

  • धोखाधड़ी से बचाव करने वाली सेवाएं: धोखाधड़ी को रोकना, इस्तेमाल का एक ऐसा मान्य उदाहरण है जिसे वेब को सपोर्ट करना चाहिए. हालांकि, इसके लिए हर उपयोगकर्ता के हिसाब से, स्थिर और ग्लोबल आइडेंटिफ़ायर की ज़रूरत नहीं होनी चाहिए. तीसरे पक्ष के कॉन्टेक्स्ट में, पीएसटी का इस्तेमाल उपयोगकर्ताओं को भरोसेमंद और गैर-भरोसेमंद सेट में बांटने के लिए किया जा सकता है.
  • विज्ञापन से जुड़ी धोखाधड़ी का विश्लेषण करना: विज्ञापन टेक्नोलॉजी से जुड़ी सेवाओं में, धोखाधड़ी वाले क्लिक, इंप्रेशन, और बॉट स्कीम का विश्लेषण करने के लिए, पीएसटी का इस्तेमाल किया जा सकता है.
  • बॉट का पता लगाना: किसी ब्राउज़र के बॉट होने या न होने का विश्लेषण करने के बाद, PST उस जानकारी को एन्कोड करने में मदद कर सकता है, ताकि उसे एक कॉन्टेक्स्ट से दूसरे कॉन्टेक्स्ट में शेयर किया जा सके.
  • सुरक्षित पेमेंट: कुछ ऐसे खतरे होते हैं जिनकी पहचान करना मुश्किल होता है. जैसे, तीसरे पक्ष के कॉन्टेक्स्ट में सीमित जानकारी (जैसे, कार्डिंग) के साथ पहचान करना. ऐसे में, पीएसटी का इस्तेमाल भरोसेमंद अतिरिक्त सिग्नल के तौर पर किया जा सकता है.
  • ई-कॉमर्स में गलत इस्तेमाल रोकने वाली सेवाएं: ई-कॉमर्स इंटरैक्शन (क्लिक, चेकआउट, खरीदारी, प्रॉडक्ट रेटिंग, चैट बॉट, रिटर्न) में बॉट का पता लगाना बहुत ज़रूरी है. इससे पेज स्क्रैपिंग और मशीन से किए गए इंटरैक्शन से बचा जा सकता है. यह ई-कॉमर्स प्लैटफ़ॉर्म पर, तीसरे पक्ष की धोखाधड़ी से बचाव करने वाली कंपनियों के लिए, अपने-आप काम करने वाले एजेंटों का पता लगाने के लिए एक अहम अतिरिक्त सिग्नल हो सकता है.
  • सीडीएन सेवाएं: पीएसटी, धोखाधड़ी वाले ट्रैफ़िक की रिपोर्टिंग और उसका पता लगाने में मदद करने के लिए एक तरीका उपलब्ध कराता है.

इस्तेमाल के उदाहरणों की इस सूची में, धोखाधड़ी से बचाव से जुड़ी सभी सुविधाओं के बारे में पूरी जानकारी नहीं दी गई है. हालांकि, इन सुविधाओं को प्राइवेट स्टेट टोकन से फ़ायदा मिल सकता है. यह सूची भी एक-दूसरे से अलग नहीं है. पीएसटी से, धोखाधड़ी से बचाव से जुड़े कई वर्कफ़्लो को फ़ायदा मिल सकता है.

उपयोगकर्ता के अनुभव

प्राइवेट स्टेट टोकन जारी करना और उन्हें रिडीम करना, इसके मुख्य कॉम्पोनेंट हैं. हालांकि, इस्तेमाल के पिछले उदाहरण मुख्य क्षेत्र हैं जहां पीएसटी काम करेंगे. हालांकि, उपयोगकर्ता के कुछ सफ़र में इन उदाहरणों के बारे में सोचा जा सकता है. ये ऐसे उदाहरण हैं जहां आपको टोकन जारी करने या रिडीम करने की ज़रूरत होगी:

  • खाता मैनेज करने से जुड़े फ़्लो (लॉगिन, साइन अप, पासवर्ड रीसेट वगैरह) के दौरान टोकन जारी करना
  • कई चरणों में पुष्टि (एमएफ़ए) की पुष्टि करने के बाद टोकन जारी करना
  • ज़्यादा जोखिम वाली कार्रवाइयों के बाद टोकन जारी करना. जैसे, पेमेंट का इतिहास मिटाना
  • सामान्य जोखिम वाली कार्रवाइयों से पहले, अलग-अलग साइटों पर पुष्टि करने के लिए टोकन रिडीम करें
  • ज़्यादा जोखिम वाली कार्रवाइयों से पहले, क्रॉस-साइट पुष्टि के लिए टोकन रिडीम करना

ई-निजता कानूनों का पालन करना

प्राइवेट स्टेट टोकन जारी करने के लिए, उपयोगकर्ता के टर्मिनल उपकरण पर जानकारी सेव करनी होती है. इसलिए, यह एक ऐसी गतिविधि है जिस पर यूरोपियन इकनॉमिक एरिया (ईईए) और यूनाइटेड किंगडम में ई-प्राइवसी कानून लागू होते हैं. आम तौर पर, इसके लिए उपयोगकर्ता की सहमति लेना ज़रूरी होता है. इश्यूअर के तौर पर, यह तय करना आपकी ज़िम्मेदारी है कि Private State Tokens API का इस्तेमाल करना, उपयोगकर्ता की ओर से साफ़ तौर पर अनुरोध की गई ऑनलाइन सेवा देने के लिए बेहद ज़रूरी है या नहीं. अगर ऐसा है, तो सहमति लेने की ज़रूरत नहीं होगी. ज़्यादा जानकारी के लिए, हम आपको Privacy Sandbox के निजता से जुड़े अनुपालन के बारे में अक्सर पूछे जाने वाले सवाल पढ़ने का सुझाव देते हैं.

सुझाव/राय देना या शिकायत करना

ज़्यादा जानें