Tokeny prywatności

Stan wdrożenia

Czym są tokeny prywatności?

 

Tokeny prywatności umożliwiają przekazywanie zaufania do autentyczności użytkownika z jednego kontekstu do drugiego, co pomaga witrynom w walce z oszustwami i odróżnianiu botów od prawdziwych ludzi – bez pasywnego śledzenia.

  • Witryna wystawcy może wydawać tokeny przeglądarce użytkownika, który wykazuje się wiarygodnością, np. przez ciągłe korzystanie z konta, dokonywanie transakcji lub uzyskanie akceptowalnego wyniku reCAPTCHA.
  • Witryna odbiorcy może potwierdzić, że użytkownik nie jest fałszywy, sprawdzając, czy ma tokeny od wystawcy, któremu ufa, a następnie w razie potrzeby je wykorzystać.

Tokeny prywatności są szyfrowane, więc nie można zidentyfikować osoby ani połączyć zaufanych i niezaufanych instancji, aby odkryć tożsamość użytkownika.

Dlaczego potrzebujemy tokenów prywatności?

Internet potrzebuje sposobów na ustalanie i przekazywanie sygnałów zaufania, które pokazują, że użytkownik jest tym, za kogo się podaje, a nie botem udającym człowieka lub złośliwą osobą trzecią, która oszukuje prawdziwą osobę lub usługę. Ochrona przed oszustwami jest szczególnie ważna dla reklamodawców, dostawców reklam i sieci CDN.

Niestety wiele obecnych mechanizmów oceny i propagowania wiarygodności – np. w celu ustalenia, czy interakcja z witryną pochodzi od prawdziwego człowieka – wykorzystuje techniki, które można też stosować do tworzenia odcisków cyfrowych. Mechanizmy przekazywania zaufania muszą chronić prywatność, umożliwiając propagowanie zaufania w witrynach bez śledzenia poszczególnych użytkowników.

Dzięki interfejsowi Private State Token API witryna może wydawać zaufanemu użytkownikowi tokeny kryptograficzne, które można później wykorzystać w innym miejscu. Tokeny są bezpiecznie przechowywane przez przeglądarkę użytkownika i mogą być wykorzystywane w innych kontekstach w celu potwierdzenia autentyczności użytkownika. Umożliwia to przekazywanie zaufania do użytkownika w jednej witrynie (np. w mediach społecznościowych lub usłudze e-mail) do innej witryny (np. wydawcy lub sklepu internetowego) bez identyfikowania użytkownika ani łączenia tożsamości w różnych witrynach.

Ważne pojęcie: Tworzenie odcisków cyfrowych umożliwia witrynom identyfikowanie i śledzenie poszczególnych użytkowników przez uzyskiwanie danych o ich urządzeniu, systemie operacyjnym i konfiguracji przeglądarki (np. preferencje językowe, ciąg User-Agent i dostępne czcionki) lub zmianach stanu urządzenia. Można to zrobić na serwerze, sprawdzając nagłówki żądań, lub na kliencie za pomocą JavaScriptu. Tworzenie odcisków cyfrowych wykorzystuje mechanizmy, o których użytkownicy nie wiedzą i których nie mogą kontrolować.

Jak działają tokeny prywatności?

W tym przykładzie witryna wydawcy chce sprawdzić, czy użytkownik jest prawdziwym człowiekiem, a nie botem, zanim wyświetli reklamę.

  1. Użytkownik odwiedza witrynę (zwaną wystawcą) i wykonuje działania, które przekonują witrynę, że jest prawdziwym człowiekiem, np. dokonuje zakupów, korzysta z konta e-mail lub pomyślnie przechodzi test reCAPTCHA.
  2. Witryna wystawcy używa interfejsu Private State Token JavaScript API, aby wysłać żądanie tokenów zaufania do przeglądarki użytkownika.
  3. Witryna wystawcy odpowiada danymi tokena.
  4. Przeglądarka użytkownika bezpiecznie przechowuje dane tokena zaufania.
  5. Użytkownik odwiedza inną witrynę (np. wydawcy wiadomości), która chce sprawdzić, czy użytkownik jest prawdziwym człowiekiem, np. podczas wyświetlania reklam.
  6. Witryna używa interfejsu Private State Token API, aby sprawdzić, czy przeglądarka użytkownika ma zapisane tokeny zaufania dla wystawców, którym ufa.
  7. Znaleziono tokeny prywatności dla wystawcy, którego użytkownik odwiedził wcześniej.
  8. Witryna wydawcy wysyła do wystawcy żądanie wykorzystania tokenów zaufania.
  9. Witryna wystawcy odpowiada rekordem wykorzystania.
  10. Witryna wydawcy wysyła żądanie do platformy reklamowej, w tym rekord wykorzystania, aby pokazać, że wystawca ufa, że użytkownik jest prawdziwym człowiekiem.
  11. Platforma reklamowa udostępnia dane wymagane do wyświetlenia reklamy.
  12. Witryna wydawcy wyświetla reklamę.
  13. Zliczane jest wyświetlenie reklamy.

Czy są dostępne narzędzia do obsługi tokenów prywatności?

Narzędzia deweloperskie w Chrome włączają inspekcję na kartach Sieć i Aplikacja. Więcej informacji o tej integracji z Narzędziami deweloperskimi i o tokenach prywatności.

Jak witryny obsługują tokeny od wielu zaufanych wystawców?

Witryna może sprawdzić przeglądarkę użytkownika pod kątem prawidłowych tokenów za pomocą document.hasTrustToken() dla jednego wystawcy naraz. Jeśli ta funkcja zwróci wartość true i token jest dostępny, witryna może go wykorzystać i przestać szukać innych tokenów.

Witryna musi zdecydować, których wystawców tokenów sprawdzić i w jakiej kolejności.

Przypadki użycia

Tokeny prywatności (PST) obsługują szereg przypadków użycia związanych z przeciwdziałaniem oszustwom. Tokeny prywatności mogą działać jako dodatkowy sygnał zaufania, ponieważ interfejs API może kodować informacje, które pomagają przekazywać zaufanie z jednego kontekstu do drugiego. Wraz z wycofywaniem plików cookie innych firm zdajemy sobie sprawę, że ważne będzie zapewnienie, aby przypadki użycia takie jak te nadal działały zgodnie z potrzebami. Wszystkie przypadki użycia tokenów prywatności wymagają współpracy wystawców i odbiorców. Warto rozważyć użycie tokenów prywatności, jeśli masz przypadki użycia podobne do któregokolwiek z tych:

  • Usługi przeciwdziałania oszustwom: zapobieganie oszustwom to uzasadniony przypadek użycia, który powinien być obsługiwany w internecie, ale nie powinien wymagać stabilnego, globalnego identyfikatora użytkownika. W kontekstach innych firm tokeny prywatności mogą być używane do dzielenia użytkowników na zaufane i niezaufane grupy.
  • Analizowanie oszustw reklamowych: tokeny prywatności mogą być przydatne do analizowania fałszywych kliknięć, wyświetleń i schematów botów w usługach technologii reklamowych.
  • Wykrywanie botów: po przeprowadzeniu analizy, czy przeglądarka jest botem czy nie, tokeny prywatności mogą pomóc w zakodowaniu tych informacji, aby można je było udostępniać w różnych kontekstach
  • Bezpieczne płatności: aby wykrywać zagrożenia, które trudniej zidentyfikować w kontekście innych firm z ograniczonymi informacjami (np. kradzież danych karty), tokeny prywatności mogą być używane jako dodatkowy sygnał zaufania.
  • Usługi przeciwdziałania nadużyciom w e-commerce: wykrywanie botów w interakcjach e-commerce (kliknięcia, przejście do kasy, zakup, oceny produktów, chatboty, zwroty) jest bardzo ważne, aby uniknąć wyłudzania danych ze stron i interakcji z botami. Może to być ważny dodatkowy sygnał do wykrywania zautomatyzowanych agentów w przypadku dostawców usług przeciwdziałania oszustwom w e-commerce.
  • Usługi CDN: tokeny prywatności zapewniają mechanizm ułatwiający raportowanie i wykrywanie fałszywie generowanego ruchu.

Ta lista przypadków użycia nie jest wyczerpująca i nie obejmuje wszystkich funkcji przeciwdziałania oszustwom które mogą korzystać z tokenów prywatności. Lista nie jest też wzajemnie wykluczająca się – tokeny prywatności mogą być przydatne w przypadku wielu procesów przeciwdziałania oszustwom.

Ścieżki użytkownika

Wydawanie i wykorzystywanie to kluczowe elementy tokenów prywatności. Chociaż wymienione wcześniej przypadki użycia są głównymi obszarami, w których tokeny prywatności będą obsługiwane, możesz pomyśleć o tych momentach w ścieżkach użytkownika jako o przypadkach, w których faktycznie chcesz wydać lub wykorzystać tokeny:

  • Wydawaj tokeny podczas procesów zarządzania kontem (logowanie, rejestracja, resetowanie hasła itp.).
  • Wydawaj tokeny po potwierdzeniu uwierzytelniania wielopoziomowego.
  • Wydawaj tokeny po działaniach o wysokim stopniu ryzyka, takich jak usuwanie historii płatności.
  • Wykorzystuj tokeny do potwierdzania w różnych witrynach przed działaniami o średnim stopniu ryzyka.
  • Wykorzystuj tokeny do potwierdzania w różnych witrynach przed działaniami o wysokim stopniu ryzyka.

Zgodność z przepisami dotyczącymi e-prywatności

Wydawanie tokenów prywatności wiąże się z przechowywaniem informacji na urządzeniu użytkownika, dlatego jest to działanie podlegające przepisom dotyczącym e-prywatności w Europejskim Obszarze Gospodarczym (EOG) i Wielkiej Brytanii, które zazwyczaj wymagają zgody użytkownika. Jako wystawca musisz określić, czy korzystanie z interfejsu Private State Tokens API jest bezwzględnie konieczne do świadczenia usługi online wyraźnie zamówionej przez użytkownika, a tym samym zwolnione z obowiązku uzyskania zgody. Więcej informacji znajdziesz w najczęstszych pytaniach dotyczących zgodności z przepisami dotyczącymi prywatności w Piaskownicy prywatności .

Zaangażuj się i prześlij opinię

Więcej informacji