โทเค็นสถานะส่วนตัว

สถานะการติดตั้งใช้งาน

โทเค็นสถานะส่วนตัวคืออะไร

 

โทเค็นสถานะส่วนตัวช่วยให้สามารถส่งต่อความน่าเชื่อถือในความถูกต้องของผู้ใช้จากบริบทหนึ่งไปยังอีกบริบทหนึ่ง เพื่อช่วยเว็บไซต์ต่อสู้กับการประพฤติมิชอบและแยกบ็อตออกจากมนุษย์จริง โดยไม่ต้องมีการติดตามแบบแพสซีฟ

  • เว็บไซต์ผู้ออกโทเค็นสามารถออกโทเค็นให้กับเว็บเบราว์เซอร์ของผู้ใช้ที่แสดงให้เห็นว่าตนน่าเชื่อถือ เช่น ผ่านการใช้งานบัญชีอย่างต่อเนื่อง การทำธุรกรรมให้เสร็จสมบูรณ์ หรือการได้รับคะแนนreCAPTCHAที่ยอมรับได้
  • เว็บไซต์ผู้แลกสิทธิ์ สามารถยืนยันได้ว่าผู้ใช้ไม่ใช่ผู้ใช้ปลอมโดยตรวจสอบว่าผู้ใช้มีโทเค็นจากผู้ออกโทเค็นที่ผู้แลกสิทธิ์เชื่อถือหรือไม่ จากนั้นจึงแลกสิทธิ์ใช้โทเค็นตามความจำเป็น

โทเค็นสถานะส่วนตัวได้รับการเข้ารหัส จึงไม่สามารถระบุตัวบุคคลหรือเชื่อมโยงอินสแตนซ์ที่เชื่อถือได้และไม่น่าเชื่อถือเพื่อค้นหาข้อมูลระบุตัวตนของผู้ใช้

ทำไมเราจึงต้องมีโทเค็นสถานะส่วนตัว

เว็บจำเป็นต้องมีวิธีสร้างและส่งต่อสัญญาณความน่าเชื่อถือที่แสดงว่าผู้ใช้เป็นบุคคลที่อ้าง ไม่ใช่บ็อตที่แกล้งเป็นมนุษย์หรือบุคคลที่สามที่มีเจตนาร้ายซึ่งฉ้อโกงบุคคลจริงหรือบริการ การป้องกันการประพฤติมิชอบมีความสำคัญอย่างยิ่งต่อผู้ลงโฆษณา ผู้ให้บริการโฆษณา และ CDN

น่าเสียดายที่กลไกที่มีอยู่มากมายในการวัดและเผยแพร่ความน่าเชื่อถือ เช่น เพื่อดูว่าการโต้ตอบกับเว็บไซต์มาจากมนุษย์จริงหรือไม่ ใช้ประโยชน์จากเทคนิคที่สามารถใช้สำหรับการทำ Fingerprinting ได้ด้วย กลไกในการส่งต่อความน่าเชื่อถือต้องรักษาความเป็นส่วนตัวไว้ เพื่อให้สามารถเผยแพร่ความน่าเชื่อถือในเว็บไซต์ต่างๆ ได้โดยไม่ต้องติดตามผู้ใช้แต่ละราย

Private State Token API ช่วยให้เว็บไซต์ออกโทเค็นเข้ารหัสลับให้กับผู้ใช้ที่เชื่อถือได้ ซึ่งสามารถนำไปใช้ที่อื่นได้ในภายหลัง เบราว์เซอร์ของผู้ใช้จะจัดเก็บโทเค็นอย่างปลอดภัย จากนั้นจึงแลกสิทธิ์ใช้โทเค็นในบริบทอื่นๆ เพื่อยืนยันความถูกต้องของผู้ใช้ ซึ่งช่วยให้สามารถส่งต่อความน่าเชื่อถือของผู้ใช้ในเว็บไซต์หนึ่ง (เช่น เว็บไซต์โซเชียลมีเดียหรือบริการอีเมล) ไปยังเว็บไซต์อื่น (เช่น ผู้เผยแพร่โฆษณาหรือร้านค้าออนไลน์) ได้โดยไม่ต้องระบุตัวผู้ใช้หรือลิงก์ข้อมูลระบุตัวตนในเว็บไซต์ต่างๆ

คำสำคัญ: Fingerprinting ช่วยให้เว็บไซต์ระบุและติดตามผู้ใช้แต่ละรายได้โดยรับข้อมูลเกี่ยวกับการตั้งค่าอุปกรณ์ ระบบปฏิบัติการ และเบราว์เซอร์ของผู้ใช้ (เช่น ค่ากำหนดภาษา User Agent และฟอนต์ที่ใช้ได้) หรือ การเปลี่ยนแปลงสถานะอุปกรณ์ ซึ่งอาจทำในเซิร์ฟเวอร์โดยตรวจสอบส่วนหัวของคำขอ หรือในไคลเอ็นต์ด้วย JavaScript Fingerprinting ใช้กลไกที่ผู้ใช้ไม่ทราบและควบคุมไม่ได้

โทเค็นสถานะส่วนตัวทำงานอย่างไร

ในตัวอย่างนี้ เว็บไซต์ผู้เผยแพร่โฆษณาต้องการตรวจสอบว่าผู้ใช้เป็นมนุษย์จริง ไม่ใช่บ็อต ก่อนที่จะแสดงโฆษณา

  1. ผู้ใช้เข้าชมเว็บไซต์ (เรียกว่าผู้ออก โทเค็น) และดำเนินการต่างๆ ที่ทำให้เว็บไซต์เชื่อว่าผู้ใช้เป็นมนุษย์จริง เช่น ทำการซื้อ ใช้บัญชีอีเมล หรือทำ reCAPTCHA สำเร็จ
  2. เว็บไซต์ผู้ออกโทเค็นใช้ Private State Token JavaScript API เพื่อทริกเกอร์คำขอโทเค็นความน่าเชื่อถือสำหรับเบราว์เซอร์ของผู้ใช้
  3. เว็บไซต์ผู้ออกโทเค็นตอบกลับด้วยข้อมูลโทเค็น
  4. เบราว์เซอร์ของผู้ใช้จะจัดเก็บข้อมูลสำหรับโทเค็นความน่าเชื่อถืออย่างปลอดภัย
  5. ผู้ใช้เข้าชมเว็บไซต์อื่น (เช่น ผู้เผยแพร่ข่าวสาร) ที่ต้องการยืนยันว่าผู้ใช้เป็นมนุษย์จริง เช่น เมื่อแสดงโฆษณา
  6. เว็บไซต์ใช้ Private State Token API เพื่อตรวจสอบว่าเบราว์เซอร์ของผู้ใช้มีโทเค็นความน่าเชื่อถือที่จัดเก็บไว้สำหรับผู้ออกโทเค็นที่เว็บไซต์เชื่อถือหรือไม่
  7. ระบบพบโทเค็นสถานะส่วนตัวสำหรับผู้ออกโทเค็นที่ผู้ใช้เข้าชมก่อนหน้านี้
  8. เว็บไซต์ผู้เผยแพร่โฆษณาส่งคำขอไปยังผู้ออกโทเค็นเพื่อแลกสิทธิ์ใช้โทเค็นความน่าเชื่อถือ
  9. เว็บไซต์ผู้ออกโทเค็นตอบกลับด้วยบันทึกการแลกสิทธิ์
  10. เว็บไซต์ผู้เผยแพร่โฆษณาส่งคำขอไปยังแพลตฟอร์มโฆษณา รวมถึงบันทึกการแลกสิทธิ์ เพื่อแสดงว่าผู้ออกโทเค็นเชื่อถือว่าผู้ใช้เป็นมนุษย์จริง
  11. แพลตฟอร์มโฆษณามอบข้อมูลที่จำเป็นในการแสดงโฆษณา
  12. เว็บไซต์ผู้เผยแพร่โฆษณาแสดงโฆษณา
  13. ระบบจะนับการแสดงผลการดูโฆษณา

มีเครื่องมือสำหรับโทเค็นสถานะส่วนตัวไหม

เครื่องมือสำหรับนักพัฒนาเว็บใน Chrome จะเปิดการตรวจสอบจากแท็บเครือข่ายและแท็บแอปพลิเคชัน อ่าน เพิ่มเติมเกี่ยวกับการผสานรวมกับเครื่องมือสำหรับนักพัฒนาเว็บนี้และเกี่ยวกับโทเค็นสถานะส่วนตัว

เว็บไซต์จัดการโทเค็นจากผู้ออกโทเค็นที่เชื่อถือได้หลายรายอย่างไร

เว็บไซต์สามารถตรวจสอบโทเค็นที่ถูกต้องในเบราว์เซอร์ของผู้ใช้ด้วย document.hasTrustToken() สำหรับผู้ออกโทเค็น 1 รายต่อครั้ง หากฟังก์ชันนี้แสดงผลเป็น true และมีโทเค็นอยู่ เว็บไซต์จะแลกสิทธิ์ใช้โทเค็นและหยุดค้นหาโทเค็นอื่นๆ

เว็บไซต์ต้องตัดสินใจว่าจะตรวจสอบผู้ออกโทเค็นรายใดและตรวจสอบตามลำดับใด

กรณีการใช้งาน

โทเค็นสถานะส่วนตัว (PST) รองรับกรณีการใช้งานที่หลากหลายในการป้องกันการฉ้อโกง โดยหลักๆ แล้ว PST สามารถทำหน้าที่เป็นสัญญาณความน่าเชื่อถือเพิ่มเติมได้เนื่องจาก API สามารถเข้ารหัสข้อมูลบางส่วนที่ช่วยส่งต่อความน่าเชื่อถือจากบริบทหนึ่งไปยังอีกบริบทหนึ่ง เมื่อคุกกี้ของบุคคลที่สามหายไป เราตระหนักดีว่าการตรวจสอบให้แน่ใจว่ากรณีการใช้งานต่างๆ เช่น กรณีการใช้งานต่อไปนี้ยังคงทำงานได้ตามที่ต้องการจะเป็นเรื่องสำคัญอย่างยิ่ง กรณีการใช้งาน PST ทั้งหมดกำหนดให้ทั้งผู้ออกโทเค็นและผู้แลกสิทธิ์ต้องทำงานร่วมกัน คุณอาจพิจารณาใช้ PST หากมีกรณีการใช้งานที่คล้ายกับกรณีการใช้งานต่อไปนี้

  • บริการป้องกันการฉ้อโกง: การป้องกันการฉ้อโกงเป็นกรณีการใช้งานที่ถูกต้องตามกฎหมายซึ่งเว็บควรสนับสนุน แต่ไม่ควรต้องใช้ตัวระบุที่เสถียร เป็นสากล และต่อผู้ใช้ ในบริบทของบุคคลที่สาม PST สามารถใช้แบ่งกลุ่มผู้ใช้เป็นชุดที่เชื่อถือได้และไม่น่าเชื่อถือ
  • การวิเคราะห์การประพฤติมิชอบในการโฆษณา: PST อาจมีประโยชน์ในการวิเคราะห์การคลิกที่เป็นการประพฤติมิชอบ การแสดงผล และรูปแบบบ็อตในบริการเทคโนโลยีโฆษณา
  • การตรวจหาบ็อต: หลังจากวิเคราะห์แล้วว่าเบราว์เซอร์เป็นบ็อต หรือไม่ PST จะช่วยเข้ารหัสข้อมูลดังกล่าวเพื่อแชร์จากบริบทหนึ่งไปยังอีกบริบทหนึ่ง
  • การชำระเงินที่ปลอดภัย: PST สามารถใช้เป็นสัญญาณเพิ่มเติมในการส่งต่อความน่าเชื่อถือเพื่อตรวจหาภัยคุกคามที่ระบุได้ยากขึ้นใน บริบทของบุคคลที่สามที่มีข้อมูลจำกัด (เช่น การใช้บัตรเครดิตของผู้อื่นโดยไม่ได้รับอนุญาต)
  • บริการป้องกันการละเมิดในอีคอมเมิร์ซ: การตรวจหาบ็อตในการโต้ตอบอีคอมเมิร์ซ (การคลิก การชำระเงิน การซื้อ การให้คะแนนสินค้า แชทบ็อต การคืนสินค้า) มีความสำคัญอย่างยิ่ง เพื่อหลีกเลี่ยงการขูดข้อมูลหน้าเว็บและการโต้ตอบที่ไม่ใช่มนุษย์ PST อาจเป็นสัญญาณเพิ่มเติมที่สำคัญในการตรวจหาเอเจนต์อัตโนมัติสำหรับผู้ให้บริการป้องกันการฉ้อโกงของบุคคลที่สามในแพลตฟอร์มอีคอมเมิร์ซ
  • บริการ CDN: PST มีกลไกช่วยในการรายงานและตรวจหาการรับส่งข้อมูลที่เป็นการฉ้อโกง

รายการ Use Case นี้ไม่ใช่รายการที่ครอบคลุมความสามารถทั้งหมดในการป้องกันการฉ้อโกง ที่อาจได้รับประโยชน์จากโทเค็นสถานะส่วนตัว นอกจากนี้ รายการนี้ยังไม่ได้แยกออกจากกันอย่างชัดเจน โดย PST อาจเป็นประโยชน์ต่อเวิร์กโฟลว์การป้องกันการฉ้อโกงหลายรายการ

เส้นทางของผู้ใช้

การออกและการแลกสิทธิ์ใช้โทเค็นเป็นองค์ประกอบหลักของโทเค็นสถานะส่วนตัว แม้ว่ากรณีการใช้งานก่อนหน้านี้จะเป็นพื้นที่หลักที่ PST จะได้รับการสนับสนุน แต่คุณสามารถพิจารณาช่วงเวลาต่อไปนี้ในเส้นทางของผู้ใช้บางรายเป็นอินสแตนซ์ที่คุณต้องการออกหรือแลกสิทธิ์ใช้โทเค็นจริงๆ

  • ออกโทเค็นระหว่างขั้นตอนการจัดการบัญชี (การเข้าสู่ระบบ การลงชื่อสมัครใช้ การรีเซ็ตรหัสผ่าน และอื่นๆ)
  • ออกโทเค็นหลังจากยืนยันการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA)
  • ออกโทเค็นหลังจากดำเนินการที่มีความเสี่ยงสูง เช่น การลบประวัติการชำระเงิน
  • แลกสิทธิ์ใช้โทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงปานกลาง
  • แลกสิทธิ์ใช้โทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงสูง

การปฏิบัติตามกฎหมาย ePrivacy

การออกโทเค็นสถานะส่วนตัวเกี่ยวข้องกับการจัดเก็บข้อมูลในอุปกรณ์ปลายทางของผู้ใช้ จึงเป็นกิจกรรมที่อยู่ภายใต้กฎหมาย ePrivacy ในเขตเศรษฐกิจยุโรป (EEA) และสหราชอาณาจักร ซึ่งโดยทั่วไปกำหนดให้ต้องได้รับความยินยอมของผู้ใช้ ในฐานะผู้ออกโทเค็น คุณมีหน้าที่พิจารณาว่าการใช้ Private State Tokens API ของคุณจำเป็นอย่างยิ่ง ในการให้บริการออนไลน์ที่ผู้ใช้ขออย่างชัดแจ้งหรือไม่ และด้วยเหตุนี้จึงได้รับการยกเว้นจากข้อกำหนดด้านความยินยอม ดูข้อมูลเพิ่มเติมได้ที่คำถามที่พบบ่อยเกี่ยวกับการปฏิบัติตามข้อกำหนดที่เกี่ยวข้องกับความเป็นส่วนตัวของ Privacy Sandbox Privacy-related Compliance FAQs

มีส่วนร่วมและแชร์ความคิดเห็น

ดูข้อมูลเพิ่มเติม