プライバシーサンドボックスについて調べる

cohort = await document.interestCohort();
url = new URL("https://ads.example/getCreative");
url.searchParams.append("cohort", cohort);
creative = await fetch(url);

https://github.com/WICG/floc

MORIYA Hiroyuki

そもそもターゲティング広告自体に問題もある、という話もあるよう。

加えてEFFは、そもそも「ターゲティング広告」そのものに問題があると指摘。これまで、民族・宗教・性別・年齢または能力に基づいて人々をターゲティングすることにより、仕事や住居といった分野で差別的な広告の数々が行われてきました。例えば信用情報に基づくターゲティングを行うと、金銭的な問題を抱える人に高金利のローンを表示させるという「略奪的な」広告が可能になります。また、政治の世界では、ターゲティング広告が世界的な混乱を起こしてきたと知られています。
https://gigazine.net/news/20210305-googles-floc-terrible-idea/

MORIYA Hiroyuki

一応長期的なプライバシーへの懸念と対策案も書かれているよう。
ただ、ちょっと微妙な雰囲気があるな・・・。

Longitudinal Privacy

The expectation is that the user’s FLoC will be updated over time, so that it continues to have advertising utility. The privacy impacts of this need to be taken into consideration. For instance, multiple FLoC samples means that more information about a user’s browsing history is revealed over time. Possible mitigations include not updating FLoC on a site once it has been called (making it sticky), or reducing the rate of refresh.

Second, if cohorts can be used for tracking, then having more interest cohort samples for a user will make it easier to reidentify them on other sites that have observed the same sequence of cohorts for a user. Possible mitigations for this include designs in which cohorts are updated at different times for different sites, ensuring each site sees a different cohort while the semantic meaning of the cohort remains the same.

MORIYA Hiroyuki

Webの閲覧履歴などはどこにもアップロードしない、とのこと。

The central idea is that these input features to the algorithm, including the web history, are kept local on the browser and are not uploaded elsewhere — the browser only exposes the generated cohort.

MORIYA Hiroyuki

なんか漠然と考えていたのは、Google に送って Google 内で処理するとかなのかな〜、とか思っていた。
なので、思っていたよりはマシな印象だった。

とはいえ、色々問題はありそうな雰囲気を感じた。

どういうロジックでコホート（興味のグループ的なもの）は決定されるのか？
- ブラウザに依存することになりそうだし、機械学習で行われるもののようだから、ブラウザベンダーと教師データ（がいるのかもよくわからない？）によって依存しそう。
コホートが逆にプライバシーを侵害する危険性がないのか？
- サンプルに "43A7" みたいな値があったから、16進数4桁で65,536パターンあると思うので、それなりに識別する情報になりそう。
- IPアドレスや User-Agent とかと組み合わせればほぼ特定できるレベルになるのでは？
- そういうのがあるから、プライバシーサンドボックスとして一連の提案しているとは思うけど。

MORIYA Hiroyuki

FLEDGE

MORIYA Hiroyuki

言葉自体の意味。

羽毛が生えそろう、巣立ちができる
https://ejje.weblio.jp/content/fledge

MORIYA Hiroyuki

FLEDGE はリマーケティングに活用可能でありながら、第三者がサイト間のユーザーの閲覧行動を追跡できないように設計されています。この API を使用すると、ユーザーが以前にアクセスした Web サイトが提供する関連広告を選択するためのブラウザーによるデバイス上の「オークション」を実現できます。

MORIYA Hiroyuki

ユーザーが自社の製品またはサービスを宣伝したいサイトのページ (広告主) にアクセスすると、サイトはユーザーのブラウザーに特定の期間 (たとえば、30 日間) ユーザーを特定の広告グループに関連付けるように要求できます。
https://developer.chrome.com/ja/docs/privacy-sandbox/fledge/#fledge-の仕組み

MORIYA Hiroyuki

TURTLEDOVE というリポジトリの中にあるな・・・。
なにかの提案の中にあるものなのか？

MORIYA Hiroyuki

The browser, not the advertiser, holds the information about what the advertiser thinks a person is interested in.

ブラウザが閲覧者の関心がある情報を知っている（広告主は知らない）って感じか。
この場合 Chrome を持っているのが Google だから微妙な気もするな・・・。

MORIYA Hiroyuki

Advertisers can serve ads based on an interest, but cannot combine that interest with other information about the person — in particular, with who they are or what page they are visiting.

Web sites the person visits, and the ad networks those sites use, cannot learn about their visitors' ad interests.

閲覧者の関心に基づいて広告を配信できるが、誰かを特定することはできない、ってところか。

MORIYA Hiroyuki

Chrome expects to build and ship a first experiment in this direction during 2021. For details of the current design, see FLEDGE.

なるほど。
TURTLEDOVE が提案の内容で、FLEDGE が具体的な実装みたいなイメージなのかな。

MORIYA Hiroyuki

First Experiment (FLEDGE)

よく見たら、最初の実験の名称が FLEDGE なのか。

MORIYA Hiroyuki

FLEDGE は TURTLEDOVE から生まれた API です。

ん？よくわからなくなってきた・・・。

MORIYA Hiroyuki

FLEDGEはプライバシーサンドボックスで議論されてきたTURTLEDOVEという概念の初期のプロトタイプです。TURTLEDOVEはインターネットユーザーの興味・関心といった情報をブラウザに保存し、広告主がそれを利用可能にする仕組みですが、「Google Chromeへの依存が増す」と懸念されています。
https://gigazine.biz/2021/02/21/fledge/

なるほど。

MORIYA Hiroyuki

実装的には、こんな感じで navigator.joinAdInterestGroup で特定のグループに参加させる、って感じなのか。

MORIYA Hiroyuki

こんな感じでオークション(?)されるのか。

MORIYA Hiroyuki

なんだろ、ブラウザが閲覧者の関心を持つ、っていうところがそもそも引っかかるな・・・。
シェアNo.1 の Chrome は Google が持っているわけで、そこを色々やったり、最悪 Chrome はユーザーと紐付けることもできなくはなさそう。

MORIYA Hiroyuki

アトリビューションレポート

MORIYA Hiroyuki

Cross-Site Identifier (クロスサイト識別子) を使用せずに、ユーザーの操作 ( 広告のクリックや表示など) がコンバージョンにつながるタイミングを測定します。
https://developer.chrome.com/ja/docs/privacy-sandbox/attribution-reporting/

MORIYA Hiroyuki

え、Anchor 要素にこういう属性を追加するの！？

MORIYA Hiroyuki

Safari のやつは下の方でちょっと調べた。

MORIYA Hiroyuki

結局のところ、これもブラウザに保存するのか・・・

MORIYA Hiroyuki

この送信する部分とかどうなってんだ・・・？

MORIYA Hiroyuki

この Trusted Servers ってのはどこのサーバーなんだ？Google？

MORIYA Hiroyuki

うーん、こういう微妙な制限を入れないといけないあたり、本質的に微妙な気がする。

MORIYA Hiroyuki

詳細なクリックまたは表示イベントを詳細なコンバージョンデータに関連付ける生のレポートは暗号化されており、アドテック企業は読み取ることができません。集計データは、信頼できるサーバーを介してプライベートな方法でこれらのレポートから計算されます。いくつかの計算オプションが検討されています。

信頼できるサーバー＝Google という前提（これは想像）だとすると、
Google を信頼しないといけない、ってことになるんだろうか。

MORIYA Hiroyuki

結局のところ、Truested Servers には追跡可能なレベルの生レポートがある気がするから、
おそらく Google は見ようと思えば見れる状態になるんじゃないだろうか（想像）

これは、好ましくない状態な気がする。

MORIYA Hiroyuki

リンク先を見る限り SameSite=None SameSite=Lax SameSite=Strict の話のよう。

MORIYA Hiroyuki

First-Party Sets

MORIYA Hiroyuki

Trust Tokens

MORIYA Hiroyuki

トラストトークンを使用すると、ユーザーを認証できるかどうかの信頼性をあるコンテキストから別のコンテキストに伝達できるほか、サイトが詐欺行為を防いだり、ボットを実際の人間と区別したりするのに役立ちます。受動的な追跡は必要ありません。
https://developer.chrome.com/ja/docs/privacy-sandbox/trust-tokens/

MORIYA Hiroyuki

Caution
トラストトークンは、reCAPTCHA やユーザーが主張する人物であることを判断するためのメカニズムに取って代わるものではありません。
トラストトークンは、ユーザーに対する信頼を確立するための手段ではなく、伝達するための手段です。

MORIYA Hiroyuki

結局広告の計測のためなのか・・・。

MORIYA Hiroyuki

Web 開発者向けにまとめた概要

https://web.dev/trust-tokens/

MORIYA Hiroyuki

Mozilla の立場

現状検討する予定はない

MORIYA Hiroyuki

発行者サイトが、結局 Google になるのかなぁ・・・。
別で作れそうな雰囲気はあるけど、なかなか独自で維持していくのは大変そうなので、Google やそういう広告系のサービスで提供されていくことになる気がするな。

まぁでも、Google 以外でもできるのであれば、まだマシなのかもしれない。

MORIYA Hiroyuki

Privacy Budget

MORIYA Hiroyuki

リンクされていたこの動画が詳しかった。（英語だけど、日本語字幕もある）
https://youtu.be/0STgfjSA6T8

Font, Canvas, User-Agent などブラウザを識別するため使える API に対して、

一定の制限を設ける、という趣旨らしい。
ただ、現時点では実験段階で絶対的な基準は存在しないっぽい。

MORIYA Hiroyuki

User-Agent Client Hints

MORIYA Hiroyuki

（力尽きてきたのでざっくりまとめると）
User-Agent で色々な情報を送信し、ユーザーを識別する一部の情報として使えてしまうので、情報をシンプルに、最低限にする、っていう取り組みのよう。

MORIYA Hiroyuki

こういう画面サイズを送ってもらうようなことも可能になるっぽい。

MORIYA Hiroyuki

Chrome 94 で見てみたけど、確かに送っていそう。

MORIYA Hiroyuki

Gnatcatcher

MORIYA Hiroyuki

IPアドレスを利用して個々のユーザーを識別する機能を制限します。提案には2つの部分があります。Willful IP Blindnessでは、WebサイトがIPアドレスをユーザーに関連付けしていないことをブラウザに通知できるようになります。Near-path NATでは、ユーザーのグループが同じプライベートサーバーを介してトラフィックを送信し、実質、サイトホストからIPアドレスを隠せます。Gnatcatcherはまた、不正使用防止などの正当な目的でIPアドレスの情報を必要とするサイトが、認証と監査を条件としてIPアドレス情報を取得できるようにします。

MORIYA Hiroyuki

Apple の Private Relay について（参考）