Mempelajari Privacy Sandbox

Privacy Sandbox adalah serangkaian proposal untuk memenuhi kasus penggunaan pihak ketiga tanpa cookie pihak ketiga atau mekanisme pelacakan lainnya.

Sam Dutton

Ringkasan

  • Postingan ini menguraikan API dan konsep dari proposal Privacy Sandbox.
  • Penulis proposal meminta masukan dari komunitas, terutama dari mereka yang berkecimpung di dunia periklanan (penayang, pengiklan, dan perusahaan teknologi iklan), untuk menyarankan kasus penggunaan yang tidak ada dan membagikan informasi tentang cara mendukung kasus penggunaan bisnis Anda.
  • Anda dapat memberi komentar pada proposal ini dengan mengajukan masalah di repositori yang ditautkan di bawah ini.
  • Terdapat glosarium untuk proposal di akhir postingan ini.

Status privasi saat ini di web

Situs web menggunakan layanan dari perusahaan lain untuk menyediakan analisis, menyajikan video, dan melakukan banyak hal berguna lainnya. Komposabilitas adalah salah satu kekuatan super web. Terutama, iklan disertakan di halaman web melalui JavaScript dan iframe pihak ketiga. Penayangan iklan, klik, dan konversi dilacak melalui skrip dan cookie pihak ketiga.

Namun, saat Anda mengunjungi situs, Anda mungkin tidak mengetahui tentang pihak ketiga yang terlibat dan apa yang mereka lakukan dengan data Anda. Bahkan penayang dan developer web mungkin tidak memahami keseluruhan supply chain pihak ketiga.

Pemilihan iklan, pengukuran konversi, dan kasus penggunaan lainnya saat ini mengandalkan pembuatan identitas pengguna lintas situs yang stabil. Sebelumnya, hal ini dilakukan dengan cookie pihak ketiga, tetapi browser mulai membatasi akses ke cookie ini. Selain itu, telah terjadi peningkatan penggunaan mekanisme lain untuk pelacakan pengguna lintas situs, seperti penyimpanan browser rahasia, pelacakan sidik jari perangkat, dan permintaan informasi pribadi seperti alamat email.

Ini adalah dilema bagi web. Bagaimana kasus penggunaan pihak ketiga yang sah dapat didukung tanpa mengizinkan pengguna untuk dilacak di berbagai situs?

Secara khusus, bagaimana cara situs mendanai konten dengan mengizinkan pihak ketiga untuk menampilkan iklan dan mengukur performa iklan, tetapi tidak mengizinkan masing-masing pengguna dibuat profilnya? Bagaimana pengiklan dan pemilik situs dapat mengevaluasi keaslian pengguna tanpa menggunakan pola gelap seperti pelacakan sidik jari perangkat?

Cara kerja berbagai hal saat ini dapat menjadi masalah bagi seluruh ekosistem web, bukan hanya pengguna. Bagi penayang dan pengiklan, melacak identitas dan menggunakan berbagai solusi pihak ketiga non-standar dapat menambah utang teknis, kompleksitas kode, dan risiko data. Pengguna, developer, penayang, dan pengiklan harus yakin bahwa web melindungi pilihan privasi pengguna.

Iklan adalah model bisnis web inti untuk internet, tetapi iklan harus dapat diterapkan untuk semua orang. Hal ini membawa kita ke misi Privacy Sandbox: menciptakan ekosistem web berkembang yang menghormati pengguna dan menjaga privasi secara default.

Memperkenalkan Privacy Sandbox

Privacy Sandbox memperkenalkan sekumpulan API yang menjaga privasi untuk mendukung model bisnis yang mendanai web terbuka tanpa adanya mekanisme pelacakan seperti cookie pihak ketiga.

Privacy Sandbox API mengharuskan browser web menjalankan peran baru. Daripada menggunakan alat dan perlindungan terbatas, API memungkinkan browser pengguna bertindak atas nama pengguna—secara lokal, di perangkat mereka—untuk melindungi informasi pengidentifikasi pengguna saat mereka menavigasi web. API ini memungkinkan kasus penggunaan seperti pemilihan iklan dan pengukuran konversi, tanpa mengungkapkan informasi pribadi dan pribadi satu per satu. Dalam istilah teknis, sandbox adalah lingkungan yang dilindungi; prinsip utama Privacy Sandbox adalah informasi pribadi pengguna harus dilindungi dan tidak dibagikan dengan cara yang memungkinkan pengguna diidentifikasi di berbagai situs.

Hal ini merupakan kabar baik untuk browser. Visi Privacy Sandbox di masa depan membuat browser menyediakan alat spesifik untuk memenuhi kasus penggunaan tertentu, sekaligus menjaga privasi pengguna. Model Privasi Potensial untuk Web menetapkan prinsip inti di balik API:

  • Untuk menetapkan rentang aktivitas web yang memungkinkan browser pengguna mengizinkan situs memperlakukan seseorang sebagai memiliki satu identitas.
  • Untuk mengidentifikasi cara informasi dapat berpindah melintasi batas identitas tanpa mengorbankan pemisahan tersebut.

Proposal Privacy Sandbox

Agar berhasil beralih dari cookie pihak ketiga, inisiatif Privacy Sandbox memerlukan dukungan Anda. Penjelasan proposal memerlukan masukan dari developer serta penayang, pengiklan, dan perusahaan teknologi iklan, untuk menyarankan kasus penggunaan yang tidak ada dan memberikan informasi tentang cara mencapai sasaran mereka dengan cara yang menjaga privasi.

Anda dapat memberi komentar pada penjelasan proposal dengan mengajukan masalah terhadap setiap repositori:

  • Model Privasi untuk Web
    Tetapkan rentang aktivitas web yang memungkinkan browser pengguna mengizinkan situs memperlakukan seseorang sebagai memiliki satu identitas. Mengidentifikasi cara informasi dapat berpindah melintasi batas identitas tanpa mengorbankan pemisahan tersebut.
  • Anggaran Privasi
    Batasi jumlah total data yang berpotensi dapat diidentifikasi yang dapat diakses situs. Mengupdate API untuk mengurangi jumlah pengungkapan data yang berpotensi dapat diidentifikasi. Membuat akses ke data yang berpotensi dapat diidentifikasi dan diukur.
  • Penangkap ikan
    Batasi kemampuan untuk mengidentifikasi pengguna individu dengan mengakses alamat IP mereka.
  • Trust Token API
    Aktifkan origin yang memercayai pengguna untuk menerbitkannya dengan token kriptografis yang disimpan oleh browser pengguna agar dapat digunakan dalam konteks lain untuk mengevaluasi keaslian pengguna.
  • Set Pihak Pertama
    Mengizinkan nama domain terkait yang dimiliki oleh entitas yang sama untuk menyatakan diri sebagai milik pihak pertama yang sama.
  • Pelaporan Gabungan
    Menyediakan mekanisme yang menjaga privasi untuk mendukung berbagai kasus penggunaan seperti pengukuran konversi lihat-tayang, brand, peningkatan, dan jangkauan.
  • Pelaporan Atribusi
    Memberikan pengukuran klik dan penayangan yang menjaga privasi dengan laporan gabungan dan tingkat peristiwa.
  • Topics API
    Mengaktifkan periklanan menurut minat, tanpa harus memilih untuk melacak situs yang dikunjungi pengguna. Desain API ini didasarkan pada masukan komunitas dari uji coba FLoC sebelumnya, dan menggantikan proposal FLoC.
  • FLEDGE
    Memberikan solusi untuk kasus penggunaan pemasaran ulang, yang dirancang agar tidak dapat digunakan oleh pihak ketiga untuk melacak perilaku penjelajahan pengguna di seluruh situs.

Anda dapat langsung mempelajari penjelasan proposal API, dan selama beberapa bulan ke depan kami akan memublikasikan postingan tentang setiap proposal satu per satu.

Kami juga akan menambahkan video berdurasi lima menit yang memberikan penjelasan sederhana tentang setiap API ke playlist kami.

Kasus penggunaan dan sasaran

Mengukur konversi

Sasaran: Memungkinkan pengiklan mengukur performa iklan.

Attribution Reporting API memungkinkan pengukuran dua peristiwa yang ditautkan bersama: Akun Layanan 1. Peristiwa di situs penayang, seperti pengguna yang melihat atau mengklik iklan. 1. Konversi berikutnya di situs pengiklan.

API ini mendukung pengukuran klik-tayang dan lihat-tayang.

Fitur lain dalam API ini mencakup pelaporan atribusi lintas perangkat dan pelaporan atribusi aplikasi ke web.

API juga menawarkan dua jenis laporan atribusi:

  • Laporan tingkat peristiwa mengaitkan klik atau tampilan iklan tertentu (di sisi iklan) dengan data di sisi konversi. Untuk menjaga privasi pengguna, dengan mencegah penggabungan identitas pengguna di berbagai situs, data sisi konversi sangat dibatasi, dan data akan 'noise' (artinya untuk sebagian kecil kasus, data acak akan dikirim). Sebagai perlindungan privasi tambahan, laporan tidak langsung dikirim.

  • Laporan agregat tidak terikat dengan peristiwa tertentu di sisi iklan. Laporan ini memberikan data konversi yang lebih lengkap dengan fidelitas lebih tinggi dibandingkan laporan tingkat peristiwa. Kombinasi teknik privasi di seluruh kriptografi, distribusi kepercayaan, dan privasi diferensial membantu mengurangi risiko penggabungan identitas lintas situs.

Kedua jenis laporan ini dapat digunakan secara bersamaan: keduanya saling melengkapi.

Pengantar Attribution Reporting menjelaskan lebih lanjut status fitur ini dan cara mencoba API ini.

Pilih iklan

Sasaran: Memungkinkan pengiklan menampilkan iklan yang relevan kepada pengguna.

Iklan yang relevan lebih menguntungkan bagi pengguna dan lebih menguntungkan bagi penayang (orang yang menjalankan situs yang didukung iklan). Alat pemilihan iklan pihak ketiga membuat ruang iklan lebih bernilai bagi pengiklan (orang-orang yang membeli ruang iklan di situs) yang pada gilirannya akan meningkatkan pendapatan untuk situs yang didukung iklan dan memungkinkan konten dibuat dan dipublikasikan.

Ada banyak cara untuk membuat iklan relevan bagi pengguna, termasuk:

  • Data pihak pertama: Menampilkan iklan yang relevan dengan topik yang diminati seseorang di situs yang mereka minati, atau konten yang pernah dilihat seseorang sebelumnya di situs saat ini.
  • Kontekstual: Pilih tempat untuk menampilkan iklan berdasarkan konten situs. Misalnya, 'Tempatkan iklan ini di samping artikel tentang merajut'.
  • Pemasaran ulang: Beriklan kepada orang yang pernah mengunjungi situs Anda, saat mereka tidak ada di situs Anda. Misalnya, 'Tampilkan iklan wol diskon ini kepada orang-orang yang mengunjungi toko Anda dan meninggalkan barang rajutan di keranjang belanja mereka—saat mereka mengunjungi situs kerajinan tangan'.
  • Menurut minat: Pilih iklan berdasarkan histori penjelajahan pengguna. Misalnya, 'Tampilkan iklan ini kepada pengguna yang perilaku penjelajahannya menunjukkan bahwa mereka mungkin tertarik dengan merajut'.

Pemilihan data pihak pertama dan iklan kontekstual dapat dicapai tanpa mengetahui apa pun tentang pengguna selain aktivitas mereka dalam situs. Teknik ini tidak memerlukan pelacakan lintas situs.

Pemasaran ulang biasanya dilakukan dengan menggunakan cookie atau beberapa cara lain untuk mengenali orang di seluruh situs: menambahkan pengguna ke daftar, lalu memilih iklan tertentu untuk ditampilkan kepada mereka.

Pemilihan iklan berbasis minat saat ini menggunakan cookie untuk melacak perilaku pengguna di sebanyak mungkin situs. Banyak orang mengkhawatirkan implikasi privasi dari pemilihan iklan. Privacy Sandbox mengusulkan dua alternatif, untuk pemasaran ulang dan pilihan berbasis minat:

  • FLEDGE: untuk kasus penggunaan pemasaran ulang.
    API ini dirancang agar tidak dapat digunakan oleh pihak ketiga untuk melacak perilaku penjelajahan pengguna: browser pengguna, bukan pengiklan atau platform teknologi iklan, menyimpan grup minat yang ditentukan pengiklan yang dikaitkan dengan browser pengguna. Browser pengguna menggabungkan data grup minat dengan data pembeli/penjual iklan dan logika bisnis untuk melakukan "lelang" secara lokal pada perangkat pengguna untuk memilih iklan, bukan berbagi data dengan pihak ketiga.

  • Topics API: untuk audiens berbasis minat.
    Mengaktifkan periklanan menurut minat, tanpa harus memilih untuk melacak situs yang dikunjungi pengguna. API mengusulkan penggunaan machine learning untuk menyimpulkan topik dari nama host, dan JavaScript API yang menampilkan topik umum yang mungkin diminati pengguna saat ini, berdasarkan nama host situs yang baru-baru ini dikunjungi.

Mengatasi pelacakan sidik jari

Sasaran: Mengurangi jumlah data berpotensi diidentifikasi yang diungkapkan oleh API dan membuat akses ke data yang berpotensi dapat diidentifikasi yang dapat dikontrol oleh pengguna, dan dapat diukur.

Browser telah mengambil langkah-langkah untuk menghentikan penggunaan cookie pihak ketiga, tetapi teknik untuk mengidentifikasi dan melacak perilaku masing-masing pengguna, yang dikenal sebagai pelacakan sidik jari, terus berkembang. Pelacakan sidik jari menggunakan mekanisme yang tidak diketahui dan tidak dapat dikontrol oleh pengguna.

  • Proposal Anggaran Privasi bertujuan membatasi potensi pelacakan sidik jari dengan mengidentifikasi jumlah data sidik jari yang diekspos oleh JavaScript API atau 'platform' lainnya (seperti header permintaan HTTP) dan menetapkan batas jumlah data yang dapat diakses.

  • Cakupan platform pelacakan sidik jari seperti header User-Agent akan dikurangi, dan data yang tersedia melalui mekanisme alternatif seperti Client Hints akan tunduk kepada batas Anggaran Privasi. Platform lain, seperti API orientasi perangkat dan tingkat baterai, akan diperbarui untuk meminimalkan informasi yang diekspos.

Keamanan alamat IP

Sasaran: Mengontrol akses ke alamat IP untuk mengurangi pelacakan sidik jari tersembunyi, dan mengizinkan situs memilih untuk tidak melihat alamat IP agar tidak menghabiskan anggaran privasi.

Alamat IP pengguna adalah 'alamat' publik dari komputer mereka di internet, yang umumnya ditugaskan secara dinamis oleh jaringan yang mereka gunakan untuk terhubung ke internet. Namun, bahkan alamat IP dinamis dapat tetap stabil selama jangka waktu yang signifikan. Tidak heran, ini berarti bahwa alamat IP merupakan sumber data sidik jari yang signifikan.

Proposal Gnatcatcher adalah upaya untuk menyediakan pendekatan yang menjaga privasi yang menghindari konsumsi anggaran privasi, sekaligus memastikan bahwa situs mewajibkan akses ke alamat IP untuk tujuan yang sah seperti pencegahan penyalahgunaan, sertifikasi dan audit.

Ada dua bagian dalam proposal: * Kebutaan IP yang Disengaja menyediakan cara bagi situs web untuk memberi tahu {i>browser<i} bahwa mereka tidak menghubungkan alamat IP dengan pengguna. * NAT di dekat jalur memungkinkan kelompok pengguna untuk mengirim lalu lintas mereka melalui server privatisasi yang sama, yang secara efektif menyembunyikan alamat IP dari host situs.

Memerangi serangan spam, penipuan, dan denial-of-service

Sasaran: Memverifikasi keaslian pengguna tanpa pelacakan sidik jari.

Perlindungan antipenipuan sangat penting untuk menjaga keamanan pengguna, dan untuk memastikan pengiklan dan pemilik situs bisa mendapatkan pengukuran performa iklan yang akurat. Pengiklan dan pemilik situs harus dapat membedakan antara bot berbahaya dan pengguna asli. Jika pengiklan tidak dapat secara pasti mengetahui klik iklan mana yang berasal dari pengguna sungguhan, mereka akan membelanjakan lebih sedikit, sehingga penayang situs akan memperoleh lebih sedikit pendapatan. Banyak layanan pihak ketiga yang saat ini menggunakan teknik seperti pelacakan sidik jari perangkat untuk melawan penipuan.

Sayangnya, teknik yang digunakan untuk mengidentifikasi pengguna sah dan memblokir spammer, penipuan, dan bot bekerja dengan cara yang mirip dengan teknik sidik jari yang merusak privasi.

  • Trust Tokens API mengusulkan pendekatan alternatif, yang memungkinkan keaslian yang ditetapkan bagi pengguna dalam satu konteks, seperti situs media sosial, disampaikan ke konteks lain, seperti iklan yang berjalan di situs berita—tanpa mengidentifikasi pengguna atau menautkan kedua identitas tersebut.

Aktifkan domain milik pihak pertama yang sama

Sasaran: Memungkinkan entitas untuk menyatakan bahwa nama domain terkait dimiliki oleh pihak pertama yang sama.

Banyak organisasi memiliki situs di beberapa domain. Hal ini dapat menjadi masalah jika pembatasan diberlakukan pada pelacakan identitas pengguna di seluruh situs yang dianggap sebagai 'pihak ketiga' tetapi sebenarnya berasal dari organisasi yang sama.

  • Set Pihak Pertama bertujuan untuk membuat konsep web pihak pertama dan ketiga lebih selaras dengan konsep web di dunia nyata dengan memungkinkan beberapa domain untuk menyatakan dirinya sebagai milik pihak pertama yang sama.

Cari tahu selengkapnya

Penjelasan proposal Privacy Sandbox

Inisiatif Privacy Sandbox memerlukan dukungan Anda. Penjelasan proposal API memerlukan masukan, khususnya untuk menyarankan kasus penggunaan yang tidak ada dan cara yang lebih pribadi untuk mencapai sasaran mereka.

Model Privasi Potensial untuk Web menetapkan prinsip inti yang mendasari API.

Privacy Sandbox

Diskusi dan partisipasi

Kasus penggunaan, kebijakan, dan persyaratan

Lampiran: Glosarium istilah yang digunakan dalam penjelasan proposal

Rasio klik-tayang (CTR)

Rasio pengguna yang mengklik iklan, setelah melihatnya. (Lihat juga tayangan.)

Konversi klik-tayang (CTC)

Konversi yang diatribusikan ke iklan yang 'diklik'.

Konversi

Penyelesaian tindakan di situs pengiklan oleh pengguna yang sebelumnya berinteraksi dengan iklan dari pengiklan tersebut. Misalnya, pembelian produk atau pendaftaran newsletter setelah mengklik iklan yang tertaut ke situs pengiklan.

Privasi diferensial

Bagikan informasi tentang {i>dataset<i} untuk mengungkapkan pola perilaku tanpa mengungkapkan informasi pribadi tentang individu-individu atau apakah mereka termasuk dalam {i>dataset<i} tersebut.

Domain

Lihat Domain Level Teratas dan eTLD.

eTLD, eTLD+1

'Efektif' domain level teratas ditentukan oleh Daftar Suffix Publik. Contoh:

co.uk
appspot.com
glitch.me

TLD efektif adalah yang memungkinkan foo.appspot.com menjadi situs yang berbeda dengan bar.appspot.com. Domain level teratas yang efektif (eTLD) dalam kasus ini adalah appspot.com, dan seluruh nama situs (foo.appspot.com, bar.appspot.com) dikenal sebagai eTLD+1.

Lihat juga Domain Level Teratas.

Entropi

Ukuran seberapa banyak item data mengungkapkan identitas individu.

Entropi data diukur dalam bit. Semakin banyak data mengungkapkan identitas, semakin tinggi nilai entropinya.

Data dapat digabungkan untuk mengidentifikasi individu, tetapi sulit untuk mengetahui apakah data baru ditambahkan ke entropi. Misalnya, mengetahui seseorang berasal dari Australia tidak akan mengurangi entropi jika Anda sudah mengetahui orang tersebut berasal dari Kangaroo Island.

Pelacakan sidik jari

Teknik untuk mengidentifikasi dan melacak perilaku masing-masing pengguna. Pelacakan sidik jari menggunakan mekanisme yang tidak diketahui dan tidak dapat dikontrol oleh pengguna.

Platform pelacakan sidik jari

Sesuatu yang dapat digunakan (mungkin dalam kombinasi dengan permukaan lain) untuk mengidentifikasi pengguna atau perangkat tertentu. Misalnya, metode JavaScript navigator.userAgent() dan header permintaan HTTP User-Agent memberikan akses ke platform pelacakan sidik jari (string agen pengguna).

Pihak pertama

Referensi dari situs yang Anda kunjungi. Misalnya, halaman yang Anda baca ada di situs web.dev dan menyertakan referensi dari situs tersebut. Lihat juga Pihak ketiga.

Tayangan

Tampilan iklan. (Lihat juga rasio klik-tayang.)

k-anonymity

Ukuran anonimitas dalam set data. Jika Anda memiliki anonimitas k, Anda tidak dapat dibedakan dari k-1 individu lain dalam set data. Dengan kata lain, k individu memiliki informasi yang sama (termasuk Anda).

Nonce

Nomor arbitrer yang digunakan hanya sekali dalam komunikasi kriptografi.

Asal

Asal permintaan, termasuk nama server, tetapi tidak ada informasi jalur. Misalnya: https://web.dev.

Permukaan pasif

Beberapa platform pelacakan sidik jari, seperti string agen pengguna, alamat IP, dan header bahasa terima, tersedia untuk setiap situs, baik situs memintanya atau tidak. Artinya, platform pasif dapat dengan mudah menghabiskan anggaran privasi situs.

Inisiatif Privacy Sandbox mengusulkan penggantian platform pasif dengan cara aktif untuk mendapatkan informasi spesifik, misalnya menggunakan Petunjuk Klien satu kali guna mendapatkan bahasa pengguna, bukan memiliki header bahasa yang dapat diterima untuk setiap respons ke setiap server.

Penayang

Penjelasan proposal Privacy Sandbox sebagian besar membahas tentang iklan, jadi jenis penayang yang dirujuk adalah jenis penayang yang menempatkan iklan di situs mereka.

Jangkauan

Total jumlah orang yang melihat iklan.

Pemasaran Ulang

Menayangkan iklan kepada orang yang pernah mengunjungi situs Anda. Misalnya, sebuah toko online dapat menampilkan iklan penjualan mainan kepada orang yang sebelumnya melihat mainan tersebut di situs mereka.

Situs

Lihat Domain Level Teratas dan eTLD.

Platform

Lihat Permukaan pelacakan sidik jari dan Permukaan pasif.

Pihak ketiga

Resource yang ditampilkan dari domain yang berbeda dengan situs yang Anda kunjungi. Misalnya, situs foo.com mungkin menggunakan kode analisis dari google-analytics.com (melalui JavaScript), font dari use.typekit.net (melalui elemen link), dan video dari vimeo.com (dalam iframe). Lihat juga Pihak pertama.

Domain level teratas (TLD)

Domain level teratas seperti .com dan .org tercantum di Root Zone Database.

Perhatikan bahwa beberapa 'situs' sebenarnya hanyalah subdomain. Misalnya, translate.google.com dan maps.google.com hanyalah subdomain dari google.com (yaitu eTLD + 1).

.well-known

Sebaiknya Anda mengakses kebijakan atau informasi lain tentang host sebelum membuat permintaan. Misalnya, robots.txt memberi tahu crawler web halaman mana yang harus dikunjungi dan halaman yang harus diabaikan. IETF RFC8615 menguraikan cara standar untuk membuat metadata di seluruh situs dapat diakses di lokasi standar dalam subdirektori /.well-known/. Anda dapat melihat daftarnya di iana.org/assignments/well-known-uris/well-known-uris.xhtml.

Terima kasih kepada semua yang telah membantu kami menulis dan meninjau postingan ini.

Foto oleh Pierre Bamin di Unsplash.