Mempelajari Privacy Sandbox

Privacy Sandbox adalah serangkaian proposal untuk memenuhi kasus penggunaan pihak ketiga tanpa cookie pihak ketiga atau mekanisme pelacakan lainnya.

Sam Dutton

Ringkasan

  • Postingan ini menguraikan API dan konsep dari proposal Privacy Sandbox.
  • Penulis proposal mengundang masukan dari komunitas, terutama dari mereka yang bekerja di bidang periklanan (penayang, pengiklan, dan perusahaan teknologi iklan), untuk menyarankan kasus penggunaan yang hilang dan berbagi informasi tentang cara mendukung kasus penggunaan bisnis Anda.
  • Anda dapat memberikan komentar pada proposal dengan mengajukan masalah di repositori yang ditautkan di bawah.
  • Terdapat glosarium untuk proposal di akhir postingan ini.

Status privasi saat ini di web

Situs web menggunakan layanan dari perusahaan lain untuk memberikan analisis, menyajikan video, dan melakukan banyak hal berguna lainnya. Kompatibilitas adalah salah satu kelebihan web. Terutama, iklan disertakan di halaman web melalui JavaScript dan iframe pihak ketiga. Tampilan, klik, dan konversi iklan dilacak melalui cookie dan skrip pihak ketiga.

Namun, saat mengunjungi situs, Anda mungkin tidak mengetahui adanya pihak ketiga yang terlibat dan apa yang mereka lakukan dengan data Anda. Bahkan penayang dan developer web mungkin tidak memahami seluruh supply chain pihak ketiga.

Pemilihan iklan, pengukuran konversi, dan kasus penggunaan lainnya saat ini mengandalkan pembentukan identitas pengguna lintas situs yang stabil. Sebelumnya, tindakan ini dilakukan dengan cookie pihak ketiga, tetapi browser mulai membatasi akses ke cookie tersebut. Selain itu, telah ada peningkatan penggunaan mekanisme lain untuk pelacakan pengguna lintas situs, seperti penyimpanan browser tersembunyi, pelacakan sidik jari perangkat, dan permintaan informasi pribadi seperti alamat email.

Ini adalah dilema web. Bagaimana kasus penggunaan pihak ketiga yang sah dapat didukung tanpa mengizinkan pelacakan lintas situs?

Secara khusus, bagaimana cara situs membiayai konten dengan mengizinkan pihak ketiga untuk menampilkan iklan dan mengukur performa iklan—tetapi tidak mengizinkan pengguna perorangan untuk membuat profilnya? Bagaimana pengiklan dan pemilik situs dapat mengevaluasi keaslian pengguna tanpa menggunakan pola gelap seperti pelacakan sidik jari perangkat?

Cara kerja sesuatu saat ini dapat menimbulkan masalah bagi seluruh ekosistem web, bukan hanya pengguna. Bagi penayang dan pengiklan, melacak identitas dan menggunakan berbagai solusi pihak ketiga non-standar dapat menambah beban teknis, kompleksitas kode, dan risiko data. Pengguna, developer, penayang, dan pengiklan harus yakin bahwa web melindungi pilihan privasi pengguna.

Iklan adalah model bisnis web inti untuk internet, tetapi iklan tetap harus bermanfaat bagi semua orang. Hal tersebut membawa kita ke misi Privacy Sandbox: untuk menciptakan ekosistem web yang berkembang yang menghormati pengguna dan pribadi secara default.

Memperkenalkan Privacy Sandbox

Privacy Sandbox memperkenalkan serangkaian API yang menjaga privasi untuk mendukung model bisnis yang mendanai web terbuka tanpa mekanisme pelacakan seperti cookie pihak ketiga.

Privacy Sandbox API mengharuskan browser web mengambil peran baru. Daripada menggunakan alat dan perlindungan yang terbatas, API memungkinkan browser pengguna bertindak atas nama pengguna—secara lokal, di perangkat mereka—untuk melindungi informasi identitas pengguna saat mereka menjelajahi web. API memungkinkan kasus penggunaan seperti pemilihan iklan dan pengukuran konversi, tanpa mengungkapkan informasi pribadi dan rahasia satu per satu. Dalam istilah teknis, sandbox adalah lingkungan yang dilindungi; prinsip utama Privacy Sandbox adalah bahwa informasi pribadi pengguna harus dilindungi dan tidak dibagikan dengan cara yang memungkinkan pengguna diidentifikasi di seluruh situs.

Hal ini menunjukkan adanya pergeseran arah untuk browser. Visi Privacy Sandbox di masa depan adalah browser yang menyediakan alat spesifik untuk memenuhi kasus penggunaan tertentu, sekaligus menjaga privasi pengguna. Model Privasi Potensial untuk Web menetapkan prinsip inti di balik API:

  • Untuk menetapkan berbagai aktivitas web di browser pengguna, situs dapat mengizinkan situs memperlakukan seseorang sebagai memiliki satu identitas.
  • Untuk mengidentifikasi cara informasi dapat berpindah melintasi batas identitas tanpa mengorbankan pemisahan tersebut.

Proposal Privacy Sandbox

Agar berhasil beralih dari cookie pihak ketiga, inisiatif Privacy Sandbox memerlukan dukungan Anda. Penjelas proposal ini memerlukan masukan dari developer serta penayang, pengiklan, dan perusahaan teknologi iklan, untuk menyarankan kasus penggunaan yang belum ada dan membagikan informasi tentang cara mencapai sasaran mereka dengan cara yang menjaga privasi.

Anda dapat memberikan komentar terkait penjelasan proposal dengan mengajukan masalah pada setiap repositori:

  • Model Privasi untuk Web
    Menetapkan rentang aktivitas web di mana browser pengguna dapat mengizinkan situs memperlakukan seseorang sebagai memiliki identitas tunggal. Mengidentifikasi cara informasi dapat bergerak melintasi batas identitas tanpa mengorbankan pemisahan tersebut.
  • Anggaran Privasi
    Batasi jumlah total data yang berpotensi dapat diidentifikasi yang dapat diakses oleh situs. Update API untuk mengurangi pengungkapan data yang berpotensi dapat diidentifikasi. Buat akses ke data yang berpotensi dapat diidentifikasi dan dapat diukur.
  • Gnatcatcher
    Membatasi kemampuan untuk mengidentifikasi masing-masing pengguna dengan mengakses alamat IP mereka.
  • Trust Token API
    Aktifkan origin yang memercayai pengguna untuk menerbitkan token kriptografis yang disimpan oleh browser pengguna, sehingga dapat digunakan dalam konteks lain untuk mengevaluasi keaslian pengguna.
  • Set Pihak Pertama
    Mengizinkan nama domain terkait yang dimiliki oleh entitas yang sama untuk dinyatakan sebagai milik pihak pertama yang sama.
  • Pelaporan Gabungan
    Menyediakan mekanisme yang menjaga privasi untuk mendukung berbagai kasus penggunaan seperti konversi lihat-tayang, brand, peningkatan, dan pengukuran jangkauan.
  • Pelaporan Atribusi
    Memberikan pengukuran klik dan penayangan yang menjaga privasi dengan laporan tingkat peristiwa dan gabungan.
  • Topics API
    Memungkinkan periklanan menurut minat, tanpa harus berupaya melacak situs yang dikunjungi pengguna. Desain API ini didasarkan pada masukan komunitas dari uji coba FLoC kami sebelumnya, dan menggantikan proposal FLoC.
  • FLEDGE
    Memberikan solusi untuk kasus penggunaan pemasaran ulang, yang didesain agar tidak dapat digunakan oleh pihak ketiga untuk melacak perilaku penjelajahan pengguna di seluruh situs.

Anda dapat langsung mempelajari penjelasan proposal API, dan dalam beberapa bulan mendatang kami akan memublikasikan postingan tentang setiap proposal satu per satu.

Kami juga akan menambahkan video berdurasi lima menit ke playlist kami untuk memberikan penjelasan sederhana tentang setiap API.

Kasus penggunaan dan sasaran

Ukur konversi

Sasaran: Memungkinkan pengiklan mengukur performa iklan.

Attribution Reporting API memungkinkan pengukuran dua peristiwa yang ditautkan bersama: 1. Peristiwa di situs penayang, seperti pengguna yang melihat atau mengklik iklan. 1. Konversi berikutnya di situs pengiklan.

API ini mendukung pengukuran klik-tayang dan lihat-tayang.

Fitur lain dalam API ini mencakup pelaporan atribusi lintas perangkat dan pelaporan atribusi aplikasi ke web.

API ini juga menawarkan dua jenis laporan atribusi:

  • Laporan tingkat peristiwa mengaitkan klik atau tampilan iklan tertentu (di sisi iklan) dengan data pada sisi konversi. Untuk menjaga privasi pengguna, dengan mencegah penggabungan identitas pengguna di seluruh situs, data sisi konversi sangat terbatas, dan datanya 'noise' (artinya untuk sebagian kecil kasus, data acak akan dikirim). Sebagai perlindungan privasi tambahan, laporan tidak akan langsung dikirim.

  • Laporan gabungan tidak dikaitkan dengan peristiwa tertentu di sisi iklan. Laporan ini memberikan data konversi yang lebih lengkap dan memiliki fidelitas lebih tinggi dibandingkan laporan tingkat peristiwa. Kombinasi teknik privasi di seluruh kriptografi, distribusi kepercayaan, dan privasi diferensial membantu mengurangi risiko penggabungan identitas lintas situs.

Kedua jenis laporan dapat digunakan secara bersamaan: keduanya saling melengkapi.

Pengantar Attribution Reporting menjelaskan lebih lanjut status fitur dan cara mencoba API ini.

Pilih iklan

Sasaran: Memungkinkan pengiklan menampilkan iklan yang relevan kepada pengguna.

Iklan yang relevan lebih menguntungkan bagi pengguna dan lebih menguntungkan bagi penayang (orang yang menjalankan situs yang didukung iklan). Alat pemilihan iklan pihak ketiga menjadikan ruang iklan lebih berharga bagi pengiklan (orang yang membeli ruang iklan di situs web) yang pada akhirnya meningkatkan pendapatan untuk situs web yang didukung iklan dan memungkinkan pembuatan dan publikasi konten.

Ada banyak cara untuk membuat iklan relevan kepada pengguna, termasuk cara berikut:

  • Data pihak pertama: Menampilkan iklan yang relevan dengan topik yang diceritakan seseorang di situs yang diminatinya, atau konten yang sebelumnya dilihat seseorang di situs saat ini.
  • Kontekstual: Pilih tempat untuk menampilkan iklan berdasarkan konten situs. Misalnya, 'Tempatkan iklan ini di sebelah artikel tentang merajut'.
  • Pemasaran ulang: Beriklan kepada orang yang pernah mengunjungi situs Anda, saat mereka belum berada di situs Anda. Misalnya, 'Tampilkan iklan wol diskon ini kepada orang-orang yang mengunjungi toko Anda dan meninggalkan barang merajut dalam keranjang belanja mereka—saat mereka mengunjungi situs kerajinan.'
  • Berdasarkan minat: Pilih iklan berdasarkan histori penjelajahan pengguna. Misalnya, 'Tampilkan iklan ini kepada pengguna yang perilaku penjelajahannya menunjukkan bahwa mereka mungkin tertarik untuk merajut'.

Pemilihan iklan kontekstual dan data pihak pertama dapat dilakukan tanpa mengetahui apa pun tentang pengguna selain aktivitas mereka dalam situs. Teknik ini tidak memerlukan pelacakan lintas situs.

Pemasaran ulang biasanya dilakukan dengan menggunakan cookie atau cara lain untuk mengenali orang di seluruh situs web: menambahkan pengguna ke daftar lalu memilih iklan tertentu untuk ditampilkan.

Pemilihan iklan berbasis minat saat ini menggunakan cookie untuk melacak perilaku pengguna di sebanyak mungkin situs. Banyak orang khawatir dengan implikasi privasi dari pemilihan iklan. Privacy Sandbox mengusulkan dua alternatif, yaitu pemasaran ulang dan pemilihan berbasis minat:

  • FLEDGE: untuk kasus penggunaan pemasaran ulang.
    API ini dirancang agar tidak dapat digunakan oleh pihak ketiga untuk melacak perilaku penjelajahan pengguna: browser pengguna, bukan platform pengiklan atau platform teknologi iklan, menyimpan grup minat yang ditentukan pengiklan yang terkait dengan browser pengguna. Browser pengguna menggabungkan data grup minat dengan data pembeli/penjual iklan dan logika bisnis untuk melakukan "lelang" secara lokal di perangkat pengguna untuk memilih iklan, bukan berbagi data dengan pihak ketiga.

  • Topics API: untuk audiens berbasis minat.
    Mengaktifkan periklanan menurut minat, tanpa harus berupaya melacak situs yang dikunjungi pengguna. API ini mengusulkan penggunaan machine learning untuk menyimpulkan topik dari nama host, dan JavaScript API yang menampilkan topik umum yang mungkin diminati pengguna saat ini, berdasarkan nama host situs yang baru-baru ini dikunjungi.

Mengatasi pelacakan sidik jari

Sasaran: Mengurangi jumlah data yang berpotensi dapat diidentifikasi yang diungkapkan oleh API dan membuat akses ke data yang berpotensi dapat diidentifikasi, dapat dikontrol oleh pengguna, serta dapat diukur.

Browser telah mengambil langkah-langkah untuk menghentikan cookie pihak ketiga, tetapi teknik untuk mengidentifikasi dan melacak perilaku setiap pengguna, yang dikenal sebagai pelacakan sidik jari, terus berkembang. Pelacakan sidik jari menggunakan mekanisme yang tidak diketahui dan tidak dapat dikontrol pengguna.

  • Proposal Anggaran Privasi bertujuan membatasi potensi pelacakan sidik jari dengan mengidentifikasi seberapa banyak data sidik jari yang diekspos oleh JavaScript API atau 'platform' lainnya (seperti header permintaan HTTP) dan menetapkan batas jumlah data ini yang dapat diakses.

  • Platform pelacakan sidik jari seperti header Agen Pengguna akan dikurangi cakupannya, dan data yang disediakan melalui mekanisme alternatif seperti Petunjuk Klien akan tunduk pada batas Anggaran Privasi. Platform lainnya, seperti orientasi perangkat dan API level baterai, akan diupdate untuk meminimalkan informasi yang ditampilkan.

Keamanan alamat IP

Sasaran: Mengontrol akses ke alamat IP untuk mengurangi pelacakan sidik jari tersembunyi, dan memungkinkan situs memilih untuk tidak melihat alamat IP agar tidak menghabiskan anggaran privasi.

Alamat IP pengguna adalah 'alamat' publik komputer mereka di internet, yang pada umumnya ditetapkan secara dinamis oleh jaringan tempat mereka terhubung ke internet. Namun, bahkan alamat IP dinamis pun dapat tetap stabil selama jangka waktu yang cukup panjang. Tidak mengherankan, hal ini berarti bahwa alamat IP merupakan sumber data sidik jari yang signifikan.

Proposal Gnatcatcher adalah upaya untuk memberikan pendekatan menjaga privasi yang menghindari konsumsi anggaran privasi, sekaligus memastikan bahwa situs memerlukan akses ke alamat IP untuk tujuan yang sah seperti pencegahan penyalahgunaan dapat melakukannya, dengan tunduk pada sertifikasi dan audit.

Ada dua bagian dalam proposal ini: * Kebutaan IP yang Disengaja menyediakan cara bagi situs untuk memberi tahu browser bahwa mereka tidak menghubungkan alamat IP dengan pengguna. * NAT dekat memungkinkan grup pengguna mengirim traffic melalui server privatisasi yang sama, sehingga secara efektif menyembunyikan alamat IP mereka dari host situs.

Memerangi serangan spam, penipuan, dan denial-of-service

Sasaran: Memverifikasi keaslian pengguna tanpa pelacakan sidik jari.

Perlindungan antipenipuan sangat penting untuk menjaga keamanan pengguna, serta untuk memastikan pengiklan dan pemilik situs bisa mendapatkan pengukuran performa iklan yang akurat. Pengiklan dan pemilik situs harus dapat membedakan antara bot berbahaya dan pengguna asli. Jika pengiklan tidak dapat secara pasti membedakan klik iklan mana yang berasal dari manusia, mereka akan membelanjakan lebih sedikit, sehingga penayang situs memperoleh pendapatan yang lebih sedikit. Banyak layanan pihak ketiga yang saat ini menggunakan teknik seperti pelacakan sidik jari perangkat untuk memberantas penipuan.

Sayangnya, teknik yang digunakan untuk mengidentifikasi pengguna sah dan memblokir spammer, penipu, dan bot memiliki cara kerja yang mirip dengan teknik sidik jari yang merusak privasi.

  • Trust Tokens API mengusulkan pendekatan alternatif, yang memungkinkan keaslian yang ditetapkan bagi pengguna dalam satu konteks, seperti situs media sosial, untuk disampaikan ke konteks lain, seperti iklan yang ditayangkan di situs berita—tanpa mengidentifikasi pengguna atau menautkan kedua identitas tersebut.

Aktifkan domain agar menjadi milik pihak pertama yang sama

Sasaran: Memungkinkan entitas mendeklarasikan bahwa nama domain terkait dimiliki oleh pihak pertama yang sama.

Banyak organisasi memiliki situs di beberapa domain. Hal ini dapat menjadi masalah jika pembatasan diberlakukan pada pelacakan identitas pengguna di seluruh situs yang terlihat sebagai 'pihak ketiga', tetapi sebenarnya milik organisasi yang sama.

  • Set Pihak Pertama bertujuan untuk membuat konsep web tentang pihak pertama dan ketiga lebih selaras dengan dunia nyata dengan mengaktifkan beberapa domain untuk menyatakan diri mereka sebagai milik pihak pertama yang sama.

Cari tahu selengkapnya

Penjelasan proposal Privacy Sandbox

Inisiatif Privacy Sandbox memerlukan dukungan Anda. Penjelas proposal API memerlukan masukan, terutama untuk menyarankan kasus penggunaan yang hilang dan cara yang lebih pribadi untuk mencapai sasaran mereka.

Model Privasi Potensial untuk Web menetapkan prinsip inti yang mendasari API.

Privacy Sandbox

Diskusi dan partisipasi

Kasus penggunaan, kebijakan, dan persyaratan

Lampiran: Daftar istilah yang digunakan dalam penjelasan proposal

Rasio klik-tayang (CTR)

Rasio pengguna yang mengklik iklan dan telah melihatnya. (Lihat juga tayangan.)

Konversi klik-tayang (CTC)

Konversi yang diatribusikan ke iklan yang 'diklik'.

Konversi

Penyelesaian tindakan di situs pengiklan oleh pengguna yang sebelumnya berinteraksi dengan iklan dari pengiklan tersebut. Misalnya, pembelian produk atau pendaftaran buletin setelah mengklik iklan yang tertaut ke situs pengiklan.

Privasi diferensial

Bagikan informasi tentang {i>dataset<i} untuk mengungkapkan pola perilaku tanpa mengungkapkan informasi pribadi tentang individu atau apakah mereka termasuk dalam {i>dataset<i} tersebut.

Domain

Lihat Domain Level Teratas dan eTLD.

eTLD, eTLD+1

Domain level teratas 'Effective' ditentukan oleh Daftar Suffix Publik. Contoh:

co.uk
appspot.com
glitch.me

TLD yang efektif adalah yang memungkinkan foo.appspot.com menjadi situs berbeda dari bar.appspot.com. Domain level teratas yang efektif (eTLD) dalam hal ini adalah appspot.com, dan seluruh nama situs (foo.appspot.com, bar.appspot.com) dikenal sebagai eTLD+1.

Lihat juga Domain Level Teratas.

Entropi

Ukuran seberapa banyak item data mengungkapkan identitas individu.

Entropi data diukur dalam bit. Semakin banyak data mengungkapkan identitas, semakin tinggi nilai entropinya.

Data dapat digabungkan untuk mengidentifikasi individu, tetapi sulit untuk mengetahui apakah data baru menambah entropi. Misalnya, mengetahui seseorang berasal dari Australia tidak mengurangi entropi jika Anda sudah tahu bahwa orang tersebut berasal dari Pulau Kanguru.

Pelacakan sidik jari

Teknik untuk mengidentifikasi dan melacak perilaku setiap pengguna. Pelacakan sidik jari menggunakan mekanisme yang tidak diketahui dan tidak dapat dikontrol pengguna. Situs seperti Panopticlick dan amiunique.org menunjukkan bagaimana data sidik jari dapat digabungkan untuk mengidentifikasi Anda sebagai individu.

Permukaan sidik jari

Sesuatu yang dapat digunakan (mungkin bersama dengan platform lain) untuk mengidentifikasi pengguna atau perangkat tertentu. Misalnya, metode JavaScript navigator.userAgent() dan header permintaan HTTP User-Agent memberikan akses ke platform pelacakan sidik jari (string agen pengguna).

Pihak pertama

Referensi dari situs yang Anda kunjungi. Misalnya, halaman yang sedang Anda baca ada di situs web.dev dan menyertakan sumber daya dari situs tersebut. Lihat juga Pihak ketiga.

Tayangan

Tampilan iklan. (Lihat juga rasio klik-tayang.)

k-anonymity

Ukuran anonimitas dalam kumpulan data. Jika memiliki anonimitas k, Anda tidak dapat dibedakan dari individu k-1 lainnya di set data. Dengan kata lain, k individu memiliki informasi yang sama (termasuk Anda).

Nonce

Angka arbitrer yang hanya digunakan satu kali dalam komunikasi kriptografi.

Origin

Asal permintaan, termasuk nama server, tetapi tidak ada informasi jalur. Misalnya: https://web.dev.

Permukaan pasif

Beberapa platform pelacakan sidik jari, seperti string agen pengguna, alamat IP, dan header bahasa penerima, tersedia untuk setiap situs, baik situs tersebut memintanya atau tidak. Artinya, platform pasif dapat dengan mudah menghabiskan anggaran privasi situs.

Inisiatif Privacy Sandbox mengusulkan penggantian platform pasif dengan cara aktif untuk mendapatkan informasi spesifik, misalnya menggunakan Petunjuk Klien satu kali untuk mendapatkan bahasa pengguna, bukan menggunakan header bahasa penerimaan untuk setiap respons ke setiap server.

Penayang

Penjelasan proposal Privacy Sandbox sebagian besar tentang iklan sehingga jenis penayang yang dirujuk adalah jenis penayang yang menempatkan iklan di situs mereka.

Jangkauan

Total jumlah orang yang melihat iklan.

Pemasaran Ulang

Menayangkan iklan kepada orang-orang yang pernah mengunjungi situs Anda. Misalnya, toko online dapat menampilkan iklan diskon mainan kepada orang-orang yang sebelumnya melihat mainan tersebut di situs mereka.

Situs

Lihat Domain Level Teratas dan eTLD.

Platform

Lihat Permukaan sidik jari dan Permukaan pasif.

Pihak ketiga

Resource yang ditampilkan dari domain yang berbeda dengan situs yang Anda kunjungi. Misalnya, situs foo.com mungkin menggunakan kode analisis dari google-analytics.com (melalui JavaScript), font dari use.typekit.net (melalui elemen link), dan video dari vimeo.com (dalam iframe). Lihat juga Pihak pertama.

Domain level teratas (TLD)

Domain level teratas seperti .com dan .org tercantum dalam Database Zona Root.

Perhatikan bahwa beberapa 'situs' sebenarnya hanya subdomain. Misalnya, translate.google.com dan maps.google.com hanyalah subdomain dari google.com (yang merupakan eTLD + 1).

file .well-known

Sebaiknya akses kebijakan atau informasi lain tentang host sebelum membuat permintaan. Misalnya, robots.txt memberi tahu crawler web halaman mana yang harus dikunjungi dan halaman mana yang harus diabaikan. IETF RFC8615 menguraikan cara standar untuk membuat metadata di seluruh situs dapat diakses di lokasi standar di subdirektori /.well-known/. Anda dapat melihat daftarnya di iana.org/assignments/well-known-uris/well-known-uris.xhtml.

Terima kasih kepada semua yang telah membantu menulis dan meninjau postingan ini.

Foto oleh Pierre Bamin di Unsplash.