サードパーティのページタグ付けに関する P3P の考慮事項

サードパーティのタグ付けとP3Pを使用したCookieブロッキングの防止に関する概念情報です。

サードパーティのページタグについて

ほとんどの場合、Adobeの永続的なcookieはファーストパーティcookieと見なされます。ファーストパーティCookieは、ホストドメインに関連付けられたcookieとして定義されます。

ユーザーがhttp://www.example.com/を訪問したとします。 SensorがドメインをホストするWebサーバーにインストールされ、動作していると仮定して、Adobeの永続的なCookieが設定され、ファーストパーティCookieとして表示されます。ただし、ページや広告プログラムをホストするサードパーティのサーバーではなく、Sensorを実行しているサーバーからリクエストおよび読み込まれた埋め込みオブジェクトを使用して、サードパーティのサイトから測定データを収集したい場合があります。例えば、http://www.example2.com/は、http://www.example.com/から提供された埋め込みオブジェクトリクエストと共にWebページを提供します。 http://www.example.com/から埋め込みオブジェクトをリクエストすると、cookieが設定されます。ただし、このコンテキストでは、webブラウザーまたはユーザーエージェントがcookieをサードパーティcookieとして表示します。

MicrosoftのIE6など、新しいWebブラウザーでは、プライバシー機能により、WebサーバーからHTTP応答ヘッダーに送信されたコンパクトポリシーに基づいてCookieがフィルタリングされます。ほとんどのユーザーが変更しないIE6のデフォルト設定では、サードパーティcookieが存在しない、または十分でないコンパクトポリシーを持つ場合、そのcookieはブロックされます。 Cookieのブロックに関する問題が発生しているサイトのほとんどには、HTTP応答ヘッダーで送信される適切なコンパクトポリシーのないサードパーティCookieがサイトに存在します。さらに、あるサイトが別のサイトでフレーム化されている場合に、cookieブロックの問題が発生する場合もあります。例えば、オンラインショッピングポータルの一部であるオンラインストアは、ポータルが提供するフレームに表示されます。ブラウザーの観点から、ストアのコンテンツは、ポータルでフレーム化されると、サードパーティのコンテンツのように見える場合があります。ただし、訪問者がポータルを経由せずにオンラインストアに直接アクセスした場合、そのコンテンツはファーストパーティコンテンツになります。したがって、オンラインストアでは、訪問者がポータルから入って来た場合にのみCookieがブロックされていることが判明します。

Webベースのメールシステムも、同様の問題を引き起こします。 Webベースのメールシステムを使用する友人にWebサイト訪問者がWebページを電子メール送信した場合、電子メールメッセージは電子メールシステムで囲まれているので、友達のブラウザーにサードパーティのコンテンツとして表示されます。電子メールで送信されたページに関連付けられたCookieがある場合、それらのCookieはIE6ではサードパーティCookieとして扱われます。

P3Pを使用したCookieブロッキングの防止

P3Pは、Webサイトのプライバシーポリシーをコンピューターで読み取り可能なXML形式でエンコードするための標準的な方法を提供します。 P3P対応のWebブラウザおよび他のP3Pユーザエージェントは、P3Pプライバシーポリシーを自動的に取得し、解析し、ユーザのプライバシー設定と比較します。

IE6がサイトのCookieをブロックしないようにするには、次のことを確認する必要があります。

サードパーティコンテキストで設定されるすべてのcookieには、P3Pコンパクトポリシーが関連付けられています。
適切なコンパクトポリシーは、カスタムHTTP応答ヘッダーを使用して送信されます。
これらのコンパクトポリシーは、IE6では満足できるものと見なされます。
サードパーティcookieが別の会社によって設定されている場合は、P3Pを有効にし、P3Pコンパクトポリシーを設定するように依頼する必要があります。 P3Pコンパクトポリシーを設定するホストにも、対応するフルP3Pポリシーが必要です。ユーザーはIE6の設定を変更して、他の条件でcookieがブロックされるようにすることもできます。ただし、サードパーティcookieに十分なコンパクトポリシーを設定すると、ほとんどのIE6 cookieのブロックが回避されます。

次に、このようなP3Pヘッダーの例を示します。

P3P: policyref=” http://www.myserver.com/w3c/p3p.xml”, CP=”NOI DSP COR PSA PSD OUR IND COM NAV”

この例では、Webサイト上に存在する関連するpolicy.xmlファイルをp3p.xmlを使用して、Webサイトで収集する情報の種類、社内が従う紛争解決方法、収集したデータの使用方法、データの所有者、インターネットプライバシーに関するその他の標準情報を参照します。「CP」の後の3文字のコードは、policy.xmlファイル内の記述をエミュレートするコンパクトポリシーコードです。

すべてのコンパクトポリシーとポリシーXMLファイルは、展開対象の各組織向けにカスタマイズし、Webサイトのデータ収集に関する内部プライバシーポリシーを正確に指定する必要があります。多数のP3Pポリシーエディターが、Webサイト内での適切なプライバシーポリシーの実装に関する詳細情報と共に、オンラインで入手できます。

Internet Explorer 6でのP3Pヘッダーの処理方法の詳細については、次を参照してください。

http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnpriv/html/ie6privacyfeature.asp