First-Party Sets メモ

概要

• 関連するドメインをまとめてひとつのファーストパーティであると宣言できる技術
  • パーティ
    • first-party：現在アクセスしているドメイン
    • third-party：現在アクセスしているドメインとは異なるドメイン
• 実際のWebサイト/アプリでは複数のドメインにまたがって運用されていることがある。
• First-Party Setsを利用することでログイン状態を維持しつつドメインを跨ぐことができる。
• 導入計画段階

仕組み

• 他ドメインとの関係を定義するマニフェスト ファイル (.well-known/first-party-set アドレスの JSON ファイル) を提供することで、一連の Web ドメインのメンバー (または所有者) であることを宣言する。

• 例

  • a.example、b.example、および c.example が a.example が所有する first-party set を形成する場合

  // https://a.example/.well-known/first-party-set
  {
    "owner": "a.example",
    "members": ["b.example", "c.example"],
    ...
  }
  
  // https://b.example/.well-known/first-party-set
  {
      "owner": "a.example"
  }
  
  // https://c.example/.well-known/first-party-set
  {
      "owner": "a.example"
  }
  

• 流れ

  1. 所有者ドメインは、そのメンバードメインを一覧表示するマニフェストファイルをホストする。

     • https://<domain>/.well-known/first-party-set
     • 許可されるセットポリシー

  2. ブラウザは、メンバードメインの Web サイトに対して所有者を指定する。

  3. ブラウザは、所有者のマニフェストを確認して関係を検証するように要求する。

• 禁止事項

  • 関連のないサイト間でのユーザー情報の交換
  • 同じ組織が所有していないサイトのグループ化

• 対応

  • 提案されたドメインのグループと、ブラウザポリシーを満たすために必要な情報を、パブリックトラッカー (専用の GitHub リポジトリなど) に送信する。
  • メンバードメインに対する所有者の検証で、各ドメインの .well-known URL でサービスを提供するための検証を行う、など

参考情報

• First-Party Sets
• First-Party Sets