カラーミーショップ サービス基盤チームのkymmtです。この記事では、サーバサイドレンダリングするシングルページアプリケーションとAPIサーバからなるWebアプリケーションのセッション管理方法について紹介します。 アプリケーションの構成 構成の概要 今回は例としてEC事業部で提供するカラーミーリピートをとりあげます。構成としては、Railsで作られたAPIサーバ1と、Vue.jsで作られたシングルページアプリケーション(SPA)からなります。また、SPAはExpressが動くフロントエンドサーバでサーバサイドレンダリング(SSR)します。APIサーバはSPAかフロントエンドサーバだけが呼び出します。各ロールはサブドメインが異なります。 APIサーバでセッションIDを持つCookieを発行し、Redisを用いてセッション管理します。また、APIサーバへのセッションが有効なリクエストはフロント

Note: Read about past updates to this technology in other blog posts about Intelligent Tracking Prevention, the Storage Access API, and ITP Debug Mode. Intelligent Tracking Prevention (ITP) version 2.3 is included in Safari on iOS 13, the iPadOS beta, and Safari 13 on macOS for Catalina, Mojave, and High Sierra. Enhanced Prevention of Tracking Via Link Decoration Our previous release, ITP 2.2, foc

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 前提 ネット広告を配信する枠としてのFriendly iFrameを前提にしています。 また、広告を配信する側の立場としてのお話です。 そもそもiframeって？ 入れ子になった閲覧コンテキストを表現し、実際に現在のページに他の HTML ページを埋め込むことができます。*1 iframeの面倒なところ 同じドメインでiframeを呼び出す場合は問題ないんですが、異なるドメインをiframeで呼び出す場合、クロスオリジン対応をしないとiframe内部、さらにiframe内から外部のHTMLにアクセスできません。 つまり、リファラーも取れ

最近話題のITPって何なの？ ITP規制とはなんなのか？。どういう変更で、広告にどういう影響があるのか？インターネットで情報を検索するのが当たり前になった今、個人情報に対する方針が見直されています。 IT企業ではAppleが、個人情報保護に関して積極的な姿勢を公表しています。代表的なのが、「ITP（Intelligent Tracking Prevention）」の開発と実装です。広告業界の方は、ITPについて詳しく理解しておかないと広告効果が大きく薄れてしまう危険性もあります。 今回はITPとは何か、そして仕様の変遷や具体的にどういった影響が広告配信において出てくるのかなどを解説していきます。ITPを理解して、しっかり広告配信時に対応できるようになっておきたい」という方はぜひご覧ください。 1.ITPとは？ 「ITP」とは、主にサイトの後追い行為（トラッキング）を制限するための技術です。

朝起きたらSlackに新しいメッセージが届いていました。 （と書いて、もう１週間経っていますが） 次期ITPで実装されると思われる機能です。現時点ですでに３種類の変更が見えてきているので、一旦まとめておきたいと思います。前回はITP3としてリリースされると思っていたものが2.1,2.2,2.3に分割されてリリースされたので、バージョン番号の予測だけやめておきます。時期としては早くても3月（Safari 13.1）でしょうかね。 3rd party cookieの規制強化まずは3rd party cookieの規制強化です。Safariの今までの3rd party cookieの制限を（色々省略して）まとめると ・バージョン1.0（2003年）から持っていないcookieの読み書きをデフォルトでブロック ・ITP1.0からはさらにインタラクション（click, 入力）の記録がなく、そしてトラ

Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る 現

図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないためにおこる脆弱です。 たとえば会員の退会ページを https://example.com/mypage/delete/で用意し、 ボタン操作でsubmit=1が送信されて退会処理が実行される仕様の場合、 パラメータが誰でもわかるので、外部に用意された悪意のあるフォ

by Tati Tata ブラウザがウェブサイトにアクセスする際に送信するユーザーエージェント文字列は、使用しているOSやデバイスのアーキテクチャ、ブラウザの情報などを含んだテキストであり、ウェブサイトの表示形式などに影響します。オープンソースのウェブブラウザエンジンChromiumをベースとしてGoogleが開発するGoogle Chromeが、このユーザーエージェント文字列を段階的に廃止する方針であることが明らかになりました。 Intent to Deprecate and Freeze: The User-Agent string - Google グループ https://groups.google.com/a/chromium.org/forum/#!msg/blink-dev/-2JIRNMWJ7s/yHe4tQNLCgAJ Google to phase out user-a

by Glenn Carstens-Peters Googleの開発する「Chrome」や、Microsoftの開発する「Edge」は、オープンソースのウェブブラウザエンジンChromiumをベースとしたウェブブラウザです。Chromiumの開発に携わるJustin Schuh氏が、よりプライベートなウェブを構築するために、「将来的にサードパーティーCookieを廃止する予定」であることを明かしました。 Chromium Blog: Building a more private web: A path towards making third party cookies obsolete https://blog.chromium.org/2020/01/building-more-private-web-path-towards.html Googleはユーザーのプライバシー保護を向上

1. HTTP クッキーの基本動作HTTP クッキー（以下クッキーと書きます）とは、ウェブサーバー側がクライアント（ウェブブラウザ）側に保持させることができるデータのことをいいます。 クッキーの基本的な動作は以下となります。 (1) ウェブブラウザで サイトA にアクセスする ウェブブラウザで、例えば https://misc.laboradian.com/ にアクセスします。 これは言い換えると、「https://misc.laboradian.com/ というリソースを取得するためのリクエストを misc.laboradian.com というサーバー（ホスト）に送信した」ということになります。 (2) サーバーは、要求されたリソース（ページ）を返す サーバーは、要求されたリソース（ページ）を返しますが、このレスポンスにおけるヘッダ部にクッキー（と呼ばれるデータ）をセットして返すことがで

2020年1月13日追記 SameSite cookieは2018年12月にリリースされたPHP7.3.0のsetcookie()関数でサポートされました。 7.3.0未満のPHPやPSR-7レスポンスに対してSet-Cookieヘッダをを設定したい場合のためにbag2/cookieライブラリを開発しました。詳しくはPSR-7と生PHPに対応したSet-Cookieライブラリを作った - 超PHPerになろうをお読みください。 近年のCookieではSameSiteと呼ばれる新しい属性が提案されました。この記事では、この属性の効能や副作用については言及しません。 めんどくさいからね… Can I useによれば現時点で50%を切る程度の普及率ではありますが、非対応ブラウザ向けに利用しても属性が無視されるだけなので、利用開始しても、おそらく支障ありません。 PHPでの問題 PHPではCook

概要 CookieのSameSite属性について、 None(=属性なし)とLaxではサーバで受け取るときにどう違うのか、実際に動かしてみます。 背景 Chromeに関するこの発表を受けて、CookieのSameSite属性を調べ始めたのですが、以下がわかりませんでした。 LaxとStrictではなく、Noneとの違いは？ 付与の方法はわかったけど、受け取るときはどう違うの？ 結論 先に結論だけ書くと、サーバでCookieを受け取る際、以下のように挙動が異なります。 SameSite=Lax のCookieは、サーバとCookieのドメインが一致していても受け取れない場合がある(POSTメソッドや画像、iframeなど) SameSite=NoneのCookieは、サーバとCookieのドメインが一致していれば受け取れる(受け取れない場合がない) 検証 以下のCookieを持った状態で検証

Cookies default to SameSite=Lax - Chrome Platform Statusということで、何もなければ2020年2月4日にはリリースされる見込みのChrome 80(参考: Chrome Platform Status)を皮切りにCookieにデフォルトがSameSite=Lax相当になるということで、駆け込みでSameSite=Noneを付けて回る需要があるらしいですね。 PHP 7.3が正式リリースされる前に書いたPHPでSame-site cookie - Qiitaが未だに参照されていて厳しい気持ちがあり、さりとて邪悪なPolyfillをまた作ってコピペさせるのも抵抗があり、と悩んでいるうちにバッドノウハウを堂々と書いた記事が出てきてしまったので、仕方なくライブラリにすることにしました。 github.com 週末は具合が悪くて昨晩から衝動的に作

ネット広告産業に変調の兆しが表れている。「クッキー」と呼ばれる閲覧履歴データを巡り、広告主企業の間で利用を見直す動きが広がっているためだ。クッキーは個人の趣味や嗜好を絞り込むターゲティング（狙う）広告に使われ、同広告の世界市場は2019年に初めて10兆円を超えたもよう。だが各国当局も規制に動いており、個人データ活用の巧拙やルール対応は企業のデジタル化競争に影響を及ぼしそうだ。キリンホールディングス

.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads

Scott Helme Security researcher, entrepreneur and international speaker who specialises in web technologies. More posts by Scott Helme. A little while back I wrote a blog post about how "CSRF is dead". It focused on SameSite cookies, a powerful yet simple feature to protect your website against CSRF attacks. As powerful as it was, and as much as it will kill CSRF, you had to enable it on your site

2019年4月24日、iOS 12.3より搭載される最新版safariにITP2.2(Inteligent Tracking Prevention 2.2)が搭載予定との発表がありました。 ただし、公式情報は英語表記かつ表現も難解であるため、なるべく平易な表現に改めつつ、ITP2.2について解説して参りたいと思います。 参考：Apple社からの公式情報（WebKit） なお、バージョン2.2に至るまでのITPのこれまでの遷移や、旧バージョンの影響等については以下記事にまとめているので、合わせて参照いただけるとより理解を深められると思います。 参考：ITP2.1までの解説（当サイト過去記事） ITP2.2とは ITP2.2とはズバリ、以下全ての条件に該当した場合、1st party cookieの寿命が最長で1日に規制される機能です。 ドメインAからドメインBに対してユーザーを誘導した（広告

※クライアントサイド ＝ Javascriptのdocument.cookieで作成。 ※サーバーサイド ＝ レスポンスヘッダーのSet-Cookieで作成。 ※いずれも、HttpOnlyフラグ無し、Secureフラグ無し。 この結果は、先の公式ブログで言及されていたとおりの挙動です。 クライアントサイド（Javascript）で作成したCookieのみ、有効期限が最大で7日に制限されています。 サーバーサイド（Set-Cookie）で作成されるCookieは制限を受けません。 参考画像： Safari 12.1 Beta3 でBingのCookieを表示。 Javascriptが作成したCookie "SRCHHPGUSR" の有効期限は、表示日時から7日後に制限されている。 その他のサーバーサイドCookieは有効期限の制限を受けない。 ITP2.1の影響 ITP2.1が本来ターゲット

ITPの仕様 次々と新しいバージョンがリリースされるITP。微妙にアップデートされ、仕様がわかりにくくなっているので現時点で最新のものを解説する。 ITPの目的と概要 われわれウェブサイト運用者は cookieやローカルストレージなどを使ってブラウザにドメインのデータを保持し、 それらのデータを必要に応じてツール間で連携する ことによって行動計測やコンテンツの出し分けなどのマーケティング活動を行っている。ITPはウェブサイト訪問者のプライバシー保持のためにそれを制限する仕組みである。具体的に何をやっているのかざっくりまとめると、 この3つのケースにおいて cookieなどを使ったデータ保持が短期間しかできなくなる（期間の長さはケースごとそれぞれ異なる） リファラが使い物にならなくなる 可能性があるということである。その結果 コンバージョントラッキングができない リマーケティング広告が配信で