קובצי cookie של צד שלישי וחלוקת אחסון

מה הבדיקה הזאת מגלה

דפדפנים מודרניים יכולים להפריד אחסון של צד שלישי לפי האתר שמטמיע אותו. הבדיקה בוחנת התנהגות זו במקום לבדוק רק אם קיימים קובצי cookie. שני נתיבים או תתי-דומיינים של אותו שם מתחם שניתן לרשום נשארים בדרך כלל אותו אתר, ולכן אינם מספקים השוואה משמעותית בין אתרים.

איך לבצע את הבדיקה

1. בדקו שהתצורה שהוגדרה מספקת שני אתרי HTTPS ראשיים נפרדים ואתר צד שלישי מוטמע ונפרד.
2. בצעו את שלבי הביקור הישיר המודרך, אתר A ואתר B בלי לדלג על יצירת ערך הייחוס.
3. קראו בנפרד את מנגנוני האחסון והשתמשו במסלול הניקוי בסיום; בדקו Storage Access רק אם תבחרו בכך.

איך המדידה פועלת

הפרוטוקול משווה קובצי cookie רגילים, קובצי cookie מסוג Partitioned, localStorage ו-IndexedDB תחת שני האתרים הראשיים. הוא רושם אם ניתן לקרוא ערכי ייחוס או מזהי מחיצה.

האתרים שהוגדרו מחליפים תצפיות בדיקה זמניות עם המתאם. ערכי ייחוס של לקוח עוברים גיבוב; מצב השרת שומר תצפיות טכניות ללא IP או User-Agent, אף שיומני תשתית עשויים להכיל את אסימון כתובת הבדיקה.

הבנת התוצאות

מצב משותף של צד שלישי

ערך ייחוס נגיש תחת שני האתרים הנפרדים. המנגנון הזה אפשר למצב לעבור בין הקשרי ההטמעה שנבדקו.

מצב מחולק

הכתיבה פועלת אך המזהים שונים בשני האתרים. הדבר תומך בהפרדה עבור המנגנון והתנאים שנבדקו.

מצב חסר או לא חד-משמעי

חסימה, חלוקה, פקיעת תוקף, מדיניות מסגרת או כשל טכני עשויים להסביר היעדר. תצורת אתרים לא תקינה או הרשאות חסרות אינן יכולות לאשר חסימה אוניברסלית.

השוואה לפני ואחרי

1. השלימו בדיקת בסיס עם אותם שלושה אתרים, פרופיל, מצב והרשאות קודמות.
2. שנו מדיניות cookie או הגדרת הגנה אחת, נקו את מצב הבדיקה וחזרו על הרצף המודרך.
3. השוו כל מנגנון וכל הרשאת Storage Access. קבעו נקודות בסיס נפרדות לגלישה רגילה ופרטית.

מגבלות הבדיקה

• תמיכת דפדפנים בקובצי cookie מסוג Partitioned וב-Storage Access משתנה; מאפיין cookie לבדו אינו מוכיח את אופן הטיפול בו.
• ההתנהגות שנצפתה חלה על האתרים והתנאים האלה ולא על כל קשר עם צד שלישי.

מה לשנות, אם צריך

המצב משותף באופן רחב מהרצוי

בדקו את הגדרות האחסון של צד שלישי ואת חריגי האתרים, ואז חזרו על רצף חדש.

התצורה או הפקדים נכשלים

השאירו את התוצאה לא חד-משמעית ובדקו זמינות אתרים או מדיניות דפדפן לפני ייחוסה לחסימת cookie.

שאלות נפוצות

מקורות ואסמכתאות טכניות

• MDN · State partitioning