La mise à jour de Safari ITP limite les cookies à 7 jours pour les réponses provenant d’adresses IP tierces

L'équipe Webkit, dirigée par Safari, a été à l'avant-garde de la lutte contre la collecte de données invasive en matière de navigation sur le Web. Dans un mouvement révolutionnaire contre les tactiques de suivi des cookies tiers, ils ont imposé des limitations qui ont considérablement réduit la durée de vie des cookies tiers à 7 jours ou même 24 heures. Cependant, les entreprises ont rapidement trouvé une solution de contournement efficace à cette limitation à l'aide du balisage côté serveur défini sur un domaine personnalisé.

En l'automne 2022, Safari a annoncé un nouveau changement dans la façon dont il traite les cookies. Ils limiteront la durée de vie des cookies à 7 jours pour les réponses provenant d'adresses IP tierces.

Dans cet article de blog, je décrirai comment fonctionne la limitation de la durée de vie des cookies basée sur l'adresse IP et ce que cela signifie pour la publicité et l'analyse Web. Et, bien sûr, comment Stape peut aider avec cette nouvelle restriction.

L'Intelligent Tracking Prevention (ITP) d'Apple, qui a fait ses débuts en 2017, a connu de multiples transformations pour devenir de plus en plus restrictive à chaque itération. L'objectif principal de Safari en ce qui concerne les limitations de suivi est d'empêcher les réseaux publicitaires et analytiques de profiler les utilisateurs sur différents sites Web. Cela permet d'améliorer la confidentialité des utilisateurs et d'empêcher le suivi indésirable des activités en ligne des utilisateurs d'un côté. Mais d'un autre côté, cela créer des difficultés pour les annonceurs de cibler les utilisateurs avec des publicités personnalisées et de suivre l'efficacité de leurs campagnes publicitaires.

Examinons de plus près ce qui ne va pas avec les cookies tiers, le renforcement de la régulation globale incluant la conformité DORA, et les restrictions existantes sur l'utilisation des cookies tiers pour les navigateurs basés sur WebKit.

First-party cookies (propriétaires) - sont de petits fichiers texte stockés sur l'appareil d'un utilisateur par le site Web qu'il visite. Si le site Web est example.com, les cookies propriétaires seront considérés comme ceux définis à partir du domaine principal example.com et de tous les sous-domaines blog.example.com, app.example.com, etc. Ils sont utilisés pour stocker des informations sur l'utilisateur, ses préférences, telles que les identifiants de connexion, les préférences linguistiques et les éléments du panier. Étant donné que les cookies de première partie sont définis par le site Web visité, ils sont considérés comme "de première partie" et ne sont généralement pas soumis aux mêmes restrictions de confidentialité que les cookies tiers.

Third-party cookies (tiers) - ceux qui ne proviennent pas de votre domaine. Par exemple, lorsque facebook.com ou google.com placent des cookies sur le domaine example.com, ceux-ci sont considérés comme tiers. Les cookies tiers sont souvent définis par des annonceurs ou des sociétés de suivi pour collecter des informations sur le comportement d'un utilisateur sur plusieurs sites Web.

Safari a régulièrement mis à jour la fonctionnalité d’Intelligent Tracking Prevention (ITP) pour restreindre davantage l'utilisation des cookies tiers et améliorer la confidentialité des utilisateurs. Voici une courte chronologie des mises à jour critiques d'ITP :

1. 1.
   ITP limite par défaut les cookies tiers à 7 jours.
2. 2.
   ITP limite la durée de vie des cookies tiers à 24 heures si l'URL a des paramètres de requête (comme utm_source, click ids, etc.) et
3. 3.
   ITP limite la durée de vie des cookies propriétaires à 7 jours s'ils ont été définis à l'aide du cloaking CNAME
4. 4.
   [Bêta] ITP limite la durée de vie des cookies propriétaires à 7 jours pour les réponses provenant d'adresses IP tierces. Nous en discuterons dans le prochain chapitre.

Les annonceurs qui s'appuient sur des cookies tiers pour suivre le comportement des utilisateurs et diffuser des publicités ciblées peuvent constater une baisse de l'efficacité de leurs campagnes lorsque les utilisateurs naviguent sur Safari. En effet, la restriction du navigateur sur les cookies tiers empêche les annonceurs de collecter des données sur les utilisateurs sur plusieurs sites Web. En conséquence, ils peuvent constater une diminution des conversions et un retour sur investissement inférieur pour leurs dépenses publicitaires.

Les réseaux publicitaires utilisent des cookies tiers pour collecter des données sur les utilisateurs qui visitent différents sites Web en attribuant au même utilisateur un cookie tiers unique. De cette façon, ils peuvent voir quels sites Web les utilisateurs naviguent en ligne et comprendre leurs intérêts. En fin de compte, ils utilisent ces données pour afficher des publicités basées sur le comportement et les intérêts de l'utilisateur.

Étant donné que l'utilisation de cookies tiers dans Safari est limitée, cela se traduit par un profilage de l'utilisateur moins précis et donc moins persuasif d'intérêt ou de ciblage comportemental. En conséquence, les annonceurs dépensent moins d'argent pour les campagnes payantes en raison de mauvais résultats.

Le deuxième cas d'utilisation critique des cookies tiers dans le cas des plateformes publicitaires consiste à utiliser un identifiant de clic. Lorsqu'un utilisateur clique sur l'annonce, la plupart des réseaux publicitaires ajoutent un ID de clic unique à l'URL et stockent l'ID de clic en tant que cookie tiers. Lorsqu'un utilisateur effectue une conversion, cet identifiant de clic est utilisé pour comprendre quelle conversion doit être attribuée à quelles campagnes. 

ITP rend difficile pour les réseaux d'affiliation d'attribuer les ventes et les commissions aux bons affiliés, car les données des cookies utilisées pour le suivi peuvent être supprimées après seulement sept jours. Pour cette raison, de nombreux réseaux d'affiliation populaires ont commencé à rendre obligatoire la mise en œuvre du suivi côté serveur pour les éditeurs. Avec l'aide du suivi côté serveur, il est possible de définir des cookies propriétaires et de compter sur une durée de vie plus longue des cookies.  

Le remarketing est une technique par laquelle les annonceurs diffusent des publicités ciblées aux utilisateurs qui ont déjà interagi avec leur site Web. Ceci est généralement accompli en utilisant des cookies tiers. Étant donné qu'un utilisateur qui a visité votre site Web dans Safari ne peut rester dans le pool de remarketing que pendant 7 jours, la taille de l'audience de remarketing diminuera.

Les plateformes d'analyse utilisent des cookies pour identifier si un utilisateur est nouveau ou il a déjà visité votre site Web. Si un utilisateur de Safari ne revisite pas votre site Web tous les 7 ou 1 jours, il sera considéré comme nouveau utilisateur. Et cela aura un impact négatif substantiel sur le parcours de l'utilisateur, l'analyse des conversions, etc.

La restriction de Webkit sur les cookies tiers a peut-être initialement semblé être un obstacle, mais la solution la plus populaire a rapidement été découverte. En utilisant le balisage côté serveur, les développeurs Web pourraient facilement contourner ce problème.

Dans le cas du serveur Google Tag Manager, si vous configurez une URL de serveur de balisage située sous le domaine de votre site principal, comme ss.example.com pour le site Web example.com, le serveur de balisage peut définir des cookies propriétaires, ce qui augmentera la durée de vie des cookies aux paramètres par défaut.

Même après que les annonceurs ont trouvé cette solution, webkit a essayé de la restreindre encore plus. Leur principale préoccupation était le cloaking CNAME, qui a ensuite été restreinte. La synchronisation CNAME est conçue pour déjouer ITP afin de traiter les cookies tiers dans un contact direct. Si Safari détecte le cloaking CNAME, il limite les cookies propriétaires JavaScript aux mêmes 7 jours qu'ils limiteraient les cookies tiers. 

En automne 2022, webkit a annoncé la nouvelle limitation d'utilisation des cookies tiers pour tous les utilisateurs de Safari. Ils limiteront la durée de vie des cookies à 7 jours pour les réponses provenant d'adresses IP tierces. Cette limitation n'est disponible que pour les utilisateurs bêta de Safari et n'affecte pas encore tout le monde. Mais puisqu'il a été annoncé il y a plusieurs mois, il sera bientôt mis en production et concernera tous les navigateurs utilisant ITP.

Chaque fois qu’un nouvel ITP détecte une différence entre l’adresse IP de l’URL qui définit les cookies et le domaine de votre site, il limite leur durée de vie à 7 jours. Cela s’applique aussi bien aux cookies de première partie qu’aux cookies de tierce partie. Par exemple, votre site Web example.com pointe vers l'IP 1.1.1.1 et vous avez précédemment utilisé le balisage côté serveur pour augmenter la durée de vie des cookies. Supposons que vous utilisiez le serveur de balisage ss.example.com qui pointe vers 2.2.2.2 pour définir des cookies propriétaires. ITP détectera que example.com et ss.example.com ont des adresses IP complètement différentes. Dans ce cas, il traitera les cookies définis par le serveur de balisage ss.example.com comme des cookies tiers standard, limitant la durée de vie des cookies à 7 jours.

Safari ne réduira pas la durée de vie des cookies si l'adresse IP du domaine qui définit les cookies propriétaires correspond à moitié (c'est-à-dire 16 pour IPv4 et 64 pour IPv6). Ainsi, si l'adresse IP de votre site principal est 1.1.1.1, les cookies sont définis à partir du sous-domaine qui pointe vers l'adresse IP, qui commence par 1.1. sera considéré comme le premier parti et sa durée de vie ne sera pas coupée. Mais Webkit indique qu'ils pourraient modifier la première règle de taux de correspondance de 50 %.

Après la restriction des enregistrements CNAME, la plupart des plates-formes et le serveur Google Tag Manager ont également adopté les enregistrements A ou AAAA pour configurer des cookies propriétaires liés à des domaines tiers. Ainsi, par exemple, vous pouvez définir un domaine personnalisé pour l'URL de votre serveur de balisage sGTM en utilisant un enregistrement dans le cas d'utilisateurs Stape et définir des cookies propriétaires pour Google Analytics, Facebook, les réseaux affiliés, etc., à l'aide de balisage côté serveur.

Non il n'est pas. Au moins d'une manière que le balisage côté serveur fonctionne pour l'instant. La raison principale est que le balisage des adresses IP du serveur sera finalement différent de l'adresse IP que vous utilisez pour le site Web.

La bonne nouvelle est que l'équipe de Stape travaille sur une solution qui aidera à augmenter la durée de vie des cookies. Il devrait sortir au début du printemps.

Cette nouvelle version ramènerait tout le monde là où il utilisait des cookies tiers. Lorsqu'un utilisateur navigue sur votre site Web dans Safari, les cookies internes durent jusqu'à 7 jours, sauf qu'ils sont définis à partir du domaine dont l'adresse IP correspond à au moins 50 % de l'adresse IP de votre site Web.

Oui, c'est possible. Nous avons récemment déployé nos solutions Cookie keeper et Own CDN. Pour en savoir plus, cliquez ici.