無論您采取什么措施來為無 Cookie 的世界做準備，都要從小處著手，先進行測試。

譯自 Google and the Future of Online Privacy: Moving Beyond Third-Party Cookies，作者 Gilad Shriki。

更新: 我很喜歡這篇文章的最終效果，也很高興能夠從不同的角度來探討第三方 Cookie 即將消亡的問題。然而，命運卻另有安排——在我寫完這篇文章幾天后，谷歌撤回了其（暫時）停止使用第三方 Cookie 的決定。

我當時一邊咒罵自己的運氣，一邊想著其他時間線，腦海中浮現(xiàn)出漫威劇集“假如…？”。這部劇集講述了如果佩吉·卡特成為美國隊長，或者如果奇異博士變得邪惡，或者如果復仇者聯(lián)盟遭到僵尸攻擊，等等會發(fā)生什么。

現(xiàn)在，我謙卑地過渡到下一個話題，并向您展示：“假如……開發(fā)者不得不在一個沒有 Cookie 的世界中航行？”

在網(wǎng)絡的早期，如果您更改了網(wǎng)站上的設置或?qū)⑸唐贩湃胭徫镘嚕⑿马撁婢鸵馕吨鴱念^開始。網(wǎng)站將每個訪問者都視為陌生人。為了根據(jù)過去的會話創(chuàng)建更個性化的在線體驗，Netscape創(chuàng)建了瀏覽器 Cookie，它將用戶的偏好和瀏覽歷史記錄保存在他們的設備上。其他瀏覽器很快便采用了這種有用的功能。

雖然 Netscape 引入的第一方 Cookie 旨在通過記住偏好和設置來改善用戶體驗，但廣告商很快開始實施第三方 Cookie 來跟蹤用戶的互聯(lián)網(wǎng)活動，并根據(jù)他們之前訪問過的網(wǎng)站向他們投放廣告。多年來，第一方 Cookie 一直用于身份驗證和登錄網(wǎng)站，而第三方 Cookie 一直被用于定向廣告、跨網(wǎng)站跟蹤用戶、數(shù)據(jù)收集和其他類型的監(jiān)控。

出于這些隱私原因，谷歌計劃效仿 Mozilla 和 Apple，它們已經(jīng)在Firefox和Safari中分別阻止了第三方 Cookie，并計劃在 2025 年默認情況下在 Chrome 和基于 Chromium 的瀏覽器中棄用第三方 Cookie。谷歌已經(jīng)默認情況下限制了1% 的 Chrome 用戶使用第三方 Cookie。該公司此后撤回了這些計劃。

雖然第三方 Cookie 的終結(jié)有其好處，但最終的證明將取決于實際效果——與任何重大變化一樣，第三方 Cookie 的終結(jié)引發(fā)了許多問題。無論您對第三方 Cookie 的終結(jié)有何看法，您都必須認真思考這一變化對您的應用程序和項目意味著什么。當?shù)谌?Cookie 消失時，某些用例將不再可能實現(xiàn)，您需要找到解決方案。

平衡隱私和個性化

谷歌表示，隱私是其計劃停止在 Chrome 中支持第三方 Cookie 的主要驅(qū)動力。如果沒有第三方 Cookie，個性化的再營銷將無法實現(xiàn)。

如果第三方 Cookie 的終結(jié)按預期進行，我期待著不再看到煩人的彈出窗口，不再被在線跟蹤，不再被投放我不希望看到的廣告。然而，鑒于谷歌和其他許多公司依賴第三方 Cookie 來賺取數(shù)十億美元，第三方 Cookie 不會在沒有替代品的情況下消失。

在逐步淘汰第三方 Cookie 的同時，谷歌也在同時投資隱私沙盒，該沙盒旨在為任何需要為其業(yè)務提供內(nèi)容和廣告的人提供保護隱私的替代方案。隱私沙盒 API 將允許 Chrome 和任何采用它們的瀏覽器代表其設備在本地采取行動，以保護用戶在瀏覽時的身份信息。例如，主題 API 允許基于興趣的廣告，而無需跟蹤單個用戶訪問的網(wǎng)站。

隨著隱私沙盒的不斷普及，開發(fā)者在創(chuàng)建應用程序和網(wǎng)站時將有一套新的網(wǎng)絡標準需要遵守。這些標準將確保隱私，同時保持一定程度的個性化。

為用戶安全設定新標準

幾十年來，cookie 向開發(fā)者允許了采用劣質(zhì)安全實踐進行用戶驗證和追蹤。第三方 cookie 是可用的，并且他們可以存儲用戶身份驗證信息和詳細信息。然而，因為這些是第三方 cookie，任何人都不能控制誰能夠使用或訪問其中數(shù)據(jù)。

第三方 cookie 的潛在末日將帶來安全改進，要求開發(fā)者們重新思考他們的以往方法，并采用新方式來安全地處理用戶身份驗證和身份信息。可以將第三方 cookie 消除當作一個強制功能，用于更加安全地存儲那些信息，比如伴隨 HTTPOnly 和安全 Cookie。

如果您依賴第三方 cookie，您將需要找到一種保護隱私的身份驗證和識別方法。一個潛在的解決方案是 FedCM API，它被設計為讓身份提供者在網(wǎng)絡上提供身份聯(lián)合服務，無需第三方 cookie 和重定向。FedCM API 能夠進行聯(lián)合身份驗證，以進行諸如注冊或登錄之類的活動。

重新定義開發(fā)者體驗第三方

Cookie 即將走到盡頭，這是修正多年來在你構(gòu)建應用和網(wǎng)站時可能遵循的錯誤或不良做法的一個契機。它本應讓你的應用和網(wǎng)站變得更加私密和安全，但這也是一次反思的機會，思考你究竟需要在多大程度上控制應用或網(wǎng)站的方方面面。

在進入無 Cookie 時代之際，你希望在跟進這些方面變化上花費多少時間？你可能希望將這方面的一些工作外包出去，這樣一來你就不必成為 Cookie 領域的專家，而可以擁有一個專門的工具來跟蹤每個變化和更新。

對你的應用程序和網(wǎng)站使用第三方 Cookie 的情況進行徹底審計，并為這些場景制定解決方案。對于你自行構(gòu)建的每個使用第三方 Cookie 的流程，制定一個游戲計劃，確定你將繼續(xù)自行構(gòu)建還是采用第三方提供商。

一種解決方案是減少第三方 Cookie 的使用，并在諸如身份驗證等無法減少的領域采用會話 ID 等其他機制。我懷疑許多開發(fā)人員會從第三方 Cookie 轉(zhuǎn)向第一方 Cookie，這可能會推動其他實現(xiàn)更改，例如使用自定義域或配置文件數(shù)據(jù)庫。如果你已采用供應商來處理第三方 Cookie，請檢查他們是否支持遷移到第一方 Cookie