「Safari 14からGoogleアナリティクスが完全にブロックされる」疑惑を専門家が否定

WWDC 2020の基調講演をきっかけに、「AppleのウェブブラウザであるSafariがバージョン14からGoogleアナリティクスをブロックするようになった」と報じられました。しかし、GoogleアナリティクスとGoogleタグマネージャーのGoogle Developer ExpertであるSimo Ahava氏が「実際はGoogleアナリティクスは完全にブロックされていない」と説明しています。

No - Safari 14 Does Not Block Google Analytics | Simo Ahava's blog
https://www.simoahava.com/analytics/no-safari-does-not-block-google-analytics/

きっかけは2020年6月23日に開催されたWWDC 2020の基調講演で語られた、Safari 14に新しく搭載された「プライバシーレポート」機能の説明でした。プライバシーレポートは、Safariに搭載されているトラッキング防止機能「Intelligent Tracking Prevention」がトラッカーをブロックしたことを通知するというものです。

(2) WWDC 2020 Special Event Keynote — Apple - YouTube


「12個のトラッカーを防ぎました」と報告するプライバシーレポートの「Trackers on this Website」という欄に、「www.google-analytics.com」の名前があるのがわかります。

この一瞬の表示を見逃さなかったTwitterユーザーから「Safari 14ではGoogleアナリティクスがブロックされるのでは」という指摘がなされ、Apple関連のニュースを扱うメディア・AppleinsiderやIT系ニュースサイトのSearch Engine Journalが「Safari 14はGoogleアナリティクスを完全にブロックするようになった」と報じました。

しかし、WebKitでIntelligent Tracking Preventionの開発を担当するエンジニアのJohn Wilander氏は、Search Engine Journalの記事について真偽を尋ねられると、「Intelligent Tracking Preventionは単純に既知のCookieをブロックするだけのものではありません」と答えています。

では一体Intelligent Tracking Preventionは一体何をしているのか、という点をAhava氏は説明しています。Ahava氏によれば、Intelligent Tracking Preventionは複数のドメインから特定のドメインにブラウザを介して送信されたリクエストを検出すると、その特定のドメインを複数のサイトでCookieを使って追跡するクロスサイトトラッカーとしてフラグ付けします。その上で、Safariはフラグ付けされたトラッカーがサードパーティーCookieであるかどうかを明らかにし、サードパーティーCookieだった場合に削除する仕組みになっています。

プライバシーレポートは、Intelligent Tracking Preventionによるクロスサイトトラッカーのフラグ付けプロセスを可視化するもの。Intelligent Tracking Preventionのトラッカーリストは、検索エンジン・DuckDuckGoのトラッカーリストと比較され、一致が見つかった場合に「既知のトラッカーが見つかった」としてプライバシーレポートに表示されるというわけです。

しかし、かねてからGoogleが主張している通り、Googleアナリティクスが使用しているのはファーストパーティーCookieであり、サードパーティーCookieではありません。そのため、プライバシーレポートに表示されていたとしても、Googleアナリティクスの通信がブロックされることはありません。

Google アナリティクスによるウェブサイトでの Cookie の使用 | ウェブ向けアナリティクス（analytics.js）
https://developers.google.com/analytics/devguides/collection/analyticsjs/cookie-usage

以下は実際にSafari 14のベータ版を使って、Ahava氏が自身のサイトでプライバシーレポートを表示したところ。GoogleアナリティクスとGoogleタグマネージャーの2つが表示されており、「2つのトラッカーが防がれました(prevented)」と書かれていますが、実際はGoogleアナリティクスのJavaScriptライブラリは読み込まれ、指定されたエンドポイントにHTTPリクエストを送信できています。

Ahava氏は「block、prevent、trackerなどの用語を使用すると、レポート自体で明確に定義されていない限り、WWDCの結果が示すように混乱を招く可能性があります」と述べ、プライバシーレポートで使われている表現が、まるで完全にブロックした結果を表示しているような誤解を生むものだと指摘しています。

また、Ahava氏は「GoogleアナリティクスのユーザーはSafari 14について心配する必要はありません。Googleアナリティクスはクロスサイトトラッキングを必要とせず、SafariはGoogleアナリティクスをブロックしません」と述べました。