Sec-GPC হেডার এখন সর্বত্র: অ্যানালিটিক্সের জন্য সার্ভার-সাইড শনাক্তকরণ

Global Privacy Control (GPC) নিয়ে আলোচনা প্রায়ই একটি আইনি সংকেত হিসেবে হয়, কিন্তু ইঞ্জিনিয়ারদের কাছে এটি সবার আগে একটি HTTP হেডার। GPC-সক্রিয় ব্রাউজার বা এক্সটেনশন থেকে আসা প্রতিটি রিকোয়েস্ট Sec-GPC: 1 বহন করে, আর একই পছন্দ ক্লায়েন্ট জাভাস্ক্রিপ্টের কাছে navigator.globalPrivacyControl হিসেবে প্রকাশ পায়। আপনি যদি এজে অ্যানালিটিক্স চালান, তবে হেডারই পরিচ্ছন্ন ইন্টিগ্রেশন বিন্দু — কোনো পরিমাপ-লজিক চলার আগেই আপনি এর ভিত্তিতে সিদ্ধান্ত নিতে পারেন, ট্র্যাকিং কোডের এক বাইটও না পাঠিয়ে।

সংকেতটি আসলে কেমন দেখতে

GPC স্পেসিফিকেশন Sec-GPC নামে একটি রিকোয়েস্ট হেডার ফিল্ড নির্ধারণ করে, যার একমাত্র অর্থবহ মান 1 — এটি জানায় যে ব্যবহারকারী তাঁর ব্যক্তিগত তথ্য বিক্রি বা শেয়ার করায় সম্মতি দিচ্ছেন না। হেডারের অনুপস্থিতি মানে কোনো পছন্দই প্রকাশ করা হয়নি — এটি স্পষ্টভাবেই একটি ধনাত্মক 0-এর সমান নয়। স্পেসিফিকেশন /.well-known/gpc.json ঠিকানায় একটি well-known রিসোর্সও নির্ধারণ করে, যা কোনো সাইট প্রকাশ করে জানায় যে সে এই সংকেত মেনে চলে।

Sec-GPC যেহেতু Sec- উপসর্গ ব্যবহার করে, এটি একটি নিষিদ্ধ হেডার নাম: fetch() বা XMLHttpRequest দিয়ে এটি সেট বা ওভাররাইড করা যায় না, ফলে কাস্টম হেডারের তুলনায় পেজ স্ক্রিপ্ট থেকে এটি জাল করা কঠিন। এটি নেভিগেশন ও সাব-রিসোর্স রিকোয়েস্ট — দুই ক্ষেত্রেই পাঠানো হয়, তাই এজ ওয়ার্কার একেবারে প্রথম হিটেই এটি দেখতে পায়।

Cloudflare এজে এটি পড়া

Cloudflare Worker-এ পরীক্ষাটি এক লাইনের, আর কিছু রেকর্ড করবেন কি না সেই সিদ্ধান্তের আগেই এটি চলে:

export default {
  async fetch(request) {
    const gpc = request.headers.get('Sec-GPC') === '1';
    // gpc === true -> ব্যবহারকারী বিক্রি/শেয়ার থেকে অপ্ট-আউট করেছেন
    // সেই অনুযায়ী কেবল গোপনীয়তা-নিরাপদ, সমষ্টিগত সংকেতই রেকর্ড করুন
    return handle(request, { gpc });
  }
};

Monoid-এর ক্ষেত্রে এটি সরাসরি মিলে যায় পণ্যটি আগে থেকেই যেভাবে কাজ করে তার সঙ্গে। Monoid কোনো কুকি বা localStorage সংরক্ষণ করে না, কোনো ফিঙ্গারপ্রিন্টও তৈরি করে না — তাই দমন করার মতো ক্রস-সাইট প্রোফাইল আদতে নেই-ই। GPC হলো ব্যক্তিগত তথ্যের বিক্রি ও শেয়ার থেকে একটি আইনি অপ্ট-আউট — এমন আচরণ যেখানে গোপনীয়তা-প্রথম, কুকি-বিহীন ডিজাইন কখনোই জড়ায় না। ফলে Sec-GPC শনাক্ত করা হয়ে ওঠে একটি ডিফেন্স-ইন-ডেপথ ব্যবস্থা এবং পছন্দটি মানা হয়েছে তার নিরীক্ষণযোগ্য নথি — ব্রাউজার থেকে কী তথ্য বেরোবে তা পাল্টে দেওয়া কোনো স্যুইচ নয়।

আইনগতভাবে এটি কেন গুরুত্বপূর্ণ, সংক্ষেপে

GPC-র কার্যকারিতা তত্ত্বসাপেক্ষ নয়। ক্যালিফোর্নিয়ার অ্যাটর্নি জেনারেলের সঙ্গে Sephora-র ২০২২ সালের মীমাংসা স্পষ্ট করেছে যে CCPA ব্যবসাগুলোকে GPC-কে বিক্রি থেকে একটি বৈধ অপ্ট-আউট হিসেবে গণ্য করতে বাধ্য করে, আর California Privacy Rights Act-এর বিধিমালা অপ্ট-আউট পছন্দ-সংকেত মানা আবশ্যক করে। কলোরাডো ও অন্যান্য মার্কিন রাজ্য-ব্যবস্থাও সর্বজনীন অপ্ট-আউট প্রক্রিয়ার তুলনীয় শর্ত গ্রহণ করেছে। হেডারটি সার্ভার-সাইডে পড়া আপনাকে এমন একটি নিশ্চিত, লগ-করা বিন্দু দেয় যেখানে সম্মতিপালন ঘটে — কোনো ট্যাগ ম্যানেজার নিয়ম চালাবে এই ভরসার চেয়ে যা বহুগুণ মজবুত।

well-known রিসোর্স প্রকাশ করা

আপনি GPC মেনে চললে সেটি ঘোষণা করুন। /.well-known/gpc.json একটি ছোট ডকুমেন্ট দিয়ে সার্ভ করুন:

{ "gpc": true, "lastUpdate": "2026-07-19" }

এটি একটি স্ট্যাটিক ফাইল, যা আপনি Content-Type: application/json সহ কোনো এজ রুট থেকে ফেরত দিতে পারেন। এটি ব্রাউজার, এক্সটেনশন ও নিরীক্ষকদের জানায় যে পছন্দটিকে সম্মান করা হয়, আর এর রক্ষণাবেক্ষণে কোনো খরচই নেই।

অ্যানালিটিক্স পাইপলাইনের জন্য ব্যবহারিক নির্দেশনা

• হেডার পরিমাপের আগে পরীক্ষা করুন, পরে নয়। এজে সিদ্ধান্ত নেওয়ার অর্থ, কোনো ডাউনস্ট্রিম প্রক্রিয়াকরণের আগেই তা নিষ্পন্ন হয়ে যায়।
• অনুপস্থিতিকে সম্মতি ধরবেন না। Sec-GPC হেডার না থাকার অর্থ কেবল কোনো পছন্দ নেই; এটিকে আপনার বিদ্যমান আইনি ভিত্তির সঙ্গে মিলিয়ে দেখুন।
• ন্যূনতম নিরীক্ষা-নথি রাখুন। কোনো রিকোয়েস্টে Sec-GPC: 1 ছিল তা লগ করা — কোনো শনাক্তকারীর সঙ্গে না জুড়ে — সদিচ্ছা প্রমাণ করে, প্রোফাইল তৈরি না করেই।
• গেটিংয়ের জন্য JS API-র চেয়ে হেডার বেছে নিন। navigator.globalPrivacyControl প্রপার্টি ক্লায়েন্ট UI-র জন্য উপযোগী, কিন্তু হেডার আপনাকে কোড চলার আগেই সিদ্ধান্ত নিতে দেয়।

বড় শিক্ষাটি হলো, গোপনীয়তা-সংকেত ক্রমশ ট্রান্সপোর্ট-স্তরের বাস্তবতা হয়ে উঠছে, অ্যাপ্লিকেশনের খুঁতখুঁতানি নয়। Sec-GPC দাঁড়িয়ে আছে DNT (অবচিত), Permissions-Policy হেডার আর Referrer-Policy-র পাশে — এমন জিনিস যা কোনো অ্যানালিটিক্স সিস্টেমের উপেক্ষা করার বদলে পড়া উচিত। কুকি-বিহীন পণ্যে পরিবর্তনটি ছোট ঠিক এই কারণেই যে স্থাপত্যটি আগে থেকেই তথ্য ন্যূনতম রাখে — আর শুরু থেকে এভাবে গড়ে তোলার উদ্দেশ্যও সেটাই।

Sources

• Global Privacy Control specification (W3C Community Group)
• MDN: navigator.globalPrivacyControl
• California AG settlement with Sephora (CCPA / GPC)
• California Consumer Privacy Act Regulations (opt-out preference signals)