Monoidブログ

プライバシー、アナリティクス、オープンウェブ — 開発者向けに執筆。

pagehide、visibilitychange、Beacon API はブラウザーごとに挙動が異なります。Cookie も永続識別子も使わずに、セッションの終了を確実に記録する方法を解説します。

Sec-GPC ヘッダーはもうどこにでもある: アナリティクスのためのサーバーサイド検出

Global Privacy Control は Sec-GPC リクエストヘッダーとしてすべてのリクエストに付いてきます。エッジでこれを読み取り、Cookie を使わない計測パイプラインで尊重する方法を解説します。

Timing-Allow-Origin ヘッダーは、ページがクロスオリジンのタイミング情報をどれだけ読み取れるかを制御します。プライバシーファーストなパフォーマンス計測にとって、これが何を意味するのかを解説します。

ChromeのSpeculation Rules APIは、ユーザーがクリックする前にページをレンダリングできます。それがいかにして単純なアナリティクスを歪めるのか、そしてクッキーレスでエッジベースの計測がどのように正直であり続けるのかを解説します。

back/forward cache は戻るボタンによるナビゲーションをほぼ瞬時にするが、たった 1 つの unload リスナーがページ全体でそれを無効化する。原因はたいてい計測スクリプトであり、CrUX は今やその損害を計測できる。

EU・米国データプライバシーフレームワークは最初の司法審査を乗り切ったが、いまCJEUに上訴中だ。そもそもEUのデータを米国へ移転しないアナリティクスなら、どちらに転んでも失うものはない。

EDPBの2026年共同執行アクションは、GDPR第12〜14条に基づく透明性を監査する。そこを最短で切り抜ける方法は、通知が自ずと書き上がるほど収集を絞り込むことだ。

厳格な CSP は XSS を防ぐ。だがサードパーティのアナリティクスタグがその穴を再び開ける。ホスト許可リストや SRI の欠如がポリシーを台無しにする理由と、ファーストパーティトラッカーが解決する点を解説する。

Permissions-Policy と Referrer-Policy という 2 つのレスポンスヘッダーが、ページが広告テックや第三者にどれだけ漏らすかを決める。一度設定すれば、監視面はデフォルトで閉じる。