Chrome 80 e l'attributo SameSite per i cookie

Al via in queste ore il rollout di Chrome 80 nella sua versione stabile e definitiva. Oltre alle novità a livello di feature già viste nella beta, l’aggiornamento del browser porta con sé un cambiamento importante per quanto concerne sicurezza e privacy, intervenendo sul cosiddetto cross-site tracking effettuato mediante cookie, come anticipato nel maggio scorso.

Chrome 80: l’attributo SameSite per la gestione dei cookie

In attesa di poter assistere al blocco completo dei tracking cookie di terze parti (serviranno un paio d’anni), Google interviene ora introducendo un sistema di classificazione inedito per i cookie. Questo spingerà gli sviluppatori a indicare l’attributo SameSite per quelli creati durante la navigazione, associandovi i valori None per autorizzarne la distribuzione su altri domini, Strict per consentirne l’utilizzo solo su un dominio e Lax per specificare le restrizioni da applicare alle richieste. Il video qui sotto spiega nel dettaglio come e con quali finalità.

In altre parole, i gestori dei siti dovranno esplicitare come vanno considerati e trattati i cookie. In caso di mancata indicazione dell’attributo, Chrome li considererà come solo first party e dunque non distribuibili mediante siti esterni. Così facendo il browser sarà in grado di accedervi solo se l’URL in essi specificato corrisponde a quello del sito visitato o quando il sito di destinazione si basa sul protocollo sicuro HTTPS.

È possibile che il forzare l’implementazione di questo nuovo metodo possa provocare malfunzionamenti in portali o servizi online che fanno leva sul cross-site tracking, ad esempio includendo nelle proprie pagine widget o elementi legati a programmi di affiliazione. Gli sviluppatori avranno ad ogni modo un po’ di tempo per adeguarsi: sebbene la funzionalità stia facendo il suo debutto ufficiale in queste ore, il nuovo sistema di classificazione dei cookie non provocherà alcuna conseguenza tangibile almeno fino a fine mese, dopodiché comincerà coinvolgendo un numero limitato di utenti in modo da raccogliere i feedback necessari a garantire che tutto vada per il verso giusto prima di un rollout su più larga scala.