苹果ITP，第三方cookie，gtag.js到底是怎么回事？

极诣在几个月前介绍过苹果公司最近在桌面和移动设备上更新了其Safari浏览器并推出了新的智能跟踪预防（Intelligent Tracking Prevention，简称ITP）功能。之后极诣还介绍了谷歌针对ITP发布了Global Site Tag（gtag.js）。为了帮助您理解原理和事件的潜在影响，极诣谨以此文作深入剖析。

Intelligent Tracking Prevention和第三方Cookie

作为iOS 11和MacOS 10.13版本的一部分，苹果公司增加了ITP作为一种减少广告主，发行商和技术公司所使用的跟踪机制数量的方法。ITP将通过消除可能导致加载时间延迟的大量第三方标签代码来增加消费者隐私并增强网页浏览体验。ITP的直接作用是限制了第三方Cookie的读取。

那么什么是第三方Cookie呢？假设您在访问极诣数字营销的网站maxket.com，网页中调用了百度和DoubleClick的脚本。这些脚本会在它们的域baidu.com和doubleclick.net建立新的Cookie，那么maxket.com为第一方，访客为第二方，baidu.com以及doubleclick.net就是第三方。由于您并未在此时访问baidu.com和doubleclick.net，此时的Cookie存取便是第三方Cookie。另一点需要明确的是，出于安全考虑，Cookie必须通过建立该Cookie的域来存取，所以在maxket.com域下，建立第三方Cookie实际上通过调用baidu.com和doubleclick.net上的脚本来实现，但这并不改变第三方Cookie的身份。

Safari浏览器对Cookie的支持

在讨论ITP之前，重要的是要认识到Safari早就已经默认禁用第三方Cookie了。更具体地说，他们虽然一直允许第三方在第三方环境中创建Cookie（即，由网站域以外的域创建的Cookie），但是这些第三方Cookie无法持续存在并被其他网站访问。接着用上面的例子，如果您用Safari浏览器在访问了maxket.com后再访问另一个网站如merklechina.cn，在merklechina.cn上也有baidu.com和doubleclick.net的脚本这些脚本并不能读取刚才在maxket.com浏览时写下的Cookie信息。但这也不是说这些脚本就完全无法读取baidu.com和doubleclick.net的Cookie信息了。只有最初写作第一方Cookie的Cookie可以在第三方环境中访问。消费者可以通过浏览器设置覆盖这些设置，但行业数据表明这是非常罕见的。

因此，不管有没有ITP，在merklechina.cn，原本要为去过maxket.com的访客显示的广告就无法顺利识别。因为同是第三方，merklechina.cn调用的baidu.com或者doubleclick的脚本无法读取刚刚在maxket.com环境下写入的Cookie。这样一来，依靠第三方Cookie服务的广告客户在使用重新定位用户的策略方面就受到限制，也无法在覆盖范围、频率、转换次数等指标上具有高度准确性。归因于Safari的活动。这些限制已经影响到所有依赖于在第三方环境中服务的第三方Cookie的广告技术供应商。当用户访问baidu.com的页面或者doubleclick.net的时候，由于环境变为第一方存取将不再被限制，此时百度和谷歌将会重写第三方Cookie为第一方Cookie。当访客再度访问merklechina.cn时，该访客已访问maxket.com的信息就因为同步而能够被识别了。

所以结论就是要让访客更多地光顾你的域，创造第一方环境。庆幸的是一般的点击跟踪器都会先带用户到广告平台的域名再用302跳转，Cookie同步变为可能。简而言之，第一方cookies始终安全清晰，第三方Cookie始终被Safari阻止。

Safari引入ITP后的改变

ITP对于第三方Cookie甚至第一方Cookie进一步进行了限制。本来，在maxket.com访问中新建的baidu.com和doubleclick.net第三方Cookie可以在maxket.com域内利用脚本存取。ITP引入的情况下，存取这些第三方Cookie 24小时后，这些Cookie就无法在访问maxket.com中读取。只有访问baidu.com和doubleclick.net时可以作为第一方存取，并且存取后又将有24小时可存取时间。如果超过30天未再访问baidu.com和doubleclick.net，那么这些第三方Cookie将被永久删除。ITP还会影响是否可以在第三方环境中访问第一方Cookie，即便你进行了同步把所有Cookie都写作baidu.com和doubleclick.net的第一方，在访问它们24小时后，你将无法在第三方网站的访问中获取作为第一方写入的baidu.com和doubleclick.net的Cookie，三十天后第一方Cookie也会被删除。（注：苹果称他们已经制定了一些规则和指导方针来通过机器学习识别那些跟踪访客的Cookie，这里的第一方哪些能被豁免将由苹果决定。）

第一方Cookie提供了一线曙光 – gtag.js

话分两头，在另一边，数字广告业还未失去希望。当访问maxket.com或者merklechina.cn时，广告商可以写（或创建）第一方Cookie。在广告客户是第三方的情况下，广告平台之前通过访问他们的网站写了第一方Cookie，他们可以进一步读取和写入Cookie。第一方Cookie的例外情况被一些广告技术供应商利用，他们开发的解决方案使用广告客户的域来编写Cookie。

最直接的例子就是谷歌的Global Site Tags（gtag.js）。gtag.js的目的一方面是整合谷歌多套跟踪代码，包括AW系、GA系（原Urchin）、DC系，另一方面是针对ITP。另一方面，使用该脚本后会将访客点击的AdWords或者DoubleClick Search的信息记录在第一方的Cookie中（在此之前AdWords和DS是作为第三方Cookie保存在浏览器中的，而GA本身就使用第一方Cookie），待到转化时可以把转化归因到当时的那次点击。这样做依然无法解决跨站的问题，所以第三方Cookie依然会产生这样的第三方Cookie中会包含像Device ID那样标识浏览器身份的重要信息。待到访客访问广告平台主域名时，这些第三方Cookie会和第一方Cookie同步。如此一来，虽然会存在30天的生死实现，体量大的广告网络依然可以基本克服ITP的影响。由于苹果“离经叛道”、“损人不利己”的做法一些广告商可能需要更努力地保持对其客户和潜在客户的理解，因为其第一方Cookie不再像以前那样持久。

结论

无论我们如何去抨击苹果，第三方Cookie和其安全隐患始终是苹果手里“小题大做”的“题”。Ad-Tech，Mar-Tech日新月异，蓬勃发展的同时出现这样的挑战并不意味。如何去弥补缺失的数据是每个广告人的使命，因为没有跟踪和衡量就没有数字广告的立足点。希望本文能够解惑释疑并为您带来一些新思路。