Chrome mengusulkan pengalaman baru untuk pilihan pengguna dengan cookie pihak ketiga. Anda harus menyiapkan situs untuk pengguna yang memilih menjelajah tanpa cookie pihak ketiga.
Di halaman ini, Anda akan menemukan informasi tentang skenario login yang paling mungkin yang terpengaruh, serta referensi untuk solusi yang mungkin.
Jika situs Anda hanya menangani alur dalam domain dan subdomain yang sama, seperti
sebagai publisher.example dan login.publisher.example, kode ini tidak akan menggunakan
cookie dan alur login Anda diperkirakan tidak akan terpengaruh oleh perubahan cookie pihak ketiga.
Namun, jika situs Anda menggunakan domain terpisah untuk login, seperti dengan Login dengan Google atau Login dengan Facebook, atau situs Anda harus membagikan otentikasi di beberapa domain atau subdomain, ada kemungkinan Anda akan membuat perubahan pada situs untuk memastikan transisi yang mulus dari cookie lintas situs.
Menguji perjalanan pengguna terkait identitas
Cara terbaik untuk menguji apakah alur login Anda terpengaruh oleh cookie pihak ketiga adalah melalui pendaftaran, pemulihan {i> password<i}, {i>login<i}, dan alur logout dengan tanda pengujian cookie pihak ketiga diaktifkan.
Berikut adalah checklist hal-hal yang perlu diperiksa setelah Anda membatasi aplikasi pihak ketiga cookie:
- Pendaftaran pengguna: Pembuatan akun baru berfungsi seperti yang diharapkan. Jika menggunakan penyedia identitas pihak ketiga, pastikan pendaftaran akun baru berfungsi untuk setiap integrasi.
- Pemulihan sandi: Pemulihan sandi berfungsi seperti yang diharapkan, dari UI web, CAPTCHA, untuk menerima email pemulihan sandi.
- Login: Alur kerja login bekerja di dalam domain yang sama dan kapan dan menavigasi ke domain lain. Jangan lupa untuk menguji setiap integrasi login.
- Logout: Proses logout berfungsi seperti yang diharapkan, dan pengguna tetap ada logout setelah alur logout.
Anda juga harus menguji bahwa fitur situs lainnya yang memerlukan login pengguna tetap berfungsi tanpa cookie lintas situs, terutama jika melibatkan pemuatan untuk menggunakan sumber daya lintas situs. Misalnya, jika Anda menggunakan CDN untuk memuat foto profil pengguna, memastikan bahwa proses ini masih berjalan. Jika Anda memiliki perjalanan pengguna yang penting, seperti checkout, yang dibatasi saat login, pastikan proses tersebut terus berfungsi.
Di bagian berikutnya, Anda akan menemukan informasi yang lebih spesifik tentang bagaimana alur-alur tersebut mungkin terpengaruh.
Identitas gabungan
Tombol login seperti Login dengan Google, Login dengan Facebook, dan Login dengan Twitter adalah tanda pasti bahwa situs Anda menggunakan penyedia identitas gabungan. Karena setiap penyedia identitas gabungan implementasinya sendiri, solusi terbaiknya adalah dengan memeriksa dokumentasi atau hubungi mereka untuk mendapatkan panduan lebih lanjut.
Jika Anda menggunakan API yang tidak digunakan lagi Library platform JavaScript Login dengan Google, Anda dapat menemukan informasi tentang cara untuk bermigrasi ke library Google Identity Services yang lebih baru untuk autentikasi dan otorisasi.
Sebagian besar situs yang menggunakan library Google Identity Services yang lebih baru siap untuk penghentian penggunaan cookie pihak ketiga, karena library akan bermigrasi secara otomatis ke menggunakan FedCM untuk kompatibilitas. Sebaiknya uji situs Anda dengan mengaktifkan tanda pengujian cookie pihak ketiga, dan jika diperlukan, gunakan checklist migrasi FedCM sebagai persiapan.
Domain login terpisah
Beberapa situs web menggunakan domain yang
berbeda hanya untuk mengotentikasi pengguna yang
memenuhi syarat untuk cookie situs yang sama, seperti situs yang menggunakan example.com untuk
dan login.example untuk alur login, yang mungkin memerlukan akses
cookie pihak ketiga untuk memastikan bahwa pengguna
domain.
Kemungkinan jalur migrasi untuk skenario ini adalah:
- Pembaruan untuk menggunakan cookie pihak pertama ("situs yang sama"): Mengubah setelan infrastruktur situs web sehingga alur {i>login<i} dihosting di domain yang sama (atau subdomain) sebagai situs utama, yang hanya akan menggunakan cookie pihak pertama. Hal ini mungkin membutuhkan upaya yang lebih tinggi, tergantung pada cara infrastruktur disiapkan.
- Gunakan Set Situs Terkait (RWS): Set Situs Terkait memungkinkan akses cookie lintas situs yang terbatas di antara sekelompok kecil domain terkait. RWS adalah Privacy Sandbox API yang dibuat untuk mendukung kasus penggunaan ini. Namun, hanya RWS mendukung akses cookie lintas situs di sejumlah domain yang terbatas.
- Jika Anda mengautentikasi pengguna di lebih dari 5 domain terkait, pelajari FedCM: Federated Credentials Management (FedCM) memungkinkan penyedia identitas mengandalkan Chrome untuk menangani alur terkait identitas tanpa memerlukan cookie pihak ketiga. Dalam kasus Anda, "domain login" dapat bertindak sebagai penyedia identitas FedCM dan digunakan untuk mengotentikasi pengguna di seluruh domain.
Beberapa domain
Jika sebuah bisnis memiliki beberapa produk yang dihosting di domain atau subdomain yang berbeda, mungkin ingin membagikan sesi pengguna di seluruh produk tersebut, skenario yang mungkin mengharuskan akses cookie pihak ketiga di antara beberapa domain.
Dalam skenario ini, menempatkan semua produk di bawah domain yang sama sering kali tidak praktis. Solusi yang memungkinkan dalam kasus ini adalah:
- Gunakan Set Situs Terkait: Saat akses cookie lintas situs diperlukan di antara sekelompok kecil domain yang terkait.
- Gunakan Federation Credential Management (FedCM): Saat jumlah domain besar, Anda dapat menggunakan domain login terpisah untuk bertindak sebagai identitas dan mengautentikasi pengguna di seluruh situs Anda menggunakan FedCM.
Solusi login
Single Sign-On (SSO) Pihak Ketiga
Karena kerumitan penerapan solusi SSO, banyak perusahaan memilih untuk ikut serta. menggunakan penyedia solusi pihak ketiga, untuk berbagi status login di antara origin. Contoh penyedia layanan mencakup Okta, Ping Identity, Google Cloud IAM, atau ID Microsoft Entra.
Saat menggunakan penyedia pihak ketiga, pendekatan terbaik adalah mencari panduan dari penyedia tentang bagaimana perubahan cookie pihak ketiga akan memengaruhi solusi dan pendekatan apa yang mereka rekomendasikan untuk layanan mereka.
Solusi SSO open source
Banyak perusahaan yang memelihara solusi SSO mereka sendiri akan melakukannya dengan menggunakan standar industri, seperti OpenID Connect, OAuth atau SAML, atau layanan project sumber, seperti Keycloak, WSO2, Auth.js, atau Hydra.
Sebaiknya periksa dokumentasi penyedia Anda untuk memahami cara perubahan cookie mungkin mempengaruhi solusi mereka, dan jalur migrasi terbaik untuk solusi spesifik tersebut.
Solusi internal kustom
Jika solusi login Anda termasuk dalam salah satu kasus penggunaan sebelumnya dan telah dibuat internal, Bersiaplah untuk menghentikan penggunaan cookie pihak ketiga menjelaskan cara mengaudit kode dan mempersiapkan diri untuk menghadapi perubahan cookie pihak ketiga.
Ambil tindakan sekarang!
Jika situs Anda termasuk dalam salah satu kasus penggunaan, ada beberapa solusi yang tersedia untuk mengatasi dampak yang mungkin terjadi, mulai dari pemindahan alur otentikasi ke domain utama sehingga hanya menggunakan cookie pihak pertama, menggunakan Set Situs Terkait untuk memungkinkan berbagi cookie antara sejumlah kecil domain publik, atau memanfaatkan Federation Credential Management.
Momen untuk mengaudit layanan Anda dan mempersiapkan cookie pihak ketiga perubahan kini tersedia!