クッキーの永続性の仕組み
クッキーは存続期間によって大きく2つのクラスに分かれます。セッションクッキーはブラウザが開いている間だけ存在し、閉じると消去されます。永続クッキーは明示的な有効期限を持ち、その期限が過ぎるかユーザーが削除するまでデバイスに残ります。これが「ログイン状態を保持する」ようなログインや長期的な設定を訪問をまたいで機能させる仕組みです。
しかし実務上、クッキーの永続性は脆くなってきました。ユーザーはクッキーを消去し、ブラウザはそれらを上限で制限したり自動的に期限切れにしたりし、プライベートブラウジングはセッションの終わりに破棄し、Intelligent Tracking Preventionのようなブラウザのプライバシー機能は、とりわけスクリプトによって設定された多くのクッキーの寿命を積極的に短縮します。その結果、名目上は永続的なクッキーであっても、実際には有効期限が示すよりもはるかに早く消えてしまうことがあります。
この浸食は、再訪したデバイスやユーザーを認識するためにクッキーに依拠するあらゆるシステムにとって重要です。クッキーが消去され、ブロックされ、期限切れになり、あるいは訪問者がシークレットモードにいるために単に存在しない場合、サイトは連続性の糸を失い、再訪した訪問者を新規として扱います。攻撃者は、新規の訪問者に見せかけるためにクッキーを削除したりプライベートウィンドウに切り替えたりして、これを意図的に悪用します。
デバイスフィンガープリンティングは、保存されたトークンではなく安定した技術シグナルからデバイスを識別することで、このギャップに対処します。フィンガープリントはデバイスに書き込まれるのではなくブラウザとハードウェアの特性から導かれるため、クッキーが消去され、ブロックされ、あるいはプライベートセッションで利用できない場合でもデバイスを認識し続けることができ、永続クッキー単独ではもはや確実には提供できない連続性をもたらします。
不正防止においてクッキーの永続性が重要な理由
信頼できるクッキーの永続性の低下は、不正防止にとって中核的な問題です。レート制限、1ユーザーにつき1回のプロモーション、トライアル制限、アカウント連結の防御はいずれも、依拠する識別子がワンクリックで消去されたりプライベートウィンドウで回避されたりすると破綻します。詐欺師はカウンターをリセットしアカウントを増殖させるために、日常的にクッキーを消去します。デバイスインテリジェンスは、クッキーよりもはるかにリセットが難しいデバイス自体を識別することで持続的な認識を回復し、積極的に新規に見せかけようとする行為者に対しても制御を維持できるようにします。
TRACIOでの扱い方
TRACIOは、クッキーの永続性に依存しないデバイス認識を提供します。その識別はデバイスの技術シグナルから安定した訪問者IDを導出するため、クッキーが消去され、ブロックされ、あるいはプライベートセッションで利用できない場合でも再訪デバイスを認識できます。これにより、クッキーの消去が可能にする複数アカウント不正、トライアル不正利用、プロモーション不正利用に対して効果的になります。TRACIOはこれを、隠れたクロスサイト追跡ではなく、ファーストパーティかつセキュリティ志向のデバイス識別として扱い、顧客は開示と、自らの利用に対する適法根拠の確立の責任を引き続き負います。