Firefoxの「Do Not Track」機能サポート終了
(windowsreport.com)- Webサイトに追跡拒否の意思を送信していた Do Not Track（DNT） 設定が Firefox 135 からなくなり、Nightly ビルドではすでにオプションの削除が確認されている
- DNT は HTTP ヘッダーでユーザーの選択を知らせる方式だが、多くのサイトがこの信号に従わず、実効性が低くなっていた
- Mozilla は DNT 信号が場合によっては プライバシーを低下させる可能性があると判断し、Bugzilla の項目とサポート文書で削除を確認した
- 代替は Global Privacy Control（GPC） ベースの「自分のデータを販売または共有しないよう Web サイトに通知する」設定
- すでに DNT を有効にしているユーザーが Firefox 135 にアップグレードした際の動作はまだ不明で、Chrome と Microsoft Edge は DNT 設定を引き続き提供している
Firefox 135でDNT設定を削除
- Mozilla は Firefox から Do Not Track（DNT） 設定を削除した
- 適用バージョンは Firefox 135 以降
- 変更はすでに Nightly ビルドで確認できる
- Nightly の「Website Privacy Preferences」から「Send websites a ‘Do Not Track’ request」オプションがなくなった
- Bugzilla の Remove DNT control from about:preferences#privacy 項目でも同じ変更が確認されている
DNTの限界とGPCという代替
- DNT はユーザーが Web サイトに追跡拒否の意思を送るためのブラウザー設定
- 有効にすると、ユーザーの追跡拒否の選択を示す 特別な HTTP ヘッダーを Web サイトに送信する
- DNT は 2009 年に Christopher Soghoian と Sid Stamm が導入し、Firefox がこの機能を初めて実装したブラウザーだった
- 削除理由は、多くの Web サイトが DNT 信号を尊重せず、場合によっては プライバシーが低下する可能性があるため
- Firefox のサポート文書では、Firefox 135 から DNT チェックボックスが削除されると案内している
- サポート文書には、多くのサイトがこのプライバシー設定の表示を尊重していないと記載されている
- Firefox が推奨する代替は Global Privacy Control
- 関連設定は「Tell websites not to sell or share my data」
- このオプションは GPC の上に構築されている
- GPC はますます多くのサイトで尊重されるようになっており、一部地域では法律で執行されている
- すでに DNT を有効にしているユーザーが対象バージョンの Firefox にアップグレードした際の動作はまだ不明
- 「Firefox no longer supports Do Not Track」というメッセージが表示される可能性がある
- または、信号が引き続き Web サイトに送信される可能性も残っている
- Google Chrome や Microsoft Edge など他のブラウザーは、まだ DNT 設定を提供している
- Chrome: Settings > Privacy and Security > Send a “Do Not Track” request with your browsing traffic
- Microsoft Edge: Settings > Privacy, Search, and Services > 「Send Do Not Track requests」をオンにする
1件のコメント
Hacker Newsの意見
Mozillaでこの機能が実装されたときに働いていた
ウェブサイトが対応するかどうかは完全に任意で、初期には一部のサイトだけが対応していた
社内ではデフォルトでオンにすべきだという意見が多かったが、そうすると誰も尊重しないだろうという論理があった。設定に入って自分でオンにした0.1%だけを追跡しない、などというトラッキングプラットフォームがどこにあるのか、ということだ
結局Internet Explorerがデフォルトでオンにし、報道の反応は良かったが、誰もが無視するようになって機能自体を殺してしまった
全体としては、この機能がなくなるのは歓迎している。実際には何もしていなかったし、むしろ多くのことをしてくれるように見えて偽の安心感だけを与えていたと思う
ただ、各サイトのCookieモーダルがブラウザレベルに上がってくるといい。まだそうなっていない理由はいろいろあるだろうが、大きな理由の1つはGで始まってOogleで終わるものだろう
uBlock Originの設定でCookie BannersとAnnoyancesフィルターを有効にすれば、モーダルはバックグラウンドで静かに除去され、そのまま閲覧を続けられる。同意したことはないので、機能的にはバナーで拒否したのと同じであるべき
uBlock Originをサポートしないひどいブラウザ、たとえばiOSやAndroid向けChromeでは、Kill Stickyブックマークレットも似たように動作する: https://www.smokingonabike.com/2024/01/20/take-back-your-web...
かつてのブラウザがユーザーを優先し、ポップアップブロックのようなものをデフォルトでオンにしてくれていた時代が懐かしい
https://www.5snb.club/posts/2023/do-not-stab/
私たちはDNTをエッジインフラに実装し、配布する準備もできていた
ところがMicrosoftがGoogleとの戦いの中で、またaQuantive買収で進めていた自社広告技術への野心が60億ドルの減損処理に終わった後、これをデフォルトでオンにして合意を壊してしまった。それが全員にとって致命傷になった
広告業界はDNTのオプトアウト版を絶対に受け入れなかっただろう。関心のある少数が自分でオンにする限りは機能したが、当時支配的だったウェブブラウザが全ユーザーの代わりに選んでしまうと成り立たなかった
人々がトラッキングとパーソナライズ広告を嫌う理由は十分理解している。この10年でより侵襲的になったが、少なくとも当時は商業ウェブに不可欠だった
トラッキングを止める唯一の方法は法律や規制だ。技術的な解決策は終わりのない軍拡競争で、エンドユーザーにとってはおそらく負け戦に近い
DNTは、消費者が追跡されたくないという意思を示す方法であり、企業をプライバシーに関する消費者の明示的な要求を無視する立場に置いた
残念ながら、誰もその点を効果的に活用できなかった
Mozillaの最近の動きに悪い印象を持つ人が多いのは理解できる。だがここでは、最悪に見ても、ほとんど誰にも尊重されていなかった機能を削除するだけだ
この機能は名誉システムに基づいており、スイスの名誉システムでさえ抜き打ち検査を行う。ブラウザにはこの機能を強制する方法がまったくなかった
皮肉なことに、わざわざオンにしたプライバシー意識の高い人々を追跡するための追加データポイントとして使われることもあった
Firefoxは代替であるGlobal Privacy Controlを実装したが、まったく同じ問題があり、GPCを尊重するウェブサイトはさらに少ない
今日のウェブサイトで常態化したサイバーストーキング的な慣行への本当の解決策ではないが、完全に役に立たないとも言えない
そうしていればニュース価値があり、少なくともEUでは規制で強制する対象として検討されたかもしれない
しかし実際にはDo Not Trackに成功の機会はなく、それは意図的なことだったと思う
誰かがオンラインプライバシーをこれ一つに頼っていたなら、教育が必要だ
そういう観点では、削除によって一部の人がブラウザにより強い保護を適用するようになり、ごく小さいながら全体としてはプライバシーの助けになるかもしれない
もう廃止すべき時期です。プライバシー保護で意味のある成果を上げたことはなく、むしろユーザーを一意に識別し、追跡を改善するためのシグナルをもう一つ提供して、逆効果になっていました。
ただし、トラッキング防止全般は、基本的に負け戦に近いものです。https://amiunique.org/ に行けば理由が分かります。
Firefox で使えるあらゆる保護機能、「strict」トラッキング防止モード、uBlock Origin を使っていても、ファーストパーティトラッキングは避けられません。
印象的な例として、最近のブラウザはデバイスの CPU コア数を Web サイトに公開できます。これだけでもユーザーの 80〜90% をふるい分けられ、ユーザーエージェント、IP、言語と組み合わせれば、ほぼ一意に識別されます。
https://developer.mozilla.org/en-US/docs/Web/API/Navigator/h...
理想的にはすべてのブラウザで、少なくとも Firefox だけでも、サイトが追跡を可能にし得る高度な機能を使おうとしたときにアドレスバーにアイコンが表示され、ケースごとに許可できるようになるとよいです。
いわば NoScript ではなく Low script です。
今日すべての要素に何とか対処できたとしても、次のブラウザ更新で新しいシグナルが有効になるかもしれませんし、amiunique.org がすべての識別データポイントを見ていると信じることもできません。結局、負けるしかない軍拡競争です。
望ましいのは、訪問するサイトごとに別々に一意な状態になることです。JavaScript をデフォルトでオフにして、サイトがブラウザの公開するデータポイントの 90% をそもそも収集できないようにできれば、なおよいです。
最も強い保護は、VPN で IP アドレスを変え、ユーザーエージェントやその他の手がかりをランダム化する方向でしょう。
同時にやるべきことは、それを違法化することです。
DNT は、法的な裏付けなしに後者を達成しようとした「拙速な」試みに感じます。
この情報を導き出すタイミング攻撃ポリフィルを公開し、当初はその代替として navigator.hardwareConcurrency API を提案しました。
この API の基本的な有用性に加え、ブラウザベンダーは、Web サイトがこの値を知るためにユーザーのデバイスをベンチマークする必要がなくなり、バッテリー駆動時間を節約できると考えました。
この機能の削除は、ユーザーの主体性を損ないます。Firefox ユーザーは、より煩わしい同意プロンプトに向き合うことになるでしょう。
Transcend Consent Management のデフォルト設定では、DNT がオンになっている場合、すべての非必須の追跡目的からユーザーを除外し、自動同意プロンプトも抑制しますが、GPC だけがオンの場合は「情報の販売/共有」だけを拒否します。
この中央集権的なプライバシーシグナルを削除すると、一部のユーザーは煩わしいバナーとやり取りしない限り、Transcend Consent Management に対してデフォルトで全面拒否を表明できません。
この変更は、Web コミュニティによる適切な検討とフィードバックなしに押し通されたと見ています。Mozilla があまりに速く処理したため、issue が閉じられる前に問題に気づいた人はほとんどいませんでした[1]。さらに悪いことに、issue が閉じられると Mozilla の職員でない人は追加コメントを付けられないよう、Bugzilla が設定されていました。
Chrome チームが 2023 年に DNT の削除を提案したときも、同様のフィードバックを伝えました[2]。彼らはフィードバックを考慮し、現在 DNT は Chrome に残っており、削除は無期限に延期されています。
広告主に送って受け入れられることを期待する自発的なフラグに依存しない、よりよいプライバシー保護の方法があります。
特にプライバシーとセキュリティでは、効いているように見せかける機能はむしろ有害です。
Do Not Track をオンにしたから追跡されないだろう、などと誰も感じるべきではありません。それは誤りです。
だから削除するのが正しいのです。
GPCは基本的にDNTと同じだが、[1]によれば「GPCは多くの点でDNTを改善している」とのこと
法的裏付け: DNTとは異なり、GPCはCCPAのように企業にこうしたシグナルの尊重を求める、より多くの法律に支えられている
目的の具体化: DNTはトラッキング全般を扱っていたが、GPCはデータの販売や共有の停止に焦点を当てており、今日のプライバシー要求により関連している
より高い採用可能性: GPCは規制当局、プライバシー保護の提唱者、業界リーダーの意見を取り入れて作られており、既存の法律に合わせ、以前の機能上の穴に対処しようとしたもの
ただし本質的にはほぼ同じ
だから「FirefoxがDNTを削除する」というよりは、「FirefoxがGPCの初期の非効率なバージョンを廃止する」に近いように見える
[1]: https://www.cookiebot.com/en/global-privacy-control/
自分の要求はトラッキングされないことだ。販売より先に来るのがトラッキングだ。販売拒否ではなく、トラッキング拒否を望んでいる
「機能上の穴」と言うが、GPCとDNTの違いは、DNTが
DNT: 1を送り、GPCがSec-GPC: 1を送るということだけDNTを尊重しなかった企業がGPCを尊重するはずがない。ここで唯一の違いは、IEではGPCがデフォルトでオンになっていない一方、DNTはデフォルトでオンになっていることだ
正しく理解しているなら、DNTは新しい提案である「Global Privacy Control」のために廃止されつつある: https://w3c.github.io/gpc/
そのためFirefoxは今後、
DNT: 1ヘッダーの代わりに、DNTで使っていた設定とは別の設定を通じて、任意でSec-GPC: 1を送ることになるなぜこれが有用な変更と見なされているのか、よく分からない。以前DNTヘッダーがある場合に匿名化コードを有効にするよう実装したウェブサイト運営者としては、Sec-GPCも見るようコードを追加することはできるが、これは変更のための変更のように感じる
同じブラウザー設定にチェックが入っていれば、Mozillaが単に両方のヘッダーを送ればよいのに、ウェブサイト側に両方を確認させるのもおかしな話だ。
Sec-GPCについてDNTより強いコミットメントを求めるのは理解できるが、後者は前者のサブセットなのだから、クライアント側のチェックボックス説明を更新して両方送ればよいのではないかと思う「Do Not Track」シグナルは、トラッキングを防ぐことよりも追加のフィンガープリント用シグナルとしてのほうが有用だった
今後、もっと堅牢な何かが進むといいのだが
2018年に廃止予定となり、2024年に削除された。自分の目的と正反対に使われていた機能としては、誰にとっても驚くようなスケジュールではない
残しておいて、EUがこれを無視する行為を法的に濫用とすべきだったと思う。そうすれば忌々しいクッキーバナーも不要だったはずだ
利用率が低すぎて、この機能が人々を追跡するために使われていた