Magazineにようこそ!ECに関係した情報をお届けしています。ブックマークをしてお楽しみください。80」をリリース予定です。それに伴い、プライバシー保護やセキュリティ強化を目的に、Cookieの動作が一部変更されます。そこで登場するのが、SameSite(セイムサイト)属性。この記事では、そもそもSameSite属性ってなに?サイトにどんな影響があるの?どう対応を進めればいい?などを簡単に紹介していきます。サイトによっては対応が必要な場合があるので、サイト運営に携わる方はぜひ参考にしてください。※記事の最後に、futureshopご利用事業者向けた対策案内も記載しております。StrictSameSite属性がLaxの場合、注意すべきポイントは?1.サイト全体に常時SSL対応がされている場合2.サイト全体の常時SSL対応がされていない場合SameSite属性への対策と未対応時のリスクまとめ:サイトに応じてSameSite属性を設定しよう!追記(2020年2月3日)CookieってECサイトのどこに使われてるの?Cookieとは、簡単に説明するとブラウザに一時保存されたデータのことです。Webサイトでの処理や画面表示を切り分ける為の値、サイト訪問時のセッション情報などが該当します。ECサイトでは、このCookieを使ってカートに登録されている商品や、ログイン状態など様々な情報を保持しています。今回のChromeのバージョンアップでは、このCookieの動作が変更されるのです。SameSite属性とは?Cookieの悪用を防ぐものこれまでもSameSite属性は存在していたのですが、Chrome80の登場によってさらに重要な役割を果たすようになりました。forgeries:クロスサイトリクエストフォージェリ)という攻撃からユーザーを守るために、Cookieに付与される属性のことです。CSRFとは、第三者がCookieを悪用して、ユーザーの意図しない処理や不正アクセスなどを行うことを指します。CSRF対策が適切にされていないと、たとえば会員のパスワードが勝手に変更されたり、なりすましの被害に遭う恐れがあります。これまでCSRF対策は各サイトが独自に実施していましたが、Googleがその対策に本腰を入れてきました。今回のChromeのアップデートでは、ECサイト側でSameSite属性が未指定の場合、ChromeからのアクセスではCookieの取り扱いが変更されます。具体的にはSameSite属性の既定値がNoneからLaxに変更され、よりCookieの取り扱いが厳格になるのです。これがどのような影響を与えるかというと、ECサイトの設計によっては、下記の問題が出てきます。カートの商品保持ができなくなる可能性。次から順に説明します。SameSite属性の3つの値(None/Lax/Strict)Cookieの取り扱い方法を決定するSameSite属性の値は、3つに分類されます。」と右に行くほど上がっていきます。これらの値について、futureshopを例に、ECサイトでどう異なってくるかをひとつひとつ説明しますね。NoneNoneは、今まで通りの挙動ができる値です。(SameSite=None)ドメイン名が異なる複数サイト間(クロスサイト)でCookieを利用しても、これまで通りに動作します。Noneの状態でCookieを発行するには、ECサイト側で条件があります。SSL化(https接続)されているCookieにSecure属性が付与されているの2点を満たしている必要があります。現状、NoneだからといってChrome80登場前よりセキュリティレベルが落ちるわけではないと考えられています。CSRF対策が済んでいるサイトなら、現状はNoneでも大きな問題はないと言えるでしょう。未知のセキュリティホールや攻撃手段に対する脆弱性が残るため、今後のセキュリティ動向を追う必要があります。LaxLaxは、ECサイト側で指定がない場合、Chrome80以降ではSameSite属性の既定値として取り扱われます。(SameSite=Lax)Noneとは異なり、ドメイン名が異なる複数サイト間(クロスサイト)の場合のCookieの動作がよりセキュリティを意識したものとなります。意図しない挙動がどのような場合に発生するのかや、その対応は、次の項でくわしく説明しますね。StrictStrictは、SameSiteの中でもっともセキュリティレベルが高い値です(SameSite=Strict)。Cookieの利用条件がLaxよりも厳しく、銀行や証券会社など高いセキュリティを要するサイトに適しています。ドメイン名が異なる複数サイト間(クロスサイト)の場合、ドメインが異なるとCookieがいっさいサーバーに送られません。いうことは、セッションが維持されないなどの影響が想定されます。ここまで見るとLaxと変わらないように見えますが、Strictを指定している場合は、3の後4のような状態に。複数ドメインを利用しているECサイトでは、ログインしていたはずなのに何回もログインを求められたり、複数商品が購入できなかったりと、お買い物にストレスを感じてしまいますよね。SameSite属性がLaxの場合、注意すべきポイントは?Laxの場合、Cookieの動作がNoneと異なることは先程お伝えしました。どのような場合に注意する必要があるのでしょうか?それは、「ECサイトで契約しているドメインとは別のドメインなど、クロスドメインで(ドメインをまたいで)Cookieを利用する」場合です。futureshopを例にご説明すると、futureshopで契約しているドメインだけでECサイトを運用する場合は影響ありません。影響があるのは、futureshopとは別ドメイン、例えばドメインが異なるブログサービスなどで下記の機能を利用している4パターンです。クロスドメインで影響がある4パターン「カートボタンHTMLタグの出力」を利用している「商品検索フォーム」を設置している。(コマースクリエイター未利用店舗様のみ)この場合、対応が必要です。具体的な対応方法は、サイト全体に常時SSL対応がされているか否かで異なるため、それぞれについて説明しますね。1.サイト全体に常時SSL対応がされている場合ECサイトのSameSite属性をNoneに変更する。※もし、Noneにはしたくない、Laxにしたい、という場合は次の「2.サイト全体の常時SSL対応がされていない場合」を参考に、ご対処ください。method属性がgetであることの確認が必要です。2.サイト全体の常時SSL対応がされていない場合カートボタンのHTMLタグの中身によって対応が異なります。そのHTMLタグで見るべき場所と対策を、下記で説明します。1)カートボタンのmethod属性がgetの場合これまでと同様に、すでにカート投入済み商品がある場合は、その情報が呼び出されます。新しくカートに入れた商品と合わせて購入することができ、ログインしている場合はログインしている状態も引き継ぎます。例外として、項目選択肢やオプション価格など細かく設定している場合は、カートボタンのmethod属性がgetに設定されていてもうまくカートに投入できないことがあります。新しくカートに商品が入るものの、カート投入済みの商品がある場合でも表示されません。ログイン済みの場合でもログアウトした状態になります。複数商品を購入することができません。対応としては、下記の2点があります。カートボタンのmethod属性をgetに変更するサイト全体の常時SSL対応を実施し、「1.サイト全体に常時SSL対応がされている場合」の対応を行う。世の中の流れとして、他のブラウザもCookie利用の制限を行う可能性は十分にあります。そのため、Chrome利用ユーザーがほとんどいらっしゃらないECサイト様でも、このCookieの動作変更を機に、常時SSL対応や同一ドメイン内でのブログ運営など、ECサイト設計の見直しを考えられるタイミングなのかもしれません。SameSite属性への対策と未対応時のリスクSameSite属性への対応は、大きく以下の内容に分けられます。サイト全体をSSL化(https接続)させるECサイトで適切なSameSite属性を指定するこれらを参考に、ぜひ対応を進めてみてください。futureshop提供のサービスをご利用の方には、必要な対応をまとめたページを用意しているので、そちらをご覧ください。futureshop虎の巻ちなみに、もしECサイト側でSameSite属性の設定をしなかった場合、ブラウザやバージョンによって既定値が変わります。80以降:「SameSite=Lax」こうなると、ユーザーごとに挙動が異なるため、サイトによっては安定したサービスの提供が難しくなります。ECサイトの場合、対策を行わない場合は、すでにカートに入っていた商品が表示されず、複数商品を購入できない、また、会員ログインしていた場合はログイン状態が解除されるなど、スムーズなお買い物ができなくなる可能性があります。※futureshopをご利用中の方は、上記、虎の巻にある設定を確認いただければ問題ございません。サイトの状況に応じて、必要な対応を取るようにしましょう。まとめ:サイトに応じてSameSite属性を設定しよう!GoogleはChromeをより安心して使えるよう、様々なバージョンアップを実施しています。なかには、今回のSameSiteのようにサイト運営側にも対応が必要な場合があります。他のブラウザも同じような対応を行うとの見解が強く、今後も各社の動向に注目です。SameSiteについてより詳しく知りたいという方は、ぜひ以下のサイトを参考にしてみてください。developers)追記(2020年2月3日)2020年1月30日に、SameSite既定値変更のスケジュールが発表されました。2月4日のChrome80リリースと同時には既定値は変更されないようです。2月17日の週から限られた人数で、限定的に適用していくようです。Webサイト側で設定していなければ、SameSite=Laxが適用されます。これだけ大きな変更なので、様子を見て既定値変更を段階的に増やしていくようですね。サイト訪問者の混乱を防ぐため、対策を実施する必要があるのは変更ありません。)デッドラインは2020年2月!Chromeが混合コンテンツをブロック。日々奮闘する中の人です。今旬の記事自社ECリピーター対策テクニックカゴ落ちテクノロジーChrome80アップデート対策この記事が気に入ったらいいねしよう!最新記事をお届けします。ツイートシェアはてブLINEPocketfeedlyRECOMMENDこちらの記事も人気です。今人気の記事デッドラインは2020年2月!Chromeが混合コンテンツをブロック。USこのサイトはfutureshopが運営する、EC担当者のための情報メディアです。様々なお役立ち情報を掲載いたします。