サードパーティクッキーとは？追跡の仕組みと対策

クッキーは、ウェブサイトがブラウザを通してあなたのコンピュータに保存する小さなテキストファイルです。それだけです。クッキーに不思議なものも、本質的に危険なものもありません。1994年までさかのぼる、ウェブでもっとも古い技術のひとつです。

あなたがウェブサイトを訪れると、サーバーは小さなデータ、つまりクッキーを送信し、ブラウザがそれを保存します。次に同じサイトを訪れたとき、ブラウザはそのクッキーを送り返します。これにより、サイトは訪問の合間にあなたの情報を覚えておけます。

クッキーには、正当で重要な用途がたくさんあります。サイトにログインすると、クッキーがログイン状態を覚えてくれるので、毎ページでパスワードを入力しなくて済みます。オンラインショッピングカートに商品を入れると、クッキーが中身を記録します。サイトをダークモードにしたり、言語設定を選んだりすると、その選択をクッキーが覚えています。クッキーがなければ、ページを開くたびに毎回ゼロからです。ログイン状態も、設定も、ショッピングカートもありません。

クッキーは単なるキーと値の組み合わせです。たとえば、"session_id=abc123" や "language=en" のようなものです。そこにはメタデータも含まれます。どのドメインが設定したか、有効期限はいつか、暗号化された接続でのみ送信すべきか、などです。クッキーはコードを実行したり、ファイルにアクセスしたり、ソフトウェアをインストールしたりはできません。プログラムではなく、受け身のデータです。

プライバシー上の問題は、技術そのものではなく、使われ方から生まれます。特に問題なのは、実際に訪れているドメインとは別のドメインによってクッキーが設定される場合です。ファーストパーティクッキーとサードパーティクッキーの違いこそが、現代のウェブ追跡の土台です。広告業界がインターネット全体であなたを追いかける仕組み、そしてブラウザ開発者が長年それを止めようとしてきた理由を理解するには、この違いを知ることが欠かせません。

ファーストパーティクッキーとサードパーティクッキーの違いは単純ですが、プライバシーへの影響は非常に大きいものです。

ファーストパーティクッキーは、あなたが訪れているサイトによって設定されます。example.com にアクセスして、その example.com がクッキーを保存するなら、それがファーストパーティクッキーです。読み取れるのも example.com だけです。こうしたクッキーは通常、ログイン状態の維持、設定の記憶、ショッピングカートの保持など、欠かせない機能を担います。ファーストパーティクッキーは一般に無害で、サイトを正しく動かすために必要です。

サードパーティクッキーは、あなたが訪れているサイト以外のドメインによって設定されます。example.com を開いているときに、そこへ ads.tracker.com の広告や追跡スクリプトが埋め込まれていて、その ads.tracker.com がクッキーを設定するなら、それがサードパーティクッキーです。重要な違いは、ads.tracker.com がこの同じクッキーを、その追跡スクリプトを含むすべてのサイトで設定し、読み取れることです。

これが、サイトをまたいだ追跡を可能にする仕組みです。tracker.com のスクリプトが何千ものサイトに埋め込まれていれば、ニュースサイト、ショッピングサイト、SNS、ブログを通じて、クッキー経由であなたの行動を見られます。ニュースサイトでランニングシューズの記事を読み、その後に靴屋のサイトを訪れ、さらにレビューサイトを確認したことまで分かります。すべて同じクッキーを通じてです。

ファーストパーティクッキーは1つのサイトの中にとどまります。サードパーティクッキーはウェブ全体を追いかけてきます。この違いこそが本質であり、サードパーティクッキーがブラウザのプライバシー対策の主な標的になってきた理由です。

ただし、ファーストパーティとサードパーティの境界は、常に明確とは限りません。CNAME cloaking のような手法を使うと、追跡企業はあなたが訪れているサイトのサブドメインを使い、クッキーをファーストパーティのように見せかけられます。追跡ドメインが tracker.com ではなく analytics.example.com のように見えるため、技術的にはファーストパーティになります。Safari はこの手法への対策を実装していますが、追跡業界がプライバシー保護を回避するために絶えず適応していることを示しています。

クロスサイト追跡の仕組みを理解すると、サードパーティクッキーが広告業界にとっていかに価値があり、同時にプライバシーにとっていかに有害かが見えてきます。

実際の流れはこうです。AdTrack と呼びましょう。ある広告ネットワークが、何千ものウェブサイトに広告スクリプトを提供しています。ニュースサイトの Site A を訪れると、ブラウザはページ内容と一緒に AdTrack のスクリプトを読み込みます。AdTrack は、「user_id=x7f9k2」のような一意の識別子を持つクッキーを設定します。このクッキーはあなたのコンピュータに保存され、AdTrack のドメインに関連付けられます。

次に、同じ AdTrack を使っているオンライン衣料品店の Site B を訪れます。ブラウザは再び AdTrack のスクリプトを読み込み、前回設定されたクッキーを送信します。これで AdTrack は、Site A を訪れた人と Site B を訪れた人が同じ人物だとわかります。これは記録されます。日々、そして数週間にわたって、AdTrack はあなたのプロフィールを作り上げます。テクノロジーや料理の記事を読み、ランニングシューズや本を買い、金曜の夜には旅行サイトを見る。AdTrack が必ずしもあなたの名前を知っているとは限りませんが、あなたの閲覧パターンは驚くほど細かく把握されています。

このプロフィールは、ターゲット広告に使われます。Site C を訪れると、AdTrack はあなたのクッキーを認識し、Site B で見ていたランニングシューズの広告を表示します。こうして広告がインターネット上をついてくるように見えるのです。実際についてきています。

その規模は圧倒的です。Google や Meta が運営するような大手広告ネットワークは、追跡スクリプトを何百万ものサイトに埋め込んでいます。Google の各種追跡サービス、Google Analytics、Google Ads、Google Tag Manager、DoubleClick は、推定で上位100万サイトの85パーセントに存在します。つまり Google は、ウェブの大半を通じてあなたの行動を観察できるのです。

収集されるデータは、訪れたサイトだけにとどまりません。追跡スクリプトは、ページ滞在時間、クリックした場所、スクロールした量、検索した内容、カートに入れた商品、最終的に購入したものまで記録できます。こうしたデータは集約され、分析され、広告主に販売されて、詳細な行動プロフィールが作られます。これらの広告ネットワークの顧客はあなたではありません。あなたは商品です。顧客はウェブサイトであり、売られているのはあなたの注意とデータなのです。

サードパーティクッキーは、消えつつあります。Safari と Firefox は何年も前からデフォルトでブロックしています。最後まで抵抗していた Google Chrome も制限へ向かっていますが、Google は何度も全面廃止を延期してきました。広告事業が、クッキーが支える追跡基盤に依存しているからです。

ですが、サードパーティクッキーの終わりは、追跡の終わりではありません。広告業界は、クッキーにまったく頼らない代替の追跡手法を長年開発してきました。これらはすでに広く使われているため、その仕組みを知ることは重要です。

最も懸念される代替手段はブラウザ・フィンガープリンティングです。コンピュータに識別子を保存する代わりに、ブラウザとデバイスの技術情報を何十項目も集めてあなたを識別します。画面解像度、インストール済みフォント、グラフィックカードの性能、タイムゾーン、言語設定、OSのバージョン、ブラウザプラグインなどです。個々の情報はそれほど特別ではありませんが、組み合わせると非常に特徴的な指紋になります。研究では、ブラウザ属性の組み合わせは90パーセント以上のユーザーで一意だと示されています。クッキーは不要です。

フィンガープリンティングは、コンピュータに何も保存しないため、クッキーよりブロックが難しくなります。削除するものも、表示するバナーも、切り替える設定もありません。ウェブサイトに標準化された、あるいはランダム化された情報を見せることで、ブラウザ側が積極的に防ぐ必要があります。

サーバー側追跡も広がっている手法です。JavaScript を通じてブラウザ内で追跡するのではなく、ウェブサイトのサーバー上で行われます。ページを訪れると、サーバーがあなたの行動を記録し、サーバーからサーバーへ直接追跡サービスに送ります。ブラウザにはその要求が見えないため、ブラウザベースのブロックツールでは止められません。

Google の Privacy Sandbox 構想の一部である Topics API は、個人単位の追跡を興味ベースのカテゴリに置き換える案です。正確な閲覧履歴を追う代わりに、Chrome があなたの関心を大まかなカテゴリに分類し、それを広告主と共有します。批評家は、これでもプロフィール作成は可能であり、ブラウザと広告プラットフォームの両方を Google が握っていることが競争上の問題を生むと指摘しています。

クッキー後の時代だからといって、標準でよりプライベートになるわけではありません。クッキーの代わりに使われる追跡手法は、検知しにくく、ブロックしにくく、透明性も低いことが多いのです。Cookie バナーは、煩わしくても追跡が行われていることを目に見える形で示していました。フィンガープリンティングやサーバー側追跡は、見えないところで起こります。

追跡はクッキーだけにとどまりません。効果的に守るには、複数の層を重ねる必要があります。ひとつのツールですべては解決できませんが、適切な組み合わせで露出は大きく減らせます。

まずはブラウザから始めましょう。サードパーティクッキーを標準でブロックし、フィンガープリント保護を備えたものを選びます。Safari と Firefox はどちらも優秀です。Brave は、強めの標準ブロックでさらに踏み込みます。どれを使う場合も、プライバシー設定を見直してください。厳格な追跡防止を有効にし、ブラウザ提供元へのテレメトリーやデータ共有をオフにし、Google の代わりに DuckDuckGo のようなプライバシー重視の検索エンジンを使うことも検討します。

コンテンツブロッカーを入れます。uBlock Origin は、ブラウザ内で追跡スクリプト、広告、フィンガープリントの試みを止める定番です。読み込まれてから制限するより、そもそも追跡スクリプトを読み込ませないほうが効果的です。Safari では uBlock Origin は使えませんが、内蔵のコンテンツブロッカーや AdGuard のような拡張機能で近い保護が得られます。

クッキーは定期的に消去します。サードパーティクッキーをブロックしていても、ファーストパーティクッキーはリンク装飾やバウンストラッキングのような手法で追跡に使われることがあります。定期的に消去するか、Firefox の Total Cookie Protection のようにサイトごとにクッキーを分離する機能を使うと、このリスクを抑えられます。

信頼できないネットワークでは VPN を使い、IP アドレスが追跡識別子として使われないようにします。IP アドレスはおおよその位置情報を示し、サイトをまたいだ行動を結び付ける追跡システムに使われることがあります。

ただ、ここで多くのガイドが見落としている重要な点があります。クッキーとブラウザ追跡は、追跡経路のひとつにすぎません。Mac のアプリは、ブラウザの外で独自の接続を通じてあなたを追跡します。Spotify、Zoom、Slack、Adobe など、数多くのアプリがテレメトリーや分析データを追跡サーバーへ直接送っています。ブラウザのプライバシー設定では、これは防げません。

そこで NetMute のようなシステムレベルのツールが、穴をふさぎます。NetMute は、ブラウザだけでなく、Mac 上のあらゆるアプリから出ていく接続を監視します。Tracker Shield は、既知の追跡ドメイン 300 以上への接続を、すべてのアプリケーションで自動的にブロックします。ブラウザが止められても、アプリレベルの保護がなければ、デスクトップアプリ経由でデータを集められてしまう追跡者はまだ存在します。

2026年の追跡ブロックを完全に近づけるには、Web の追跡にはプライベートなブラウザ、スクリプトと広告にはコンテンツブロッカー、それ以外すべてにはアプリレベルのファイアウォールを組み合わせます。クッキーは追跡の物語の始まりでした。今では全体ではありません。守るということは、ブラウザの中で起きることだけでなく、コンピュータからデータが出ていくあらゆる経路に対処することです。