โทเค็นสถานะส่วนตัว

สถานะการติดตั้งใช้งาน

โทเค็นสถานะส่วนตัวคืออะไร

   

โทเค็นสถานะส่วนตัวช่วยให้ส่งต่อความน่าเชื่อถือในความถูกต้องของผู้ใช้จากบริบทหนึ่งไปยังอีกบริบทหนึ่งได้ เพื่อช่วยให้เว็บไซต์ต่อสู้กับการประพฤติมิชอบและแยกบ็อตออกจากมนุษย์จริงได้โดยไม่ต้องมีการติดตามแบบพาสซีฟ

  • เว็บไซต์ของผู้ออกสามารถออกโทเค็นให้กับเว็บเบราว์เซอร์ของผู้ใช้ที่แสดงให้เห็นว่าตนเองมีความน่าเชื่อถือ เช่น ผ่านการใช้งานบัญชีอย่างต่อเนื่อง การทำธุรกรรม หรือการได้รับคะแนน reCAPTCHA ที่ยอมรับได้
  • เว็บไซต์ผู้แลกรับสิทธิ์สามารถยืนยันได้ว่าผู้ใช้ไม่ใช่บัญชีปลอมโดยตรวจสอบว่าผู้ใช้มีโทเค็นจากผู้ออกที่ผู้แลกรับสิทธิ์เชื่อถือหรือไม่ แล้วแลกรับสิทธิ์โทเค็นตามที่จำเป็น

โทเค็นสถานะส่วนตัวได้รับการเข้ารหัส จึงไม่สามารถระบุตัวบุคคลหรือเชื่อมต่ออินสแตนซ์ที่เชื่อถือได้และ ไม่น่าเชื่อถือเพื่อค้นหาตัวตนของผู้ใช้

เหตุใดเราจึงต้องใช้โทเค็นสถานะส่วนตัว

เว็บต้องมีวิธีสร้างและส่งสัญญาณความน่าเชื่อถือที่แสดงให้เห็นว่าผู้ใช้เป็นบุคคลที่อ้างว่าเป็น ตนเอง ไม่ใช่บ็อตที่แสร้งเป็นมนุษย์หรือบุคคลที่สามที่เป็นอันตรายซึ่งฉ้อโกงบุคคลหรือบริการจริง การป้องกันการประพฤติมิชอบมีความสำคัญอย่างยิ่งต่อผู้ลงโฆษณา ผู้ให้บริการโฆษณา และ CDN

น่าเสียดายที่กลไกที่มีอยู่หลายอย่างในการวัดและเผยแพร่ความน่าเชื่อถือ (เช่น เพื่อดูว่าการโต้ตอบกับเว็บไซต์มาจากบุคคลจริงหรือไม่) ใช้ประโยชน์จากเทคนิคที่สามารถใช้สำหรับการสร้างลายนิ้วมือได้เช่นกัน กลไกในการสื่อถึงความน่าเชื่อถือต้องรักษาความเป็นส่วนตัวเพื่อให้ความน่าเชื่อถือแพร่กระจายไปทั่วเว็บไซต์ได้โดยไม่ต้องติดตามผู้ใช้แต่ละราย

Private State Token API ช่วยให้เว็บไซต์ออกโทเค็นที่เข้ารหัสลับให้กับผู้ใช้ที่เชื่อถือได้ ซึ่งสามารถ นำไปใช้ที่อื่นได้ในภายหลัง เบราว์เซอร์ของผู้ใช้จะจัดเก็บโทเค็นอย่างปลอดภัย จากนั้นจะ แลกรับในบริบทอื่นๆ เพื่อยืนยันตัวตนของผู้ใช้ได้ ซึ่งช่วยให้ความน่าเชื่อถือของผู้ใช้ในเว็บไซต์หนึ่ง (เช่น เว็บไซต์โซเชียลมีเดียหรือบริการอีเมล) ส่งต่อไปยังเว็บไซต์อื่น (เช่น ผู้เผยแพร่โฆษณาหรือร้านค้าออนไลน์) ได้โดยไม่ต้องระบุตัวตนของผู้ใช้หรือลิงก์ข้อมูลประจำตัวในเว็บไซต์ต่างๆ

โทเค็นสถานะส่วนตัวทำงานอย่างไร

ในตัวอย่างนี้ เว็บไซต์ผู้เผยแพร่โฆษณาต้องการตรวจสอบว่าผู้ใช้เป็นบุคคลจริง ไม่ใช่บ็อต ก่อนที่จะแสดงโฆษณา

  1. ผู้ใช้เข้าชมเว็บไซต์ (เรียกว่าผู้ออก) และดำเนินการที่ทำให้เว็บไซต์ เชื่อว่าผู้ใช้เป็นบุคคลจริง เช่น ทำการซื้อ ใช้บัญชีอีเมล หรือ ทำ reCAPTCHA จนเสร็จสมบูรณ์
  2. เว็บไซต์ผู้ออกใช้ JavaScript API ของโทเค็นสถานะส่วนตัวเพื่อทริกเกอร์คำขอโทเค็นความน่าเชื่อถือสำหรับ เบราว์เซอร์ของผู้ใช้
  3. เว็บไซต์ผู้ออกจะตอบกลับด้วยข้อมูลโทเค็น
  4. เบราว์เซอร์ของผู้ใช้จะจัดเก็บข้อมูลโทเค็นความน่าเชื่อถืออย่างปลอดภัย
  5. ผู้ใช้เข้าชมเว็บไซต์อื่น (เช่น ผู้เผยแพร่ข่าว) ที่ต้องการยืนยันว่าผู้ใช้เป็นบุคคลจริงหรือไม่ เช่น เมื่อแสดงโฆษณา
  6. เว็บไซต์ใช้ Private State Token API เพื่อตรวจสอบว่าเบราว์เซอร์ของผู้ใช้มีโทเค็นความน่าเชื่อถือที่จัดเก็บไว้สำหรับ ผู้ออกที่เว็บไซต์เชื่อถือหรือไม่
  7. พบโทเค็นสถานะส่วนตัวสำหรับผู้ออกที่ผู้ใช้เคยเข้าชม
  8. เว็บไซต์ของผู้เผยแพร่โฆษณาส่งคำขอไปยังผู้ออกโทเค็นเพื่อแลกโทเค็นความน่าเชื่อถือ
  9. เว็บไซต์ผู้ออกบัตรจะตอบกลับด้วยบันทึกการแลกรับข้อเสนอ
  10. เว็บไซต์ของผู้เผยแพร่โฆษณาส่งคำขอไปยังแพลตฟอร์มโฆษณา รวมถึงบันทึกการแลกสิทธิ์ เพื่อแสดงให้เห็นว่าผู้ออกเชื่อถือผู้ใช้ว่าเป็นมนุษย์จริง
  11. แพลตฟอร์มโฆษณาจะให้ข้อมูลที่จำเป็นต่อการแสดงโฆษณา
  12. เว็บไซต์ของผู้เผยแพร่โฆษณาแสดงโฆษณา
  13. ระบบจะนับการแสดงผลของโฆษณาที่ดู

มีเครื่องมือสำหรับโทเค็นสถานะส่วนตัวไหม

Chrome DevTools จะเปิดการตรวจสอบจากแท็บเครือข่ายและแอปพลิเคชัน อ่านเพิ่มเติมเกี่ยวกับการผสานรวมเครื่องมือสำหรับนักพัฒนาเว็บนี้และเกี่ยวกับ Private State Tokens

เว็บไซต์จัดการโทเค็นจากผู้ออกที่เชื่อถือได้หลายรายอย่างไร

เว็บไซต์สามารถตรวจสอบโทเค็นที่ถูกต้องในเบราว์เซอร์ของผู้ใช้ด้วย document.hasTrustToken() สำหรับผู้ออกรายเดียวได้ในแต่ละครั้ง หากคำสั่งนี้แสดงผลเป็น true และมีโทเค็น เว็บไซต์จะแลกรับโทเค็นและหยุดค้นหาโทเค็นอื่นๆ ได้

เว็บไซต์ต้องตัดสินใจว่าจะตรวจสอบผู้ออกโทเค็นรายใดและตรวจสอบตามลำดับใด

กรณีการใช้งาน

โทเค็นสถานะส่วนตัว (PST) รองรับกรณีการใช้งานการป้องกันการประพฤติมิชอบที่หลากหลาย โดยพื้นฐานแล้ว PST สามารถทำหน้าที่เป็นสัญญาณความน่าเชื่อถือเพิ่มเติมได้เนื่องจาก API สามารถเข้ารหัส ข้อมูลบางส่วนที่ช่วยสื่อถึงความน่าเชื่อถือจากบริบทหนึ่งไปยังอีกบริบทหนึ่งได้ เมื่อคุกกี้ของบุคคลที่สามหมดไป เราทราบดีว่าการตรวจสอบว่ากรณีการใช้งานต่างๆ เช่น กรณีต่อไปนี้ยังคงทำงานได้ตามที่ต้องการจะเป็นสิ่งสำคัญ Use Case ของ PST ทั้งหมดกำหนดให้ทั้งผู้ออกและผู้แลกสิทธิ์ต้องทำงานร่วมกัน คุณอาจต้องพิจารณา PST หากมีกรณีการใช้งานที่คล้ายกับกรณีใดกรณีหนึ่งต่อไปนี้

  • บริการป้องกันการฉ้อโกง: การป้องกันการฉ้อโกงเป็นกรณีการใช้งานที่ถูกต้องตามกฎหมายซึ่งเว็บควรสนับสนุน แต่ไม่ควรกำหนดให้ต้องมีตัวระบุต่อผู้ใช้ที่เสถียรและครอบคลุมทั่วโลก ในบริบทของบุคคลที่สาม คุณสามารถใช้ PST เพื่อแบ่งกลุ่มผู้ใช้เป็นชุดที่เชื่อถือได้และชุดที่ไม่น่าเชื่อถือ
  • การวิเคราะห์การฉ้อโกงผ่านโฆษณา: PST มีประโยชน์ในการวิเคราะห์การคลิก การแสดงผล และรูปแบบบอทที่เป็นการฉ้อโกงในบริการเทคโนโลยีโฆษณา
  • การตรวจหาบ็อต: หลังจากวิเคราะห์ว่าเบราว์เซอร์เป็นบ็อตหรือไม่แล้ว PST จะช่วยเข้ารหัสข้อมูลดังกล่าวเพื่อแชร์จากบริบทหนึ่งไปยังอีกบริบทหนึ่งได้
  • การชำระเงินที่ปลอดภัย: PST สามารถใช้เป็นสัญญาณเพิ่มเติมเพื่อแสดงความน่าเชื่อถือในการตรวจหาภัยคุกคามที่ระบุได้ยากกว่าในบริบทของบุคคลที่สามที่มีข้อมูลจำกัด (เช่น การใช้บัตรเครดิตที่ถูกขโมย)
  • บริการป้องกันการละเมิดในอีคอมเมิร์ซ: การตรวจหาบ็อตในการโต้ตอบอีคอมเมิร์ซ (การคลิก การชำระเงิน การซื้อ การให้คะแนนผลิตภัณฑ์ แชทบ็อต การคืนสินค้า) มีความสําคัญอย่างยิ่งในการหลีกเลี่ยงการคัดลอกหน้าเว็บและการโต้ตอบที่ไม่ใช่มนุษย์ ซึ่งอาจเป็นสัญญาณเพิ่มเติมที่สำคัญในการตรวจหาเอเจนต์อัตโนมัติสำหรับผู้ให้บริการป้องกันการประพฤติมิชอบของบุคคลที่สามในแพลตฟอร์มอีคอมเมิร์ซ
  • บริการ CDN: PST มีกลไกที่จะช่วยในการรายงานและตรวจหาการเข้าชมที่เกิดจากการฉ้อโกง

รายการกรณีการใช้งานนี้ไม่ได้ครอบคลุมความสามารถในการป้องกันการฉ้อโกงทั้งหมด ที่อาจได้รับประโยชน์จากโทเค็นสถานะส่วนตัว นอกจากนี้ รายการยังไม่ แยกจากกัน PST อาจเป็นประโยชน์ต่อเวิร์กโฟลว์การป้องกันการประพฤติมิชอบหลายรายการ

เส้นทางของผู้ใช้

การออกและการแลกสิทธิ์เป็นองค์ประกอบหลักของโทเค็นสถานะส่วนตัว แม้ว่ากรณีการใช้งานก่อนหน้านี้จะเป็นส่วนสำคัญที่รองรับ PST แต่คุณสามารถพิจารณาช่วงเวลาต่อไปนี้ในเส้นทางของผู้ใช้บางรายเป็นกรณีที่คุณต้องการออกหรือแลกโทเค็นจริงๆ

  • ออกโทเค็นระหว่างขั้นตอนการจัดการบัญชี (เข้าสู่ระบบ ลงชื่อสมัครใช้ รีเซ็ตรหัสผ่าน และอื่นๆ)
  • ออกโทเค็นหลังจากยืนยันการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA)
  • ออกโทเค็นหลังจากมีการดำเนินการที่มีความเสี่ยงสูง เช่น การลบประวัติการชำระเงิน
  • แลกโทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงปานกลาง
  • แลกโทเค็นเพื่อยืนยันข้ามเว็บไซต์ก่อนดำเนินการที่มีความเสี่ยงสูง

การปฏิบัติตามกฎหมาย ePrivacy

การออกโทเค็นสถานะส่วนตัวเกี่ยวข้องกับการจัดเก็บข้อมูลใน อุปกรณ์ปลายทางของผู้ใช้ จึงเป็นกิจกรรมที่อยู่ภายใต้กฎหมายว่าด้วยความเป็นส่วนตัวทางอิเล็กทรอนิกส์ใน เขตเศรษฐกิจยุโรป (EEA) และสหราชอาณาจักร ซึ่งโดยทั่วไปแล้วต้องได้รับความยินยอมจากผู้ใช้ ในฐานะผู้ออกโทเค็น คุณมีหน้าที่พิจารณาว่าการใช้ Private State Tokens API ของคุณจำเป็นอย่างยิ่งในการให้บริการออนไลน์ที่ผู้ใช้ขออย่างชัดเจนหรือไม่ และด้วยเหตุนี้จึงได้รับการยกเว้นจากข้อกำหนดด้านความยินยอม ดูข้อมูลเพิ่มเติมได้ที่คำถามที่พบบ่อยเกี่ยวกับการปฏิบัติตามข้อกำหนดด้านความเป็นส่วนตัวของ Privacy Sandbox

มีส่วนร่วมและแชร์ความคิดเห็น

ดูข้อมูลเพิ่มเติม