প্রথম পক্ষ পরীক্ষার নির্দেশাবলী সেট করে

ফার্স্ট-পার্টি সেটগুলির সর্বশেষ পুনরাবৃত্তি Chrome 108 থেকে বিকাশকারী বৈশিষ্ট্য-পতাকা পরীক্ষার জন্য প্রস্তুত৷ আমরা শিপিংয়ের দিকে এগিয়ে যাওয়ার লক্ষ্যে প্রথম-পক্ষের সেটগুলিতে সক্রিয়ভাবে কাজ করছি, তাই আমরা বিকাশকারী পরীক্ষার এই পর্যায়ের জন্য প্রতিক্রিয়া বিবেচনা করব৷ মার্চের শুরুতে (মার্চ 7, 2023) Chrome 111 প্রকাশ না হওয়া পর্যন্ত।

ইকোসিস্টেম ফিডব্যাক ক্রস-সাইট ব্যবহারের ক্ষেত্রে হাইলাইট করেছে যেগুলি প্রভাবিত হবে যখন তৃতীয় পক্ষের কুকি Chrome-এ আর সমর্থিত হবে না। ফার্স্ট-পার্টি সেটের প্রস্তাবটি ক্রস-সাইট ব্যবহারের ক্ষেত্রে একটি শ্রেণির পরীক্ষা করে এবং এড্রেস করে যেখানে আন্তঃনির্ভর সাইটগুলি একটি সম্পর্ক ভাগ করে যা ব্রাউজারের সাথে প্রকাশ করা যেতে পারে যাতে ব্রাউজার ব্যবহারকারীর পক্ষে এবং/অথবা কার্যকরভাবে যথাযথ পদক্ষেপ নিতে পারে। ব্যবহারকারীর কাছে সেই তথ্য উপস্থাপন করুন।

আপডেট করা প্রস্তাবটি প্রথম-পক্ষের সেটের মধ্যে তাদের কুকিগুলির জন্য ক্রস-সাইট অ্যাক্সেসের অনুরোধ করার একটি সক্রিয় পদ্ধতির সাথে সাইটগুলিকে প্রদান করতে দুটি API (স্টোরেজ অ্যাক্সেস API এবং একটি নতুন API অস্থায়ীভাবে নামকরণ করা requestStorageAccessForOrigin ) ব্যবহার করে৷ নীচের নির্দেশগুলি আপনাকে আপনার সাইটগুলির জন্য কোন সেটগুলি তৈরি করতে চান এবং দুটি ভিন্ন API-কে কল করার জন্য সঠিক পয়েন্টগুলি পরীক্ষা এবং যাচাই করার অনুমতি দেবে৷

প্রথম পক্ষের সেট ওভারভিউ

ফার্স্ট-পার্টি সেটস (FPS) হল একটি ওয়েব প্ল্যাটফর্ম প্রক্রিয়া যা ডেভেলপারদের সাইটের মধ্যে সম্পর্ক ঘোষণা করার জন্য, যাতে ব্রাউজারগুলি নির্দিষ্ট, ব্যবহারকারী-মুখী উদ্দেশ্যে সীমিত ক্রস-সাইট কুকি অ্যাক্সেস সক্ষম করতে এই তথ্য ব্যবহার করতে পারে। থার্ড-পার্টি প্রেক্ষাপটে কখন কোন সাইটকে তাদের কুকিজ অ্যাক্সেসের অনুমতি বা অস্বীকার করার সিদ্ধান্ত নিতে Chrome এই ঘোষিত সম্পর্কগুলি ব্যবহার করবে।

উচ্চ স্তরে, একটি প্রথম পক্ষের সেট হল ডোমেনের একটি সংগ্রহ, যার জন্য একটি একক "সেট প্রাথমিক" এবং সম্ভাব্য একাধিক "সেট সদস্য" রয়েছে। শুধুমাত্র সাইটের লেখকরা তাদের ডোমেন একটি সেটে জমা দিতে সক্ষম, এবং তাদের প্রতিটি "সেট সদস্য" এর "সেট প্রাইমারি" এর সাথে সম্পর্ক ঘোষণা করতে হবে। সেট সদস্যরা ব্যবহারের ক্ষেত্রের উপর ভিত্তি করে উপসেট সহ বিভিন্ন ডোমেন প্রকারের পরিসর অন্তর্ভুক্ত করতে পারে।

প্রতিটি উপসেটের গোপনীয়তা প্রভাব অনুযায়ী ব্রাউজারের প্রতিটি উপসেট পরিচালনার সুবিধার্থে, আমরা একটি FPS-এর মধ্যে কুকি অ্যাক্সেস সক্ষম করতে স্টোরেজ অ্যাক্সেস API (SAA) এবং requestStorageAccessForOrigin-এর সুবিধা নেওয়ার প্রস্তাব করছি৷

SAA এর সাথে, সাইটগুলি সক্রিয়ভাবে ক্রস-সাইট কুকি অ্যাক্সেসের অনুরোধ করতে পারে। অনুরোধকারী সাইট এবং শীর্ষ-স্তরের ওয়েবসাইট একই FPS-এ থাকলে Chrome স্বয়ংক্রিয়ভাবে অনুরোধটি মঞ্জুর করবে৷ অন্যান্য ব্রাউজার দ্বারা SAA-তে কলগুলি কীভাবে প্রক্রিয়া করা হয় সে সম্পর্কে তথ্যের জন্য দয়া করে স্টোরেজ অ্যাক্সেস API (SAA) ডকুমেন্টেশন দেখুন৷

SAA বর্তমানে প্রয়োজন যে নথিটি API এর পদ্ধতিতে কল করার আগে ব্যবহারকারীর সক্রিয়করণ প্রাপ্ত করে।

এটি শীর্ষ-স্তরের সাইটগুলির জন্য FPS গ্রহণকে চ্যালেঞ্জিং করে তুলতে পারে যেগুলি ক্রস-সাইট চিত্র বা স্ক্রিপ্ট ট্যাগ ব্যবহার করে যার জন্য কুকিজ প্রয়োজন৷ এই ধরনের কিছু চ্যালেঞ্জ মোকাবেলা করার জন্য আমরা একটি নতুন API প্রস্তাব করেছি, requestStorageAccessForOrigin , যাতে বিকাশকারীদের এই পরিবর্তনটি গ্রহণ করা সহজ হয়৷ এই API এছাড়াও পরীক্ষার জন্য উপলব্ধ.

জমা সেট করুন

ক্যানোনিকাল FPS তালিকাটি একটি নতুন FPS GitHub সংগ্রহস্থলে অবস্থিত একটি JSON ফাইল বিন্যাসে সর্বজনীনভাবে দর্শনযোগ্য তালিকা হবে, যা সমস্ত সেটের জন্য সত্যের উৎস হিসাবে কাজ করবে। Chrome এই ফাইলটিকে এর আচরণে প্রয়োগ করতে ব্যবহার করবে৷

সেট জমা দেওয়ার জন্য প্রস্তাবিত প্রক্রিয়া এবং প্রয়োজনীয়তা সম্পর্কে আরও জানতে, জমা দেওয়ার নির্দেশিকা দেখুন। আপনি বিভিন্ন প্রযুক্তিগত চেক পরীক্ষা করার জন্য একটি সেট জমা দেওয়ার চেষ্টা করতে পারেন যা জমাগুলিকে বৈধ করবে। মনে রাখবেন যে Chrome এর স্থিতিশীল সংস্করণে FPS উপলব্ধ হওয়ার আগে সমস্ত জমা সাফ করা হবে৷

যেহেতু সেট জমা দেওয়ার প্রক্রিয়াটি এখনও সক্রিয় বিকাশের অধীনে রয়েছে, স্থানীয় পরীক্ষার জন্য, আপনি শুধুমাত্র কমান্ড লাইনে সেট তৈরি করতে পারেন এবং সরাসরি ব্রাউজারে পাঠাতে পারেন। স্থানীয় পরীক্ষার জন্য, বৈশিষ্ট্য পতাকাগুলির সাথে পরীক্ষা করার জন্য GitHub রেপোতে একটি সেট জমা দেওয়ার প্রয়োজন নেই।

কীভাবে স্থানীয়ভাবে পরীক্ষা করা যায়

পূর্বশর্ত

স্থানীয়ভাবে FPS পরীক্ষা করতে, কমান্ড লাইন থেকে চালু করা Chrome 108 বা উচ্চতর ব্যবহার করুন।

আসন্ন Chrome বৈশিষ্ট্যগুলি প্রকাশ করার আগে পূর্বরূপ দেখতে, Chrome এর বিটা বা ক্যানারি সংস্করণ ডাউনলোড করুন৷

উদাহরণ

google-chrome \
--enable-features="FirstPartySets,StorageAccessAPI,StorageAccessAPIForOriginExtension,PageInfoCookiesSubpage,PrivacySandboxFirstPartySetsUI" \
--use-first-party-set="{\"primary\": \"https://first-party-sets.glitch.me\", \"associatedSites\": [\"https://fps-member-1.glitch.me\"]}" \

পতাকা সহ Chromium চালানোর বিষয়ে আরও জানুন৷

ধাপ

স্থানীয়ভাবে FPS সক্ষম করতে, আপনাকে এই বিভাগে ব্যাখ্যা করা পতাকাগুলির একটি কমা-বিচ্ছিন্ন তালিকা সহ Chrome এর --enable-features বিকল্পটি ব্যবহার করতে হবে এবং --use-first-party-set এ পাস করার জন্য JSON অবজেক্ট হিসাবে সম্পর্কিত সাইটগুলির একটি সেট ঘোষণা করতে হবে। --use-first-party-set

FPS সক্ষম করুন

FirstPartySets Chrome এ FPS সক্ষম করে।

FirstPartySets

স্টোরেজ অ্যাক্সেস API সক্ষম করুন

StorageAccessAPI

Chrome-এ স্টোরেজ অ্যাক্সেস API (SAA) সক্ষম করে যা ব্রাউজার দ্বারা তৃতীয় পক্ষের কুকিজ ব্লক করা থাকলেও একটি ক্রস-সাইট প্রসঙ্গে কুকিজ অ্যাক্সেসের অনুরোধ করতে অনুরোধ করার জন্য এম্বেড করা iframes কে requestStorageAccess() ব্যবহার করতে দেয়।

নোট করুন যে যখন কল করা হয়, requestStorageAccess() সমাধান করার জন্য একটি ব্যবহারকারীর অঙ্গভঙ্গি প্রয়োজন। ক্রোমের ভবিষ্যত সংস্করণগুলি বিভিন্ন সেটের প্রয়োজনীয়তা আরোপ করতে পারে, কারণ SAA স্পেসিফিকেশন এখনও বিকশিত হচ্ছে। ক্রোমের SAA বাস্তবায়নে পরিকল্পিত উন্নতির তালিকার জন্য এখানে পড়ুন।

StorageAccessAPIForOriginExtension

নির্দিষ্ট উত্সের পক্ষে সঞ্চয়স্থান অ্যাক্সেসের অনুরোধ করতে requestStorageAccessForOrigin() ব্যবহার করতে শীর্ষ-স্তরের সাইটগুলিকে সক্ষম করে৷ এটি শীর্ষ-স্তরের সাইটগুলির জন্য দরকারী যেগুলি ক্রস-সাইট চিত্র বা স্ক্রিপ্ট ট্যাগগুলি ব্যবহার করে যার জন্য কুকিজ প্রয়োজন এবং SAA গ্রহণ করার ক্ষেত্রে কিছু চ্যালেঞ্জ মোকাবেলা করে ৷

স্থানীয়ভাবে একটি সেট ঘোষণা

একটি প্রথম পক্ষের সেট হল ডোমেনের একটি সংগ্রহ, যার জন্য একটি একক "সেট প্রাইমারি" এবং সম্ভাব্য একাধিক "সেট সদস্য" রয়েছে। সেট সদস্যরা ব্যবহারের ক্ষেত্রের উপর ভিত্তি করে উপসেট সহ বিভিন্ন ডোমেন প্রকারের পরিসর অন্তর্ভুক্ত করতে পারে।

একটি JSON অবজেক্ট তৈরি করুন যাতে URL গুলি থাকে যা একটি সেটের সদস্য এবং এটিকে --use-first-party-set এ পাস করুন।

নীচের উদাহরণে, primary প্রাথমিক ডোমেনের তালিকা করে, এবং associatedSites সেই ডোমেনের তালিকা করে যা সংশ্লিষ্ট উপসেটের প্রয়োজনীয়তা পূরণ করে।

{
     "primary": "https://primary.com",
    "associatedSites": ["https://associate1.com", "https://associate2.com", "https://associate3.com"]
}

উদাহরণ:

--use-first-party-set="{\"primary\": \"https://first-party-sets.glitch.me\", \"associatedSites\": [\"https://fps-member-1.glitch.me\"]}"

স্থানীয় পরীক্ষার জন্য, আপনি শুধুমাত্র কমান্ড লাইনে সেট তৈরি করতে পারেন এবং সরাসরি ব্রাউজারে পাঠাতে পারেন। স্থানীয় পরীক্ষার উদ্দেশ্যে কোন সেট বৈধতা থাকবে না, কিন্তু যখন FPS স্থিতিশীল সংস্করণে পাঠানো হয়, তখন সমস্ত সেট FPS GitHub রেপোতে জমা দিতে হবে এবং বৈধতার মানদণ্ডের সাপেক্ষে হতে হবে।

FPS UI সক্ষম করুন৷

PageInfoCookiesSubpage

URL বার থেকে অ্যাক্সেসযোগ্য PageInfo বিভাগে FPS দেখানো সক্ষম করে৷ 

PrivacySandboxFirstPartySetsUI

FPS UI সক্ষম করে "গোপনীয়তা এবং নিরাপত্তা → কুকিজ এবং অন্যান্য সাইট ডেটা (chrome://settings/cookies) এর অধীনে Chrome সেটিংসে "সংশ্লিষ্ট সাইটগুলিকে গ্রুপে আপনার কার্যকলাপ দেখতে অনুমতি দিন" বিকল্পটি।

তৃতীয় পক্ষের কুকিজ ব্লক করা হয়েছে তা যাচাই করুন

  1. ক্রোম সেটিংসে, গোপনীয়তা এবং নিরাপত্তা → কুকিজ এবং অন্যান্য সাইট ডেটা বা chrome://settings/cookies-এ যান৷
  2. সাধারণ সেটিংসের অধীনে নিশ্চিত করুন যে "ব্লক থার্ড-পার্টি কুকিজ" সক্ষম করা আছে।
  3. "গোষ্ঠীতে আপনার কার্যকলাপ দেখতে সম্পর্কিত সাইটগুলিকে অনুমতি দিন" উপ-বিকল্পটিও সক্ষম আছে কিনা তা পরীক্ষা করুন৷

নিরাপত্তা বিবেচনা

যেহেতু স্টোরেজ অ্যাক্সেস API ওয়েবসাইটগুলিকে নির্বাচিত ক্ষেত্রে তৃতীয় পক্ষের কুকিগুলিতে অ্যাক্সেস পুনরুদ্ধার করার অনুমতি দেয়, এটি ওয়েব অ্যাপ্লিকেশনগুলিকে ক্রস-সাইট আক্রমণ এবং তথ্য ফাঁসের জন্য সংবেদনশীল ছেড়ে দিতে পারে। যে সাইটগুলি ক্রস-সাইট প্রসঙ্গে কুকিজের উপর নির্ভর করে তাদের CSRF এবং অন্যান্য আক্রমণের ঝুঁকি সম্পর্কে সচেতন হওয়া উচিত।

পরিকল্পিত উন্নতি

এটিকে উন্নত করার জন্য, ভবিষ্যতের ক্রোম রিলিজগুলির জন্য অতিরিক্ত নিরাপত্তা নিয়ন্ত্রণের প্রয়োজন হবে, সুস্পষ্ট এমবেডি অপ্ট-ইন নিশ্চিত করার লক্ষ্যে। প্রস্তাবিত উন্নতিগুলি হবে: শুধুমাত্র প্রতি-ফ্রেমের ভিত্তিতে অ্যাক্সেস মঞ্জুর করবে, শংসাপত্রযুক্ত অনুরোধে CORS প্রয়োজন হবে এবং কেবলমাত্র মূলে অ্যাক্সেসের সুযোগ রাখবে। সাম্প্রতিক নিরাপত্তা বিশ্লেষণে আপনি আরও পড়তে পারেন।

Chrome-এর SAA বাস্তবায়নে পরিকল্পিত উন্নতির তালিকা দেখুন।

মনে রাখবেন যে ক্রস-সাইট এমবেড করা প্রসঙ্গে Chrome শুধুমাত্র SameSite=None চিহ্নিত কুকি পাঠায়, যেখানে স্টোরেজ অ্যাক্সেস API প্রাসঙ্গিক। যতক্ষণ না সমস্ত ব্রাউজার সেই কুকিগুলিতে ডিফল্ট অ্যাক্সেসকে অবমূল্যায়ন না করে, তবে, কুকিটি কোথায় ব্যবহার করা যেতে পারে সে সম্পর্কে কোনও অনুমান করা যায় না। এটি অনুমান করা নিরাপদ নয় যে অ্যাক্সেস শুধুমাত্র একটি FPS-এর মধ্যে অনুমোদিত হবে এবং সাইটগুলিকে স্ট্যান্ডার্ড নিরাপত্তা সর্বোত্তম অনুশীলনগুলি ব্যবহার করা চালিয়ে যেতে হবে।

জড়িত এবং মতামত শেয়ার করুন

স্থানীয় পরীক্ষা হল FPS সক্ষম করার জন্য স্টোরেজ অ্যাক্সেস এপিআই মেকানিজম চেষ্টা করার একটি সুযোগ এবং আপনার মতামত বা আপনার যে কোনো সমস্যা শেয়ার করার। উপরন্তু, GitHub-এ সেট জমা দেওয়ার প্রক্রিয়া পরীক্ষা করা হল প্রক্রিয়া এবং বৈধতা পদক্ষেপগুলির সাথে আপনার অভিজ্ঞতা ভাগ করে নেওয়ার একটি সুযোগ। আপডেট করা প্রস্তাব সম্পর্কে জড়িত এবং মতামত শেয়ার করতে: