Cosa sono i cookie di terze parti?

Un cookie viene definito “di terze parti” quando è impostato da un dominio diverso dal sito web che il visitatore sta effettivamente guardando. Quando incorpori un video YouTube, l’iframe può far sì che i domini di Google impostino cookie nel browser del visitatore, anche se questi crede semplicemente di trovarsi sul tuo sito.

Perché i browser li limitano

I cookie di terze parti sono comunemente usati per il tracciamento cross-site e la pubblicità, motivo per cui i browser moderni li bloccano o li limitano sempre più spesso di default, e per cui normative come il GDPR prestano molta attenzione a come e quando vengono impostati.

Ridurre l’esposizione ai cookie di terze parti

Usare il dominio di incorporamento youtube-nocookie.com, rimandare le incorporazioni fino a dopo il consenso, oppure usare uno schema leggero di miniatura-poi-caricamento (inserendo il vero iframe solo dopo il clic di un visitatore) sono le tre mitigazioni più comuni.

Come vengono effettivamente impostati i cookie di terze parti tramite un’incorporazione

Quando la tua pagina include un iframe YouTube, il browser del visitatore effettua una richiesta diretta ai server di Google per caricare il contenuto di quell’iframe, del tutto separata dalla richiesta che ha caricato la tua pagina. Poiché questa seconda richiesta va verso un dominio diverso da quello nella barra degli indirizzi, ogni cookie che essa imposta conta come di terze parti. Si tratta di una conseguenza strutturale del funzionamento degli iframe, non qualcosa che un proprietario di sito può evitare solo con il codice della propria pagina; può essere influenzato solo dalla scelta del dominio di incorporamento e delle impostazioni.

Un esempio pratico

Immagina una visitatrice su tuosito.it con un video YouTube incorporato. Caricare l’incorporazione standard di youtube.com può impostare un cookie leggibile da google.com la prossima volta che il browser di quella visitatrice visita un sito qualsiasi con un servizio Google incorporato, contribuendo al tracciamento pubblicitario cross-site. Caricare lo stesso video da youtube-nocookie.com rimanda quell’impostazione del cookie finché il visitatore non preme effettivamente play, restringendo in modo significativo la finestra in cui può avvenire il tracciamento passivo.

Cookie di terze parti contro cookie di prima parte

Un cookie di prima parte (first-party) viene impostato dal dominio mostrato nella barra degli indirizzi, il tuo stesso sito, tipicamente per cose come ricordare un carrello della spesa o una sessione di accesso, ed è generalmente considerato a rischio più basso poiché il collegamento con il sito visibile è evidente. Un cookie di terze parti, impostato da una risorsa incorporata come YouTube, è meno visibile per il visitatore ed è la categoria a cui puntano specificamente la maggior parte delle normative sulla privacy e delle restrizioni dei browser moderni. Browser come Safari e Firefox oggi bloccano di default molti cookie di terze parti, il che riduce gradualmente la portata di questa categoria indipendentemente dalle scelte a livello di sito. Vedi youtube-nocookie.com per la mitigazione specifica a cui gli strumenti di questo sito passano di default.

Comprendere questa distinzione aiuta a spiegare perché un sito può sembrare identico in superficie, stesso video, stesso player, ma comportarsi in modo molto diverso dal punto di vista della privacy, dipendendo unicamente da quale dominio di incorporamento è stato usato.

Domande frequenti