Cookie規制と広告主の未来について考えてみた
1.はじめに
プライバシー保護意識の高まりからヨーロッパのGDPRや日本の改正個人情報等の法改正が進んでおり個人関連情報にあたる3rd Party Cookie排除を表明するプラットフォーマーが増えています。
デジタルマーケティング領域における影響と広告主は何をしていくべきなのか？つまりどんな未来があるのか整理してみたいと思います。
2.そもそもCookieとは？
Cookieとは
「Cookie」とはSafariやChromeといったWebブラウザに、 訪問したユーザーの行動ログや、入力したユーザー情報を一時的に保管しておく仕組みです。
Webブラウザ上でユーザーに発行されるスタンプや交通手形のようなものとイメージすると分かりやすいかもしれません。
Cookieはサイト分析、広告配信などのトラッキング技術に利用されるほか、ID、パスワード、メールアドレス、訪問回数などをユーザー情報として保存するために活用されます。
Cookieはユーザー、サイト運営者、媒体社主語で様々な目的で利用されます。下記に詳細を記載していきます。
①ユーザーから見たCookie利用
目的
Cookieは利便性向上のために活用されます。
例
✓カートに入れた商品データを保持
✓ログイン情報等を再入力する手間が省ける
②サイト運営者から見たCookie利用
目的
Cookieは計測のために活用されます。
例
✓ユーザー行動をトラッキングして分析
✓出稿しているWeb広告の成果を確認する
③媒体社から見たCookie利用
目的
Cookieは配信のために活用されます。
例
✓サイトに訪問したユーザーに対して サイトを横断して広告配信をする
3.Cookie計測の仕組み
本項ではCookie計測の仕組みについて図解資料を用いて説明します。
①広告クリックからサイト訪問まで
ユーザーが広告をクリックして、その広告に関連するウェブサイト（ランディングページ）を訪問します。初めて広告をクリックした時、ユーザーのブラウザにCookieが生成され、ユーザーの識別番号が割り当てられます。すでにブラウザにCookieが保存されている場合は、そのCookieが再利用され、同じ識別番号で追跡されます。
②CV（コンバージョン）の達成
ユーザーがウェブサイトでCV（例えば商品購入やフォーム送信など）すると、そのアクションに対応するページにもタグが設置されており、このタグも発火します。
再度、ユーザーのCookieと共にデータが送信され、どのユーザーが、いつ、どの広告をクリックしてCVに至ったかが記録されます。
③データのサーバーへの送信
タグ発火によって、広告クリック時の情報とCV時の情報がサーバーに送信されます。この情報を基に、どの広告が効果的であったのか、どの経路でユーザーがCVに至ったのかが計測され、広告のパフォーマンス分析が行われます。
4.Cookieには種類がある
Cookieには大きく分けて2種類、厳密には3種類に分けられる。デジタルマーケティングの担当者は施策影響を適切に捉えるために厳密な理解が求められる。
●1st Party Cookie
◦訪問サイトのドメインが発行しているCookie
◦Client sideの1st Party Cookie （ブラウザのjavascriptが発行）
◦Server sideの1st Party Cookie（webサーバーが応答時に発行）
●3rd Party Cookie
◦訪問サイトと異なる第三者ドメインが発行しているCookie
ユーザーの利便性向上やサイト運営者の計測の為に使われるのは1st Party Cookieです。
またADEBiS（の共通タグやCVタグ）やGoogle（グローバルタグやイベントスニペット）、Yahoo！（サイトジェネラルタグやコンバージョン測定タグ）のようなタグから発行されるCookieはdocument.cookieと呼ばれ、1st Party Cookieになります。
より厳密に説明するとClient sideの1st Party Cookie （ブラウザのjavascriptが発行）です。
「document.cookie」の「document」は、サーバーを指すものではなく、ブラウザ上で表示されているウェブページを意味します。JavaScriptを使ってそのページに関連するクッキー情報を取得したり設定するための仕組みです。
具体的には、ブラウザ内の「ドキュメントオブジェクト（DOM）」を操作することで、Cookieを管理します。
5.Apple社のCookie規制の歴史を振り返る
2017年から始まったAppleによるカスタマー行動履歴データ規制の動きを振り返ってみたいと思います。
ITP1.0（iOS11/2017年9月）
・3rd party cookieが制限
過去含めサイト内遷移なし→発行から24時間後に無効。30日後に削除。
ITP1.1（iOS11/2018年3月）
・3rd party cookieの制限強化
過去にサイト内遷移があっても、そのセッションで遷移がなければ24時間後に無効。
ITP2.0（iOS12/2018年9月）
・3rd party cookieの制限強化
サイト内遷移なし→即時削除。
・Client sideの1st party cookieも制限
4つ以上のドメインからリダイレクトされている→3rd party cookieと同じく削除。
ITP2.1（iOS12.2/2019年3月）
・Client sideの1st party cookie制限強化
JavaScriptが発行する1stPartyCookieは
クリックから7日以内までのCVなら計測可能。
ITP2.2（iOS12.3/2019年4月）
・Client sideの1st party cookieが更なる制限強化
JavaScriptが発行する1stPartyCookieは、その期限が7日間に制限され、さらに広告のリンクをクリックして訪問した場合は、その期限が24時間に制限される。
ITP2.3（iOS13/2019年9月）
・localStorageも制限
クリックから7日以内までのCVなら計測可能
ITP Full Third-Party Cookie Blocking and More（iOS13.4/2020年3月）
・3rd Party Cookieが完全ブロック
ブロック対象であった「ITP制限が適用されるための条件」というルールがなくなる。
・Client sideの1st Party Cookie とJavaScript について
トラッカー判定ドメインからパラメタ付きで（リダイレクトし）LPに到着というパターンにおいて、LPにてパラメータを取得しJavaScript の document.cookie を利用し 1st Party Cookie として埋め込みを行ったとしても、保存期間は１日しか持たない。
ITP Full Third-Party Cookie Blocking and More（iOS14/2020年9月）
・CNAMEも制限
クリックから7日以内までのCVなら計測可能
・ITPは全ブラウザ対象
Safariのみだったが、iOS14下で動作する
ブラウザ（iOS版のGoogle Chrome、 Firefoxなど）すべてITPの対象に。
・IDFAの利用がデフォルト不可
IDFA利用にはユーザの同意が必要となる。
・その他
非バウンストラッキング機能追加。
またITPの対象にアプリ内ブラウザも追加。
ITP Full Third-Party Cookie Blocking and More（iOS15/2021年9月）
・App StoreやApple純正アプリで規制強化
App StoreやApple News「株価」などのApple純正アプリでも、パーソナライズド広告（ターゲティング広告）の配信可否を
ユーザーが選択できるように。
・メールプライバシープロテクション
送信者に知られないようにIPアドレスを隠す機能。
追記（2022年12月）
11/7公開のwebkitのこちらのブログや、GitHubを確認すると、Server sideの
1st Party Cookieであっても保持期限が条件により7日以内になるようです。
Capped cookie lifetimes to 7 days for responses from third-party IP addresses
（第三者のIPアドレスからの応答に対するCookieの有効期限を7日間に制限）
If the IP address of the response is _mostly_ different than the IP address of the main resource response, then we apply the same level of mitigation as we otherwise would for third party CNAMEs
（もし、レスポンスのIPアドレスがメインリソース レスポンスのIPアドレスと「ほとんど」異なる場合、3rd PartyのCNAMEと同じレベルの低減策を適用します）
さすがにSever sideの1st Party CookieにはAppleも手が出せないと思っていましたが、今後は規制対象になるようです。
完全にITP影響を回避するには広告主側Webサーバによる1st Party Cookie発行が残された道になりますが、イルグルム社（ADEBiS）が既に対処する動きをとっているようです。
Cookie規制に対する各社の歴史
上記はApple社のiOS及びSafariの話のみでしたが、他のブランドはどのような状況でしょうか。イルグルム社の説明資料をベースにすると、企業ごと動きがかなり違うことが分かります。
6.利用規制が進んでいるのは3rd Party CookieとClient sideの1st Party Cookie
利用規制の状況整理
行動履歴を保持する仕組みごとに
データ保持期間を整理した表がこちら。
上記を踏まえつつ、3rd Party Cookieと
Client sideの1st Party Cookieに焦点を当て
説明します。
まずApple端末から。iOS14に向けた最新の「フルITP」では3rd Party Cookieはクリック後（発行後）に即時削除され、Client sideの1st Party Cookieもクリック後24時間で削除。
またiOS上ではSafari以外のブラウザやWebViewもITP規制が適用されます。
ちなみに補足ですが、Cookieの代替案としてlocal storageというデータ保存領域活用がアドエビスやyahoo!でリリースされていますが、左記はクリック後7日間で保持データは削除されます。
加えてCNAMEと呼ばれる仕組み（※）も現在は
クリック後7日間で削除される状況。
※CNAMEについて
計測を行いたいサイトのドメインとトラッキングシステムのドメインとを紐づけ、お客様サイト同様httpヘッダーによるCookie付与を可能にする仕組み。
次に Google 。
Chromeの3rd Party Cookieはサポート終了予定でしたが、2024年には廃止方針が撤回されたました。
追記：2024年8月最新の各社Cookie内容について
本記事を書いてから時間が経過している為、情報更新できればと思います。
こちらもイルグルム社のセミナー情報を参照できればと思います。
Apple社の規制内容が最も厳しいことが分かります。
7.日本のブラウザシェアからCookie規制影響を考える
スマートフォンではSafariのシェアが65%。続いてChromeが29%。
デスクトップのブラウザシェアはChromeが61%程度。
2022年7月現時点でも、近い未来においても
3rd Party Cookie削除の影響大きいことが分かります。
8.広告主はCookie規制でどんな影響を受けるのか？
影響は広告配信におけるターゲティングと
計測の精度面で出るかと思います。
広告配信におけるターゲティング精度低下
サイトをまたぐデータを活用した
ターゲティングはほぼ使えません。
3rd Party Cookieを活用したリターゲティング、
DSP等のオーディエンスターゲティング、パブリックDMPを用いたターゲティングなどは終焉に向かっている状況。
計測精度の低下
規制対象のCookieを用いたツールでは、長期間の
ユーザー行動を把握することができなくなります。
Google analyticsにおいてもブラウザJavaScriptにより発行された1st Party Cookie（client side）はITP影響からアシストCV・セッションやUU計測棄損が生まれている可能性がありますが、Google製品であるためシグナル利用やuser id取得で計測補完も一定できているかと思います。
9.広告主は何をしていくべきか？
ここまでで述べた通りweb広告上のターゲティングや計測面でネガティブな影響が大きくなる中で広告主は何に力を入れていくべきなのでしょうか？改めて考えをまとめてみました。
①ITP影響を受けないデータ取得の仕組み活用
各プラットフォーマーはServer side 1st Party CookieやコンバージョンAPI等の規制回避策を考えているので積極的に取り入れていけるかがポイント。
上記の回避策は具体的にはGoogleのServer side taggingや FacebookのCV APIの活用を指しています。
前者はユーザーのブラウザ上で行われていたタグの処理を、専用のサーバー（GCP)に転送して実行させるツールで、ITP対策だけでなくページ読み込み速度の向上（ブラウザ上の負荷軽減・通信量削減）やセキュリティの強化（サーバー側での処理による訪問者データの保護）も期待できます。
後者のFacebookのCV APIはWebサイトに実装されたFacebookピクセルタグの代わりに、広告主が持つクライアントサーバーからFacebook社の広告サーバーにイベントデータを直接送信する仕組み。
どちらの手法も3rd Party Cookieやclient side 1st Party Cookieの規制回避ができる手法である為、技術的な仕組みを理解しつつ導入検討していく必要がある。
また上記導入の際は社内側エンジニアとの連携が必須となる為、適切にアカウンタビリティを果たしつつ動かなければならない。
（難易度高い汗）
②自社データの活用検討
自社のWebサイトから収集した顧客の氏名、メールアドレス、電話番号、訪問履歴、サイト内行動履歴、購買履歴など自社で収集した顧客データは1st Party detaと呼ばれています。
DMP構築やCRMシステムの導入を通して得た1st Party detaからカスタマーニーズにあった広告（やメール）を配信できるのはメリットですが、扱う個人情報や個人データによってはセキュリティの壁が高そうな印象です。
最近ではzero party data(顧客が意図的かつ積極的に企業やブランドと共有する情報のこと)の活用もマーケティングに活用できると言われていますが、現時点では施策イメージが浮かんでおらず引き続き事例等を調べたいと思います。
③アッパーファネルの強化
第一想起や指名系キーワード流入を上げていく。
ノバセルなど少額費用で検証ができる運用型テレビCMも手段として出てきている為、余地を探っていく。
④クリエイティブの最適化余地を探る
計測欠損が起こる中でもユーザーインサイトと自社のUSP（Unique Selling Proposition）を論拠に広告-LP-サービスサイトまで整合性ある訴求を作っていく。サービスの独自性と便益が適切に伝わるよう勝ちパターンを究明する。
⑤LPO/EFOの科学
広告から登録ページに遷移頂いたカスタマーがストレスなく、違和感なく登録してもらえるLP・EFの科学。初回訪問時の体験向上。
⑥CRM施策の強化
登録頂いたが、休眠してしまったカスタマーへのアクティベーション施策を考える。
会員登録後、ユーザーがサイト内でお気に入りボタンを押していたり、商品詳細ページへ訪問していたりと何かしらの行動履歴がデータベース上に残っているはず。左記を材料に休眠ユーザーへの価値提供方法を考えていく。
基本的にはユーザーがサイト内で取っていたアクションに合わせてアプローチする内容をパーソナライズしていく。
10.最後に
①〜⑥の事項はITP影響の有無に関わらず広告主側としてやるのか？やらないのか？リソースをどれくらい割くのか？方針をハッキリさせておくべきだと思います。
広告主としてデータ戦略の構築や測定手法の見直しが今後より求められてくる為、積極的に外部動向をキャッチし自社施策に活かしていきたいと思います。
11.追記：Cookie計測の欠点まとめ
Cookie計測はITP影響以外でも欠点がいつくかある為、あわせてまとめておきたいと思います。
ブラウザ依存
Cookieは特定のブラウザ内でしか有効ではないため、異なるブラウザやプラットフォームに移動すると情報が引き継げない。
例: Chromeで登録を始めた後、Safariで続きを行うと状態がリセットされる。
セッション切れ
ユーザーがページを離れて再度戻ってくる、または一定時間が経過すると、Cookieベースのセッションが切れることがある。
登録フローで途中で中断した場合、再開時に情報が欠損しやすい。
削除の可能性
ユーザーがCookieを手動で削除したり、ブラウザがセキュリティ設定でCookieを自動削除する場合、登録やトラッキングに必要な情報が失われる。
サードパーティCookieの制限
プライバシー保護のため、多くのブラウザでサードパーティCookieが制限されており、広告計測やデータ共有に影響を与える。
クロスデバイスやクロスプラットフォームでの欠損
Cookieはデバイスやプラットフォーム間で共有できないため、例えばPCで始めた登録をスマホで続ける場合、情報が引き継がれず欠損が発生する。
連続操作での依存性
Webサービスの登録時に、ユーザーがすべてのページを連続的に踏むことを前提とする設計では、途中でページを飛ばす、更新する、またはセッションが切れると情報が失われる可能性がある。