なぜ我々はsession.cookieを変更しなければならなかったのか - BASEプロダクトチームブログ

はじめに こんにちは。バックエンドエンジニアの小笠原です。 今回は、2022年2月18日から2022年3月4日にかけて発生していたこちらの障害に対し私達開発チームが実施した、session.cookieで定義しているCookieのkey名を変更するという影響範囲の大きい対応について、実施に至るまでの経緯や対応過程についてご紹介したいと思います。 ショップオーナー向けに掲載していたお知らせの内容 背景 全ては iOS14.5から端末識別子の取得に同意が必要になったことから始まった ことの発端は、iOS14.5以降からIDFA（端末ごとに持つ固有識別子）の取得に端末所有者の許可が必要になったことでした。 この変更は、端末所有者側から見ると情報の活用範囲を自身で管理できることでよりプライバシーに配慮されるようになった良い変更と言えるでしょう。 一方で、広告出稿側から見た場合は拒否をしたユーザーの

[masa_w]

PSLに自社都合でpull requestぶっこむってすごいevil臭のする運用だけどそういうもんなのかなと思ったら、以前から問題が指摘されてたのね https://blog.jxck.io/entries/2021-04-21/public-suffix-list.html

[send]

PSL にドメインを登録するってところで、流れが予想できて冷や汗だった

[criticabug]

1年前→ Public Suffix List の用途と今起こっている問題について https://blog.jxck.io/entries/2021-04-21/public-suffix-list.html cookie が保存されなくなりますとかちゃんと書いてある https://www.facebook.com/business/help/126789292407737?id=1205376682832142

[ngsw]

ぼくの作業で壊してしまった部分を、筆者である小笠原さんが直してくれて、なにより調査まわりが素晴らしくて、その経緯が書かれたエントリです。ありがとうございます :-)<みんな読んで

[shidho]

頑張ったけど、なんか営業ドリブンでえいやっと簡単に決められた話に振り回されているように見えるのは気のせいだと思いたい。

[tac_tanden]

ぜひ一読いただけると嬉しいです。

[yosuke_furukawa]

PSLに入れることの是非は一旦置いておいて、これ実際障害発生した時に気づけるかな。。。超むずくね。。。

[ys0000]

PSLの件は事前調査不足だったのだろうけど、リカバリー方法も含めて後進の参考になるわけで、とても素晴らしいまとめだと思う。

[takezaki]

“PSLに登録したドメインに対してCookieを保存する処理になっていました。”

[dltlt]

『この問題はブラウザが「前回開いたサイトを復元する」機能を実現するために、ブラウザを閉じた後も有効期限がセッションになっているCookieを保持し続ける挙動をすることが原因で発生しているらしい』

[hamaco]

これ自分の身に起きた時にPSLが原因って気付ける自身があまりない…。

[iga_k]

Cookieってたいへんだ

[rna]

「IDFAの取得を拒否したユーザーについても広告の効果測定ができるように対策を行いました」は？尻触るなって言われたけど胸触っちゃダメとは言われてないもんね！みたいな？

[nminoru]

eTLDにはcookieを保存できないというブラウザ側の動作仕様には注意が必要ね。

[efcl]

Public Suffix Listへの追加申請と、ブラウザに同梱されるタイミングの話。 ブラウザの復元機能によって、変更前と変更後の同名Cookieが存在してしまう問題とブラウザごとの挙動の違いについて。

[arx0balest]

俺だったら解決できない圧倒的な自身がある

[nyuyo336i]

「営業ドリブンでえいやっと」ブコメが示唆的だ。昨今の一過性ブームにおける「エンジニア」ってのは本質が営業職なんだな。「技術」説明を尽くしても「えいやっと(強権で無根拠に)」やったとしか見做されないのか。

[teppeis]

Public Suffix Listの話

[hotmilkcocoa]

へー「前回開いたサイトを復元する」機能ってそういう挙動なんだ

[surume000]

いいんだよngsw

[ledsun]

へー、（人ごとなので）おもしろい。Webの世界はWebの世界で、Webというかブラウザの挙動が変わることに追従しないといけないのね。

[toaruR]

成りすまし対策は、txtレコードにプルリクのURL入れるのか(*´д｀*)なるほど

[for-my-internet-demo]

クッソ辛そうなエピソード

[jz5_public]

Evil & fool／ネットショップBASEトラブルまとめ（売上金の没収） - Togetter https://togetter.com/li/1364975

[lesamoureuses]

いろんな問題がすごい “実は、各ブラウザは常に最新のPSLを参照しているわけではなく、任意のアップデートのタイミングでその時点の最新のPSLのスナップショットをビルドに含めて参照しています”

[a-know]

“そして、TLDと同様の振る舞いをするeTLDに対しても同じことが言えるため、TLDと同様にeTLDに対してもCookieを保存できません。”

[Malan]

うへえ、これはきつい

[maruware]

これは辛い

[halfrack]

Public Suffix List めっちゃ難しいな…

[motemen]

これは大変だ……

[t_f_m]

"障害に対し私達開発チームが実施した、session.cookieで定義しているCookieのkey名を変更するという影響範囲の大きい対応について、実施に至るまでの経緯や対応過程についてご紹介したいと思います"

[tkysktmt]

“eTLD+1なドメインを認証することで合算イベント測定を使用可能になるということがわかったため、当時開発チームはショップ開設時に選択することができるドメイン群をPublic Suffix List（PSL）に登録するという対応を”

[mezamashi0540]

Public Suffix Listに関するブラウザの取り込みタイミングとか、ブラウザによるcookieの扱いの差とか、これ知らないでハマったとしたらぞっとする。解決したのすごい。

[napsucks]

ccTLDに加えてgTLDとか出てきてどこでドメインを区別してるのかと思ったらPSLという仕組みがあるのね。勉強になる・・・。