サードパーティークッキーは本当に「終わる」のか？Chrome方針転換が示す現実

なぜサードパーティークッキーは「終わる」と言われ続けたのか

長年にわたり、デジタル広告とウェブサイトの分析は「サードパーティークッキー（Third-Party Cookie、以下3PC）」という技術に大きく依存してきました。サードパーティークッキーとは、訪問しているサイトとは異なるドメイン（第三者）が発行する小さなデータファイルのことです。これにより、ユーザーがどのサイトを訪れたかを横断的に追跡することが可能になり、広告主は個人の興味関心に基づいたターゲティング広告を配信したり、広告が最終的な購入（コンバージョン）にどれだけ貢献したかを計測したりすることができました。

しかし、この仕組みには大きな問題がありました。それは、ユーザー自身が「いつ、誰に、どこまで追跡されているのか」を正確に把握し、コントロールすることが極めて困難だった点です。このプライバシーへの懸念が世界的に高まる中で、3PCは「技術」と「規制」という二重の圧力にさらされることになります。

技術的な圧力の先陣を切ったのは、Appleです。同社のブラウザであるSafariは、2017年に「Intelligent Tracking Prevention（ITP）」と呼ばれる追跡防止機能を導入しました。ITPは年々その機能を進化させ、ついに2020年3月、すべてのサードパーティークッキーを例外なく、デフォルト（初期設定）でブロックするという非常に強力な措置に踏み切りました。これはウェブ業界に大きな衝撃を与え、プライバシー保護の潮流を決定づける出来事となりました。

この動きに追随したのが、MozillaのFirefoxです。Firefoxも2019年以降、「Enhanced Tracking Protection（ETP）」を標準で有効化しました。これにより、追跡目的と見なされるサードパーティ由来のクッキーやスクリプトが広く遮断されるようになりました。2025年現在も、この設定はデフォルトで機能しており、ユーザーは必要に応じてサイトごとに保護レベルを調整できますが、基本的には「追跡はブロックする」という姿勢が貫かれています。

こうしたブラウザ側による技術的な制限に加え、法規制の圧力も強まりました。特に欧州連合（EU）の「GDPR（一般データ保護規則）」や「ePrivacy指令」は、クッキーの使用に対して厳格なルールを課しました。企業は、クッキーを使用する目的を明示し、ユーザーから明確な「同意」を得なければならなくなったのです。どの目的でデータを利用するかをユーザー自身が選択できる必要があり、同意なしに3PCを利用することは法的なリスクを伴うようになりました。日本や米国の各州でも、同様の個人情報保護法制が整備されつつあります。

結果として、技術的にもはや届かないユーザー（Safari、Firefox利用者）が増え、法規制的にも利用のハードル（同意取得）が上がったことで、3PCに依存した従来の広告・解析の手法は、持続可能性の低いリスクの高い選択肢へと変わっていきました。この流れの中で、業界全体が「同意の確実な取得」「代替技術の模索」、そして何より「自社で収集するファーストパーティデータの重視」へと、戦略的なシフトを余儀なくされてきたのです。

2025年、Chromeの「Uターン」は何を変えたのか

SafariやFirefoxが厳格なブロックに踏み切る一方、世界最大のシェアを持つGoogle Chromeの動向は、常に業界の最大の関心事でした。Chromeは、プライバシー保護と広告エコシステムの維持を両立させるという難しい課題に対し、「プライバシーサンドボックス（Privacy Sandbox）」構想を掲げていました。これは、3PCを廃止する代わりに、個人の特定を防ぎつつ広告配信や効果測定を可能にする新しい技術群（API）を提供するという壮大なプロジェクトです。

その計画に基づき、Googleは2024年1月、ついに全Chromeユーザーの1%を対象に3PCをデフォルトで制限する大規模なテストを開始しました。これは、競合ブラウザの動きにようやく追随する重要な一歩であり、2024年後半にかけて段階的に廃止対象を拡大していく予定であると、当時は想定されていました。

しかし、この計画は大きな転換点を迎えます。プライバシーサンドボックスの仕組みが、結果的にGoogleの広告事業における優位性をさらに高めるのではないかという競争上の懸念が、特に英国の競争・市場庁（CMA）から継続的に示されていました。CMAは、Googleが3PCを廃止するプロセスを厳しく監督することを表明し、両者は2022年にコミットメント（誓約）を結んでいました。

この複雑な状況下で、Googleは2025年4月、市場を驚かせる方針転換を発表します。それは、「3PCに関する新たなスタンドアロンの選択プロンプト（3PCをブロックするかどうかをユーザーに尋ねる独立した画面）を導入しない」こと、そして「既存のChrome設定内でユーザーに選択を委ねる」というものでした。これは、事実上、Chromeの一般ブラウジングモードにおける3PCの全面的な廃止計画を「見送る」という判断であり、主要メディアはこれを“Uターン”と報じました。

このGoogleの転換は、即座に規制当局の対応にも変化をもたらしました。CMAは2025年6月、Googleが3PCの一般的ブロック計画自体を改めたことで、競争上の懸念が後退したと判断。Googleが2022年に結んだコミットメントは「もはや必要ない」とする見解を示し、その解除に向けた意見募集を開始しました。そして同年10月、CMAはコミットメント解除の決定文書を公表し、約4年にわたる異例の監督体制に終止符が打たれました。

さらに決定打となったのが、同じく2025年10月にGoogleが更新したプライバシーサンドボックスの「今後の計画」です。Topics（興味関心ターゲティング）、Protected Audience（リターゲティング）、Attribution Reporting（効果測定）といった、広告の中核を担うと目されていた主要なAPI群について、「低い採用度（広範な採用に至らなかった）」を理由に、順次リタイア（廃止）することが明言されたのです。

一方で、CHIPS（パーティション化クッキー）、FedCM（ID連携管理）、Private State Tokens（不正対策）といった技術は継続されることも併せて発表されました。これは、Googleが「3PCの即時全廃はしない」と同時に、「3PCに代わる独自規格の広告基盤を強行することもない」という姿勢を明確にしたことを意味します。舵は、クッキーとID連携の扱いを、よりプライバシーに配慮した形へ「整える」方向へと切られたのです。

なお、Chromeのシークレット（Incognito）モードにおいては、従来どおり3PCは既定でブロックされる方針も再確認されています。一般モードでの全廃は撤回されましたが、「追跡抑制を強化する」という大方針そのものは維持されていると解釈すべきでしょう。

「ポストサードパーティークッキー」の現実

2025年の一連の出来事を経て、私たちはどのような現実に直面しているのでしょうか。「Chromeで3PCが全廃されないなら、元に戻るのか」と考えるのは、最も危険な誤解です。理由は大きく三つあります。

第一に、Chrome以外のブラウザ、すなわちSafariとFirefoxでは、すでに厳格な3PCブロッキングが常態化しています。これは、市場の一定割合のオーディエンスには、もはや3PCを用いた追跡やターゲティングが技術的に届かないことを意味します。この現実は2025年を経ても一切変わっていません。

第二に、Google自身が、プライバシーサンドボックスの中核的な広告API（Topicsなど）から撤退したという事実です。これは、「3PCの代わりに、この新しいAPIに乗り換えれば、以前と同じような広告精度が戻ってくる」という単純な移行の道が閉ざされたことを示します。Googleは、広告測定などの標準化を、自社単独ではなく、W3C（World Wide Web Consortium）のような業界横断的な合意形成の場へと差し戻した格好です。

第三に、GDPRに代表される法規制の要請は、後戻りしていません。たとえ技術的に3PCが利用可能であっても、ユーザーからの明確かつ粒度の細かい同意がなければ、法務リスクを抱えることに変わりはありません。

では、企業は具体的に何に取り組むべきなのでしょうか。焦点は、3PCに依存せずとも必要なウェブ体験やビジネス上の目標を達成するための、技術の「複線化」と「安定運用」にあります。

Googleが継続を明言した技術群は、そのための「足回り」を整えるものです。たとえば、CHIPS（Cookies Having Independent Partitioned State）は、「Partitioned」属性を付与することで、トップレベルサイトごとにストレージが分離されたサードパーティクッキーを許容する仕組みです。これはクロスサイト追跡には利用できませんが、サイトに埋め込まれたチャットウィジェット、地図、決済機能などが正しく動作するために必要な「状態保持」を、プライバシーリスクを抑えつつ実現します。

ログイン連携に関しては、FedCM（Federated Credential Management）が標準的なフローを提供します。これにより、従来の3PCやリダイレクトに頼ることなく、ブラウザがユーザーの合意を仲介し、安全なID連携（例：GoogleやFacebookでのログイン）を実現できます。UXとプライバシーの両立が図りやすくなります。

また、Private State Tokens（旧称Trust Tokens）は、個人を特定することなく「そのユーザーが信頼できるふるまいをしている証（ボットではない証など）」を暗号学的に伝える技術です。これは広告に限らず、不正アクセスやアビューズ対策といった、サイトの健全性を保つ領域で活用が想定されます。

これらはあくまで機能の「保全」であり、広告ターゲティングの代替ではありません。したがって、マーケティングや分析の実務においては、次のような多角的なアプローチが不可欠です。

まず、同意管理（CMP）のUXとログ設計を徹底的に見直し、ユーザーの信頼を得つつ、法的にクリーンな状態を担保することが大前提となります。次に、計測の軸足をクライアントサイド（ブラウザ）からサーバーサイドへと移し、ブラウザの制限によるデータの欠損や重複に耐えうるID解決の仕組み（ファーストパーティIDの整備）を構築することが急務です。

広告運用面では、リターゲティングのような3PC依存の手法への偏重から脱却し、コンテクスチュアル（文脈）広告、クリエイティブの最適化、あるいはMMM（マーケティング・ミックス・モデリング）やインクリメンタリティ測定といった、統計的なアプローチによる意思決定の比重を高めていく必要があります。

2025年の出来事を総括すると、Chromeは3PCの全面廃止を見送り、CMAの監督も終息し、プライバシーサンドボックスの主要APIから撤退しました。しかし、SafariとFirefoxのブロックは続き、規制の要請も変わりません。Googleは、CHIPSやFedCMといった機能保全技術を残しつつ、広告標準化の議論を業界全体に開きました。

ということで、サードパーティークッキーは、Chromeにおいて「突然消えはしない」ことになりました。しかし、ビジネスがサードパーティークッキーに頼りきりでいられる時代は、規制と競合ブラウザの動向によって、すでに終わっているのです。企業は、「3PCありき」の発想から完全に卒業し、ファーストパーティデータとユーザーの信頼を中核に据えた、より強靭なデジタル戦略を構築していく必要があります。