Facebook の「いいね」ボタンがあるサイトに行くと、トラッキングされているかに見える件

このブログにも設置しているので大声では言えませんが、実は Facebook の「いいね」ボタンは気持ち悪いなぁと思っています。

いいねボタンがあるサイトに、Facebook にログインしたまま行くと、Facebook に次のような Cookie が送られます[1]。

csm=2;
xs=3:2bPC2V….;
datar=eVE7TanyekLi2UeCWqCdYaUo;
fr=0PBQNPwSEhxk3vCRg.RVUkbgel9qAjCByqVqRQ0lSpntc;
lu=The17FfNt9Yc_hqg8eoWG04B;
s=Ba98fsjdlw-QWvPeofj.BP_Wqm;
c_user=1048138174;
act=134500423456/1:0;
sub=1;
p=16;
presence=EM4fsodmnfkds…;
wd=1195×859;

この c_user というのは、Facebook のユーザIDになります。試しに、http://www.facebook.com/1048138174 に行ってみてください。私のプロフィールが表示されるはずです。つまり、Facebook にログインしたままで、「いいね」ボタンがあるページを参照すると、私が見ているという情報が Facebook に送信されていることになります。なんか気持ち悪いですね。友人（有名なIT系アナリスト）が、Facebook を使うときは Facebook だけ使って、使い終えたら必ずログアウトすると言っていた意味がわかります。

では、ログアウトしていれば大丈夫なのか？

一方、ログインしていないときは、次のような Cookie になります。

datr=eVE7TanyekLi2UeCWqCdYaUo;
lu=TBpxBfpK4qH–oB0N6yf2SsE;

c_user は無くなりました。めでたしめでたしと言いたいところですが、datr は従前と変わらぬ値で送られています。試しに他のサイトに行ってみると、やはり同じ datr の値が送られています！[2]

そこで、別のブラウザからアクセスしてみると、datr は別の値になりました。また、シークレット・ウィンドウを開いて見ると、開いた当初は cookie が送られず、facebook に一旦ログインして cookie がセットされると、以後別の datr が送られることがわかりました。XSRFを弾くための機構かもしれませんね。ブラウザセッションをトラッキングしていると。これは問題無さそうです。めでたしめでたし。

Facebook の言い分は「トラッキングしていない」

さて、では Facebook の言い分はどうでしょうか？

Facebook の FAQによると、Facebookにログインしたまま「いいね」ボタンを閲覧すると、情報がFacebookに送られ、最大３ヶ月間保存されるとのことです。（Googleは２週間なので、かなり長いとも言えます。）この情報は、友達がいいねした情報を表示したり、Webサイトにより多くのトラフィックを集めるのにはどうしたら良いかを分析するのに使われるそうです。一方、ユーザにFacebook上でターゲット広告を出したりプロファイリングすのには使わないと明言しています。引用します。

Regardless of whether you are logged in or not, we do not use the information we receive when you visit a site with the “Like” button or another social plugin to create a profile of your browsing behavior on third-party sites to show you ads.

（私訳）あなたがログインしているかどうかにかかわらず、私たちはあなたが「いいね」ボタン他のソーシャルプラグインを実装した第三者のサイトを訪問した時に受け取る情報を、あなたのブラウズ行為から広告を表示するためのプロファイルを作るために使うことはありません。

ここではトラッキングという言葉は使っていませんが、Geek.com のページによると、Facebook の CTO の Bret Tyler が Wall Street Journal に語ったところによると「われわれはトラッキングのためには使わないし、トラッキング用のものでもない」ということのようです。

なんとなく、第三者のサイトを訪問した時に、その情報が Facebook に行くのはトラッキングされているという定義に当てはまるような気がするのですが、「ポリシーとして使わなければトラッキングではない」ということのようです。これは、Googleの +1 ボタンでも同様のようで、どうやらこれが業界の常識のようです。[3]

サイト運営者としては

まぁ、業界の常識としてはそれで良いのかも知れませんが、サイト運営者としてはやっぱり気になります。国によっては違法になりそうです。きちんとオプトインをとりたいところですが、そういう部品は落ちてないかなぁ…。

---

[1] 値は c_user と wd 以外変えてあります。

[2] もう一つの変数の lu の値は、サイトを変えても変わりませんが、時間でどんどん変わってゆくようです。

[3] ちなみに、このあたり、malaさんのサイトが詳しい。