ファーストパーティCookieでもSafariでは7日制限がかかる理由｜サーバーIPアドレス一致の条件｜未経験から100日後にGTMのプロになる話【Day 88】

「Chromeが2024年にサードパーティ Cookieを完全廃止する」という前提で語られる記事をまた見かけますが、Day40で扱ったとおりこの計画は2025年4月に撤回されています。ただし、この記事の本題である「ファーストパーティデータの重要性」自体は、Chromeの方針とは別の理由（Safari/Firefoxの既定ブロック、規制対応）で今も変わらず有効です。今日は、そのファーストパーティデータ戦略における、あまり知られていない技術的な落とし穴を扱います。

Safari ITPは「JS発行のCookie」を7日で切り捨てる

Safariのインテリジェント・トラッキング・プリベンション（ITP）は、2019年以降、document.cookieのようにJavaScriptで発行されたCookieを最大7日間に制限しています。Day29で扱ったサーバーサイドGTMのように、サーバー側（HTTPレスポンスヘッダー）でCookieを発行すれば、この7日制限を回避でき、最大400日という通常のブラウザの上限まで持続させられる、というのが基本的な理解です。

ただし「サーバーのIPアドレスが一致していること」が条件

ここに、あまり知られていない重要な条件があります。Safari 16.4（2023年4月リリース）以降、サーバー側で発行したCookieであっても、そのサーバーのIPアドレスが、メインサイトのIPアドレス（先頭2オクテット）と一致していない場合、Safariはこれを「計測回避の手口」とみなし、同じく7日制限を適用するようになりました。

これが実務上厄介なのは、Day29で扱った「自動プロビジョニングによるCloud Run上のサーバーサイドGTM」の多くが、Google Cloud側のIPアドレスを使っており、メインサイトのホスティング（多くの場合、別のレンタルサーバーやCDN）のIPアドレスとは一致しない、という点です。つまり、ドメイン上はgtm-ss.example.comのようにファーストパーティに見えるよう設定していても、IPアドレスが一致していなければ、Safariでは結局7日制限を受けてしまう可能性があります。

今日のまとめ

ファーストパーティデータ戦略の重要性は今も変わりませんが、「ドメインをファーストパーティにすれば万事解決」という理解は不正確です。特にSafariユーザーの割合が高いサイトでは、サーバーサイドGTMのホスティング先IPアドレスがメインサイトと一致しているかまで確認しないと、期待した効果が得られないことがあります。次回は、ここまでの内容を振り返ります。