Cookieless: come sopravvivere alla fine dei cookie di terze parti?

Google ha appena annunciato che ha deciso di rimandare di quasi due anni, dal 2022 a fine 2023, l'eliminazione dei cookie di terze parti da Chrome. Una scelta dettata dalla necessità di testare con più calma le nuove tecnologie del Google Privacy Sandbox, e di instaurare un dialogo con le istituzioni regolatrici in materia di privacy.

Una boccata di ossigeno per gli addetti ai lavori, anche se la fine dei cookie di terze parti rimane una notizia difficile da digerire per le aziende dell’intero settore dei media, dagli editori ai brand, e per l’intera filiera dell'Internet Advertising.

Il rischio è una crisi del settore del Programmatic Advertising (ovvero la pubblicità online che utilizza i cookie di terze parti), che in Italia aveva chiuso il 2020 a 588 milioni di euro, in crescita del 6% rispetto al 2019.

Oggi - avendo un anno in più a disposizione - le prospettive si fanno un po' più rosee, anche se se sarà comunque necessario ripensare in fretta alle modalità attraverso cui funziona la pubblicità online se si vorrà continuare a crescere nello scenario cookieless

Ma da dove bisogna partire per trovare soluzioni alternative?

In questo approfondimento analizzeremo il contesto odierno e le soluzioni a disposizione degli addetti ai lavori per fare a meno dei cookie di terze parti. Parleremo del Google Privacy Sandbox e di altri strumenti terzi, e vedremo con quale spirito gli esperti guardano ai prossimi anni dell'Internet Advertising.

Cominciamo però dalle basi, dai nemici senza volto della privacy: i cookie di terze parti.

Cosa sono i cookie di terze parti?

I cookie di terze parti sono una breve striscia di codice che viene inserita nel dispositivo dell’utente e vengono utilizzati dai domini che non sono il sito web (o dominio) che si sta visitando per scopi pubblicitari.  Sono collocati su un sito web attraverso uno script o un tag. Un cookie di terze parti è accessibile su qualsiasi sito web che abbia un accordo con il provider di adv proprietario del cookie stesso.

I cookie di terze parti sono di solito “persistent cookie”,  hanno una data di scadenza (Il cookie scaricato rimane attivo per diversi mesi sulla macchina dell’utente) e sono memorizzati sull’hard disk dell’utente. Sono utilizzati per tracciare nel tempo i comportamenti dell’utente e a conservare ad esempio alcune preferenze d’uso tra una sessione e l’altra.

Come funzionano?

Facciamo un esempio: un utente visita Amazon. Sfoglia un paio di articoli finché non decide di acquistare un paio di scarpe eleganti marroni. Le mette nel carrello ma finisce per cambiare idea. Successivamente - grazie ai cookie di terze parti - l’utente vedrà altri annunci riguardo le scarpe che stava per acquistare su altri siti o app, serviti sempre dallo stesso provider di adv. Anche se l'utente chiude il browser e termina la sessione, i dati di monitoraggio rimarranno comunque sul computer.

Perché i cookie di terze parti non sono visti di buon occhio?

La possibilità dei cookie di “seguire” il percorso di navigazione delle persone consente loro di associare specifici comportamenti agli utenti, profilandoli e classificandoli. Questo incide fortemente sulla riservatezza degli utenti sul web, e ha convinto numerosi paesi, in particolar modo quelli europei, a regolamentare l'utilizzo dei cookie. Oggi anche l’opinione pubblica è sempre più convinta di una necessaria regolamentazione dell’uso dei dati personali, che ha portato browser come Safari e Firefox (e anche Google dal 2023) a eliminare l’uso dei cookie di terze parti.

Esistono altri strumenti?

Per evitare la distruzione di un mercato che - nel mondo - vale miliardi e miliardi di euro, la stessa Google sta cercando di trovare soluzioni alternative all’uso dei cookie di terze parti, che siano però maggiormente rispettose della privacy degli utenti.

Nel 2020 - a tal proposito - Google ha annunciato il Google Privacy Sandbox, un programma che si pone l’obiettivo di “Creare un ecosistema web fiorente che sia rispettoso degli utenti e privato per impostazione predefinita” attraverso l’uso di nuove tecnologie di tracking, utilizzando API,  che rispettino l’anonimato dell’utente.

Interessante è notare che già esistono alcune tecnologie utili allo scopo, come fingerprinting, cache inspection, link decoration, network tracking e PII (Personally Identifying Information), ma che Google si propone di “combattere aggressivamente” tanto quanto i cookie di terze parti, probabilmente più per la volontà di mantenere il controllo sulle tecnologie utilizzabili che per reali rischi di privacy (sono infatti metodi di tracking già utilizzati parzialmente, ma comunque molto meno efficaci dei cookie di terze parti).

Detto ciò, e considerando che comunque la parola di Google è “legge” siccome la maggior parte degli utenti utilizza il suo ecosistema, vediamo quali sono le diverse tecnologie proposte dal colosso di Mountain View nel Google Privacy Sandbox, che è attualmente un insieme di proposte per diverse API che, se implementate insieme, forniranno funzionalità di navigazione anonime e di targeting comportamentale.

In particolare ci concentreremo ad illustrare come funzionano:

• Trust Tokens API: per combattere spam e frodi;
• FLoC: per il targeting basato sugli interessi degli utenti;
• Gruppi di Interessi Privati (TURTLE-DOV): per il remarketing.

E infine l’utilizzo dei dati di prima parte per il targeting pubblicitario sui siti proprietari.

Trust Tokens

In poche parole Trust Tokens è una nuova API che aiuta i brand e le agenzia media a combattere le frodi e distinguere i bot dagli esseri umani, senza tracciamento passivo (quindi nel rispetto della privacy).

Come funzionano i Trust Tokens?

Questi consentono a una sorgente (immaginiamo un sito internet) di rilasciare token crittografati (quindi immodificabili) a un utente considerato attendibile. I token vengono quindi memorizzati dal browser dell'utente. Il browser può quindi utilizzare i token in altri contesti (su altri siti internet) per valutare l'autenticità dell'utente.

Quindi, i Trust Tokens consentono di trasmettere l'attendibilità di un utente da un contesto a un altro senza identificare l'utente.

Un esempio per favore…

Immaginiamo che l’utente Tizio acquisti su un sito di scarpe un paio di mocassini neri. Tutta la fase di compravendita procede senza problemi (si autentica, inserire i dati di spedizione e il numero della propria carta di credito). A questo punto, dato che tutto è andato a buon fine, il sito di scarpe fornisce all’utente (ovvero al suo browser) un Trust Tokens, che - si può dire - ne fa un “utente modello”, degno di fiducia.

Questo utente va poi a leggersi il giornale online, e lì clicca su un annuncio pubblicitario.

Il sistema - grazie a Trust Tokens - riconosce che l’utente è un “vero” utente, e conta come valida la conversione.

Immaginiamo invece che un bot scorrazzi libero per il web, e si metta ad cliccare su tutti gli annunci pubblicitari. Siccome non ha mai guadagnato un Trust Tokens, le sue conversioni non vengono conteggiate. Così i Brand risparmiano budget pubblicitario e le agenzie media offrono un servizio migliore ai propri clienti.

Questo - peraltro - è solo uno dei casi d’uso in cui possono essere utilizzati i Trust Tokens con successo.

FLoC

FLoC è un API basata su un algoritmo proprietario di Google che offre un nuovo modo - dopo i cookie di terze parti - per la profilazione degli utenti in base ai loro interessi, ovviamente tutelando la privacy degli stessi - secondo Google - in modo “migliore”.

Non tutti però la pensano così. La posticipazione al 2023 è dovuta infatti anche alle critiche che sono state mosse a Google rispetto al reale miglioramento della privacy - e della libertà degli inserzionisti - che FLoC dovrebbe garantire.

Come funziona FLoC?

Non appena un utente naviga su internet, il suo browser utilizza l'algoritmo FLoC per elaborare la sua "coorte di interesse". Come? In base ai siti che visita, l’utente sarà inserito in un gruppo di utenti con interessi simili. Nella "coorte di interesse" nessun utente sarà distinto dagli altri (la coorte avrà un ID identificativo unico e univoco, comune a tutti i membri), per garantirne l’anonimato. Il gruppo avrà un numero minimo di membri (più di qualche migliaia), sempre per rendere impossibile identificare il singolo utente.

Il browser dell’utente ricalcola periodicamente la coorte di appartenenza dello stesso, sul dispositivo dell'utente (quindi non in cloud), senza condividere i singoli dati di navigazione con il fornitore del browser o con chiunque altro.

Perché è utile a brand e agenzie media?

Gli inserzionisti possono includere un breve codice sui propri siti web al fine di raccogliere e fornire dati sulla coorte alle loro piattaforme adtech. Ad esempio, una piattaforma adtech potrebbe venire a conoscenza analizzando il traffico di un negozio di scarpe online che i browser delle coorti 1101 e 1354 sembrano interessati all'attrezzatura da trekking. Da altri inserzionisti, la piattaforma adtech apprenderebbe altri interessi di quelle coorti.

Successivamente, la piattaforma pubblicitaria può utilizzare questi dati per selezionare annunci pertinenti (ad esempio un annuncio per scarponi da trekking dal negozio di scarpe) quando un browser di una di queste coorti va - per esempio - su un sito web di notizie.

Gruppi di Interessi Privati (TURTLE-DOVE)

Come abbiamo finora visto, il Google Privacy Sandbox è un insieme di diverse API. Se implementate insieme, forniranno funzionalità di navigazione anonime e di targeting comportamentale. Ogni API ha il suo obiettivo. TURTLEDOVE è una delle proposte di google che può rendere possibile il retargeting dopo l’eliminazione del cookie di terze parti.

Come funziona TURTLE-DOVE?

Quando un utente visita una pagina, il sito web può creare gruppi di interesse e aggiungere l'utente a uno qualsiasi dei gruppi di interesse, in base all'attività.

Supponiamo che un utente abbia visitato www.scarpebellissime.com. Ha selezionato la categoria "Scarpe Sportive”, le ha sfogliate ma non ha effettuato l'acquisto.

L'inserzionista, www.scarpebellissime.com, ha compreso l'interesse e l'intenzione dell'utente di acquistare scarpe sportive. Così decide di mostrare i suoi annunci di scarpe sportive all'utente. Come? Ha aggiunto l'utente al gruppo di interesse appena creato - “scarpe sportive” - in modo che possa essere retargettizzato. Tutti gli utenti che mostrano un comportamento simile vengono aggiunti a questo gruppo.

L'inserzionista (www.scarpebellissime.com) può permettere alle reti pubblicitarie di accedere a queste informazioni per massimo 30 giorni, al fine di mostrare annunci su altre piattaforme contestuali agli interessi degli utenti.

L'inserzionista non può quindi mostrare gli annunci da solo: deve essere in relazione con più reti pubblicitarie, al fine di riuscire a mostrare i suoi annunci agli utenti su tutto il web.

Per esempio, quando l'utente visita un sito supportato da annunci (“appassionatidicorsa.com”) e il browser scopre che il sito utilizza la rete pubblicitaria utilizzata anche da www.scarpebellissime.com per monetizzare il suo traffico, contatta la rete pubblicitaria e chiede annunci mirati per il gruppo di utenti che hanno mostrato interesse per “scarpe sportive”.

Cosa cambia rispetto al passato?

Rispetto ai cookie di terze parti utilizzati al fine di fare retargeting, la privacy e l’identità dell’utente vengono protette da due sistemi.

Willful IP Blindness: La Willful IP Blindness maschera l'IP dell'utente in modo che nessun fornitore pubblicitario possa identificarlo. Infatti un indirizzo IP può rivelare la “posizione” di un utente e correlarlo con altri dati noti.

Opaque Iframe: Per evitare lo scambio di informazioni tra ambienti diversi, l'annuncio viene posizionato in un "ambiente opaco". Per far ciò, l’annuncio viene consegnato in un pacchetto web, e il rendering avviene interamente a livello locale, così facendo l'iframe non consente attività di rete aggiuntive fino a quando non viene cliccato. In questo modo, i dati dell’utente non possono uscire verso l’esterno delle pagina dove l’annuncio viene mostrato.

Dati di prima parte per il targeting

La prima soluzione (parziale) per poter fare a meno dei cookie di terze parti consiste nell’utilizzare meglio i dati di prima parte (creati e impostati dai proprietari di un sito web).

Oggi brand e publisher li utilizzano poco e poco approfonditamente, perché richiedono un’attività di screening e di analisi autonoma non indifferente.

Fanno parte dei dati di prima parte anche gli indirizzi email degli utenti (recuperati tramite form e area private sui siti proprietari), e tutte le informazioni traibili dall’iscrizione ad aree private in piattaforme e siti, trasportabili poi su CRM (Customer relationship management) e CDP (Customer data platform).

Soluzioni a disposizione per disintermediarsi da Google

Ovviamente l’uso dei dati di prima parte offre notevoli opportunità di crescita per le aziende, obbligate a offrire esperienze personalizzate già su i propri touchpoint digitali.

Per esempio Neosperience offre una propria soluzione tecnologica proprietaria per ovviare all’eliminazione dei cookie di terze parti, in grado peraltro di “dialogare” con i nuovi strumenti del Google Privacy Sandbox.

Neosperience User Insight è il software intelligente - basato sui nostri algoritmi di deep learning - che permette di scoprire il profilo psicografico (ovvero quell’insieme di tratti comportamentali che delineano certe tendenze ed abitudini di consumo) dell’utente attraverso l’analisi del suo comportamento sui touchpoint proprietari digitali dei brand.

L'Intelligenza Artificiale raccoglie gli eventi significativi nella navigazione dell’utente, e ad essi assegna un determinato punteggio e significato psicografico. Risultati alla mano, l'algoritmo è in grado di inserire il profilo dell'utente in un determinato cluster psicografico, su cui l'azienda può poi basare la propria comunicazione personalizzata.

Vediamone un esempio

Laura visita il sito www.amolamoda.com, su cui è installata la soluzione User Insight. In base al suo stile di navigazione (quali pagine visita, quali prodotti inserisce in carrello, quanto tempo rimane sulle pagine, come e dove muove il puntatore e decine di altri elementi), l’algoritmo inserisce Laura in un cluster psicografico, per esempio in quello detto di "Alto bisogno di appartenenza sociale".

Cosa vuol dire? Che Laura segue la moda e ascolta volentieri i consigli di amici e influencer su cosa indossare. Si affida a brand noti, di cui sceglie i prodotti più popolari.

Di conseguenza il brand, conoscendo il profilo psicografico di Laura, potrà mandarle - per esempio - una newsletter personalizzata con i prodotti iconici e i best seller, utilizzando un Tone of Voice ammiccante verso i desideri di riconoscimento dell’utente. O potrà invece far comparire a schermo call to action personalizzate in egual modo. In verità i campi applicativi sono quasi infiniti…

Uso dei dati di prima parte per la Lead Generation B2B

Un'altra soluzione utile allo scopo consiste nei software di anonymous tracking, che permettono - tramite la scoperta (nel rispetto della privacy) dell'IP dell'utente - di conoscere azienda, luogo e tipologia di dispositivo di chi visita il proprio sito web.

Un esempio in tal senso è Lead Champion, il nostro tool per la Lead Generation che analizza il traffico e fornisce tutta una serie di informazioni sull'utente e la sua azienda, così da permettere di entrare in contatto con lead interessate con il minimo sforzo.

Le proposte di Google

Anche Google stessa sta cercando di aiutare i brand a fare miglior uso dei dati di prima parte di cui dispongono.

• Audience dirette per il programmatic: attualmente Google sta lavorando per espandere l’uso dei dati di prima parte per la creazione di campagne di pubblicità programmatica, inclusa l'asta aperta, che siano rispettose della privacy ed efficaci.
• Indicatori diretti per i publisher: Google inoltre sta sperimentando una nuova funzione che abiliterà gli indicatori diretti (ovvero le informazioni di prima mano a disposizione degli inserzionisti) in Ad Manager. La soluzione consentirà ai publisher di attivare i dati relativi all’engagement dell’utente sui propri siti.
• Relazioni di fiducia dei publisher:  infine Google sta sperimentando alcune funzionalità per permettere ai publisher di condividere i dati di prima mano crittografati direttamente con altre realtà, con i quali questi hanno già un rapporto diretto. I publisher avranno il pieno controllo sulle informazioni raccolte e su chi potrà ricevere i segnali, e Google non sarà in grado di leggere o decrittografare i segnali.

Il futuro della privacy passa da Apple: il caso di iOS15

Tra i giganti della digital economy, l’azienda che per prima ha compreso l’importanza della privacy per i propri clienti (andando incontro alle nuove sensibilità) è Apple.

Come abbiamo già detto, su Safari è già possibile richiedere il non utilizzo dei cookie di terze parti. Ma è da quest’anno che Apple ha deciso di fare il salto di qualità.

Con la pubblicazione di iOS15 vengono migliorate le funzionalità per la privacy per quasi tutti i tasselli dell’ecosistema digitale, dalle email, a Siri, dalle App alla VPN integrata per i clienti iCloud premium.

Ma vediamo le nuove funzionalità nel dettaglio.

• Il Mail Privacy Protection è una funzionalità che consente di nascondere indirizzo IP, geolocalizzazione e storico delle email degli utenti, così facendo gli strumenti di email marketing non potrebbero più recuperare informazioni sull’apertura dell’email e sul comportamente dell’utente durante la lettura.
• Il Rapporto Sulla Privacy è uno strumento che permette agli utenti di avere una panoramica dettagliata su come tutte le proprie app utilizzano i loro dati personali.
• La VPN integrata, chiamata Private Relay, consente all’utente di mascherare il traffico Internet sul browser Safari e nascondere i dati di navigazione, che saranno inaccessibili anche alla stessa Apple. La funzionalità sarà integrata in iCloud+, la versione a pagamento di iCloud.
• Gli utenti di iCloud+ avranno a disposizione anche la funzionalità Hide My Email che consente di creare un indirizzo e-mail temporaneo da utilizzare per iscriversi ai servizi online, evitando così di fornire il proprio indirizzo di posta elettronica reale.
• La Intelligent Tracking Prevention, che consente di prevenire il tracciamento contenendo tecniche come il fingerprinting e il cross-site tracking su Safari, al fine di limitare le capacità dei web tracker di utilizzare l’indirizzo IP come un identificatore.
• Infine, l’assistente vocale Siri, che oltre ad essere  in grado di gestire le richieste degli utenti anche offline, dal prossimo aggiornamento processerà le conversazioni direttamente sull’iPhone, evitando così che escano dal dispositivo.

Se riguardo la proposta di prodotti innovativi e rivoluzionari Apple sembra aver perso il proprio ruolo di leader, così non si può dire rispetto all’offerta di tecnologie per la protezione dei dati personali degli utenti: in questo campo, è l’azienda di Cupertino quella da battere.

Le reazioni degli addetti ai lavori al tema cookieless

Una ricerca dell'Osservatorio Internet Media della School of Management del Politecnico di Milano ha evidenziato - tramite un questionario somministrato agli “addetti ai lavori” - una forte rilevanza della tematica cookieless per tutto l'ecosistema di marketing e comunicazione, in quanto impatterà significativamente il targeting e la misurazione.

A inizio 2021, infatti, il livello di interesse rispetto allo scenario cookieless era “rilevante” e “massimo” per il 71% dei rispondenti. È importante però sottolineare come la maggior parte degli advertiser non abbia ancora preso in considerazione né approfondito il fenomeno, sottovalutandone gli impatti sui risultati di business.

La preoccupazione delle aziende

Considerando il livello di preparazione delle aziende rispetto allo scenario cookieless, il 50% dei rispondenti lo ha valutato “assente/minimo” o “limitato”. Inoltre, dalle interviste è emerso che le aziende advertiser “più evolute”, ossia quelle che hanno cominciato ad approcciare la tematica con maggiore attenzione, vivono un sentimento di generale preoccupazione e disorientamento, a causa di una deadline non ancora ufficializzata e una mancanza di soluzioni alternative.

Rispetto a quest'ultimo punto, il 51% dei rispondenti ha affermato che la propria azienda si è effettivamente attivata per trovare una possibile soluzione/alternativa per affrontare le criticità emergenti dallo scenario cookieless: nello specifico il 9% sta già testando alcune soluzioni alternative, il 7% ha già individuato le soluzioni alternative che utilizzerà e il 35% ha avviato la ricerca.

Conclusioni

I professionisti stanno quindi - al momento - navigando a vista, dato che né Google né altre realtà hanno ancora ben chiaro cosa ne sarà del mondo pubblicitario online con la fine dei cookie di terze parti. È un panorama nuovo, a cui il gigante di Mountain View sta cercando di dare fondamenta con gli strumenti che abbiamo visto in questo approfondimento, ma questo non senza sollevare critiche.

Per esempio, il sistema FLoC ha fatto storcere il naso a più di un addetto ai lavori, per i dubbi sul rispetto della privacy che scaturiscono da un sistema di profilazione chiuso sì, ma in mano e analizzabile nei risultati solo da Google stessa.

Niente è ancora certo, se non la fine dei cookie di terze parti entro il 2023 (ma forse neanche quello...): nel frattempo sarà compito di tutti trovare una soluzione alternativa ugualmente valida, ma che garantisca un livello maggiore di privacy e sicurezza per gli utenti.

Fonti:

• Tutte le descrizione delle API (FLoC, TURTLE-DOVE, etc.)
• Descrizione dettagliata FLoC
• Descrizione dettagliata Trust Tokens
• Descrizione dettagliata TURTLE-DOVE
• I dati sul mondo ADV
• Soluzioni Google per dati di prima parte
• Le novità di iOS15