Cookie bloqueada/no guardada en IFRAME en Internet Explorer

Lo hice funcionar, pero la solución es un poco compleja, así que tengan paciencia.

Lo que está sucediendo

Tal como están las cosas, Internet Explorer otorga un menor nivel de confianza a las páginas IFRAME (IE llama a esto contenido de "terceros"). Si la página dentro del IFRAME no tiene una Política de Privacidad, sus cookies están bloqueadas (lo cual se indica con el ícono del ojo en la barra de estado, cuando haces clic en él, te muestra una lista de URL bloqueadas).

_{(fuente: piskvor.org )}

En este caso, cuando se bloquean las cookies, no se envía el identificador de sesión y el script de destino arroja un error de "sesión no encontrada".

(Intenté configurar el identificador de sesión en el formulario y cargarlo desde las variables POST. Esto habría funcionado , pero por razones políticas no pude hacerlo).

Es posible hacer que la página dentro del IFRAME sea más confiable: si la página interna envía un encabezado P3P con una política de privacidad que sea aceptable para IE, las cookies serán aceptadas .

Cómo resolverlo

Crear una política p3p

Un buen punto de partida es el tutorial del W3C . Lo revisé, descargué el Editor de políticas de privacidad de IBM y allí creé una representación de la política de privacidad y le di un nombre para hacer referencia a ella (aquí estaba policy1).

NOTA : en este punto, usted realmente necesita averiguar si su sitio tiene una política de privacidad y, en caso contrario, crearla: si recopila datos del usuario, qué tipo de datos, qué hace con ellos, quién tiene acceso a ellos, etc. Necesita encontrar esta información y pensar en ella. Simplemente juntar algunas etiquetas no será suficiente. Este paso no se puede realizar únicamente en software y puede ser muy político (por ejemplo, "¿deberíamos vender nuestras estadísticas de clics?").

(por ejemplo, "el sitio es operado por ACME Ltd., utiliza identificadores anónimos por sesión para su funcionamiento, recopila datos del usuario solo si se permite explícitamente y solo para los siguientes propósitos, los datos se almacenan solo durante el tiempo necesario, solo nuestra empresa tiene acceso a él, etc., etc.").

(Al editar con esta herramienta, es posible ver errores/omisiones en la política. También es muy útil la pestaña "Política HTML": en la parte inferior, tiene una "Evaluación de política" - una verificación rápida si la política será bloqueada por la configuración predeterminada de IE)

El editor exporta a un archivo .p3p, que es una representación XML de la política anterior. Además, puede exportar una "versión compacta" de esta política.

Enlace a la política

http://example.com/w3c/p3p.xmlLuego se necesitaba un archivo de referencia de políticas ( ) (un índice de políticas de privacidad que utiliza el sitio):

<META>
  <POLICY-REFERENCES>
    <POLICY-REF about="/w3c/example-com.p3p#policy1">
      <INCLUDE>/</INCLUDE>
      <COOKIE-INCLUDE/>
    </POLICY-REF>
  </POLICY-REFERENCES>
</META>

Muestra <INCLUDE>todos los URI que utilizarán esta política (en mi caso, todo el sitio). El archivo de política que exporté desde el Editor se cargó enhttp://example.com/w3c/example-com.p3p

Envíe el encabezado compacto con las respuestas.

Configuré el servidor web en example.com para enviar el encabezado compacto con respuestas, como esta:

HTTP/1.1 200 OK 
P3P: policyref="/w3c/p3p.xml", CP="IDC DSP COR IVAi IVDi OUR TST"
// ... other headers and content

policyrefes un URI relativo al archivo de referencia de políticas (que a su vez hace referencia a las políticas de privacidad), CPes la representación compacta de la política. Tenga en cuenta que la combinación de encabezados P3P en el ejemplo puede no ser aplicable en su sitio web específico; ¡sus encabezados P3P DEBEN representar fielmente su propia política de privacidad!

¡Ganancia!

En esta configuración no aparece el Mal de Ojo, las cookies se guardan incluso en el IFRAME y la aplicación funciona.

Editar: Qué NO hacer, a menos que le guste defenderse de demandas

Varias personas han sugerido "simplemente coloque algunas etiquetas en su encabezado P3P, hasta que el Mal de Ojo se rinda".

Las etiquetas no son sólo un montón de bits, tienen significados en el mundo real y su uso le otorga responsabilidades en el mundo real .

Por ejemplo, fingir que nunca recopila datos del usuario puede hacer feliz al navegador, pero si realmente recopila datos del usuario, el P3P está en conflicto con la realidad. Simple y llanamente, estás mintiendo intencionalmente a tus usuarios , y eso podría ser un comportamiento criminal en algunos países. Como en "ve a la cárcel, no cobres 200 dólares".

Algunos ejemplos ( consulte p3pwriter para ver el conjunto completo de etiquetas ):

• NOI : "El sitio web no recopila datos de identificación". (Tan pronto como haya alguna personalización, un inicio de sesión o cualquier recopilación de datos (***** Analytics, ¿alguien?), debe reconocerlo en su P3P)
• STP : La información se conserva para cumplir con el propósito declarado. Esto requiere que la información se descarte lo antes posible. Los sitios DEBEN tener una política de retención que establezca un cronograma de destrucción. La política de retención DEBE incluirse o vincularse desde la política de privacidad legible por humanos del sitio". (Por lo tanto, si envía STPpero no tiene una política de retención, puede estar cometiendo fraude. ¿Qué tan bueno es eso? En absoluto.)

No soy abogado, pero no estoy dispuesto a ir a los tribunales para ver si el encabezado P3P es realmente vinculante legalmente o si puedes prometer algo a tus usuarios sin estar realmente dispuesto a cumplir tus promesas.

Dec 23 '2008 17:12 Piskvor left the building