クッキーレスアトリビューション解説：今も使える手法

クッキーレスアトリビューションが機能するのは、クリックをブラウザに覚えさせるのをやめたときです。クリックをサーバーに記録し、識別子をURLに載せ、自社の注文レコードに保存して、コンバージョンをサーバー間で送ります。それ以外の方法は、性能が落ちるか、EUでは法的リスクがあります。サードパーティクッキー、数日で失効するスクリプト設定のクッキー、フィンガープリンティングがこれに当たります。

2012年から2019年の間に多くのチームが作った仕組みは、ランディングページに置いたサードパーティクッキーと、コンバージョンページでそれと照合するピクセルに依存していました。用語の基本はマーケティングアトリビューションとはを参照してください。この記事では、何が残るのか、Elidoが現時点で何をカバーするのか、どこから自社のバックエンドが必要になるのかを整理します。

まとめ

• Safariは、スクリプトが書き込んだクッキーとストレージを、操作のない状態が7日続くと削除します。リンクにパラメータが付いたランディングページで作成されたクッキーは24時間です。Chromeはユーザーの選択を前提にサードパーティクッキーを引き続き許可しています。どちらにしても不安定なものとして扱ってください。
• 有効な経路は2つです。クリックIDまたはリンクIDを注文レコードまで引き継いでサーバー間で送る方法と、サーバーが設定するファーストパーティクッキーです。
• クッキーレスは同意不要という意味ではありません。ePrivacy第5条(3)はフィンガープリンティングやローカルストレージにも及び、サーバーサイド処理にもGDPR上の適法根拠が必要です。
• Elidoはクリックをサーバーサイドで記録し、StripeとShopifyの売上をリンクに紐付けます。クリックIDの生成や、広告プラットフォームへのコンバージョン転送はまだ行いません。

ブラウザで何が変わったか

現状は3つの情報源から分かります。いずれも2026-10-24 閲覧です。

WebKitのトラッキング防止のページによると、SafariはJavaScriptで作成されたクッキーと、その他のスクリプトで書き込めるストレージを、そのサイトでのユーザー操作がないまま7日たつと削除します。さらに、ランディングURLにクリックIDが検出された場合、そのページでJavaScriptが作成するクッキーの有効期間は24時間に制限されます。2019年9月23日に公開されたITP 2.3は、同様の制限をスクリプトで書き込めるほかのデータにも広げました。自社のファーストパーティホストがHTTPレスポンスヘッダーで設定するクッキーは、これらの規則の上限を受けません。例外は、CNAMEやIPでクローキングされたサブドメインのようなサードパーティホストで、WebKitはこの場合の有効期間を7日に制限します。

FirefoxはTotal Cookie Protectionにより、サードパーティクッキーをトップレベルサイトごとに分離します。トラッカーが自社のチェックアウトと競合のチェックアウトで設定したクッキーは、別々の2つのクッキーになります。

Chromeは廃止を完了しませんでした。2025年4月22日、Googleはサードパーティクッキー用の単独プロンプトを導入せず、ユーザーは引き続き設定で選択すると発表しました。Privacy Sandbox blogは、一部のPrivacy Sandbox技術が段階的に廃止されることも伝えています。つまり実務上の問いは「クッキーはいつ消えるのか」ではなく「自社の訪問者のうち何割がブロックしているのか」になりました。EU全体の正確な割合を、私は示すことができません。ブラウザ別の自社アナリティクスで確認してください。

ベンダーの資料でもう1つよく見かける主張があります。SafariのLink Tracking Protectionが、プライベートブラウズやメールアプリで fbclid や gclid などのクリックIDを取り除くというものです。私が取得した時点では、WebKitのトラッキング防止のページにこの記載はなかったため、パラメータの一覧はここでは繰り返しません。クリックIDが残ることを前提にする前に、自社のランディングページをそれらの環境で試してください。

今も有効な2つの経路

どちらも、ブラウザのストレージ規則が適用される前に、サーバーがクリックを見ているという事実から出発します。

経路1：サーバーサイド識別子

ユーザーが広告をクリックすると、プラットフォームがランディングURLにクリック識別子を付けます。Metaなら fbclid、Googleなら gclid です。識別子はURLの中にあるため、クッキーの分離の影響を受けません。ランディングページがそれを読み取り、カートや注文に保存します。注文が支払われたら、バックエンドが注文から識別子を読み取り、MetaのConversions APIやGA4 Measurement Protocolのような、プラットフォームのサーバーサイドAPIにコンバージョンを送ります。

ブラウザピクセルも併用する場合は、重複排除が重要です。Metaのドキュメントによると、Pixelの eventID はConversions APIの event_id と、同じイベント名で一致させる必要があり、48時間以内に受信した重複は破棄されます。購入には注文IDを使ってください。どの顧客項目をハッシュ化する必要があるかは、Metaの顧客情報パラメータのページを読んでください。この記事ではそれらの規則を確認していません。

弱点は現実にあります。クッキーを消去すると、クッキーに保存したIDは失われます。別のデバイスでのコンバージョンは、本人がログインしていない限り結び付きません。クリックIDが、ランディングページに届く前に消えることもあります。

経路2：自社で管理するリダイレクト

自社ドメイン上のリダイレクトは、サーバーサイドのイベントです。誰かがブランドの短縮リンクをクリックすると、ページ読み込み時のタグの発火を待たずに、リダイレクトホストがその時点でタイムスタンプ、リファラー、ユーザーエージェントを含むクリック記録を書き込めます。クッキーも設定する場合は、ファーストパーティホストの Set-Cookie ヘッダーで設定してください。そうすれば、前述のスクリプト書き込みに対する7日と24時間の制限を避けられます。

ピクセルにはこれを再現できません。ここは、Elidoの現在の対応範囲が終わる地点でもあります。

Elidoが現時点でできること(コードで確認済み)

この記事がこれまで述べていたすべての主張を、サービスのコードと照らして確認しました。結果は次のとおりです。

「アトリビューションの拠点としての短縮リンク」を正直に言えば、この記事がこれまで述べていたより範囲は狭くなります。リダイレクトから得られるのは、クリック記録とリンク別のレポートです。売上までつなぐには、リンクのIDを注文に入れてください。Stripeのメタデータなら elido_link_id、Shopifyのカートなら elido_link_id のノート属性です。注文のWebhookが届くと、Elidoはその売上をそのリンクに帰属させます。メールをハッシュ化してMetaのAPIを呼ぶといったそれ以上の処理は、現時点では自社のバックエンドのコードで行います。この分岐の作り方は短縮リンクによるサーバーサイドのコンバージョン計測、Safari特有の観点はSafari ITP以降のクリックアトリビューションを参照してください。ダッシュボード側については、コンバージョン計測の機能ページで説明しています。

IDの紐付け：できることとできないこと

サーバーサイドのIDがカバーするのは、よくあるケースです。1人、1台のデバイス、1回のセッションで、パラメータが取り除かれていない場合です。それ以外には、本人が提供した識別子が必要です。

決定論的マッチングは機能します。 ログインしたり、どこかでメールアドレスを入力したりしてもらえれば、ハッシュ化したメールアドレスを照合用のシグナルとしてコンバージョンと一緒に送れます。ハッシュ化はプラットフォームの正規化ルールに従う必要があるため、実装する前にベンダーのページを読んでください。

確率的フィンガープリンティングは、EUでは不適切な代替手段です。 画面サイズ、フォント、タイムゾーン、Canvasの出力などのシグナルを組み合わせて、クッキーなしで識別子を作ります。これに同意が必要かどうかは法的な問題です。ePrivacy指令の第5条(3)は、クッキーだけでなく、ユーザーの端末上の情報へのアクセス全般に適用されます。2026-10-24にEUR-Lexのページが読み込めなかったため、指令の広く知られた適用範囲から言い換えており、条文は引用していません。特定の規制当局の決定も、ここでは挙げていません。プライバシー重視のブラウザは、これらの手法が頼るエントロピーを削り続けています。最も精度が必要な場面で、精度が落ちます。

デバイス間は、サーバーサイドでは埋められないギャップです。 スマートフォンでのクリックとノートパソコンでの購入は、本人が両方で身元を明かした場合にのみつながります。

同意は引き続き必要

「クッキーがなければ同意は不要」というのはよくある誤解です。第5条(3)の対象は端末なので、そこへの保存やアクセスには、厳密に必要な場合を除き同意が必要です。分析用に設定したクッキーは、ファーストパーティだからといって厳密に必要とはなりません。

サーバーサイド処理は、データの流れる場所を変えます。広告ブロッカーや分離の影響を受けず、バックエンドから外へ出すものは自分で管理できます。それでもGDPR第6条に基づく適法根拠は必要です。キャンペーン単位の分析では、評価を行った上での正当な利益が通常使われ、個人単位のプロファイリングではより難しくなります。第6条、第28条、第30条はURL短縮サービスのGDPRのガイドで、バナーの問題は短縮リンクのクッキー同意で扱っています。

IPの扱いについて、Elidoはクリックを保存する前に、エッジで訪問者のIPを切り詰めます（IPv4は/24、IPv6は/48）。国、地域、市区町村、おおよその座標は先に導出されてクリックとともに保持され、完全なユーザーエージェントも保存されるため、クリック行は個人データとして扱ってください。DPAのためにデータ最小化が重要な場合は、現在の保持期間とIPの扱いを書面で確認してください。

手放すもの

サーバーサイドのアトリビューションは、失われたシグナルの大半を取り戻しますが、すべてではありません。

デバイス間のID。 本人がログインしない限り失われます。

ビュースルーアトリビューション。 広告プラットフォームが、自社のデバイスグラフでインプレッションを後のコンバージョンと照合することに依存します。クリックベースのレポートよりノイズが多くなると考えてください。

長いルックバックウィンドウ。 アトリビューションウィンドウはプラットフォームごとに異なり、クッキーを使っていた頃にチームが使っていた28日や90日より短い場合があります。レポート対象のプラットフォームごとに、現在のウィンドウを確認してください。サブスクリプションやB2Bの検討サイクルは、影響を最も大きく受けます。

匿名ユーザーのマルチタッチ。 IDグラフがなければ、ラストクリックが既定になります。ログイン済みユーザーのハッシュ化メールアドレスがあれば、その層については、データに合ったルールベースのモデルで接点の順序を再構築できます。

実践的な構成

EU向けに有料トラフィックを運用するチームが、現時点で存在するものを使って組むなら、こうします。

1. すべての広告の遷移先にブランドの短縮リンクを使う。 最初からサーバーサイドのクリック記録とリンク別レポートが得られます。
2. ランディング時にプラットフォームのクリックID(fbclid、gclid)を取得し、カートや注文に書き込みます。信頼する前に、iOSのメールアプリやプライベートタブで残ることを確認してください。
3. Stripeのメタデータ、またはShopifyのノート属性に elido_link_id を入れることで、クッキーなしで売上をリンク別に集計できます。
4. 購入はバックエンドからMetaとGA4へサーバー間で送り、注文IDを重複排除のキーにします。
5. ログイン済みユーザーのメールをハッシュ化して、デバイス間を補い、クリックIDがない箇所の穴を埋めます。
6. 長いB2Bやサブスクリプションのサイクルでは、プラットフォームのオフラインAPIを使って、オフラインコンバージョンを一括で取り込みます。

これにCDPは必要ありません。必要なのは、信頼できるクリックログ、注文上の識別子、広告プラットフォームと通信するバックエンドです。

ブログの関連記事

• マーケティングアトリビューションとは
• Safari ITP以降のクリックアトリビューション
• 短縮リンクによるサーバーサイドのコンバージョン計測
• URL短縮サービスのGDPR