使用SameSite和Secure属性设置Google Tag Manager的cookies

Question

Chrome报告以下警告：

与跨站资源https://www.googletagmanager.com/相关联的Cookie没有设置SameSite属性。Chrome的未来版本只会发送带有SameSite=None和Secure属性的Cookie。您可以在开发者工具中的"应用程序 > 存储 > Cookie"下查看Cookie，并在https://www.chromestatus.com/feature/5088147346030592和https://www.chromestatus.com/feature/5633521622188032上查看更多详细信息。

我有两个这种类型的警告。我看到的三个Cookie是gtm_auth，gtm_preview和gtm_debug。它们都是会话Cookie。我看到gtm_auth被设置了Secure属性（SameSite属性为空）。另外两个Cookie没有设置任何属性。

顺便说一下，它们被归类为分析Cookie而不是营销Cookie。

如何在使用 Google Tag Manager 时设置或修改这些 cookies？我不想在代码中更新 cookies。我想使用 Google Tag Manager 添加 cookie 属性是可行的。Google 如何处理与 Google Analytics 和 Google Tag Manager 相关的问题？

- user3621633

Answer 1

对于任何这些警告，如果您不负责该域名，则无需负责更新cookie。 Google Tag Manager团队将负责更新设置来自googletagmanager.com的cookie的SameSite属性的相关代码。

目前，这些警告仅为信息性质，不影响功能。在稳定版Chrome中强制执行此行为计划于M80进行，目前的目标是2020年2月。

- rowan_m

---

谢谢。你说得对。我看到这是GTM代码设置了这些cookie，我对它们没有控制权。事实上，从我的跟踪中，我看到它们最初被谷歌的代码设置为空字符串。我无法修复它们，而是由GTM/GA团队确保他们的代码符合Google Chrome的变化。 - user3621633

然而，如果警告更具针对性，那就更好了。也许Chrome团队可以排除像tagmanager.com这样由Google自己控制的域名，以便控制台不会像现在这样被垃圾邮件轰炸。这种情况下，它花费了许多开发人员的时间来修复他们的网站，而实际上他们无法解决问题。 - Stijn de Witt

我们正在考虑各种选择，但对于Chrome来说，重要的一点是我们不想将Google属性视为任何特殊情况。减少这些警告的方法是让Google服务修复其cookies，他们正在计划这样做。然而，我很欣赏从你的域名中提取相关cookie是一个挑战。 - rowan_m

这个警告不再是信息性的了，Chrome现在会阻止它。 - chhantyal

在撰写本文时，更改正在逐步推出。一些浏览器将被阻止，而另一些则不会。您可以在 https://samesite-sandbox.glitch.me 上查看您的浏览器的行为。 - rowan_m

Answer 2

Chrome已经开始实施这个更改。您可以在analytics.js或gtag.js中设置cookie标志，以使其工作，例如：

gtag('config', 'G-N2A3FMNDT5', {
  cookie_flags: 'max-age=7200;secure;samesite=none'
});

更多信息和背景，请参见此博客文章：Google Analytics中的新cookieFlags设置

- chhantyal