サードパーティCookieとは？仕組み・規制とブラウザ別の扱いをわかりやすく解説【2026年】

サードパーティCookieとは、利用者が閲覧しているサイトとは別のサイトが発行し、サイトをまたいで送信されるCookieです。リターゲティング広告や効果計測を支えてきましたが、2026年11月時点では、Safariは原則ブロック、Firefoxはサイトごとの区画化、Chromeは利用者の設定しだいと、ブラウザによって扱いが大きく違います。この記事では、判定の基準、送信される仕組みと技術条件、ブラウザ別の扱いと設定方法、日本・EU・米国の規制までを一次情報で整理します。

まとめ：サードパーティCookieの要点

• ファーストパーティかサードパーティかは、発行した会社ではなく、Cookieのドメインとスキームが閲覧中ページと同じサイトかどうかで決まります。自社が所有する別ドメインのCookieもサードパーティCookieです。
• クロスサイトのiframeや画像へCookieを送るには、原則として SameSite=None; Secure の指定が必要です。ChromeなどではSameSiteを省略するとLax扱いになり、クロスサイトではGETなどによるトップレベルの画面遷移にしか付きません。
• Safariは2020年3月に原則ブロック、Firefoxは2022年6月から最上位サイトごとに隔離、Chromeは2024年7月に一律廃止から利用者の選択へ方針転換を発表し、2025年4月には既存の選択方式の維持を公表しました。「すでに廃止された」という説明は現状と合いません。
• 止まるのは広告だけではありません。iframeで埋め込んだSSO・決済・ウィジェットも、非区画化のサードパーティCookieに依存する実装では、業務システムの不具合として影響が表面化します。
• 規制は、ブラウザによる技術的な制限と、法律による規制の2系統で進んでいます。日本は電気通信事業法と個人情報保護法、EUはePrivacy指令の同意原則、米国カリフォルニア州はCCPAのオプトアウト権が中心です。

サードパーティCookieの定義とファーストパーティとの分かれ目

「サードパーティ」の意味とサイト単位の判定基準

サードパーティ（third party）は「第三者」という意味です。Cookieの文脈では、利用者（ブラウザ）と閲覧中のサイトを当事者とみなし、そのどちらでもない別サイトが発行したCookieをサードパーティCookieと呼びます。MDNは、Cookieのドメインとスキームが利用者の見ているページと同じサイトとみなせる場合をファーストパーティCookie、そうでない場合をサードパーティCookieと定義しています。同じ Set-Cookie で発行されたCookieでも、どのページで読み書きされるかによって呼び名が変わります。

ここでいう「サイト」は、登録可能なドメインとスキームの組み合わせです。httpsのshop.example.comとauth.example.comは同一サイトですが、example.comとexample-cdn.netは別サイトです。MDNは、関係するサイトをすべて自社が所有していても動作と課題は同じだと注記しています。自社のCDN用ドメインやキャンペーン用の別ドメインから発行したCookieも、閲覧中のサイトと一致しなければサードパーティCookieとして扱われます。仕様や開発者向け文書では「クロスサイトCookie」とも書かれます。

ファーストパーティCookieとの違い

ファーストパーティCookieの有効期限の上限やITPによる短縮は、ファーストパーティークッキー（1st Party Cookie）とは？違いと有効期限の上限で扱っています。

サードパーティCookieが送信される仕組みと技術条件

広告タグを例にした4段階の流れ

サードパーティCookieは、複数のサイトに同じ配信元のリソースが埋め込まれていることで成り立ちます。広告配信事業者 ads.example のタグを、靴の通販サイトAとニュースサイトBの両方が設置している場合、流れは次のとおりです。

1. 利用者がサイトAの商品ページを開くと、ページ内のタグが ads.example へリクエストを送ります。
2. ads.example は応答の Set-Cookie で識別子（例：uid=8f1c2a）を発行し、ブラウザは ads.example 宛のCookieとして保存します。
3. 後日、利用者がサイトBを開くと、同じタグが ads.example へリクエストを送り、ブラウザは保存済みのuidを付けて送信します。
4. ads.example は「サイトAで靴を見たブラウザがサイトBに来た」と判断し、サイトBの広告枠に靴の広告を出します。

ブラウザがサードパーティCookieを制限すると、3の段階でuidが送られなくなるか、サイトBでは別の保管庫が使われるため、サイトAとBの閲覧が結び付きません。広告事業者どうしが別々の識別子を突き合わせる仕組みはクッキーシンク（Cookie Sync）とは？仕組みとシンク率の2つの定義【2026年】で解説しています。

SameSite=None; Secureが必須になった経緯

3の段階でCookieが送られるには属性の条件があります。Chromiumチームは2020年2月3日の告知で、Chrome 80からSameSite値を宣言していないCookieをSameSite=Laxとして扱うと明示しました。同じ告知は、サードパーティの文脈で使えるのは SameSite=None; Secure を設定したCookieだけで、安全な接続からのアクセスに限ると書いています。なお、この既定変更は2020年4月に一時撤回され、7月に再開されています。

以下は応答ヘッダーの例です。1行目は従来型のCookie、2行目は後述のCHIPSで区画化するCookieです。SameSite=None; Secureを指定しても、ブラウザ側のブロックが解除されるわけではありません。

Set-Cookie: uid=8f1c2a; SameSite=None; Secure; HttpOnly
Set-Cookie: sid=91ae03; SameSite=None; Secure; Partitioned

Lax扱いのCookieは、クロスサイトでは原則としてGETなど安全なメソッドによるトップレベルの画面遷移に限って送信されます。httpのまま配信しているタグは、SameSite=NoneにSecureが必須という条件を満たせません。送信されない原因を調べるときは、ブラウザ設定とあわせて応答の Set-Cookie の属性を確認します。

サードパーティCookieが使われる場面

用途は広告と計測が中心です。広告では、商品ページを見た利用者に別サイトで同じ商品の広告を出すリターゲティング、同じ利用者への表示回数を抑えるフリークエンシー制御、複数媒体での重複配信の排除に使われてきました。計測では、広告をクリックしてから別の日に購入した利用者を同じブラウザとして結び付けるアトリビューションが代表例です。サードパーティCookieに頼らずサーバー間で成果を送る方法はコンバージョンAPI（CAPI）とは？Cookie規制下の計測の仕組みと4つの導入方式・外注判断を解説で扱っています。

MDNはこのほかに、アフィリエイトリンクの経由判定と、複数の関連サイトに埋め込まれたログインウィジェットでのCookie共有を挙げています。後者は広告とは無関係で、後述のSSOや決済の障害につながります。

ブラウザ別の扱い（2026年11月時点）

Safari・Firefoxにおけるブロックと区画化の違い

Safariの非区画化Cookieの原則ブロックと、Firefoxのサイト単位の区画化は、異なる制限方式です。WebKitは2020年3月24日の記事で「Cookies for cross-site resources are now blocked by default across the board」と書き、クロスサイトのリソース向けCookieを既定でブロックしました。一方Mozillaの2022年6月14日の発表は、Total Cookie ProtectionをCookieを作成されたサイトに閉じ込める仕組みと説明しています。Firefoxの標準設定はCookieを捨てるのではなく、最上位サイトごとに別の保管庫へ隔離し、ブロックするのはトラッカーに分類されたドメインのCookieです。

この差は障害の切り分けで効きます。Safariでは、非区画化のサードパーティCookieへのアクセスが許可されていないと、埋め込みサービスでログイン状態を維持できない場合があります。Firefoxでは埋め込み先ごとに別の値になるため、サイトAでログインした状態がサイトBの埋め込みに引き継がれません。Safariの制限の系譜はITPとは？Safariの制限仕様と広告計測への影響・対策【2026年最新】で詳しく扱っています。

Safariは2026年秋にもう一段進みました。WebKitは2026年10月19日の記事で、iOS・iPadOS・macOS・visionOSの27系のリリースで、SafariとWebKitがidentity resolution（ID解決）基盤へのネットワークアクセスをドメイン単位で遮断すると発表しました。ログインやメルマガ登録で入力したメールアドレスを第三者が収集し、追跡用IDに変える仕組みを狙ったもので、Cookieを使わない追跡手段も止める方向です。

ChromeのCookie方針維持とPrivacy Sandbox主要APIの廃止

Googleは2025年4月22日、ChromeでサードパーティCookieの選択肢を提供する現行の方式を維持し、サードパーティCookie用の新しい単独プロンプトは展開しないと公表しました。さらに2025年10月17日には、Topics、Protected Audience、Attribution Reporting、IP Protection、Related Website SetsなどのPrivacy Sandbox技術を終了すると発表しています。

Cookie廃止に備えてTopicsやProtected Audienceへ移行するという2021年以降の定番の説明は、現時点では成り立ちません。存続するのはCHIPS、FedCM、Private State Tokensです。撤回後に企業が何を見直すべきかはサードパーティCookie廃止の現状と企業がとるべき対策【2026年版】にまとめています。

サードパーティCookieを許可・ブロックする設定方法

利用者が設定を変えるのは、業務で使うサービスの埋め込みが動かないときに限るのが安全です。ブラウザ全体で許可するとサイト横断の追跡が可能になる範囲が広がるため、サイト単位の例外を設定できるブラウザでは、必要なサイトだけを許可します。

Chromeのヘルプでは、「サードパーティの Cookie を許可する」と「サードパーティの Cookie をブロックする」から選び、「サードパーティ Cookie の使用が許可されているサイト」で［追加］を選ぶとサイトごとに許可できます。シークレットモードでは、サードパーティCookieは既定でブロックされます。Googleのアサインメントのヘルプがサードパーティ Cookie を有効にする手順を公開しているのは、学習管理システムへの埋め込みがこの設定に左右されるためです。

Safariは「サイト越えトラッキングを防ぐ」をオフにするとクロスサイトのCookieが届くようになります。iPhoneの利用ガイドは、この項目が他社製のCookieとデータをデフォルトで制限すると説明しています。この項目はすべてのサイトに一括で効くため、オフにすると全サイトで制限が外れます。Firefoxは強化型トラッキング防止の「標準」が既定で、特定サイトだけアドレスバー左の盾アイコンから保護をオフにできます。Edgeは追跡防止の既定が「バランス」で、Cookieの設定に「サード パーティの Cookie をブロックする」の切り替えと、サイトごとに許可する［サイトの追加］があります。

Cookie制限によるSSO・埋め込み決済への影響

サードパーティCookieの制限は、外部サービスを埋め込んだ業務システムの認証にも及びます。別ドメインのIdPを使うSSO、iframeで埋め込む決済フォーム、外部のチャットや予約ウィジェットが代表例です。iframe内で区画化されていないサードパーティCookieにログイン状態を持たせる実装は、Safariでは動かず、Firefoxでは埋め込み先ごとに別セッションになります。

恒久対策は、利用者に設定変更を頼むことではなく、埋め込む側が方式を選び直すことです。サイトをまたいでログイン状態を共有したい場合は、Storage Access API（Chrome 119、Firefox 65、Safari 11.1から対応）で利用者の操作を経てアクセスを求めるか、iframeを使わないリダイレクト型の認証に切り替えます。埋め込み先ごとに独立したセッションで足りる場合はCHIPSを使います。社内のSSOや会員基盤の作り直しが必要な場合は、認証基盤・ID管理システム開発として設計から相談できます。

区画化して残すCHIPSとPartitioned属性

CHIPSは、サードパーティCookieを最上位サイトごとに別の保管庫へ分けて保存する仕組みです。Set-Cookie に Partitioned とSecureを指定し、クロスサイトの埋め込みで使う場合はSameSite=Noneも付けると、埋め込み先のサイトごとに独立した値を持ちます。サイトをまたいで同じ識別子を共有できないためリターゲティングには使えませんが、埋め込みウィジェットのセッション維持のように、最上位サイトと1対1で完結する用途はそのまま動きます。

対応状況は変わり続けています。MDNのブラウザー互換データでは、Partitioned属性の対応はChrome 114、Firefox 141、Safari 26.2です（Safariは18.4で導入したのち18.5で取り下げ、26.2で再び対応）。CHIPSの対応状況については、MDN日本語版の本文に「CHIPSは現在Chromiumでのみ使用できる」という記述が残っていますが、互換データとは合っていません。

サードパーティCookieの規制：日本・EU・米国の法律

ブラウザによる技術的な制限とは別に、法律がCookieの扱いを規制しています。国・地域ごとに「何を求めるか」が違うため、ひとまとめに「Cookie規制」と呼ぶと判断を誤ります。

日本：電気通信事業法の外部送信規律と個人情報保護法

日本にはEUのようなCookie専用の同意規制はなく、2つの法律が別の角度から関わります。1つ目は2023年6月16日に施行された電気通信事業法の外部送信規律です。利用者の端末から外部へ情報を送信させるプログラムを送る際に、送信される情報の内容や送信先を通知または公表することを求めます。総務省のFAQは問1-7で「Cookieを利用していなかったとしても規律対象となります」と回答する一方、問1-12・1-13では、小売業者が自社ウェブサイトで商品を販売するだけなら外部送信規律は適用されないとしています。対象判定の詳細は電気通信事業法とは？外部送信規律の対象判定とタグ管理・同意取得の実装要件を解説で扱っています。

2つ目は個人情報保護法です。個人情報保護委員会はQ8-1で、Cookie等の端末識別子は個人情報に該当しない場合でも、通常は個人関連情報に該当すると回答しています。個人関連情報を第三者へ提供し、提供先がそれを個人データとして取得すると想定される場合は、本人の同意が得られていることの確認が必要です（法第31条第1項）。広告事業者へ識別子を渡す設計では、Cookie単体の性質より、提供先で自社の会員情報と結び付くかどうかが判断の分かれ目になります。

2026年7月17日に公布された改正個人情報保護法は、連絡可能個人関連情報という区分を新設しました。条文はCookie IDという語を使わず、「電気通信設備を利用する者又は電気通信設備を識別することができるように付された符号」のうち特定の個人への情報伝達に利用できるものを対象とし、個人情報保護委員会の改正法の概要資料はその例にCookie IDを挙げています。施行は公布から2年以内の政令で定める日で、2026年11月時点では政令・規則・ガイドラインの整備が続いています。

EU・米国：ePrivacy指令の同意原則とCCPAのオプトアウト権

EUのePrivacy指令（2002/58/EC）第5条3項は、利用者の端末に情報を保存する、または保存済みの情報を読み取る場合に、目的などの明確で包括的な情報を示したうえで同意を得ることを原則としています。例外は、通信の伝送だけを目的とする場合と、利用者が明示的に求めたサービスの提供に厳密に必要な場合です。ログイン維持やカートのCookieは例外に入り得ますが、広告用のサードパーティCookieは同意が要る側に入ります。EU向けサイトで同意前に広告タグが発火しないよう制御するのはこのためです。

米国には連邦レベルの包括的なCookie規制はなく、州法が中心です。カリフォルニア州民法1798.140は、サイトをまたいだ行動に基づく広告（cross-context behavioral advertising）のために個人情報を第三者へ渡すことを、金銭の授受がなくても「共有（share）」と定義しています。消費者は1798.120により、販売と共有のどちらも停止を求められます。EUは原則として事前の同意、カリフォルニア州は原則として停止の求め（オプトアウト）を軸にしており、停止はいつでも求められます。ただし事業者が16歳未満と知っている消費者については、13歳以上は本人、13歳未満は親または保護者の事前の承認がなければ販売・共有できません（1798.120(c)）。

サードパーティCookieとサードパーティデータの違い

名前が似ているため、サードパーティCookieとサードパーティデータは実務でもよく混同されます。サードパーティCookieはブラウザに保存される技術的な仕組みです。サードパーティデータは、自社と接点のない第三者が集めて販売・提供するデータの区分で、属性データや購買データのようにCookieを使わずに集めたものも含みます。

片方が消えればもう片方も消える、という関係ではありません。Cookieの側はChromeが廃止を撤回して残った一方、データ供給の側ではOracle Advertisingが2024年9月30日にサービスを終了した例があります。外部データの調達先を選ぶときは、規制への適合に加えて提供元の事業継続性も確認します。

よくある質問

サードパーティCookieをブロックするとどうなりますか？

サードパーティCookieによるサイト横断の識別に依存したリターゲティング広告やコンバージョン計測に支障が出ます。別ドメインのIdPを使うSSO、iframeで埋め込んだ決済フォーム、外部の予約やチャットのウィジェットでログイン状態を保てなくなる場合もあります。閲覧中のサイト自身が発行するファーストパーティCookieは影響を受けないため、通常のログインやカートが壊れるわけではありません。

サードパーティCookieは許可した方がよいですか？

ブラウザの標準設定のまま使い、業務で使うサービスの埋め込みが動かないときだけ、そのサイトを例外として許可するのが安全です。ブラウザ全体で許可すると、サードパーティCookieによるサイト横断の追跡が可能になる範囲が広がります。Chrome・Firefox・Edgeにはサイト単位の例外があります。

サードパーティCookieは廃止されたのですか？

廃止されていません。Googleは2025年4月22日にChromeの現行方式を維持すると公表しました。ただしSafariとFirefoxは既定で制限しているため、すべての利用者でサイト横断の識別ができるわけではありません。

サードパーティCookieは個人情報にあたりますか？

Cookie単体では、通常は個人情報ではなく個人関連情報にあたるというのが個人情報保護委員会の整理です。ただし自社の会員情報などと容易に照合して特定の個人を識別できる状態であれば、個人情報として扱います。提供先で個人データになると想定される場合は、本人同意の確認が必要です。

自社が所有する別ドメインのCookieもサードパーティCookieになりますか？

なります。判定は所有者ではなく、Cookieのドメインとスキームが閲覧中ページと同じサイトかどうかで決まります。自社の別ドメインからタグを配信している場合も、クロスサイトの埋め込みでは原則としてSameSite=None; Secureが必要です。Safariで非区画化Cookieを使うにはStorage Access APIなどによる許可が必要で、CHIPS対応版ではPartitioned Cookieも利用できます。

関連記事

• サードパーティCookie廃止の現状と企業がとるべき対策【2026年版】
• ファーストパーティークッキー（1st Party Cookie）とは？違いと有効期限の上限
• ITPとは？Safariの制限仕様と広告計測への影響・対策【2026年最新】
• クッキーシンク（Cookie Sync）とは？仕組みとシンク率の2つの定義【2026年】
• 電気通信事業法とは？外部送信規律の対象判定とタグ管理・同意取得の実装要件を解説