ITPとは？Safariの制限仕様と広告計測への影響・対策【2026年最新】

ITP（Intelligent Tracking Prevention）は、AppleのブラウザエンジンWebKitに組み込まれたトラッキング防止機能です。2017年6月5日にWebKitが発表し、現在のSafariでは非分離のサードパーティCookieを既定でブロックし、JavaScriptが発行したファーストパーティCookieにも保持期間の上限を課しています。広告運用や効果測定では、サードパーティCookieの遮断に加えて、自社サイトで発行するCookieの保持期間にも注意が必要です。ここでは2026年9月時点のWebKit公式仕様を基に、ITPが何にどの制限をかけているのか、広告とアフィリエイト計測のどこが途切れるのか、対策として今も効く手段はどれかを整理します。なお、医療分野で使われるITP（免疫性血小板減少症）とは無関係の別用語です。

まとめ：ITPの現行仕様と実務への影響

• 非分離のサードパーティCookieは既定でブロックされますが、Safari 26.2ではサイトごとに分離するCHIPSに対応しています。復活させる手段はStorage Access APIと、ポップアップ向けの暫定的な互換措置だけです。
• JavaScriptで発行したCookieとlocalStorageなどのスクリプト書き込み可能なストレージは、そのサイトへの操作がないままSafariを使用した日が7日分に達すると削除対象になります。ここでいう操作はクリック・タップ・キー入力であり、スクロールは操作に数えられません。
• ITPが分類したドメインから、クエリ文字列やフラグメント付きのURLへ着地した場合、その画面でJavaScriptが発行した永続Cookieの有効期限は24時間に縮みます。広告のクリックIDを付けた遷移がこれに該当します。
• CNAMEで自社ドメインに見せかけた第三者のHTTPレスポンスが設定したCookieも、有効期限が7日に制限されます。2020年11月以降、CNAME計測はITPの回避策として成立しません。
• 7日・24時間の上限が対象にしているのは、JavaScriptが発行したCookieと、CNAMEやIPアドレスのクローキングに該当する応答が設定したCookieです。自社サーバーがSet-Cookieヘッダで発行する正真正銘のファーストパーティCookieは、この2つの上限の記述の対象に含まれていません。対策の軸はここに置きます。

ITPの定義とAppleが自動で行っている判定

Intelligent Tracking Preventionの正式名称と搭載範囲

ITPはIntelligent Tracking Preventionの略で、日本語では「インテリジェント・トラッキング防止」と訳されます。WebKitが実装しているため、macOSとiOS・iPadOSのSafariに加えて、iOS・iPadOS上でWebKitを利用するブラウザにも同じ制限が及びます。利用者が拡張機能を入れたり設定を変えたりしなくても、既定で有効になっている点がアドブロッカーとの決定的な違いです。

ITPはCookieを一律に消す機能ではありません。WebKitがリソースの読み込み状況を集計し、既知のクロスサイトトラッキングのパターンと照合したうえで、条件に当てはまったドメインを「クロスサイトトラッキングの能力を持つ」と分類し、以降より強い制限をかけます。判定は機械的なので、広告事業者でなくても複数サイトへ同じタグを配信していれば分類対象になり得ます。

ITPが現在かけている制限の一覧

WebKitはトラッキング防止の現行仕様をTracking Prevention in WebKitとして公開しており、各制限が何を対象に、どの条件で、どう動くかを条文のように定義しています。この章の英文の引用はすべてこのページからです。2026年9月時点の内容は次のとおりです。

非分離のサードパーティCookieの既定ブロック

WebKitの現行仕様は ITP by default blocks all third-party cookies. There are no exceptions to this blocking. と書いています。ブロックされたサードパーティCookieを再び使えるようにする方法は、Storage Access APIによる明示的な許可要求と、ポップアップ向けの暫定的な互換措置に限られます。ただしSafari 26.2ではCHIPS（Cookies Having Independent Partitioned State）に再対応しており、サイトごとに分離されたCookieは利用できます。これはサイト横断の識別子共有を復活させる仕組みではありません。定義と他ブラウザでの扱いはサードパーティCookieとは？仕組みとブラウザ別の扱いを解説【2026年最新】で整理しています。

見落とされがちなのが、同じ項に書かれているCookieブロックのラッチモードです。Once a request is blocked from using cookies, all redirects of that request are also blocked from using cookies. とあり、最初のリクエストでCookie利用がブロックされると、そこから続くリダイレクトでもCookieを利用できません。ただし、遷移そのものやURLパラメータの引き継ぎまで止まるわけではありません。

JavaScript発行Cookieの7日上限と削除の条件

この制限は自社サイトでの再訪識別に直接効きます。WebKitは ITP deletes all cookies created in JavaScript and all other script-writeable storage after 7 days of no user interaction with the website. と定義しており、削除対象はJavaScript発行のCookieのほか、IndexedDB、LocalStorage、Media keys、SessionStorage、Service Workerの登録とキャッシュに及びます。

ここには性質の違う2つの制限が重なっています。1つはJavaScriptで設定する永続Cookieの有効期限そのものに7日の上限がかかること、もう1つは、サイトへの操作がないままSafariを使用した日が7日分に達すると、スクリプト書き込み可能なストレージが削除対象になることです。暦の上で7日経っても、その間Safariを使っていなければ日数は進みません。何を操作と見なすかも定義されています。User interaction is a user click, tap, or keyboard entry on a website. とあり、続けて Scrolling is not considered user interaction. と明記されています。記事を最後まで読んでも、スクロール以外にクリック・タップ・キー入力をしていなければ、ITPが定義する利用者の操作には数えられません。読み物中心のメディアで再訪判定が想定より早く切れるのは、この定義が原因です。

リンク装飾を伴う遷移で24時間に縮む条件

広告のクリック計測では、遷移先URLに ?clickID=0123456789 のようなパラメータを付けて、着地ページのJavaScriptがそれを読み取りCookieへ保存します。WebKitはこれをリンク装飾によるクロスサイトトラッキングと定義し、ITP detects such link decoration and caps the expiry of cookies created in JavaScript on the landing webpage to 24 hours. として有効期限を24時間に制限します。

適用条件は、ITPが分類したドメインからクエリ文字列またはフラグメント付きのURLへ遷移してきたことです。広告配信事業者のドメインでも、ITPによる分類と着地URLの条件を満たす場合に適用されます。この条件に該当するCookieだけで成果を結び付けている場合、Cookieの失効後に発生したコンバージョンを元のクリックに関連付けられなくなります。

CNAMEで自社ドメインに見せかけた場合の7日上限

計測タグの配信元を自社サブドメインにCNAMEで向け、ファーストパーティ扱いにする構成は、ITP対策として長く紹介されてきました。WebKitは2020年11月12日の公式記事で、Safari 14（macOS Big Sur、Catalina、Mojave）とiOS 14・iPadOS 14におけるCNAMEクローキング対策を説明しています。現行仕様には ITP detects third-party CNAME cloaking and third-party IP address cloaking requests and caps the expiry of any cookies set in the HTTP response to 7 days. とあり、HTTPレスポンスで設定されたCookieであっても7日に切られます。

判定基準は Third-party CNAME cloaking is defined as a first-party subresource that resolves through a CNAME that differs from the first-party domain and differs from the top frame host's CNAME, if one exists. です。CNAMEの解決先がファーストパーティのドメインと異なり、かつトップフレームのホストのCNAMEとも異なる場合が対象です。2020年11月より前の記事はこの構成を有効な対策として紹介していることがあるため、社内の対策メモは日付ごと確認してください。

ITPのバージョン別の変更点

ITPは段階的に強化されてきました。どの制限がいつ入ったかを押さえておくと、古い対策情報を見分けられます。日付はいずれもWebKit公式ブログの発表日です（1.0／2.1／2.2／2.3／全ブロック／CNAME防御）。

転換点は2019年2月のITP 2.1です。WebKitは当時 Persistent cookies that have an expiry shorter than seven days keep their shorter expiry. と補足しており、7日より短い設定はそのまま維持されます。同時に、分類済みドメインが使っていた区画化Cookieのサポートが終了し、以降はStorage Access APIを通さない限りサードパーティのCookieアクセスは得られなくなりました。

2020年3月24日の発表では Cookies for cross-site resources are now blocked by default across the board. と宣言され、サードパーティCookieのブロックが完了しています。Chromeが2024年7月に一律廃止から利用者の選択を重視する方針へ転換し、2025年4月には新たな選択プロンプトも導入しないと発表したのとは対照的に、Safari側は6年前に決着しているという時間差を押さえておくと、社内での優先順位づけを誤りません。ブラウザごとの温度差はサードパーティCookie廃止の現在地と企業がとるべき対策【2026年最新】で扱っています。

Web広告と効果測定に出る具体的な壊れ方

リターゲティングとフリークエンシー制御の縮小

サードパーティCookieが遮断されると、広告事業者はSafari利用者をサイト横断で識別できません。他サイトでの閲覧履歴に基づくリターゲティングや、複数サイトにまたがる表示回数の制御は、サードパーティCookieだけに依存している限りSafari面では成立しません。文脈ターゲティングやログイン済み利用者への配信など、サードパーティCookieを使わない手法まで止まるわけではないので、影響範囲は配信手法ごとに切り分けて見積もります。

加えて、サードパーティリファラの格下げも効いています。WebKitは All third-party referrers are downgraded to their origins by default. としており、RefererヘッダとJavaScriptの document.referrer の双方が、スキーム・ホスト・ポートからなるオリジンまでに切り詰められます。ページのパスやクエリ文字列は残りません。

アクセス解析における再訪識別と新規ユーザー数への影響

GA4を含む多くのアクセス解析ツールは、JavaScriptでファーストパーティCookieを発行して利用者を識別します。この発行方法はそのまま7日上限の対象です。Cookieの失効・削除でクライアントIDが変わると、再訪を同じ利用者として結び付けられない場合があります。ただし、GA4でUser-IDを送信している場合などは、Cookieだけで利用者の判定が決まるわけではありません。

新規ユーザー数の過大評価、リピート率の過小評価、コンバージョン経路の途中切れが同時に起きます。見かけ上の新規が増えているのに売上が伸びないときは、施策の成否を疑う前にSafari比率とセッション間隔を確認してください。ブラウザ単位の数え方と人数指標の限界はUB数（ユニークブラウザ数）とは？UU・UDとの違いと数え方・GA4での見方で詳しく扱っています。

アフィリエイト計測が途切れる条件

アフィリエイトは、掲載媒体のリンククリックから広告主サイトでの成果発生までをCookieで結びつけるため、ITPがこの導線の複数箇所に同時に効きます。

第一に、Cookie利用がブロックされたリクエストでは、後続のリダイレクトでもCookieを利用できません。ただし、ASPを経由するトップレベル遷移が、この理由だけで一律に計測不能になるわけではありません。第二に、ITPで分類されたドメインからクリックID付きURLへ遷移した場合、着地ページでJavaScriptが設定する永続Cookieの有効期限は最大24時間に制限されます。第三に、ASPの計測ドメインをCNAMEで広告主のサブドメインに見せる構成も、2020年11月以降は7日上限が適用されます。

ここから導かれる設計指針は明確です。成果地点までの想定日数がクリック当日を超える商材では、Cookieの有効期間だけに依存した計測をやめ、広告主側でクリックIDを保存し、注文や会員IDなどとの対応関係を保持して、成果発生時に照合する方式を検討します。クリックIDをデータベースへ保存するだけでは、後日の成果との関連付けは成立しません。ASPを比較検討するときは、対応可否を「ITP対応済み」という表記ではなく、サーバー間での成果通知に対応しているかどうかで確認してください。

ITP対策の適用条件と採用を避ける構成

対策情報は2019年から2021年にかけて大量に書かれ、その多くが現行仕様と合わなくなっています。

今も効く手段は、自社サーバーがHTTPレスポンスのSet-CookieヘッダでファーストパーティCookieを発行する方式です。WebKitが7日上限の対象として列挙しているのはJavaScriptで作られたCookieとスクリプト書き込み可能なストレージであり、24時間上限の対象も着地ページのJavaScriptが発行したCookieです。自社ドメインのサーバーが直接発行し、CNAMEやIPアドレスのクローキングに該当しないCookieは、これらの記述の対象に含まれていません。あわせて HttpOnly 属性を付ければ、JavaScriptからの読み書きも遮断できます。

この文脈でサーバーサイドのタグ管理がよく挙がりますが、その目的はページの処理負荷軽減、送信データの制御、データ品質の改善も含みます。Cookieが7日上限の対象になるかどうかは、タグをどこで動かすかではなく、Cookieの発行方法とドメイン構成で決まります。導入を検討するときはこの2点を先に確認してください。ファーストパーティCookieの性質はファーストパーティークッキーとは何か？基本的な仕組みと概要で確認できます。

Storage Access APIも有効です。WebKitはサードパーティCookieへのアクセスを得る正規の経路としてこれを挙げており、埋め込みログインのように利用者が意図する機能なら、明示的な許可を得てCookieを利用できます。利用者の操作と許可が前提なので、本人に見えない計測目的には使えません。

すでに効かない手段の筆頭が、前述のCNAMEクローキングです。「計測ドメインを自社サブドメインに向ければファーストパーティになる」という説明は、2020年11月12日以降のSafariには当てはまりません。localStorageへの退避も恒久的な対策にはなりません。ITP 2.3では分類済みドメインからリンク装飾付きで遷移したサイトが対象となり、2020年3月の更新でスクリプト書き込み可能なストレージ全般へ無操作時の削除が拡大されました。フィンガープリンティングによる代替識別も、WebKitがアンチフィンガープリンティングの項目を設けて対処しているうえ、利用者の同意なく識別子を再生成する行為はプライバシー保護の趣旨に真っ向から反します。

採用すべきでない場面も明示しておきます。判断材料は、Safari経由で取りこぼしている成果の件数と金額、そして専用基盤の導入費と運用費の2つです。前者が後者を下回るなら、専用基盤の構築は見送ってください。Safari比率が低く、計測対象が当日完結型のキャンペーンであれば、この条件に当てはまることが多くなります。その場合はSafari分を推定で補正する運用に留め、報告では推定値と実測値を必ず区別します。既存の計測基盤で対応できるなら、Safariを含む複数ブラウザで共通して効く設計を優先してください。広告事業者間の識別子共有の仕組みについてはクッキーシンク（Cookie Sync）とは？その仕組みと基本概念で解説しています。

Safari側の設定項目と利用者から見える挙動

ITPは利用者側の設定画面にも項目として現れます。Appleの日本語サポート文書では、iPhoneの「設定」から「アプリ」、「Safari」と進んだ先にある「サイト越えトラッキングを防ぐ」について、「他社製のCookieとデータをデフォルトで制限します。このオプションをオフにすると、サイト越えトラッキングが許可されます。」と説明されています。

Macの場合はSafariの設定の「プライバシー」にあり、同じ項目が「第三者コンテンツプロバイダ（アクセスした第三者コンテンツプロバイダを除く）からのトラッキングデータを定期的に削除します。」と説明されています。同じ画面の「詳細設定」には、Appleの説明によれば「トラッキングとフィンガープリント保護、Apple PayとApple Card、広告の測定、およびすべてのCookieのブロックのためのプライバシーの詳細オプション」が置かれています。「広告の有効性のプライバシー保護測定を許可」はこの広告の測定に対応する項目で、WebKitがWeb AdAttributionKitと呼ぶ仕組みを制御します。WebKitはこれを Web AdAttributionKit (formerly Private Click Measurement) is a way for advertisers, websites, and apps to implement ad attribution and click measurement in a privacy-preserving way. と説明しており、Private Click Measurementから改称された機能です。廃止されたわけではありません。

これらは利用者側で切り替えられる項目なので、ITPの影響度はブラウザ比率だけでは決まりません。既定で有効な設定を前提に、取得目的を同意画面で説明し、自社で完結する計測へ寄せる設計が仕様変更に強く残ります。

よくある質問

ITPとはどういう意味ですか？

Web計測の文脈ではIntelligent Tracking Preventionの略で、AppleのWebKitが備えるトラッキング防止機能を指します。医療分野では免疫性血小板減少症（旧称：特発性血小板減少性紫斑病、指定難病63）を指す別の略語で、「ITPとは」とだけ検索するとこちらが上位に並びます。「ITP Safari」「ITP Cookie」のように対象を添えて検索してください。

ITPはAppleのどの製品に入っていますか？

WebKitに実装されているため、macOS・iOS・iPadOSのSafariで既定で有効です。iOS・iPadOS上でWebKitを使うブラウザにも同じ制限が及びます。

ITP対応とは具体的に何をすることですか？

JavaScriptで発行しているファーストパーティCookieを、自社サーバーがSet-Cookieヘッダで発行する方式へ移すことが中心です。クリックIDもCookieだけに保持せず、サーバー側で受け取って保存し成果発生時に突き合わせます。埋め込みログインなど利用者が意図する機能では、Storage Access APIで明示的に許可を得ます。

「サイト越えトラッキングを防ぐ」をオフにすれば計測は元に戻りますか？

Appleの説明では、このオプションをオフにするとサイト越えトラッキングが許可されます。ただし設定を変更するのは利用者本人であり、事業者側から操作することはできません。既定で有効である以上、オフになっている利用者を前提にした計測設計は成り立たないと考えてください。

アフィリエイトのCookie有効期間はITPで何日になりますか？

一律の日数はなく、Cookieの発行方法で変わります。ITPで分類されたドメインからクリックID付きURLへ遷移した場合、その着地ページでJavaScriptが設定した永続Cookieは最大24時間です。CNAMEでクロークされた応答が設定したCookieは7日が上限です。JavaScript発行Cookieは、サイトへの操作がないままSafariを使用した日が7日分に達すると削除対象になります。ASP各社が案内する成果承認期間とは別の話なので、実際の計測可能期間は導入前に実機で確認してください。

関連記事

• サードパーティCookieとは？仕組みとブラウザ別の扱いを解説【2026年最新】
• サードパーティCookie廃止の現在地と企業がとるべき対策【2026年最新】
• ファーストパーティークッキーとは何か？基本的な仕組みと概要
• UB数（ユニークブラウザ数）とは？UU・UDとの違いと数え方・GA4での見方
• クッキーシンク（Cookie Sync）とは？その仕組みと基本概念