Cookie di terze parti in Chrome: la cronologia

Il piano di Google per eliminare i cookie di terze parti da Chrome è andato avanti per cinque anni e si è chiuso senza alcuna eliminazione. Chrome lascia ancora a ogni utente la scelta, nelle impostazioni, se consentire o bloccare i cookie di terze parti, e li blocca per impostazione predefinita solo in modalità Incognito. Il 22 aprile 2025 Anthony Chavez, VP di Privacy Sandbox, ha scritto che Google aveva "deciso di mantenere l'attuale approccio, che lascia agli utenti la scelta sui cookie di terze parti in Chrome, e di non introdurre una nuova richiesta autonoma per i cookie di terze parti." Qualsiasi piano che si basi ancora su una data di chiusura di Chrome poggia su un annuncio che Google ha ritirato.

Le definizioni alla base del termine, cioè quale cookie sia di prima parte e quale di terze parti, sono spiegate in cookie di prima parte e di terze parti a confronto. Questa pagina segue la cronologia e spiega cosa cambia per la misurazione di un sito web.

Quando ha annunciato Google ogni passaggio?

Google ha annunciato il piano il 14 gennaio 2020 e ha pubblicato sette aggiornamenti nei cinque anni successivi, ciascuno sui propri blog. La tabella elenca ogni passaggio con le parole usate da Google.

Data	Fonte	Cosa ha detto Google
14 gennaio 2020	Chromium Blog, Justin Schuh	"prevediamo di eliminare gradualmente il supporto ai cookie di terze parti in Chrome. La nostra intenzione è farlo entro due anni."
24 giugno 2021	Blog di Google, Vinay Goel	Chrome li avrebbe eliminati gradualmente "in un periodo di tre mesi, a partire da metà 2023 e fino a fine 2023."
27 luglio 2022	Blog di Google, Anthony Chavez	"ora intendiamo iniziare a eliminare gradualmente i cookie di terze parti in Chrome nella seconda metà del 2024."
14 dicembre 2023	Blog di Google, Anthony Chavez	Test di Tracking Protection dal 4 gennaio 2024 sull'1% degli utenti Chrome nel mondo, con l'eliminazione "per tutti nella seconda metà del 2024", subordinata alla Competition and Markets Authority del Regno Unito.
23 aprile 2024	Sito di Privacy Sandbox	"non completeremo l'eliminazione dei cookie di terze parti nella seconda metà del quarto trimestre", con l'eliminazione prevista "a partire dall'inizio del prossimo anno."
22 luglio 2024	Sito di Privacy Sandbox, Anthony Chavez	"Invece di eliminare i cookie di terze parti, introdurremmo in Chrome una nuova esperienza che permette alle persone di fare una scelta informata."
22 aprile 2025	Sito di Privacy Sandbox, Anthony Chavez	Chrome mantiene l'attuale scelta sui cookie di terze parti e abbandona la richiesta autonoma.
17 ottobre 2025	Sito di Privacy Sandbox, Anthony Chavez	Google ritira la maggior parte delle API di Privacy Sandbox, tra cui Topics, Protected Audience e Attribution Reporting API.

Il post di ottobre 2025 è la dichiarazione più recente sul sito di Privacy Sandbox di Google, e il banner del sito riporta ancora "Alcune tecnologie di Privacy Sandbox vengono gradualmente eliminate."

Colleghi attorno a un tavolo da conferenza impegnati in una discussione seria, a rappresentare i confronti tra autorità di regolamentazione e settore che hanno continuato a rimandare l'eliminazione dei cookie da parte di Google.

Perché Google ha continuato a rimandare l'eliminazione?

Google ha legato ogni rinvio alle autorità di regolamentazione e alla preparazione del settore, e lo ha detto con parole sue. L'aggiornamento di aprile 2024 citava "le sfide in corso legate alla conciliazione dei pareri divergenti di settore, autorità di regolamentazione e sviluppatori" e diceva che era "fondamentale che la CMA abbia tempo sufficiente per esaminare tutte le prove." Il post di luglio 2024 affermava che la transizione "richiede un lavoro significativo da parte di molti partecipanti e avrà un impatto su editori, inserzionisti e tutti coloro che operano nella pubblicità online."

Ad aprile 2025 i motivi si erano ampliati. Chavez ha scritto che "esistono prospettive divergenti sulle modifiche che potrebbero incidere sulla disponibilità dei cookie di terze parti" e che il quadro normativo "è cambiato considerevolmente" da quando Google ha avviato il confronto formale con la CMA e l'ICO nel 2022. Il piano non è mai fallito per un problema tecnico. Si è fermato per mancanza di accordo.

Chrome affida la decisione all'utente, e la sua pagina di aiuto indica un solo blocco predefinito: "Per impostazione predefinita, i cookie di terze parti sono bloccati in modalità Incognito." Nelle finestre normali l'impostazione si trova in Impostazioni, poi Privacy e sicurezza, poi Cookie di terze parti, con due opzioni, Consenti cookie di terze parti e Blocca cookie di terze parti.

Chi li blocca può comunque aggiungere dei siti a un elenco di eccezioni, e la pagina di aiuto di Chrome dice che quei siti "possono usare i cookie di terze parti sia nella navigazione normale sia in quella in Incognito." Un sito consentito dalla barra degli indirizzi in una finestra normale entra in quell'elenco e può usare i cookie di terze parti "per 90 giorni o finché non disattivi l'impostazione." Per chi analizza il traffico di Chrome, questo significa un quadro misto. Nella maggior parte delle sessioni normali i cookie di terze parti funzionano, in quelle Incognito no, e alcuni utenti hanno cambiato l'impostazione di persona.

Quali API di Privacy Sandbox ha ritirato Google?

L'aggiornamento di Google del 17 ottobre 2025 ha ritirato dieci tecnologie di Privacy Sandbox "alla luce dei loro bassi livelli di adozione" e ne ha mantenute tre. L'elenco di quelle ritirate comprende Attribution Reporting API, IP Protection, Private Aggregation con Shared Storage, Protected Audience, Related Website Sets, Topics e SelectURL. Quelle che Google mantiene sono CHIPS, FedCM e Private State Tokens, e Google ha detto che continuerà a lavorare a uno standard di attribuzione interoperabile attraverso il Private Advertising Technology Working Group del W3C.

Per i team di analytics, quella che conta è la Attribution Reporting API. La pagina di Google la descriveva come un modo per "Capire i percorsi degli utenti dal clic sull'annuncio all'acquisto, senza un tracciamento invasivo tra siti diversi." Quell'API ora è ritirata, così come l'eliminazione dei cookie accanto alla quale era stata costruita. CHIPS resiste, quindi i servizi incorporati che hanno bisogno di un cookie per ogni sito di primo livello hanno ancora i cookie partizionati.

Sì. Safari blocca i cookie di terze parti per impostazione predefinita e Firefox confina ogni cookie al sito su cui è stato creato, in entrambi i casi anni prima che Chrome abbandonasse il suo piano. Il 24 marzo 2020 John Wilander ha annunciato sul blog di WebKit, per Safari 13.1 su macOS e per iOS e iPadOS 13.4, che "I cookie per le risorse cross-site ora sono bloccati per impostazione predefinita su tutta la linea."

Il 14 giugno 2022 Mozilla ha reso Total Cookie Protection "una funzione predefinita per tutti gli utenti di Firefox desktop nel mondo". Un cookie creato da un sito o da contenuti incorporati al suo interno "è confinato al cookie jar assegnato solo a quel sito", quindi un tracker incorporato in dieci siti conserva dieci cookie separati e non vede mai lo stesso visitatore tra un sito e l'altro. La rimozione che Chrome ha annullato è quindi già avvenuta altrove, e chiunque arrivi sul tuo sito da Safari o Firefox lo fa senza un cookie cross-site utilizzabile.

Un analista al lavoro alla scrivania con un portatile e appunti scritti a mano, a rappresentare il lavoro di misurazione colpito dal blocco dei cookie di terze parti.

Cookie di terze parti per browser

Safari

Blocca i cookie di terze parti per impostazione predefinita
Le risorse cross-site sono bloccate su tutta la linea
I contenuti incorporati possono chiedere l'accesso tramite la Storage Access API

Firefox

Total Cookie Protection è attiva per impostazione predefinita
Ogni cookie resta nel jar del sito che lo ha creato
Un tracker presente su dieci siti conserva dieci cookie separati

Chrome

Gli utenti li consentono o li bloccano nelle impostazioni
Bloccati per impostazione predefinita solo in modalità Incognito
Un elenco di eccezioni permette ai siti scelti di mantenerli

Safari e Firefox limitano i cookie di terze parti per tutti, mentre Chrome lascia la scelta all'utente.

Il blocco dei cookie di terze parti manda in crisi le misurazioni che seguono un visitatore da un sito all'altro, ma lascia in pace gli strumenti di analisi che girano sul tuo dominio. Se uno script di analisi sul tuo sito salva il proprio ID in un cookie sul tuo dominio, imposta un cookie di prima parte, e le regole sulle terze parti non lo riguardano.

Flowsery

–

Analytics per il tuo sito che parte dalle entrate

Inizia la prova gratuita di 14 giorni

Dashboard in tempo reale

Monitoraggio degli obiettivi

Tracciamento senza cookie

Cosa si rompe davvero:

Identità tra siti. Le reti pubblicitarie perdono l'ID condiviso che avevano abbinato tra un sito e l'altro, ed è proprio quello che il cookie syncing serve a costruire.
Dati di view-through e retargeting. Tutto ciò che doveva riconoscere un visitatore arrivato da un annuncio su un altro sito vede uno sconosciuto su Safari, Firefox e Chrome in Incognito.
Widget incorporati. Gli iframe che mantengono un login o uno stato tra siti diversi richiedono CHIPS o la Storage Access API.

Anche l'analisi di prima parte ha un suo limite. Safari limita a sette giorni i cookie scritti da JavaScript, anche sul tuo dominio, e il limite di 7 giorni dei cookie di Safari spiega come questo gonfi il conteggio dei nuovi visitatori. Questa regola nasce dalla prevenzione del tracciamento di Safari, non dalla categoria delle terze parti, e il passo indietro di Chrome non la tocca.

Lo script di Flowsery gira sul tuo sito e, per impostazione predefinita, salva l'ID del visitatore in un unico cookie di prima parte sul tuo dominio, _fs_vid, e l'ID di sessione nella sessionStorage del browser, quindi il blocco dei cookie di terze parti non lo riguarda. Flowsery non imposta cookie di terze parti. La documentazione dello script di Flowsery dice che l'attributo data-domain "Imposta l'ambito del cookie per gli ID di visitatore e di sessione" e che il suo valore predefinito è location.hostname. Se lo imposti sul tuo dominio principale, i sottodomini condividono lo stesso ID visitatore. La modalità cookieless è facoltativa. La schermata di configurazione la descrive come "Hash a rotazione giornaliera, nessun dato personale memorizzato", e data-domain "Non ha effetto in modalità cookieless." In modalità cookieless gli ID dei visitatori cambiano ogni giorno, quindi Flowsery non collega un visitatore anonimo tra giorni o dispositivi diversi. In entrambe le modalità, la chiamata identify() di Flowsery collega un utente autenticato. La pagina sull'analisi web orientata alla privacy elenca il resto della configurazione, compreso uno script di tracciamento sotto i 10 KB e nessuna raccolta di indirizzi IP o fingerprint del browser.

Domande frequenti

No. Google ha annunciato il piano a gennaio 2020, lo ha rinviato tre volte, a luglio 2024 ha proposto la scelta da parte dell'utente e il 22 aprile 2025 ha confermato che Chrome mantiene l'attuale opzione sui cookie di terze parti. Chrome blocca i cookie di terze parti per impostazione predefinita solo in modalità Incognito.

L'articolo più recente sul sito Privacy Sandbox di Google è datato 17 ottobre 2025. Ha ritirato la maggior parte delle API di Privacy Sandbox, tra cui Topics, Protected Audience e l'Attribution Reporting API, e ha mantenuto CHIPS, FedCM e Private State Tokens. La decisione sui cookie risale invece al 22 aprile 2025.

No. L'articolo di Google di luglio 2024 proponeva una nuova esperienza di scelta, e quello di aprile 2025 ha detto che Chrome "non introdurrà un nuovo avviso autonomo per i cookie di terze parti". Gli utenti cambiano l'impostazione in Privacy e sicurezza, nelle impostazioni di Chrome.

Sì. Il 24 marzo 2020 WebKit ha annunciato che i cookie per le risorse cross-site sono bloccati per impostazione predefinita in ogni caso, a partire da Safari 13.1 e da iOS e iPadOS 13.4. I contenuti incorporati possono chiedere l'accesso tramite la Storage Access API, che coinvolge l'utente.

GA4 imposta i suoi cookie sul tuo dominio, quindi sono di prima parte e il blocco dei cookie di terze parti non li rimuove. Le impostazioni dei tag di Google li descrivono come cookie di prima parte di cui puoi modificare la scadenza. Il limite di sette giorni di Safari sui cookie scritti da JavaScript si applica comunque anche a loro.

Sì, per qualsiasi misurazione che dipenda da loro. Safari e Firefox li bloccano o li isolano già, e Chrome li blocca in Incognito e per ogni utente che cambia l'impostazione. Una misurazione basata su dati di prima parte non dipende da loro, anche se il limite di sette giorni di Safari sui cookie scritti da JavaScript vale comunque per i cookie di prima parte.

Apri Impostazioni, poi Privacy e sicurezza, poi Cookie di terze parti, e scegli Blocca i cookie di terze parti. Puoi comunque aggiungere dei siti a un elenco di eccezioni, e quei siti possono usare i cookie di terze parti sia nelle finestre normali sia in Incognito. Un sito consentito dalla barra degli indirizzi in una finestra normale entra in quell'elenco e può usare i cookie di terze parti per 90 giorni o finché non disattivi l'impostazione.

La Total Cookie Protection è una funzione di Firefox che Mozilla ha reso predefinita per tutti gli utenti desktop il 14 giugno 2022. Isola ogni cookie nel contenitore del sito web che lo ha impostato. Un tracker incorporato in dieci siti, quindi, ha dieci cookie separati e non vede mai lo stesso visitatore attraverso di loro.

Quali API di Privacy Sandbox ha mantenuto Google?

Google ha mantenuto CHIPS, FedCM e Private State Tokens nell'aggiornamento del 17 ottobre 2025. Ne ha ritirate altre dieci, tra cui Topics, Protected Audience e l'Attribution Reporting API, motivandolo con il basso livello di adozione. Google ha anche detto che continuerà a lavorare a uno standard di Attribution interoperabile tramite il W3C.

No. Lo script di Flowsery gira sul tuo sito e, per impostazione predefinita, salva l'ID del visitatore in un unico cookie di prima parte sul tuo dominio, _fs_vid, e l'ID di sessione nella sessionStorage. Il blocco dei cookie di terze parti non tocca nessuno dei due. La modalità cookieless è facoltativa, usa un hash a rotazione giornaliera e non memorizza dati personali, e Flowsery non imposta cookie di terze parti in nessuna delle due modalità.