Chrome non eliminerà i cookie di terze parti: cosa cambia

Per anni una scadenza ha guidato i piani di mezzo web: Chrome, il browser più usato al mondo, avrebbe smesso di accettare i cookie di terze parti, quelli che permettono di seguire una persona da un sito all’altro. Interi settori - pubblicità online, misurazione del traffico, sistemi di login condivisi - si erano messi a riprogettare i propri strumenti per un mondo “senza cookie”. Il 22 aprile 2025 Google ha annunciato che quel mondo non arriverà: Chrome manterrà l’approccio attuale ai cookie di terze parti e non introdurrà nemmeno la nuova richiesta di scelta che aveva promesso l’anno prima. Per chi naviga non cambia quasi nulla. Per chi lavora con analytics, pubblicità e autenticazione tra siti diversi, cambia il quadro su cui aveva lavorato a lungo.

La notizia in breve

L’annuncio è arrivato sul blog della Privacy Sandbox, il progetto con cui Google stava provando a sostituire i cookie di terze parti. In sintesi: Google mantiene l’attuale sistema di scelta sui cookie di terze parti in Chrome e non introdurrà una nuova richiesta dedicata che chieda all’utente se accettarli o rifiutarli. Le persone continuano a gestire questa preferenza dove già possono farlo oggi, cioè nelle impostazioni di privacy e sicurezza del browser.

Nello stesso testo Google aggiunge due cose. La prima: le tecnologie della Privacy Sandbox “potrebbero avere un ruolo diverso” da quello previsto, e nei mesi successivi verrà condivisa una road map aggiornata. La seconda: le protezioni contro il tracciamento nella navigazione in incognito proseguono, con l’arrivo previsto nel terzo trimestre del 2025 della cosiddetta IP Protection, una funzione che nasconde l’indirizzo di rete in quella modalità. È un annuncio di direzione, non una specifica tecnica: i dettagli del nuovo piano erano, al momento, ancora da definire.

Un cookie è un piccolo file che un sito chiede al browser di salvare, per ricordarsi qualcosa tra una visita e l’altra: che hai fatto il login, cosa hai messo nel carrello, la lingua che preferisci. Fin qui è comodo e innocuo.

La differenza sta in chi imposta il cookie. Un cookie di prima parte appartiene al sito che stai visitando, quello scritto nella barra degli indirizzi. Un cookie di terze parti, invece, viene impostato da un dominio diverso: tipicamente una rete pubblicitaria, uno strumento di statistiche, un pulsante social o un contenuto incorporato (per esempio un video). Siccome lo stesso fornitore è presente su tanti siti diversi, quel cookie gli permette di riconoscere la stessa persona mentre si sposta da un sito all’altro. È questo il meccanismo che rende possibile il tracciamento tra siti: costruire un profilo di ciò che uno guarda in giro per il web, soprattutto a fini pubblicitari.

Vale la pena essere onesti: i cookie di terze parti non servono solo alla pubblicità invadente. Sostengono anche usi legittimi, come misurare se una campagna ha portato una vendita, evitare di mostrare lo stesso annuncio cento volte, e far funzionare alcuni sistemi di login unico tra siti diversi (in inglese single sign-on, o SSO), spesso costruiti sopra protocolli come OAuth, dove ci si autentica una volta e si resta riconosciuti su più domini collegati. Per questo la loro rimozione toccava tanti equilibri insieme.

Come ci siamo arrivati

La storia parte nel 2019, quando Google presenta la Privacy Sandbox con un obiettivo dichiarato: togliere da Chrome i cookie di terze parti e rimpiazzarli con nuove tecnologie pensate per fare le stesse cose (pubblicità mirata, misurazione) senza seguire il singolo utente. L’idea era buona sulla carta, ma il traguardo è stato rinviato più volte, perché costruire alternative accettabili per tutti - inserzionisti, editori, autorità - si è rivelato difficile.

C’è anche un fronte regolatorio. Nel 2022 Google ha avviato un impegno formale con le autorità britanniche per la concorrenza (la CMA) e per la protezione dei dati (l’ICO). Il timore era che, rimuovendo i cookie di terze parti, Google finisse per favorire il proprio sistema pubblicitario a scapito dei concorrenti più piccoli, che di quei cookie vivono. Un cambiamento venduto come tutela della privacy rischiava così di diventare anche una questione di concorrenza.

La svolta vera arriva il 22 luglio 2024: invece di eliminare i cookie di terze parti, Google annuncia che introdurrà “una nuova esperienza in Chrome” con cui l’utente sceglie una volta come comportarsi, potendo poi cambiare idea quando vuole. Nove mesi dopo, il 22 aprile 2025, anche quella nuova richiesta viene accantonata: si tiene ciò che c’è già nelle impostazioni, senza aggiungere prompt. In pratica, in poco più di un anno il piano è passato da “rimuoviamo i cookie” a “lasciamo scegliere l’utente” a “non cambiamo l’esperienza attuale”.

Perché la giravolta conta

Per chi visita i siti, ripetiamolo, l’effetto pratico è minimo. Il peso ricade su chi costruisce e gestisce servizi.

Pubblicità online. Molti operatori avevano investito tempo e denaro per testare le nuove interfacce della Privacy Sandbox - con nomi come Topics, Protected Audience e Attribution Reporting - pensate per rimpiazzare i cookie. Ora che la scadenza che spingeva quella migrazione non c’è più, e che Google stesso dice che quelle tecnologie “potrebbero avere un ruolo diverso”, quegli investimenti restano in un limbo. Non sono buttati, ma non hanno più una data che li rende obbligatori.

Misurazione e analytics. Attribuire una conversione seguendo l’utente tra domini diversi, per ora, resta possibile con i cookie di terze parti dove il browser li accetta. Chi aveva già iniziato a spostarsi verso metodi che non dipendono da quei cookie non ha lavorato invano, ma la pressione a completare in fretta il passaggio si allenta.

Login tra siti diversi. Alcuni flussi di autenticazione condivisa tra domini si appoggiano ai cookie di terze parti. La loro rimozione li avrebbe rotti, costringendo a riscriverli. La decisione di Chrome toglie, almeno per ora, questa urgenza.

Non vuol dire “tutto come prima”

Sarebbe un errore leggere l’annuncio come un ritorno al passato senza pensieri. Alcuni fatti restano.

Chrome è il browser più diffuso, ma non è l’unico. Safari di Apple e Firefox di Mozilla bloccano già da tempo i cookie di terze parti in modo predefinito. Significa che una fetta importante del traffico gira comunque senza di essi: appoggiare tutto sui cookie di terze parti resta una scelta fragile, indipendentemente da cosa fa Chrome.

Restano anche le protezioni di Chrome nella navigazione in incognito, con la IP Protection attesa per il terzo trimestre 2025, dopo che il browser aveva già esteso ad altri ambiti, come la cifratura post-quantum delle connessioni, il proprio lavoro sulla sicurezza. E resta l’incertezza sul futuro della Privacy Sandbox stessa, il cui ruolo verrà ridefinito.

Infine, un punto che i browser non toccano: le regole sulla privacy. In Europa il GDPR e la normativa ePrivacy richiedono comunque il consenso dell’utente per i cookie di tracciamento. Che Chrome li accetti o no, chi gestisce un sito deve chiedere il consenso quando previsto. La decisione tecnica di Google non cancella gli obblighi di legge.

Cosa conviene fare adesso

Non smontare quello che si è già fatto. La direzione generale del web resta verso meno cookie di terze parti, non di più. Il lavoro fatto per ridurne la dipendenza mantiene valore.
Puntare sui dati di prima parte. Le informazioni raccolte direttamente dal proprio sito, con il consenso dell’utente, sono più solide e meno esposte alle scelte dei browser.
Mappare le dipendenze. Sapere quali funzioni - SSO, contenuti incorporati, misurazione - dipendono davvero dai cookie di terze parti, e avere un piano B per ciascuna.
Seguire la nuova road map. Google ha promesso un aggiornamento nei mesi successivi: vale la pena leggerlo prima di prendere decisioni definitive.

In sintesi

Google ha deciso di non rimuovere i cookie di terze parti da Chrome e di non introdurre nemmeno la richiesta di scelta annunciata nel 2024: resta ciò che c’è già nelle impostazioni. È un cambio di rotta rispetto ad anni di piani “senza cookie”, e ridimensiona il ruolo della Privacy Sandbox, il cui futuro sarà chiarito da una road map successiva. Per chi naviga non cambia quasi nulla. Per chi lavora con pubblicità, analytics e login tra siti, il messaggio è di non correre, ma nemmeno di illudersi: altri browser bloccano già quei cookie e le regole sul consenso restano in piedi. La strada verso meno tracciamento è solo diventata meno ripida, non è sparita.