La lista che impedisce ai cookie di confondere due siti diversi

Due sottodomini possono appartenere alla stessa azienda oppure a persone che non hanno nulla in comune. Per un browser la differenza conta: condividere un cookie fra negozio e area account può essere voluto; condividerlo fra due clienti di una piattaforma di hosting no.

La Public Suffix List registra dove si trovano questi confini. Include suffissi come co.uk, ma anche domini di piattaforme come github.io. Il browser può così rifiutare un cookie che pretende di valere per l’intero dominio condiviso, invece di lasciarlo arrivare a siti gestiti da altri.

Un’analisi di ngrok ricostruisce il funzionamento dell’elenco e gli usi che si sono accumulati attorno: gestori di password, riconoscimento dei domini e limiti all’emissione di certificati. Questi ultimi hanno anche creato incentivi a chiedere nuove voci per ottenere quote separate, un uso che i manutentori scoraggiano.

La lista nasce in Mozilla nel 2007 ed è mantenuta da un piccolo gruppo di volontari. Il problema raccontato da ngrok è quanto lavoro comporti decidere chi ammettere, mentre sempre più servizi dipendono da quelle righe. Il DNS sa dove inviare una richiesta; questo elenco aiuta il software a capire dove finisce il controllo di chi la riceve.