Apple ha portato la sua misurazione pubblicitaria nel W3C

La specifica combina aggregazione e privacy differenziale per rendere impossibile risalire ai singoli utenti

Mentre l’industria ad-tech era distratta dal collasso dei cookie, Apple ha silenziosamente trasformato la sua Private Click Measurement in uno standard W3C. Lo scorso 8 luglio, senza fanfare, il World Wide Web Consortium ha pubblicato la specifica Privacy Preserving Attribution Level 1, un’API per browser che abilita la raccolta di metriche aggregate e differenzialmente private per l’attribuzione pubblicitaria. La mossa arriva dopo anni di battaglie, ritiri e progetti abortiti, e riscrive in pochi paragrafi tecnici gli equilibri di chi può misurare cosa nel programmatic.

L’API trasparente che nessuno ha visto arrivare

Il cuore della specifica è una combinazione di aggregazione e privacy differenziale. «This document defines an API for browsers that enables the collection of aggregated, differentially-private metrics» recita l’introduzione ufficiale del W3C. In pratica, nessun dato grezzo sulla singola conversione lascia il browser: il sistema aggrega i contributi e vi applica rumore statistico per rendere impossibile risalire al comportamento di un individuo. «Differential privacy is used to provide additional privacy protection for each contribution», prosegue il testo. Non è un dettaglio: è il meccanismo che distingue questa API da tutti i tentativi precedenti di attribuzione basati su identificatori persistenti.

Per chi lavora nella catena di supply advertising, suona familiare perché Apple aveva già piantato i semi. Già nel febbraio 2021, WebKit aveva introdotto la prima API di attribuzione privacy-preserving a livello di browser con Private Click Measurement. PCM utilizzava un identificatore a 8 bit sul lato sorgente del clic (fino a 256 campagne parallele misurabili per sito o app) e un identificatore a 4 bit sul lato conversione (16 eventi di conversione distinguibili). L’API W3C eredita quella logica minimalista ma la porta dentro uno standard aperto, con la privacy differenziale come strato di protezione aggiuntivo. Così Apple non solo ha blindato la misurazione su Safari, ma ora propone la propria architettura come lingua franca.

Il campo di battaglia post-Google

La pubblicazione dello scorso 8 luglio non arriva nel vuoto. Nell’ottobre 2025, Google ha ritirato la sua Attribution Reporting API a causa della scarsa adozione, lasciando un buco normativo e tecnico nella misurazione delle campagne post-cookie. Quell’API, parte del Privacy Sandbox, era stata pensata come standard di fatto per Chrome, ma gli operatori del mercato l’hanno snobbata. Con Chrome che rappresenta oltre il 60% del traffico browser, il fallimento dell’attribuzione lato Google ha costretto tutti a guardare altrove.

Ed è qui che si inserisce Apple. Mentre Google si ritirava, Mozilla e Meta provavano a costruire un’alternativa congiunta: l’Interoperable Private Attribution (IPA). Ma la proposta non ha mai raggiunto il consenso. Come ha ammesso Martin Thomson di Mozilla, «We ultimately failed to get agreement on aspects of that design». Il fallimento del consenso sulla proposta IPA ha di fatto azzerato la concorrenza: l’unica specifica ancora in piedi, e ora ufficialmente riconosciuta dal W3C, è quella spinta da Apple. Non è un caso che la data di pubblicazione della spec – 8 luglio 2026 – sia arrivata mentre il resto del settore discuteva ancora delle macerie del Privacy Sandbox.

La partita degli equilibri è chiara: Apple detiene il controllo di un ecosistema chiuso (Safari su iOS) e ora offre al W3C un meccanismo di attribuzione che, per sua natura aggregata, richiede un servizio di aggregazione centralizzato e fidato. Google aveva tentato la stessa strada con l’Aggregation Service della sua ARA, ma senza adozione. Apple, invece, può beneficiare della propria base installata e della propria reputazione in fatto di privacy per spingere l’implementazione almeno sul proprio browser. Chi perde? In primis Meta e Mozilla, che vedono sfumare la possibilità di un design alternativo; poi tutti gli operatori ad-tech che avevano investito sulla compatibilità con l’ARA di Google e ora si trovano davanti a una specifica diversa, senza uno sponsor lato Chrome.

Adozione fantasma?

Ma uno standard senza implementazione è solo un documento. Il rischio che la Privacy Preserving Attribution Level 1 resti confinata al giardino di Apple è concreto. L’Attribution Reporting API di Google è morta proprio per mancanza di adozione da parte degli attori del programmatic. Senza un commit pubblico di Chrome, Edge o Firefox a implementare l’API, le DSP e le piattaforme di misurazione difficilmente dedicheranno risorse di sviluppo a un protocollo che copre solo il traffico Safari, per quanto importante.

La specifica c’è, la tecnologia è solida, ma l’adozione resta la vera incognita. Senza un ecosistema di ad-tech disposto a implementarla, anche lo standard più elegante rischia di rimanere lettera morta. La domanda aperta è se Apple riuscirà a convincere il mercato a seguirla, o se l’attribuzione privacy-preserving resterà confinata nel suo giardino.