Attribution レベル 1

partial interface Navigator {
  [SecureContext, SameObject] readonly attribute Attribution attribution;
};

const preferredServices = [
  "https://aggregator.example/tee",
  "https://aggregator.example/dap",
  "https://example.com/aggregator",
];
const supportedServices = navigator.attribution?.aggregationServices;
const serviceUrl = preferredServices.find(url => supportedServices?.has(url));

enum AttributionAggregationProtocol { "dap-18-histogram" };

dictionary AttributionAggregationService {
  required AttributionAggregationProtocol protocol;
};

[SecureContext, Exposed=Window]
interface AttributionAggregationServices {
  readonly maplike<USVString, AttributionAggregationService>;
};

[SecureContext, Exposed=Window]
interface Attribution {
  readonly attribute AttributionAggregationServices aggregationServices;
};

navigator.attribution.saveImpression({
  histogramIndex: 3,
  matchValue: 2,
  conversionSites: ["advertiser.example"],
  lifetimeDays: 7,
});

dictionary AttributionImpressionOptions {
  required unsigned long histogramIndex;
  unsigned long matchValue = 0;
  sequence<USVString> conversionSites = [];
  sequence<USVString> conversionCallers = [];
  unsigned long lifetimeDays = 30;
  long priority = 0;
};

dictionary AttributionImpressionResult {
};

[SecureContext, Exposed=Window]
partial interface Attribution {
  Promise<AttributionImpressionResult> saveImpression(AttributionImpressionOptions options);
};

const measurement = await navigator.attribution.measureConversion({
  ...serviceDetails,
  ...aggregatedMeasurementDetails,
  ...selectionDetails,
  ...attributionDetails,
});
sendReportToServer(measurement.report);

dictionary AttributionConversionOptions {
  required USVString aggregationService;
  double epsilon = 1.0;

  required unsigned long histogramSize;

  unsigned long lookbackDays;
  sequence<unsigned long> matchValues = [];
  sequence<USVString> impressionSites = [];
  sequence<USVString> impressionCallers = [];

  sequence<double> credit;
  unsigned long value = 1;
  unsigned long maxValue = 1;
};

dictionary AttributionConversionResult {
  required Uint8Array report;
};

[SecureContext, Exposed=Window]
partial interface Attribution {
  Promise<AttributionConversionResult> measureConversion(AttributionConversionOptions options);
};

origin origin を与えられ、 サイトについて インプレッションを消去するには、 次の手順を実行する。

1. origin がタプルオリジンでない場合、戻る。

2. origin のhost 部分を渡して、 登録可能ドメインを取得するを呼び出すことで返される値を site とする。

3. インプレッション ストアの各インプレッション impression について反復する。

   1. impression のIntermediary Site が undefined であり、 そのImpression Site が site と等しい場合、 remove impression from the インプレッションストア and continue.

   2. impression が site と等しいIntermediary Siteを持つ場合、 remove impression from the インプレッションストア and continue.

   3. impression のConversion Sites が site を含む場合:

      1. impression のConversion Sitesから site を削除する。

      2. impression のConversion Sites が空である場合、 impression をインプレッションストアから削除して、 continue。

   4. impression のConversion Callers が site を含む場合:

      1. impression のConversion Callersから site を削除する。

      2. impression のConversion Callers が空である場合、 impression をインプレッションストアから削除して、 continue。

この処理は、 空の集合のConversion Sitesで保存されたインプレッションを削除しない。

文字列 input を与えられ、 siteまたは失敗を返す サイトを解析するには、 次の手順を実行する。

1. host を、input を渡してホストパーサーを呼び出すことにより返される値とする。

2. host が failure である場合、failure を返す。

3. site を、host を渡して登録可能ドメインを取得するにより返される値とする。

4. site が null である場合、failure を返す。

5. site が "localhost" である場合、または site が ".localhost" で終わる場合、 failure を返す。

6. ("https", site) のscheme-and-host タプルを返す。

このアルゴリズムは、登録可能ドメインよりも多くの ドメインラベルを含む文字列からも、 site を正常に生成する。 たとえば、"extra.example.com" は "example.com" として解析される。

このアルゴリズムは localhost ドメイン [RFC6761] を受け入れない。 そのため、サイト名の抽出に依存する任意のアルゴリズムは、 localhost ドメインが言及された場合、 または現在のサイト（トップレベルまたはフレーム内）が localhost ドメインである場合に失敗する。 これは、テストおよび開発にローカルサーバーを使用することを困難にする可能性がある。 実装は、テストおよび開発を支援するために localhost チェックを無効化する設定を提供してもよい。

プライバシー予算 キー key、 インプレッションの集合 impressions、 double epsilon、 integer value、 integer maxValue、 boolean isSingleEpoch、 integer l1Norm、 プライバシー予算キーの集合 deductedImpressionQuotas およびエポックインデックスの集合 deductedGlobalBudgetsを与えられ、 プライバシー および安全予算を控除するには:

1. isSingleEpoch の場合は l1Norm、そうでない場合は 2 * value を l1NormSensitivity とする。

2. 2 * value を valueSensitivity とする。

3. 2 * maxValue / epsilon を noiseScale とする。

4. l1NormSensitivity / noiseScale を l1NormDeductionFp とする。

5. valueSensitivity / noiseScale を valueDeductionFp とする。

   単一エポックの attribution は、 エポックをまたぐ連鎖的影響を生じさせない。 複数エポックに関与する Attribution は、 1 つの変更がエポックをまたいで attribution に影響する可能性があるため、 2 倍の予算を消費する。 控除を 2 倍にすることは、 maxValue / epsilon に比例するラプラスノイズが 集計ヒストグラムに追加されることを前提としている。

6. l1NormDeductionFp * 1000000 を正の無限大方向に丸めたものを l1NormDeduction とする。

7. valueDeductionFp * 1000000 を正の無限大方向に丸めたものを valueDeduction とする。

8. attribution budget lock が true の場合、 その値が false になるまで待機し、 その後その値を true に設定する。

9. key、l1NormDeduction、valueDeduction、 impressions、および isSingleEpochを指定して 利用可能なプライバシー予算を確認するを 呼び出した結果が false の場合、次の手順を実行する。

   1. attribution budget lock を false に設定する。

   2. false を返す。

10. すべての予算確認に合格したので、控除を実行する。

    1. isSingleEpoch の場合は l1NormDeduction を deduction とし、そうでない場合は valueDeduction を deduction とする。

    2. プライバシー予算ストア内で key の値を取得する結果を、 サイトごとのプライバシー予算をデフォルトとして、 currentValue とする。

    3. プライバシー予算ストア内の key の値を currentValue − deduction に設定する。

    4. key のエポックインデックス要素を epoch とする。

    5. deductedGlobalBudgets が epoch を含まない場合、 deductedGlobalBudgets に epoch を追加し、 グローバルプライバシー予算 ストア[epoch] を valueDeduction だけ減算する。

    6. impressions 内の各 impression について反復する。

       1. impression のimpression siteを impressionSite とする。

       2. epoch および impressionSite を項目とする プライバシー予算 キーを impressionQuotaKey とする。

          以下は、そのサイトに対して複数のインプレッションがある場合に、 同じインプレッションサイトクォータから複数回予算を控除しないことを保証する。

       3. deductedImpressionQuotas が impressionQuotaKey を含まない場合:

          1. deductedImpressionQuotas に impressionQuotaKeyを追加する。

          2. エポックごとのインプレッションサイトクォータを デフォルトとして、 エポックごとのインプレッションサイトクォータ内の impressionQuotaKey の値を取得する結果を currentImpressionQuotaValue とする。

          3. エポックごとのインプレッションサイトクォータ[impressionQuotaKey\] の値を currentImpressionQuotaValue − valueDeduction に設定する。

11. attribution budget lock を false に設定する。

12. true を返す。

プライバシー予算 キー key、integer l1NormDeduction、 integer valueDeduction、 インプレッションの集合 impressions および boolean isSingleEpochを与えられ、 利用可能な プライバシー予算を確認するには:

1. isSingleEpoch の場合は l1NormDeduction を deduction とし、そうでない場合は valueDeduction を deduction とする。

2. プライバシー予算ストアから key の値を取得する値を、 サイトごとのプライバシー予算をデフォルトとして、 currentValue に設定する。

3. deduction が currentValue より大きい場合、false を返す。

4. key のエポックインデックス要素を epoch とする。

5. グローバルプライバシー予算ストアから epoch の値を取得する値を、 エポックごとのグローバルプライバシー予算をデフォルトとして、 currentGlobalValue に設定する。

6. valueDeduction が currentGlobalValue より大きい場合、false を返す。

7. impressions 内の各 impression について反復する。

   1. impression のimpression siteを impressionSite とする。

   2. epoch および impressionSite を項目とする プライバシー予算キーを impressionQuotaKey とする。

   3. インプレッションサイトクォータストアから impressionQuotaKey の値を取得する値を、 エポックごとのインプレッションサイトクォータを デフォルトとして currentImpressionQuotaValue に設定する。

   4. valueDeduction が currentImpressionQuotaValue より大きい場合、 false を返す。

8. true を返す。

ユーザー操作により、Document document 内でアクティベーションを引き起こす入力イベントが発火する場合、 ユーザーエージェントは、イベントを配送する前に、 アクティベーション通知手順に加えて、以下の手順を 実行しなければならない。 この場合、navigable navigable を null に設定する。

あるいは、ナビゲーションが開始するとき、 ユーザーナビゲーション関与が "browser UI" である場合、 navigable を影響を受けるnavigableに設定し、 document を null に設定して、 以下の手順を実行する。

手順は次のとおりである:

1. navigable が null でない場合、n を navigable とする。

2. そうでなければ、n を、document のノード navigableを取得した結果とする。

3. top を、n のトップレベル traversableを取得した結果とする。

4. top のattribution activation timestampを 現在の高解像度時刻に設定する。

トップレベル traversable top が、ナビゲートされるとき、 navigate アルゴリズムの一部として、 document state documentState が確定された後、 かつresponseの origin responseOrigin が既知になった後、 次の手順を実行する:

1. documentState のinitiator originが responseOrigin とsame siteである場合、返す。

2. top のattribution enabled flagを false に設定する。

Document document が与えられ、 失敗時に "NotAllowedError" DOMException を投げるものとして、 attribution API activation を確認するには:

1. n を、document のノード navigableを取得した結果とする。

2. top を、n のトップレベル traversableを取得した結果とする。

3. top のattribution enabled flagが true である場合、返す。

4. lastActivation を top のattribution activation timestampとする。

5. lastActivation にattribution activation duration を加えたものが、現在の高解像度時刻より小さい場合、 "NotAllowedError" DOMException を投げる。

6. top のattribution enabled flagを true に設定する。

時点 t が与えられ、 エポックインデックスを返して、 現在の エポックを取得するには：

1. period を、1 エポックの期間 とする。

2. エポック 開始時刻が設定されていない場合、 次のように、直近のエポック 内からランダムに選択された時刻に設定する：

   1. rand を、0（含む）から period（含まない）の間で ランダムに選択された期間を t から差し引いた値とする。

   2. ms を、Unix エポックから rand までの 期間に含まれるミリ秒数とする。

   3. hour を、ms を 3600000 （1 時間のミリ秒数）で割り、 ゼロ方向に丸めた後、 3600000 を掛けた値とする。

   4. エポック開始時刻を、Unix エポック に hour を期間として加えた値に設定する。

3. start をエポック開始時刻とする。

4. elapsed を (t − start) / period とする。

5. elapsed を、負の無限大方向に丸めた整数として返す。

時点 now が与えられ、 エポックインデックスを返して、 attribution 用の開始エポックを取得するには：

1. earliestEpochIndex を、 now − 最大 lookback 日数で現在のエポックを取得する 結果とする。

   これにより、可能なすべてのインプレッションを照会できることが保証される。

2. startEpoch を earliestEpochIndex とする。

3. 直近の閲覧履歴消去が設定されている場合、 次の手順を実行する：

   1. clearEpoch を、直近の閲覧履歴消去の値で 現在の エポックを取得する 結果とする。

      この現在のエポックを取得する の使用は、負の値を返すことがある。 これは、エポック開始時刻 が、履歴が最後に消去された後の時刻に設定される可能性が高いためである。

   2. clearEpoch を clearEpoch + 1 に設定する。

      1 を加えることは、attribution 用のエポック範囲が、 閲覧履歴が消去される前のエポック と重ならないようにするために必要である。

   3. clearEpoch が startEpoch より大きい場合、 clearEpoch を返す。

4. startEpoch を返す。

集合であるサイト sites、 ブール値 forgetVisits、 および時点 now が与えられ、 attribution 用に閲覧履歴を消去するには：

1. forgetVisits が false の場合：

   1. 表明する：sites は空で ない。

   2. sites 内の各 site について反復する：

      1. startingEpoch を、 now が与えられてattribution 用の開始エポックを 取得するを呼び出した結果とする。

      2. currentEpoch を、 now が与えられて現在のエポックを取得する を呼び出した結果とする。

      3. startingEpoch から currentEpoch までの包括範囲 内の各 epoch について反復する：

         1. key を、site と epoch から形成される プライバシー バジェットキーとする。

         2. プライバシー バジェットストア[key] を 0 に設定する。

   3. 返る。

2. sites が空である場合：

   1. インプレッションストアを消去する。

   2. プライバシーバジェット ストアを消去する。

   3. インプレッションサイトクォータストアを消去する。

   4. グローバル プライバシーバジェットストアを消去する。

3. sites が空でない場合：

   1. インプレッションストア内の各 impression について反復し、 sites が impression のインプレッションサイトを含む場合、 impression をインプレッションストアから削除する。

   2. プライバシーバジェットストアのキー 内の各 key について反復し、 sites が key のサイト構成要素を含む場合、 プライバシーバジェット ストア[key] を削除する。

   3. インプレッションサイトクォータストアのキー 内の各 key について反復し、 sites が key のサイト構成要素を含む場合、 インプレッションサイトクォータ ストア[key] を削除する。

      この処理はグローバル プライバシーバジェットストアには触れない。 主として、これはプライバシーバジェットが、 いったん消費されたら忘れられないことを保証するためである。

4. 直近の閲覧履歴消去を now に設定する。

   一部のサイトについてのみ状態を消去している間 （すなわち、sites が空で ない場合）に 直近の閲覧履歴消去を設定すると、 その集合に含まれていないサイトについて、一部のインプレッションに到達できなくなる。 実装は、その結果として使用できなくなる 使用不能なインプレッションや バジェット記録 （グローバルプライバシーバジェットストア内のものなど） も削除できる。

saveImpression(options) メソッド手順は 次のとおりである。

1. this から 暗黙の API 入力を取得する結果を implicitInputs とする。

2. Assert: implicitInputs は null でない。

3. options および implicitInputs を指定して インプレッションを保存するを実行した結果を返す。

AttributionImpressionOptions options および暗黙的 API 入力 implicitInputs が与えられ、 インプレッションを 保存するには：

1. document を implicitInputs の関連付けられた文書とする。

2. realm を document の関連するレルムとする。

3. document が "save-impression" という名前のポリシー制御機能を使用することを許可されていない場合、 realm 内の "NotAllowedError" DOMException で却下された promiseを返す。

4. document が与えられて、 attribution API activation を確認する。 投げられた理由があれば、その理由で却下された promiseを返す。

5. ページから供給される API 入力を検証する：

   1. options.histogramIndex が 実装定義の最大ヒストグラムサイズ以上である場合、 realm 内の RangeError で却下された promiseを返す。

   2. options.lifetimeDays が 0 である場合、 realm 内の RangeError で却下された promiseを返す。

   3. options.lifetimeDays を最大 lookbackに丸め込む。

   4. options.conversionSites のサイズが、 実装定義の インプレッションあたりの 最大 conversion site 数より大きい場合、 realm 内の RangeError で却下された promiseを返す。

   5. conversionSites を、options.conversionSites 内の各値について サイトを解析する を呼び出した結果である集合とする。

   6. conversionSites 内のいずれかの結果が failure である場合、 realm 内の "SyntaxError" DOMException で却下された promiseを返す。

   7. options.conversionCallers のサイズが、 実装定義の インプレッションあたりの 最大 conversion caller 数より大きい場合、 realm 内の RangeError で却下された promiseを返す。

   8. conversionCallers を、options.conversionCallers 内の各値について サイトを解析する を呼び出した結果である集合とする。

   9. conversionCallers 内のいずれかの結果が failure である場合、 realm 内の "SyntaxError" DOMException で却下された promiseを返す。

6. 次の手順を並列に実行する：

   1. impression を、次から構成される保存済みインプレッションとして構築する：

      Match Value

      options.matchValue

      Impression Site

      implicitInputs のトップレベルサイト

      Intermediary Site

      implicitInputs の中間サイト

      Conversion Sites

      conversionSites

      Conversion Callers

      conversionCallers

      Timestamp

      implicitInputs のtimestamp

      Lifetime

      options.lifetimeDays 日

      Histogram Index

      options.histogramIndex

      Priority

      options.priority

   2. Attribution API が有効である場合、 impression をインプレッションストアに保存する。

7. result を新しい AttributionImpressionResult とする。

8. realm 内の result で解決された promiseを返す。

saveImpression() は、インプレッションが記録されたかどうかを示すステータスを返さない。 これにより、Attribution API が無効であるときを検出する能力が最小化される。

実装は、API 状態を明らかにしうるサイドチャネル を軽減することを試みなければならない。例えば、返される promise の解決は、 impression をインプレッションストアに保存することを前提にしない。 これは、解決にかかる時間が、既存の インプレッション数や API が有効かどうかに依存しないことを保証するためである。

レルム realm から、 任意のオリジン（既定値 null）を伴って 暗黙的 API 入力を取得するには：

1. window を realm のグローバルオブジェクトとする。

2. window が Window でない場合、null を返す。

3. settings を realm の設定オブジェクトとする。

4. timestamp を settings の現在の壁時計時刻とする。

5. topLevelOrigin を settings のトップレベルオリジンとする。

6. origin が null の場合、origin を settings のオリジンに設定する。

7. topLevelSite を、topLevelOrigin からサイトを取得する結果とする。

8. intermediarySite を次の値とする：

   1. origin が topLevelOrigin と同一サイト である場合、undefined の値、

   2. そうでない場合、origin からサイトを取得する結果。

9. 次のフィールドを持つ暗黙的 API 入力を返す：

   トップレベルサイト

   topLevelSite

   中間サイト

   intermediarySite

   timestamp

   timestamp

   関連付けられた文書:

   window の関連付けられた文書

measureConversion(options) メソッド 手順は次のとおりである：

1. implicitInputs を、this から暗黙的 API 入力を取得する結果とする。

2. 表明する：implicitInputs は null でない。

3. options および implicitInputs でconversion を測定するを実行した結果を返す。

AttributionConversionOptions options および暗黙的 API 入力 implicitInputs が与えられ、 conversion を 測定するには：

1. document を implicitInputs の関連付けられた文書とする。

2. realm を document の関連するレルムとする。

3. document が "measure-conversion" という名前のポリシー制御機能を使用することを許可されていない場合、 realm 内の "NotAllowedError" DOMException で却下された promiseを返す。

4. 帰属 API の有効化をチェック が document を受け取り、投げられた任意の理由で拒否されたプロミスを返す。

5. validatedOptions を、 options を検証する結果とする。 投げられた理由があれば、その理由で却下された promiseを返す。

6. promise を realm 内の新しい promiseとする。

7. 次の手順を並列に実行する：

   1. report を、validatedOptions のヒストグラムサイズで 全ゼロヒストグラムを作成するを呼び出した結果とする。

   2. Attribution API が有効である場合、 report を、validatedOptions、 implicitInputs のトップレベルサイト、 implicitInputs の中間サイト、および implicitInputs のtimestamp でattribution を行いヒストグラムを埋める結果に設定する。

   3. aggregationService を validatedOptions のaggregation serviceとする。

   4. aggregationService.protocol の値で分岐する：

      dap-18-histogram

      次の手順を実行する:

      1. encryptedReport を、validatedOptions、 implicitInputs のトップレベル site、 implicitInputs の仲介 site、 implicitInputs のtimestamp、および report が与えられたうえで、 DAP レポートを構築するを呼び出した結果とする。

   5. result を、次の項目を持つ AttributionConversionResult とする：

      report

      encryptedReport

   6. promise を result で解決するため、 タスクをキューする。 これはAttribution タスクソース上で行う。

8. promise を返す。

実装は、API 状態を明らかにしうるサイドチャネル を軽減することを試みなければならない。例えば、理想的には、返される promise の解決にかかる時間は、 保存または一致したインプレッション数や API が有効かどうかに依存しないことになる。

options でAttributionConversionOptions を検証するには：

1. aggregationServices が、 options.aggregationService のキーを持つ entryを含まない場合、 ReferenceError を投げる。

2. aggregationService を、 options.aggregationService が与えられて、 AttributionAggregationServices から値を取得する結果とする。

3. options.epsilon が 0 以下、またはmaximum epsilonより大きい場合、 RangeError を投げる。

4. options.histogramSize が 0、または実装定義の最大ヒストグラム サイズより大きい場合、 または options.aggregationService について、存在するならmaximum aggregation-service histogram sizeより大きい場合、 RangeError を投げる。

5. options.value が 0 である場合、 RangeError を投げる。

6. options.value が options.maxValue より大きい場合、 RangeError を投げる。

7. credit を、options.credit が存在する場合はそれ、そうでない場合は «1» とする。

8. credit が空である場合、RangeError を投げる。

9. credit の項目のいずれかが 0 以下である場合、RangeError を投げる。

10. credit のサイズが、実装定義の maximum number of credit valuesを超える場合、 RangeError を投げる。

11. lookback を、options.lookbackDays が存在する場合はその値とし、 そうでない場合は最大 lookback 日とする。

12. lookback がその最大値より大きい場合、 lookback を最大 lookback 日に設定する。

13. lookback が 0 日である場合、 RangeError を投げる。

14. options.matchValues のサイズが、 実装定義のmaximum number of match valuesより大きい場合、 RangeError を投げる。

15. matchValues を、 options.matchValues で集合を作成するを実行した結果とする。

16. options.impressionSites のサイズが、 実装定義のconversion 用の最大 impression site 数より大きい場合、 RangeError を投げる。

17. impressionSites を、options.impressionSites 内の各値についてサイトを 解析するを呼び出した結果である集合とする。

18. impressionSites 内のいずれかの結果が failure である場合、"SyntaxError" DOMException を投げる。

19. options.impressionCallers のサイズが、 実装定義のconversion 用の 最大 impression caller 数より大きい場合、 RangeError を投げる。

20. impressionCallers を、options.impressionCallers 内の各値についてサイトを 解析するを呼び出した結果である集合とする。

21. impressionCallers 内のいずれかの結果が failure である場合、"SyntaxError" DOMException を投げる。

22. 次のフィールドを持つ検証済み conversion optionsを返す：

    Aggregation Service

    aggregationService

    Epsilon

    options.epsilon

    Histogram Size

    options.histogramSize

    Lookback

    lookback

    Match Values

    matchValues

    Impression Sites

    impressionSites

    Impression Callers

    impressionCallers

    Credit

    credit

    Value

    options.value

    Max Value

    options.maxValue

attribution を行いヒストグラムを埋めるには、 検証済み conversion options options、 サイト topLevelSite、 サイトまたは undefined intermediarySite、および 時点 now が与えられた場合：

1. now を指定して現在のエポックを取得する結果を currentEpoch とする。

2. now を指定してattribution の開始エポックを 取得する結果を startEpoch とする。

3. (now − options のルックバック) を渡して、 現在のエポックを取得するを 呼び出した結果を earliestEpoch とする。

4. currentEpoch が earliestEpoch と等しい場合は true、 そうでなければ false を isSingleEpoch とする。

5. l1Norm を 0 とする。

6. isSingleEpoch が true の場合:

   1. options、topLevelSite、intermediarySite、 currentEpoch、および nowを指定して共通照合 ロジックを呼び出した結果を impressions とする。

   2. impressions が空で ある場合、options のヒストグラムサイズを指定して 全ゼロヒストグラムを作成するを 呼び出した結果を返す。

   3. impressions、 options のヒストグラムサイズ、 options の値、および options のcreditを指定して last-n-touch attribution で ヒストグラムを埋めるを実行した結果を histogram とする。

   4. histogram 内の項目の合計を l1Norm とする。

   5. Assert: l1Norm は options の値以下である。

7. 新しい集合を deductedImpressionQuotas とする。

8. 新しい集合を deductedGlobalBudgets とする。

9. 空の集合を matchedImpressions とする。

10. startEpoch から currentEpoch までの各 epoch について、両端を含めて:

    1. options、topLevelSite、intermediarySite、 epoch、および nowを指定して共通照合 ロジックを呼び出した結果を impressions とする。

       単一エポックの場合、これは matchedImpressionsを再計算している。 実装は、その作業を二度行わないようにしたいだろう。

    2. impressions が空で ない場合:

       1. epoch および topLevelSiteを項目とする プライバシー予算キーを key とする。

       2. key、impressions、 options のepsilon、 options の値、 options の最大値、 isSingleEpoch、l1Norm、 deductedImpressionQuotas、および deductedGlobalBudgetsを指定して プライバシーおよび安全予算を 控除するを呼び出した結果を budgetAndSafetyOk とする。

       3. budgetAndSafetyOk が true の場合、 matchedImpressions を impressions で拡張する。

11. matchedImpressions が空で ある場合、 options のヒストグラムサイズを指定して 全ゼロヒストグラムを作成するを 呼び出した結果を返す。

12. matchedImpressions、 options のヒストグラムサイズ、 options の値、および options のcreditを指定して last-n-touch attribution で ヒストグラムを埋めるを実行した結果を histogram とする。

13. histogram を返す。

integer size を与えられ、 全ゼロ ヒストグラムを作成するには、次を実行する。

1. サイズが sizeであり、その項目がすべて 0 であるリストを返す。

共通 マッチングロジックを実行するには、 検証済み conversion options options、 サイト topLevelSite、 サイトまたは undefined intermediarySite、 エポックインデックス epoch、および 時点 now が与えられた場合：

1. 空の 集合を matching とする。

2. インプレッションストア内の 各 impression について反復する。

   1. impression のタイムスタンプを渡して、 現在の エポックを取得するを呼び出した結果を impressionEpoch とする。

   2. impressionEpoch が epoch と等しくない場合、 continueする。

   3. now が、impression のタイムスタンプに impression の有効期間を加えた時刻より後である場合、 continueする。

   4. now が、impression のタイムスタンプに options のルックバックを加えた時刻より後である場合、 continueする。

   5. impression のコンバージョンサイトが空でなく、 かつ topLevelSite を含まない場合、 continueする。

   6. intermediarySite が undefined でない場合は intermediarySite を、そうでなければ topLevelSite を conversionCaller とする。

   7. impression のコンバージョン呼び出し元が空でなく、 かつ conversionCaller を含まない場合、 continueする。

   8. options のmatch valueが空でなく、 かつ impression のmatch valueを含まない場合、 continueする。

   9. options のインプレッションサイトが 空でなく、かつ impression のインプレッションサイトを含まない場合、 continueする。

   10. impression の仲介サイトが undefined でない場合はそれを、 そうでなければ impression のインプレッションサイトを impressionCaller とする。

   11. options のインプレッション呼び出し元が 空でなく、 かつ impressionCaller を含まない場合、 continueする。

   12. impression を matching に追加する。

3. matching を返す。

double のリスト credit と integer valueを与えられ、 credit を公平に 割り当てるには、次を実行する。

1. Assert: credit は空でない。

2. credit の項目の合計を sumCredit とする。

3. 新しいリストを roundedCredit とする。

4. credit の各 item について反復する。

   1. value * item / sumCredit を normalizedCredit とする。

   2. normalizedCredit を roundedCredit に追加する。

5. idx1 を 0 とする。

6. roundedCredit のインデックスを取得するから、最初の項目を除いた各 n について反復する。

   1. idx2 を n とする。

   2. roundedCredit[idx1] − floor(roundedCredit[idx1]) を frac1 とする。

   3. roundedCredit[idx2] − floor(roundedCredit[idx2]) を frac2 とする。

   4. frac1 と frac2 の両方がゼロに等しい場合、 continueする。

   5. frac1 + frac2 が 1 より大きい場合、 incr1 を 1 − frac1 とし、 incr2 を 1 − frac2 とする。

   6. そうでなければ、incr1 を −frac1 とし、 incr2 を −frac2 とする。

      incr1 は、 roundedCredit[idx1] が整数になるよう増分する量を表し、 incr2 および idx2 についても同様である。 これらの値は負になり得ることに注意。

   7. incr2 / (incr1 + incr2) を p1 とする。

      p1 の値は、idx1 内の項目が整数へ丸められる確率を表す。 incr1 + incr2 が 0 のときにゼロ除算が発生するが、 これは frac1 と frac2 の両方が整数である場合 （両方が 0、または正確に 1 のいずれか）にのみ可能である。 この場合、idx2 を丸める必要はないため、単にスキップする。

   8. 0 から 1（含む）の間のランダムな double を r とする。

   9. r が p1 より小さい場合、 incr を incr1 とし、 idx1 と idx2 の値を交換する。

   10. そうでなければ、incr を incr2 とする。

   11. roundedCredit[idx2] を incr だけ増分する。

   12. roundedCredit[idx1] を incr だけ減分する。

7. roundedCredit から項目をすべて 最も近い整数へ丸めることで整数に変換し、 ちょうど中間の場合はゼロから離れる方向に丸めた結果を integerCredit とする。

8. integerCredit を返す。

   この最後の丸め手順は、微小な浮動小数点の 加算および減算誤差によって、 roundedCredit[idx1] の小数部分が完全には取り除かれない場合のためだけにある。 半分のときの丸めモードが実際に発生することはなく、実装を容易にするため C++ の std::round の挙動と一致するよう選択されている。

   このアルゴリズムの目的は、 1) 割り当て全体にわたって正確に value の総値を割り当てること、 2) integerCredit の期待値が正規化された credit （すなわち、credit * value / sumCredit。 ここで * は要素ごとの乗算を表す）と正確に等しいという性質を維持すること、 3) どの割り当てにも 1 を超える誤差を生じさせないことである。

インプレッションの集合 matchedImpressions、integer histogramSize、integer value、および double のリスト creditを与えられ、 last-n-touch attribution でヒストグラムを 埋めるには、次を実行する。

1. Assert: matchedImpressions は空で ない。

2. matchedImpressions を、優先度、次にタイムスタンプで 降順にソートしたものを sortedImpressions とする。

3. credit のサイズと、 sortedImpressions のサイズの最小値を N とする。

4. sortedImpressions の先頭 N 個のエントリーを lastNImpressions とする。

5. credit の先頭 N 個を除くすべてのエントリーを削除する。

6. credit および valueを指定してcredit を公平に 割り当てる結果を normalizedCredit とする。

7. histogramSize を指定して全ゼロ ヒストグラムを作成するを呼び出した結果を histogram とする。

8. lastNImpressions のインデックスの各 i について反復する。

   1. lastNImpressions[i] を impression とする。

   2. normalizedCredit[i] を value とする。

   3. impression のヒストグラムインデックスを index とする。

   4. index が histogram のサイズより小さい場合、 histogram[index] を value だけ増分する。

9. histogram を返す。

Save-Impression: histogram-index=3, match-value=2, conversion-sites=("advertiser.example"), lifetime-days=7

ヘッダー値 input を与えられ、 Save-Impression ヘッダーを解析するには、次の手順を実行する。

1. input_bytes を input に設定し、 field_type を "dictionary" に設定して structured fields を 解析する結果を dict とする。

2. 解析が失敗した場合、エラーを返す。

3. dict["histogram-index"] を、undefined をデフォルトとして取得したものを histogramIndex とする。

4. histogramIndex が32 ビット符号なし整数範囲内の整数でない場合、 エラーを返す。

5. 次の項目を持つ新しい AttributionImpressionOptions を opts とする。

   histogramIndex

   histogramIndex

6. dict["conversion-sites"] が存在する場合:

   1. その値を conversionSites とする。

   2. conversionSites が内部 リストでない場合、または conversionSites の項目のいずれかが 文字列でない場合、 エラーを返す。

   3. opts.conversionSites を conversionSites に設定する。

7. dict["conversion-callers"] が存在する場合:

   1. その値を conversionCallers とする。

   2. conversionCallers が内部 リストでない場合、または conversionCallers の項目のいずれかが 文字列でない場合、 エラーを返す。

   3. opts.conversionCallers を conversionCallers に設定する。

8. dict["match-value"] が存在する場合:

   1. その値を matchValue とする。

   2. matchValue が 32 ビット符号なし整数範囲内の 整数でない場合、 エラーを返す。

   3. opts.matchValue を matchValue に設定する。

9. dict["lifetime-days"] が存在する場合:

   1. その値を lifetimeDays とする。

   2. lifetimeDays が正の整数でない場合、 エラーを返す。

   3. opts.lifetimeDays を lifetimeDays に設定する。

10. dict["priority"] が存在する場合:

    1. その値を priority とする。

    2. priority が 32 ビット符号付き整数範囲内の 整数でない場合、 エラーを返す。

    3. opts.priority を priority に設定する。

11. opts を返す。

Measure-Conversion: aggregation-service="https://aggregator.example/tee", histogram-size=20, epsilon=1.0, lookback-days=14, impression-sites=("publisher.example" "other.example"), impression-callers=("ad-tech.example"), match-values=(2), credit=(0.25 0.25 0.5), value=3, max-value=7, report-url="https://report-handler.example/foo"

ヘッダー値 input およびURL baseUrlを与えられ、 Measure-Conversion ヘッダーを解析するには、次の手順を実行する。

1. input_bytes を input に設定し、 field_type を "dictionary" に設定して structured fields を 解析する結果を dict とする。

2. 解析が失敗した場合、エラーを返す。

3. dict["aggregation-service"] を、undefined をデフォルトとして取得したものを aggregationService とする。

4. aggregationService が文字列でない場合、 エラーを返す。

5. dict["histogram-size"] を、undefined をデフォルトとして取得したものを histogramSize とする。

6. histogramSize が32 ビット符号なし整数範囲内の正の整数でない場合、 エラーを返す。

7. dict["report-url"] を、undefined をデフォルトとして取得したものを reportUrlString とする。

8. reportUrlString が文字列でない場合、 エラーを返す。

9. baseUrl を伴って reportUrlString にURL パーサーを適用した結果を reportUrl とする。

10. reportUrl が失敗の場合、エラーを返す。

11. reportUrl が潜在的に信頼できる URLでない場合、エラーを返す。

12. reportUrl のスキームが "https" でない場合、エラーを返す。

13. 次の項目を持つ新しい AttributionConversionOptions を opts とする。

    aggregationService

    aggregationService

    histogramSize

    histogramSize

14. dict["epsilon"] が存在する場合:

    1. その値を epsilon とする。

    2. epsilon がdecimalまたは integerでない場合、エラーを返す。

    3. opts.epsilon を epsilon に設定する。

15. dict["lookback-days"] が存在する場合:

    1. その値を lookbackDays とする。

    2. lookbackDays が正の整数でない場合、 エラーを返す。

    3. opts.lookbackDays を lookbackDays に設定する。

16. dict["match-values"] が存在する場合:

    1. その値を matchValues とする。

    2. matchValues が内部 リストでない場合、または matchValues の項目のいずれかが 32 ビット符号なし整数範囲内の整数でない場合、エラーを返す。

    3. opts.matchValues を matchValues に設定する。

17. dict["impression-sites"] が存在する場合:

    1. その値を impressionSites とする。

    2. impressionSites が内部 リストでない場合、または impressionSites の項目のいずれかが 文字列でない場合、 エラーを返す。

    3. opts.impressionSites を impressionSites に設定する。

18. dict["impression-callers"] が存在する場合:

    1. その値を impressionCallers とする。

    2. impressionCallers が内部 リストでない場合、または impressionCallers の項目のいずれかが 文字列でない場合、 エラーを返す。

    3. opts.impressionCallers を impressionCallers に設定する。

19. dict["credit"] が存在する場合:

    1. その値を credit とする。

    2. credit が内部 リストでない場合、または credit の項目のいずれかが decimalまたは integerでない場合、エラーを返す。

    3. opts.credit を credit に設定する。

20. dict["value"] が存在する場合:

    1. その値を value とする。

    2. value が 32 ビット符号なし整数範囲内の正の整数でない場合、 エラーを返す。

    3. opts.value を value に設定する。

21. dict["max-value"] が存在する場合:

    1. その値を maxValue とする。

    2. maxValue が 32 ビット符号なし整数範囲内の正の整数でない場合、 エラーを返す。

    3. opts.maxValue を maxValue に設定する。

22. (opts, reportUrl) を返す。

バイト シーケンス report、 URL url、および環境設定オブジェクト settings が与えられたとき、 レポートを送信するには:

1. アサート: url は潜在的に信頼できる URLである。

2. アサート: url のスキームは "https" である。

3. headers を、 "Content-Type" という名前を持ち、その値が "application/dap-report" であるヘッダーを含む、 新しいヘッダーリストとする。

   注: AttributionAggregationProtocol が dap-18-histogram 以外の値を得ることがあれば、これは更新する必要がある。

4. request を、次のプロパティを持つ新しいリクエストとする:

   メソッド

   "POST"

   URL

   url

   ヘッダーリスト

   headers

   本体

   report

   クライアント

   settings

   モード

   "cors"

   キャッシュモード

   "no-store"

   keepalive

   true

   資格情報モード

   "omit"

   リファラー

   url

5. request をフェッチする。エラーが発生した場合は任意で再試行する。

リクエスト request およびレスポンス responseを与えられ、 Attribution ヘッダーを処理するには、次の手順を実行する。

1. request のdestinationが次のいずれでもない場合、 戻る: "", "audio", "image", "script", "track", "video".

2. request のclientが安全なコンテキストでない場合、戻る。

3. response のURLが潜在的に信頼できる URLでない場合、戻る。

4. response のURLのスキームが "https" でない場合、戻る。

5. request のclientから、 response のURLのオリジンを伴って、 暗黙の API 入力を取得する結果を implicitInputs とする。

6. implicitInputs が null の場合、戻る。

7. response のヘッダーリストから `Save-Impression` を取得する結果を saveImpressionHeader とする。

8. saveImpressionHeader が null でない場合:

   1. saveImpressionHeader を解析する結果を impressionOptions とする。

   2. impressionOptions がエラーでない場合、 implicitInputs とともに impressionOptions を保存する。

9. response のヘッダーリストから `Measure-Conversion` を取得する結果を measureConversionHeader とする。

10. measureConversionHeader が null でない場合:

    1. measureConversionHeader を解析する結果を parseConversionResult とする。

    2. parseConversionResult がエラーでない場合:

       1. parseConversionResult を (conversionOptions, reportUrl) とする。

       2. conversionOptions および implicitInputs を用いてコンバージョンを 測定するを実行した結果を reportPromise とする。

       3. 並列に:

          1. reportPromise の履行時に、履行値を result とする。

          2. result.report、 reportUrl、および request のclientを用いて レポートを送信する。

次の手順の後に、

includeCredentials が true の場合、ユーザーエージェントは request および response を与えて、レスポンスの Set-Cookie ヘッダーを解析して保存すべきである。

次の手順を追加する

1. request および response を用いて Attribution ヘッダーを処理する。

検証済みコンバージョンオプション options、 site topLevelSite、 site または undefined intermediarySite、 moment now、 およびリストである整数群 histogram が与えられ、 バイトシーケンス report を生成するものとして、 DAP レポートを構築するには:

1. field を、 [VDAF] のSection 6.1.3 で定義される Field128 とする。

2. length を、 histogram のサイズとする。

3. maxValue を options の最大値とする。

4. chunkLength を、(Math.ceil(log2(maxValue + 1)) + 1) * length の平方根を 最も近い整数に丸めたものとする。

5. vdaf を、field、length、maxValue、および chunkLength を渡して作成される、 新しい PrioL1BoundSum VDAF [PRIO-L1] インスタンスとする。

6. microEpsilon を、options のepsilon に 1,000,000 を乗算し、正の Infinity 方向へ丸めたものとする。

7. caller を、intermediarySite が undefined でない場合は intermediarySite、 そうでなければ topLevelSite とする。

8. taskConfig を、 [DAP] のSection 4.2 で定義される TaskConfiguration インスタンスを 次の値でエンコードすることにより生成されるバイト シーケンス群とする:

   1. 空の task_info。

   2. DAP Leader の URL に設定された leader_aggregator_endpoint。 これは、options.Aggregation Service における、選択された集約サービスの 実装定義の定義から取得される。 エンコードされた値は、設定された URL と false（フラグメントを除外するため）を用いて URL シリアライザーを呼び出すことにより生成される。

   3. DAP Helper の URL に設定された helper_aggregator_endpoint。 これは、options.Aggregation Service における、選択された集約サービスの 実装定義の定義から取得され、 leader_aggregator_endpoint 値と同じ処理を使用して生成される。

   4. time_precision 値 5。

   5. min_batch_size 値 20。

   6. batch_mode 値 TBD（Distributed Aggregation Protocol (DAP) Extensions for the Attribution API § batch-mode を参照）。

   7. 空の batch_config。

   8. vdaf_type 値 7（A Prio Instantiation for Vector Sums with an L1 Norm Bound on Contributions § dap を参照）。

   9. length、maxValue、および chunkLength を用いて、 PrioL1BoundSum A Prio Instantiation for Vector Sums with an L1 Norm Bound on Contributions § dap に従って エンコードされた vdaf_configuration。

   10. タスク拡張の集合 extensions。 これは、16-bit unsigned integers からバイトシーケンスへのマップである:

       • Collector identity の拡張コードポイント。 caller のhost コンポーネントの シリアライズされた値にマップされる。

       • privacy budget source の拡張コードポイント。 topLevelSite のhost コンポーネントの シリアライズされた値にマップされる。

9. taskID を、 taskConfig を渡して Task Binding and In-Band Provisioning for DAP § task-id で説明される処理により生成されるバイト シーケンスとする。

10. ctx を、 [DAP] のSection 4.4.2.1 で定義されるように、 文字列 dap-18 のエンコードされた値と taskID を連結して形成されるバイト シーケンスとする。

11. reportID を、暗号学的に安全なランダムソース [RFC4086] からサンプリングされた 16 バイトとする。

12. rand を、暗号学的に安全なランダムソース [RFC4086] からサンプリングされた 128 バイトとする。

13. publicShare、inputShares を、 [VDAF] のSection 4.1 で定義されるように、ctx、histogram、reportID（VDAF の "nonce" パラメーターとして）、 および rand を用いて、vdaf.shard() を呼び出した結果とする。

14. time を、 Unix epoch から now までの期間を 5 秒のdurationで割り、 負の Infinity 方向へ丸めた結果の整数とする。

15. extensions を、 16-bit unsigned integers からバイトシーケンスへのマップであり、 次から構成されるものとする:

    • privacy budget の拡張コードポイント。 microEpsilon の値にマップされ、 UINT32、 値 microEpsilon、 および false（isLittleEndian 用）を用いて NumericToRawBytes を呼び出すことでエンコードされる。

16. reportMetadata を、reportID、time、および extensions から生成される、 エンコード済み DAP ReportMetadata とする。

17. encryptedInputShares を空の リストとする。

18. inputShares の各 share について反復し、 Section 4.4.2.1 で説明される、share を暗号化するための方法に従う:

    1. pkR を、 options.Aggregation Service により示される集約サービスについて取得された、 集約サービス HPKE configuration からの対応するロールの公開鍵とする。

       "dap-18-histogram" の URL は、 DAP Leader ロールを識別することが期待される。 実装は、両方の Aggregator について HPKE configuration を静的に取得する必要がある。 HPKE configuration はオンデマンドでフェッチしてはならない。 そのためにかかる時間が、 measureConversion() の呼び出し元へ 情報を漏洩するためである。

    2. serverRole を、最初の項目（Leader）については 2、 2 番目（Helper）については 3 とする。

    3. info を、次を連結して形成されるバイト シーケンスとする: 文字列 dap-18 input share のエンコードされた値、 値 0x01 を持つバイト、および serverRole。

    4. inputShareAAD を、 InputShareAad の構造に従い、 taskID、reportMetadata、publicShare、および taskConfig から構築する。

    5. plaintextShare を、 PlaintextInputShare の構造に従い、 空の集合（private_extensions 用）および share（ payload 用）から構築する。

    6. hpke を、同じHPKE configurationに基づく HPKE [RFC9180] configuration とする。

    7. encryptedShare を、pkR、info、inputShareAAD、および plaintextShare を渡して、 hpke.Seal<mode_base>() を呼び出した結果とする。

    8. encryptedShare を encryptedInputShares に追加する。

19. report を、reportMetadata、publicShare、 encryptedInputShares （2 つの値はそれぞれ leader および helper の暗号化された input share）、 および DAP aggregators から取得された集約サービス HPKE configuration から生成される、エンコード済み DAP Report とする。

20. report を返す。