Web Push通知 とは？

普通のプッシュ通知はスマホにアプリをインストールして受け取るけど、Web Push通知はブラウザやWebアプリで受け取れるんだよ。Webサイトから「通知を許可しますか？」って聞かれたことない？ただしiPhoneやiPadでは、サイトをホーム画面に追加したWebアプリだけが対象だよ。

3つの要素が連携しているよ。Push APIがサーバーからのメッセージを受け取る窓口、Service Workerがそれを処理する裏方、Notification APIが画面に通知を表示する役だね。Service Workerはずっと動き続けているわけじゃなくて、メッセージが届いたときにブラウザが起こしてくれる。だからページを開いていなくても受け取れるんだよ。

それはブラウザ側も対策しているよ。たとえばFirefoxは72から、クリックなどのユーザー操作がない許可要求をアドレスバーの小さなアイコン表示にとどめている。Chromeにも許可要求を目立たなく表示する設定や、迷惑な通知を出すサイトの通知を自動でブロックする仕組みがあるんだ。

ユーザーが許可すると、ブラウザが送り先URL（エンドポイント）と暗号化用の鍵をまとめた「サブスクリプション情報」を作るよ。サーバーはそれを保存しておいて、通知したいときにそのURL、つまりブラウザごとのプッシュサービスにリクエストを送る。端末がオフラインなら、プッシュサービスは指定された有効期限（TTL）の間メッセージを預かって、つながったときに届けられるんだ。

本文はブラウザが発行した公開鍵と認証用の秘密値を使って暗号化されるから、プッシュサービスは中身を読めないよ（RFC 8291）。よく一緒に出てくるVAPIDは暗号化の仕組みじゃなくて、送り主のアプリケーションサーバーが署名付きトークンで自分を名乗る仕組み（RFC 8292）なんだ。サブスクリプション情報（エンドポイントURLと鍵）は、他人に渡らないよう安全に保管することも大事だね。