HTTP Cookie-k
A cookie-k azok a kis szöveges értékek, amelyeket a böngésző tárol, és minden kéréssel visszaküld egy webhelynek. Ezek vezérlik a bejelentkezési munkameneteket, a bevásárlókosarakat és a nyelvi preferenciákat – és harminc éven át ők vezérelték a teljes internetes hirdetési ökoszisztémát. A műszaki mechanika egyszerű. A politikai következmények három kontinens szabályozási dossziéit töltik be.
A cikk teljes szövege alább olvasható angol nyelven.
Az HTTP cookie egy név-érték pár, amelyet a szerver Set-Cookie fejléccel küld a böngészőnek. A böngésző eltárolja és minden további kérésnél visszaküldi ugyanarra az eredetre az Cookie fejlécen keresztül. Minden cookie-hoz tartozik egy domain, egy elérési út, egy lejárat és egy sor zászló. A böngészők eredetenként és összességenként korlátozzák a tárhelyet – a tipikus korlátok tartományonként 50 cookie, egyenként 4 KB.
Milyen cookie-k használhatók
Három fő felhasználási eset:
- Session-azonosító. Amikor bejelentkezik, egy véletlenszerű cookie-t ad a szerver. Minden további kérés tartalmazza a cookie-t, lehetővé téve, hogy a szerver újrahitelesítés nélkül azonosítsa Önt.
- Preferences. Témaválasztás, nyelvválasztás, utoljára látott bannerek. Egyszerű szövegben tárolva, nem szükséges a szerver oda-vissza.
- Tracking. Állandó egyedi azonosító, amelyet korán beállítottak, és a hirdetési hálózatok és az elemzések a kérések között olvasnak – amit 2018 óta minden adatvédelmi szabályozás korlátozni próbál. cookies
A első féltől származó cookie az Ön által meglátogatott webhely által beállított — example.com beállít egy cookie-t az example.com számára. Ezek a jogos „tarts bejelentkezve” használati esetet hajtják végre.
A Third party cookie egy másik domain állítja be, amelynek tartalma be van ágyazva az oldalba – egy hirdetési iframe, egy követési képpont, egy Facebook „tetszik” gomb. Amikor a felhasználó később felkeres egy másik webhelyet, amely szintén beágyazza ezt a nyomkövetőt, a böngésző ugyanazt a harmadik féltől származó cookie-t küldi vissza, lehetővé téve a nyomkövető számára, hogy mindkét oldalon felismerje a felhasználót. Ez az a webhelyek közötti követés, amelyre a felügyeleti kapitalizmus épült.
A harmadik féltől származó cookie-k halála
A Safari volt az első olyan nagy böngésző, amely alapértelmezés szerint blokkolta a harmadik féltől származó cookie-kat (ITP, 2017). 2019-ben a Firefox követte az Enhanced Tracking Protectiont. A Chrome, amely a Google hirdetési üzletága tőlük függ, részleges korlátozásokat vezetett be 2024 és 2026 között, a harmadik féltől származó cookie-k teljes letiltását tervezték, de többször is elhalasztották. 2025 végétől a böngészőmunkamenetek többsége világszerte alapértelmezés szerint blokkolja a harmadik féltől származó cookie-kat.
A hirdetési ágazat megoldást kínált (CNAME álcázás, szerveroldali címkézés, FLoC és Topics API, böngésző ujjlenyomat), de az egyszerű, harmadik féltől származó cookie nyomkövetési mechanizmusként többnyire túl van.ZXXPL mezők45X matter
- Secure — a cookie csak HTTPS-en keresztül kerül elküldésre. Kötelező minden munkamenet cookie-hoz. A nem biztonságos munkamenet-cookie-kat egyszerű szövegként küldik el egy ellenséges hálózaton, és triviálisan ellophatók.
- HttpOnly — a cookie nem olvasható a JavaScript által az
document.cookie-en keresztül. Védelmet nyújt az XSS-alapú munkamenet-lopás ellen. - SameSite – szabályozza, hogy a cookie mikor kerüljön elküldésre több webhely kérésére:
Strict: csak ugyanazon a webhelyen történő navigáció és kérés esetén. A legbiztonságosabb, megszakíthat bizonyos helyek közötti linkfolyamatokat.Lax: a legfelső szintű, webhelyek közötti navigációkon (linkkattintásokon) küldve, de nem a webhelyek közötti XHR-eken vagy alforrásokon. Modern alapértelmezett.Nincs: minden telephelyek közötti kérés esetén elküldve; Biztonságot igényel. Legális, webhelyek közötti beágyazáshoz (pl. CDN által hosztolt bejelentkezési widgethez) használatos.
- Domain – azt szabályozza, hogy mely aldomainek kapják meg a cookie-t. Az
Domain=example.comformátumú cookie-t a rendszer azwww.example.com,api.example.comstb. címekre küldi el. prefix. - Max-Age / Expires — amikor a cookie lejár. A munkamenet-cookie-k (nincs lejárat) törlődnek a böngésző bezárásakor.
Cookie-k vs localStorage vs sessionStorage
Cookie-kat küldenek minden HTTP-kéréssel az eredethez, ami hasznos a szerveroldali azonosításhoz, de minden kérésnél többletköltséget jelent. Az localStorage és az sessionStorage csak JavaScriptet tartalmaz – nem utaznak HTTP-kérésekkel, nagyobbak (5–10 MB tipikusan), és megmaradnak (localStorage), vagy csak a lapmunkamenetig tartanak (sessionStorage). A szervernek nem szükséges adatokhoz a localStorage hatékonyabb.
A cookie-k beleegyezési rétege
GDPR (Európa), CCPA (Kalifornia), LGPD (Brazília) és számos más szolgáltatás megköveteli a webhelyektől a nyomkövető cookie-k közzétételét és a hozzájárulás megszerzését. Az eredmény a 2026-ban minden oldalon látható cookie-szalaghirdetés, amely általában az „Accept all” feliratot jelzi, és néha részletes vezérlőket kínál. A szabványos GPC (Global Privacy Control) jel lehetővé teszi a felhasználók számára, hogy programozottan leiratkozhassanak, amit a kaliforniai törvények elismernek, és a Firefox/DuckDuckGo/Brave is elfogad. A GPC tiszteletben tartása immár jogilag végrehajtható Kaliforniában; más joghatóságok a következők.
A cookie-kon túl: alternatív nyomon követés
Ahogy a cookie-k szabályozás alá kerültek, a nyomkövetők változatossá váltak: Evercookie több mint 20 tárolóhelyre tölti be az azonosítókat, beleértve az IndexedDB-t, a Service Workers-t, az ETag-eket és a HSTS-t. Az ujjlenyomat-vizsgálat száz passzív jelből épít fel egy azonosítót. A szerveroldali címkézés a nyomkövetőt egy belső CNAME mögé helyezi, így úgy néz ki, mint maga a webhely. Lehet, hogy a cookie, mint elsődleges eszköz haldoklik, de a cél – a munkamenetek közötti újraazonosítás – fél tucat cserét eredményezett.
Gyakran ismételt kérdések
- Le kell tiltani az összes cookie-t?
- Az összes cookie letiltása minden bejelentkezést igénylő webhelyet megszakít. Blokkolja a harmadik féltől származó cookie-kat (a modern böngészőkben alapértelmezés szerint), és használja a „clear on browser close” (törlés a böngésző bezárásakor) funkciót a belső felek számára, ha minimális kitartást szeretne. A takaró-blokk megközelítés általában túl fájdalmas.
- A VPN befolyásolja a cookie-kat?
- A VPN megváltoztatja a hálózati identitást, nem pedig a böngésző állapotát. A böngészőjében a VPN bekapcsolása előtt tárolt cookie-k megmaradnak – és a VPN csatlakozása után továbbra is azonosítják Önt ezeken a webhelyeken. A tiszta munkamenet eléréséhez kombinálja a VPN-t egy friss böngészőprofillal vagy privát böngészőablakkal.
- Mi a munkamenet cookie és az állandó cookie?
- A munkamenet cookie-nak nincs beállítva Lejárat/Maximális életkor, és a böngésző bezárásakor törlődik. Az állandó sütinek kifejezett lejárati dátuma van, és addig fennmarad. A legtöbb bejelentkező rendszer tartós sütiket használ hosszú lejárattal, így nem kell minden látogatáskor bejelentkezni.
- Tartalmazhat egy süti vírust?
- Nem. A cookie-k csak szöveges karakterláncok; nem tudják végrehajtani. Fennáll annak a kockázata, hogy egy cookie munkamenet-azonosítót tartalmazhat, amelyet az azt ellopó támadó az Ön személyi adataival való visszaélésre használhat fel. Ezért léteznek Secure és HttpOnly jelzők.
- Eltűnik valaha a süti banner?
- Végül a szabványos leiratkozási jelek (GPC) váltják fel a webhelyenkénti szalaghirdetéseket. A jelenlegi banner overhead részben a szabályozás mellékhatása, amely kifejezett hozzájárulást igényel, de nem határoz meg egyetlen technikai mechanizmust ennek kifejezésére. A böngészőszintű jelek megoldják ezt. Az örökbefogadás folyamatban van; a bannerek évek, nem hónapok múlásával halványodnak el.