Cookies

Popularne ciasteczka zostały wymyślone przez pracownika Netscape Communications (firmy odpowiedzialnej za popularną w latach 90. XX w. przeglądarkę internetową), Lou Montulliego. Była to odpowiedź na zapotrzebowanie firmy MCI na optymalizację zachowywania przez jej serwery częściowych stanów koszyków. Wprowadzone i systematycznie rozwijane już pod koniec minionego wieku budziły kontrowersje ze względu na kwestię prywatności użytkowników. Nieustandaryzowane mechanizmy zarządzania cookies w różnych przeglądarkach zrodziły potrzebę powstania przepisów prawnych regulujących tę kwestię. W 2009 roku (w Polsce od 22 marca 2013) weszła dyrektywa Unii Europejskiej nakładająca na właścicieli witryn obowiązek informowania o sposobie zarządzania danymi przeglądarek w ramach cookies.

Rodzaje cookies

Ze względu na funkcje i trwałość (niektóre z nich mogą mieć nawet kilka lat!) cookies wyróżniamy ich kilka rodzajów.

Session cookie (sesyjny/przejściowy/nietrwały plik cookie), funkcjonuje jedynie w pamięci tymczasowej w czasie poruszania się użytkownika po stronie internetowej. Pliki tego rodzaju wygasają lub są usuwane po zakończeniu sesji/zamknięciu przeglądarki internetowej. Ta ostatnia identyfikuje je po braku przypisanej im daty ważności.

Persistent cookie (trwały/śledzący plik cookie), wygasa po upływie określonego czasu, przez który informacje w nim zawarte przesyłane są za każdym razem, kiedy użytkownik odwiedzi konkretną witrynę lub gdy wyświetli treść należącą do tejże witryny z poziomu innej (reklama). Wykorzystywane przez reklamodawców oraz do utrzymywania sesji dla zalogowanych użytkowników w celu uniknięcia konieczności ponownego logowania się.

Secure cookie (bezpieczny/zabezpieczony plik cookie), ten rodzaj pliku nie może być wysyłany poprzez popularne, nieszyfrowane, połączenie HTTP, a jedynie za pomocą szyfrowanego HTTPS, chronionego przez protokół TLS (będący rozwinięciem SSL, zaprojektowanego przez wymienioną już w naszym artykule firmę Netscape Communications). W nagłówku HTTP oznaczany przez SECURE.

Http-only cookie (plik cookie tylko HTTP), dostęp do tego rodzaju pliku niemożliwy jest poprzez API po stronie klienta (np. JavaScript). Ryzyko kradzieży plików jest wciąż możliwe dzięki skryptom XSS, XST i CSRF. W nagłówku http ten parametr oznaczenie HttpOnly.

Same-site cookie, atrybut same-site wprowadzony w przeglądarce Chrome może przyjmować trzy wartości:

• strict (pliki cookie wysyłane tylko do domeny docelowej, takiej samej jak źródłowa),
• lax (pliki cookie wysyłane także do domen docelowych różnych od źródłowej, ale w przypadku bezpiecznych żądań jak GET),
• none (nie zezwala na pliki cookie innych firm).

Supercookie, plik cookie pochodzący z domeny najwyższego poziomu (np. .org lub .pl). Tego typu pliki mogą stanowić potencjalne zagrożenie bezpieczeństwa, dlatego są często blokowane przez przeglądarki.

Zombie cookie, plik, który został umieszczony w ukrytym miejscu, poza folderem przechowywania plików cookie.

Jakie dane zbierają pliki cookies?

Użycie plików cookie sprowadza się do kliku podstawowych działań:

• zarządzanie sesją: zakupową (identyfikacja koszyka) poprzez unikalny identyfikator sesji, logowania do strony oraz skrócenie czasu ładowania witryny,
• personalizacja: zapamiętywanie informacji o użytkowniku (jego preferencji poprzez wypełnienie wcześniej formularza, wyniki kodowane są w pliku cookie) w celu wyświetlania mu odpowiednich treści,
• śledzenie nawyków korzystania z Internetu. Możliwe także dzięki np. IP urządzenia, ale pliki cookies zapewniają większą precyzję.

Implementacja

Choć pliki cookies w potocznym odbiorze – wbrew przyjaznej nazwie… – nie mają dobrej prasy, bez nich każde uruchomienie strony internetowej byłoby inicjalne, pozbawione kontekstu pozostałych odsłon. W dużej mierze ułatwiają więc codzienne korzystanie z sieci. Aby korzystać z plików cookie, przeglądarka musi obsługiwać:

– pliki cookie do 4096 bajtów,

– co najmniej 50 plików cookie na domenę,

– łącznie co najmniej 3000 plików.

Pliki cookies – najczęściej zadawane pytania