Cookies (куки)

Cookies — это небольшие данные, которые сайт через браузер сохраняет на устройстве посетителя и получает обратно при следующих запросах. Благодаря им сайт «помнит» корзину, язык или вход в аккаунт, а ещё они используются для аналитики и рекламы.

Это не юридическая консультация: ниже изложено, что сказано в источниках, со ссылками.

Как это работает простыми словами

Сервер отправляет браузеру заголовок `Set-Cookie`, браузер сохраняет значение и добавляет его к каждому следующему запросу к этому серверу. HTTP сам по себе «не помнит» предыдущих запросов, поэтому именно cookies позволяют держать корзину или сессию входа (MDN).

Документация MDN выделяет три основные задачи cookies: управление сессией (вход, корзина), персонализация (язык, тема) и отслеживание поведения пользователя.

Какие бывают cookies

По сроку жизни:

• Сессионные — без даты окончания, браузер удаляет их, когда считает сессию законченной.
• Постоянные — имеют `Expires` или `Max-Age` и живут до указанного времени.

По тому, кто их ставит:

• Собственные (first-party) — их ставит сайт, который вы открыли: например, ваш магазин запоминает корзину.
• Сторонние (third-party) — их ставит встроенное чужое содержимое (виджет, рекламный пиксель), они работают в запросах между сайтами. Именно они позволяют следить за человеком на разных сайтах (MDN). Подробнее: сторонние cookies.

По назначению (так их обычно группируют в баннерах, в законе такого деления нет):

• Необходимые: корзина, вход, безопасность, запоминание выбора в баннере.
• Статистические (аналитика): сколько людей пришло и что делали.
• Рекламные: ретаргетинг, измерение рекламы.

Зачем cookies интернет-магазину

• корзина не теряется, пока человек выбирает товары и переходит к оформлению заказа;
• покупатель остаётся в аккаунте, язык и валюта запоминаются;
• аналитика показывает, откуда пришли покупатели и где они уходят с сайта;
• реклама может измерять результат и показывать объявления тем, кто смотрел товар (это уже требует согласия, если вы работаете с посетителями из ЕС, см. cookie-баннер).

Что важно знать о правилах

• Для посетителей в ЕС статья 5(3) Директивы 2002/58/EC разрешает хранить информацию на устройстве или читать её только с согласия человека, получившего понятную и полную информацию, в том числе о целях. Исключения: техническое хранение только для передачи сообщения и то, что «строго необходимо» для услуги, которую человек явно заказал (Директива 2002/58/EC).
• Норма касается не только cookies. EDPB в руководстве 2/2023 (версия от 7 октября 2024 года) объясняет, что правило охватывает и другие технологии: пиксель-отслеживание, уникальные идентификаторы, локальную обработку на устройстве. Слово «информация» шире, чем «персональные данные» (EDPB, Guidelines 2/2023).
• Cookies не всегда персональные данные, но, если по ним можно узнать человека, действует и GDPR. Для Украины: персональные данные в Украине.

Типичные ошибки

• считать, что «технические» cookies — это всё, что ставит мой плагин: аналитика, пиксель рекламы и чат-виджет не относятся к необходимым только потому, что они «нужны бизнесу». Регуляторы прямо проверяют, правильно ли cookies отнесены к «необходимым» (EDPB, отчёт Cookie Banner Taskforce, 2023);
• не знать, какие cookies реально ставит сайт: посмотрите вкладку Application в DevTools браузера или воспользуйтесь сканером в системе управления согласием;
• забыть о других технологиях (localStorage, пиксель-изображения).

FAQ

Что такое cookies простыми словами? Это текстовые отметки, которые сайт оставляет в браузере, чтобы узнать вас при следующем запросе.

Нужны ли cookies интернет-магазину? Для корзины и входа да. Для аналитики и рекламы технической необходимости нет, но они нужны бизнесу, поэтому для посетителей из ЕС для них нужно согласие.

Чем отличаются собственные cookies от сторонних? Собственные ставит ваш сайт, сторонние — чужое встроенное содержимое, и они могут следить за человеком на разных сайтах.

Cookies опасны? Сами по себе они лишь хранят значения. Риск в том, как их используют для отслеживания, и в безопасности сессий (для этого есть флаги `Secure` и `HttpOnly`, MDN).

Связанные термины

• Cookie-баннер
• Сторонние cookies и first-party data
• Google Consent Mode v2
• GDPR для интернет-магазина

Источники

• MDN Web Docs, Using HTTP cookies — developer.mozilla.org/en-US/docs/Web/HTTP/Guides/Cookies
• Директива 2002/58/EC (ePrivacy), ст. 5(3), консолідована редакція — eur-lex.europa.eu/eli/dir/2002/58/oj
• EDPB, Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, версія 2.0 (7.10.2024) — edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf
• EDPB, Report of the work undertaken by the Cookie Banner Taskforce (17.01.2023) — edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf