Cookie что это: Cookie — Википедия – Файлы cookie. Помощь — computer-mouse.ru

Содержание

Cookie (куки) – что это такое и как работают: SEO Wiki

Cookie – это текстовая информация, сохраняемая браузерами для имитации неразрывной сессии по протоколу HTTP. Если не использовать куки, то при каждом запросе браузера на получение новой информации сервер будет считать пользователя неизвестным. Чтобы сохранить необходимые данные о посетителе сайта, сервер передает информацию браузеру, который помещает ее в специальный файл. При следующем обращении к сетевому ресурсу браузер передает нужную информацию серверу в HTTP-заголовке. Все cookie имеют срок хранения. Некоторые удаляются при завершении сессии, другие могут оставаться в файле очень долго.

Что могут делать cookies?

Сookie не обладают самостоятельной функциональностью. Это лишь небольшие куски данных, созданных для временного хранения информации. Куки имеют значение только для сервера, к которому обращается пользователь. Программное обеспечение сайта находит текстовый файл и на основе сохраненной в нем информации выполняет соответствующие действия.

Основные задачи cookies:

Хранение логинов и паролей от сайтов в течение сессии. Если бы не было cookies, пользователю пришлось бы вводить данные авторизации после каждого обновления или запроса на получение новой защищенной страницы.
Запоминание действий пользователя. Информация используется интернет-магазинами и различными сервисами, например для наполнения корзины покупок, запоминания вариантов голосования.
Вечные куки используют для идентификации пользователей. Они позволяют сервису собирать информацию о действиях посетителей сайта, например времени посещения, количестве просмотренных страниц.
Сохранение индивидуального профиля зарегистрированного пользователя.

Веб-мастеры также используют их для автоматической настройки рекламы, показываемой определенным посетителям сетевых ресурсов. В интернете большая конкуренция, поэтому владельцы бизнеса используют все доступные возможности для повышения эффективности продвижения продукции, услуг. При помощи куки отслеживают географическое положение, интересы пользователя, подсчитывают количество просмотренной рекламы, кликов по объявлениям и многое другое.

Слежение за пользователем при помощи cookie

Куки считают безопасной необходимостью. Действительно, ничего страшного в использовании текстовых файлов для хранения временной информации нет, если ее применяют не во вред пользователя. Например, некоторые разработчики антивирусного программного обеспечения считают, что отправление посетителям особых tracking сookies должно быть возможным только с согласия получателей.

Сегодня поисковые системы «Яндекс» и Google отправляют такие данные всем, кто ищет информацию в интернете. Это необходимо для сбора данных о предпочтениях пользователей. Эти показатели будут использованы для усовершенствования существующих и разработки новых сервисов. Применение следящих cookie можно расценивать как попытку получения конфиденциальной информации или воровства персональных данных. Поэтому некоторые антивирусы информируют пользователя о попытке сохранить tracking сookies.

Закон и безопасность

В последнее время на сайтах можно заметить регулярно всплывающие окна с просьбой разрешить сервису использовать cookie. Делают это для соблюдения закона Евросоюза о cookie. В текстовых файлах может сохраняться разнообразная информация, включая логины, пароли, данные кредитных карт, имена, фамилии пользователей, которая должна оставаться конфиденциальной. Если скопировать куки, то теоретически можно войти на чужую защищенную страницу. В целях повышения безопасности сайты используют усовершенствованный протокол передачи данных – HTTPS, а пользователи регулярно удаляют куки вручную или при помощи специальных программ.

HTTP cookie — это… Что такое HTTP cookie?

У этого термина существуют и другие значения, см. Cookie.

Ку́ки (слово не склоняется; от англ. cookie — печенье) — небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере пользователя. Веб-клиент (обычно веб-браузер) всякий раз при попытке открыть страницу соответствующего сайта пересылает этот фрагмент данных веб-серверу в виде HTTP-запроса. Применяется для сохранения данных на стороне пользователя, на практике обычно используется для:

аутентификации пользователя;
хранения персональных предпочтений и настроек пользователя;
отслеживания состояния сессии доступа пользователя;
ведения статистики о пользователях.

Приём браузерами куки требуют многие сайты с ограничениями доступа, большинство интернет-магазинов.^[1] Настройка оформления и поведения многих веб-сайтов по индивидуальным предпочтениям пользователя тоже основана на куки.

[2]

С момента своего появления куки вызывали обеспокоенность пользователей Интернета, поскольку слежение за действиями и предпочтениями пользователей может подвергнуть опасности тайну личной жизни. Как результат, в Европейском союзе, Соединённых Штатах, и в других странах были приняты соответствующие законы, регулирующие применение куки^{[источник не указан 1117 дней]}. Куки легко перехватить и подменить (например, для получения доступа к учетной записи), если пользователь использует нешифрованное соединение с сервером. В группе риска пользователи, выходящие в интернет при помощи публичных точек доступа Wi-Fi и не использующие при этом таких механизмов как SSL. Шифрование позволяет также решить и другие проблемы, связанные с безопасностью передаваемых данных.

Имеется и ряд заблуждений о куки. Они главным образом основаны на уверенности людей, что куки являются компьютерными программами. На самом деле, куки — это простые текстовые данные, набор символов, передаваемый при запросах к веб-сайту, и они не могут выполнять какие-либо действия самостоятельно. В частности, куки не могут быть ни вирусами, ни шпионскими программами. Таким образом, куки могут быть опасны только в плане деанонимизации и слежения за действиями пользователя.

Большинство современных браузеров позволяют пользователям выбрать — принимать куки или нет, но их отключение делает невозможной работу с некоторыми сайтами. Кроме того, необходимость частого ввода логина и пароля делает работу с сайтами менее удобной.

Назначение

Куки используются веб-серверами для различения пользователей и хранения данных о них.

К примеру, если вход на сайт осуществляется при помощи куки, то после ввода пользователем своих данных на странице входа, куки позволяют серверу запомнить, что пользователь уже идентифицирован, и ему разрешён доступ к соответствующим услугам и операциям.^[2]

Многие сайты также используют куки для сохранения настроек пользователя. Эти настройки могут использоваться для персонализации, которая включает в себя выбор оформления и функциональности. Например, Википедия позволяет авторизованным пользователям выбрать дизайн сайта. Поисковая система Google позволяет пользователям (в том числе и не зарегистрированным в ней) выбрать количество результатов поиска, отображаемых на одной странице.

[3]

Куки также используются для отслеживания действий пользователей на сайте. Как правило, это делается с целью сбора статистики, а рекламные компании на основе такой статистики формируют анонимные профили пользователей, для более точного нацеливания рекламы.^[4]

Понятие

Возможное взаимодействие между браузером и сервером.

В техническом плане куки представляют собой фрагменты данных, изначально отправляемых веб-сервером браузеру. При каждом последующем посещении сайта браузер пересылает их обратно серверу. Без куки каждый просмотр веб-страницы является изолированным действием, не связанным с просмотром других страниц того же сайта, с помощью же куки можно выявить связь между просмотром разных страниц. Кроме отправки куки веб-сервером, куки могут создаваться скриптами на языках вроде JavaScript, если они поддерживаются и включены в браузере.

Спецификации^[5]^[6] указывают минимальные объёмы, которые должны предоставляться браузерами для хранения куки. Так, браузер должен хранить по меньшей мере 300 куки по 4096 байт каждая, и по меньшей мере 20 куки для одного сервера или домена.

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:

На практике, некоторые браузеры могут накладывать более жёсткие ограничения. К примеру, Internet Explorer предоставляет 4096 байт для всех куки в одном домене.

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

Куки могут устанавливать дату их удаления, в этом случае они будут автоматически удалены браузером в указанный срок. Если дата удаления не указана, куки удаляются сразу, как только пользователь закроет браузер. Таким образом, указание даты истечения позволяет сохранить куки более чем на одну сессию и такие куки называются постоянными. Например, интернет-магазин может использовать постоянные куки для хранения кодов предметов, которые пользователь поместил в корзину покупок — и даже если пользователь закроет браузер, не совершив покупки, при последующем входе ему не придётся формировать корзину заново.

Хранение куки также может ограничиваться в зависимости от веб-сервера, домена или поддомена, где они были созданы.

История

По одной из версий термин «куки» (печенье) происходит от «волшебного печенья»^[7] — набора данных, которые программа получает и затем отправляет обратно неизменными. В июне 1994 года Лу Монтулли пришла идея использовать их при веб-соединении.^[8] В то время он был сотрудником Netscape Communications, которая разрабатывала по заказу пакет электронной коммерции. Куки стали решением проблемы надёжной реализации виртуальной корзины покупок.

С помощью Джона Гианнандреа в тот же год Монтулли написал начальную спецификацию куки. Mosaic Netscape 0.9beta, выпущенная 13 октября 1994 года,^[9]^[10] уже поддерживала куки. Куки впервые начали использоваться вне лаборатории на сайте Netscape и определяли, посещал ли пользователь сайт ранее. Монтулли подал заявку на патент в 1995 году и получил его в 1998 году. Internet Explorer начал поддерживать куки с версии 2, выпущенной в октябре 1995 года.^[11]

Хотя некоторые люди знали о существовании куки уже в первом квартале 1995 года,^[12] широкая общественность узнала о них лишь после статьи в «Financial Times» от 12 февраля 1996 года. В том же году куки оказались в центре внимания средств массовой информации, особенно из-за потенциальной угрозы приватности. Куки были рассмотрены в Федеральной комиссии по торговле США в двух слушаниях в 1996 и 1997 годах.

Развитие спецификаций куки на этом не остановилось. В частности, первые обсуждения формальной спецификации начались в апреле 1995 года. Была сформирована специальная рабочая группа в рамках IETF. В качестве отправной точки была выбрана спецификация Netscape. В феврале 1996 года рабочая группа определила сторонние куки как серьёзную угрозу приватности. Выработанная спецификация была выпущена под названием RFC 2109 в феврале 1997 года. В ней указывалось, что сторонние куки должны либо блокироваться, либо хотя бы не работать по умолчанию.

В то время рекламные компании уже вовсю использовали сторонние куки и рекомендации RFC 2109 не поддерживались ни в браузерах Netscape, ни в Internet Explorer. Позднее, в октябре 2000 года, RFC 2109 была заменена новой спецификацией RFC 2965.

Заблуждения

С момента появления куки, в СМИ и Интернете начали распространяться различные слухи.^[13] В 1998 году компьютерный отдел Министерства энергетики Соединенных Штатов (CIAC) заявил, что опасности куки не представляют, и пояснил, что «информация о том, откуда вы приходите и какие веб-страницы посещаете, и так сохраняется в лог-файлы веб-серверов».^[14] В 2005 году были опубликованы результаты исследования,^[15] согласно которому значительный процент респондентов уверен, что:

В действительности же, куки представляют собой лишь данные, а не программный код: они не могут стереть или прочитать информацию с компьютера пользователя.^[16] Однако куки позволяют проследить, какие веб-страницы просмотрены пользователем на данном сайте, и эта информация может быть сохранена в профиле пользователя. Такие профили зачастую анонимны и не содержат личной информации пользователей (имя, адрес и т. д.). Точнее, они не могут её содержать, пока пользователь не сделал эту информацию доступной. Но даже несмотря на анонимность, эти профили стали предметом споров о сохранении приватности.

Работа куки

Установка куки

Запрашивая страницу, браузер отправляет веб-серверу короткий текст с HTTP-запросом. Например, для доступа к странице http://www.example.org/index.html, браузер отправляет на сервер www.example.org следующий запрос:

	GET /index.html HTTP/1.1 Host: www.example.org
браузер	→	сервер

Сервер отвечает, отправляя запрашиваемую страницу вместе с текстом, содержащим HTTP-ответ. Там может содержаться указание браузеру сохранить куки:

	HTTP/1.1 200 OK Content-type: text/html Set-Cookie: name=value (содержимое страницы)
браузер	←	сервер

Строка Set-cookie отправляется лишь тогда, когда сервер желает, чтобы браузер сохранил куки. В этом случае, если куки поддерживаются браузером и их приём включён, браузер запоминает строку name=value (имя = значение) и отправляет её обратно серверу с каждым последующим запросом. Например, при запросе следующей страницы http://www.example.org/spec.html браузер пошлёт серверу www.example.org следующий запрос:

	GET /spec.html HTTP/1.1 Host: www.example.org Cookie: name=value Accept: /
браузер	→	сервер

Этот запрос отличается от первого запроса тем, что содержит строку, которую сервер отправил браузеру ранее. Таким образом, сервер узна́ет, что этот запрос связан с предыдущим. Сервер отвечает, отправляя запрашиваемую страницу и, возможно, добавив новые куки.

Значение куки может быть изменено сервером путём отправления новых строк Set-Cookie: name=newvalue. После этого браузер заменяет старое куки с тем же name на новую строку.

Строка Set-Cookie, как правило, добавляется к HTTP-ответу не самим HTTP-сервером, а CGI-программой, работающей вместе с ним. HTTP-сервер только отправляет браузеру результат работы такой программы.

Куки также могут устанавливаться программами на языках типа JavaScript, встроенными в текст страниц, или аналогичными скриптами, работающими в браузере. В JavaScript для этого используется объект document.cookie. Например, document.cookie = "temperature=20" создаст куки под именем «temperature» и значением 20.^[17]

Атрибуты куки

Кроме пары имя/значение, куки может содержать срок действия, путь и доменное имя. RFC 2965 также предусматривает, что куки должны обязательно иметь номер версии, но это используется редко. Эти атрибуты должны идти после пары name=newvalue и разделяться точкой с запятой. Например:

Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org.

Образец HTTP-ответа google.com, содержащего куки с атрибутами.

Домен и путь говорят браузеру, что куки должна быть отправлена обратно на сервер при запросах URL для указанного домена и пути. Если они не указаны, используются домен и путь запрошенной страницы^[6].

Фактически, куки определяются тройкой параметров имя-домен-путь (оригинальная спецификация Netscape учитывала только пару имя-путь^[5]). Иными словами, куки с разными путями или доменами являются разными куки, даже если имеют одинаковые имена. Соответственно, куки меняется на новое, только если новое куки имеет те же имя, путь и домен.

Дата истечения указывает браузеру, когда удалить куки. Если срок истечения не указан, куки удаляется по окончании пользовательского сеанса, то есть с закрытием браузера. Если же указана дата истечения срока хранения, куки становится постоянной до указанной даты. Дата истечения указывается в формате «Нед, ДД Мес ГГГГ ЧЧ:ММ:СС GMT». Например:

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net

куки из примера выше имеет имя RMID и значение «732423sdfs73242». Срок его хранения истечёт 31 декабря 2010 года в 23:59:59. Путь «/» и домен «example.net» показывают браузеру, что нужно отправить куки при просмотре любой страницы в домене example.net^[18].

Условия истечения срока хранения

Срок хранения куки истекает в следующих случаях:^[19]

В конце сессии (например, когда браузер закрывается), если куки не являются постоянными.
Дата истечения была указана и срок хранения вышел.
Браузер удалил куки по запросу пользователя.

Заметим, что сервер может узнать, когда истекают сроки хранения куки, только когда браузер отправляет на сервер эту информацию.

Аутентификация

Куки могут использоваться сервером для опознания ранее аутентифицированных пользователей. Это происходит следующим образом:^[20]

Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна только для текущей сессии браузера, но может быть настроена и на длительное хранение.
Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на Yahoo!, в Википедии и в Facebook.

Многие браузеры (в частности Opera, FireFox), путем редактирования свойств куки, могут управлять поведением веб-сайтов. Изменив срок истечения непостоянных (сессионных) куки можно, например, получить формально-неограниченную сессию после авторизации на каком-либо сайте. Возможность редактирования куки стандартными средствами отсутствует в Internet Explorer. Но, воспользовавшись иными механизмами, например, JavaScript, пользователь может изменить куки-файл. Более того, существует возможность заменить сессионные куки постоянными (с указанием срока годности).

Однако серверное программное обеспечение может отслеживать такие попытки. Для этого сервер выдаёт куки на определённый срок и записывает дату окончания куки у себя каждый раз, когда пользователь обращается к серверу. Если куки, присланный браузером, имеет дату годности отличную от той, что хранится на сервере, значит имеет место попытка подмены даты годности куки. Сервер может отреагировать, например, запросив у пользователя повторную авторизацию.

Настройка браузера

Просмотр и настройка куки в браузере Firefox 3.0

Большинство современных браузеров поддерживают куки.^[21] И, как правило, пользователь может выбрать, должны куки использоваться или нет. Наиболее распространены следующие настройки браузеров:^[18]

Полное отключение куки.
Удаление куки при закрытии браузера.
Различение сторонних куки с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
Запрет куки от определённых доменов (разновидность «чёрного списка»).
Установка разумных сроков истечения куки.

Большинство браузеров, поддерживающих JavaScript, позволяют пользователю увидеть активные на данном сайте куки, набрав javascript:alert("Cookies: "+document.cookie) или javascript:prompt("Cookies:",document.cookie) в адресной строке браузера^[18]. Некоторые браузеры содержат менеджер куки, позволяющий пользователю выборочно просмотреть и удалить куки, хранящиеся в браузере.

Приватность и сторонние куки

Куки значительным образом влияют на конфиденциальность и анонимность пользователей Интернета. Хотя куки отправляются только на серверы домена, для которого они предназначены, веб-страница может подгружать изображения или другие компоненты из других доменов. Куки, получаемые во время подгрузки этих компонентов из других доменов, называются «сторонними»^[22].

Устанавливая баннеры на разных сайтах и используя сторонние куки, рекламная компания может отследить перемещение пользователей между этими сайтами.

Рекламные компании используют сторонние куки для отслеживания перемещений пользователя по сайтам. В частности, рекламная компания может отслеживать пользователей на всех сайтах, где установлены их рекламные баннеры. Знание страниц, посещённых пользователем, позволяет менять направленность рекламы в зависимости от предпочтений пользователя.

Создание профиля пользователей рассматривается как потенциальная угроза приватности даже при отслеживании в рамках одного домена, но особенно это актуально при отслеживания на нескольких доменах с использованием сторонних куки. По этой причине в некоторых странах куки регулируются законодательством.

Правительство Соединенных Штатов приняло строгие законы в отношении куки в 2000 году, после того, как выяснилось, что Агентство по борьбе с наркотиками США использовало куки для отслеживания пользователей, просмотревших их антинаркотическую рекламу в сети. В 2002 году Дэниел Брандт установил, что ЦРУ устанавливает на компьютеры постоянные куки со сроком хранения до 2010 года. Когда ЦРУ было уведомлено о неправомерности подобного использования куки, управление заявило, что это было непреднамеренно и прекратило их установку.^[23] 25 декабря 2005 года Брандт обнаружил, что Агентство национальной безопасности оставляло пару постоянных куки после обновления программного обеспечения. После этого сообщения Агентство немедленно отключило куки.^[24]

Директива Евросоюза о конфиденциальности электронных данных от 2002 года^[25] содержит нормы, касающиеся использования куки. В частности, пункт 3 статьи 5 устанавливает, что хранение данных (в том числе куки) может осуществляться лишь если:

пользователю предоставляется информация о том, как эти данные используются;
пользователь имеет возможность отказаться от этого.

Тем не менее, в данной статье также говорится, что хранение технически необходимых данных освобождается от этих норм. Ожидалось, что директива вступит в силу с октября 2003 года, но доклад от декабря 2004 года отмечает, что эти положения не нашли применения на практике и что в некоторых государствах (Словакия, Латвия, Греция, Бельгия и Люксембург) эти положения не внесены в национальные законодательства. Доклад предлагает провести тщательный анализ ситуации в государствах, участвующих в договоре.

Спецификация P3P включает возможность для веб-сервера сообщить браузеру о нарушении конфиденциальности, указывая характер собираемой информации и цели сбора. Сюда входит и использование информации, полученной с помощью куки. По спецификации P3P браузер может принимать или отклонять куки согласно пользовательским настройкам или же спросить пользователя.

Многие веб-браузеры, включая Safari от Apple и Internet Explorer версий 6 и 7 от Microsoft, поддерживают спецификации P3P, которые позволяют определить, следует ли разрешать сторонние куки. Веб-браузер Opera позволяет пользователям отказаться от сторонних куки и создать глобальные или выборочные профили безопасности для веб-доменов.^[26]Firefox 2 был лишён этой опции, но она была восстановлена в версии 3.

Недостатки куки

Помимо проблем конфиденциальности, куки имеют и некоторые технические недостатки. В частности, они не всегда точно идентифицируют пользователя и могут быть причиной атак злоумышленников.

Неточная идентификация

Если на компьютере используется более одного браузера, то, как правило, каждый имеет отдельное хранилище для куки. Поэтому куки идентифицируют не человека, а сочетание учётной записи, компьютера, и браузера. Таким образом, любой человек, который использует несколько учётных записей, компьютеров или браузеров, имеет несколько наборов куки.

Аналогично, куки не различают пользователей, пользующихся одним компьютером и браузером, если не используются разные учётные записи в операционной системе.

Кража куки

Во время нормальной эксплуатации сервер и браузер пользователя постоянно обмениваются куки. Поскольку куки могут содержать конфиденциальную информацию (имя пользователя, условия доступа и т. д.), их содержимое не должно быть доступно другим. Кража куки — это акт несанкционированного перехвата куки посторонними.

Куки могут быть украдены другим компьютером, читающим трафик сети.

Куки могут быть украдены с помощью анализа трафика — это называется взломом сессии. Сетевой трафик может быть перехвачен и прочитан не только его отправителем и получателем (особенно в публичных сетях Wi-Fi). Этот трафик включает в себя и куки, передаваемые через незашифрованные HTTP-сессии. Там, где сетевой трафик не шифруется, злоумышленники могут прочесть сообщения пользователей сети, в том числе их куки, используя программы, называемые сниферами.

Эта проблема может быть решена путём установления между пользователем и сервером шифрованного соединения с использованием протокола HTTPS. Сервер также может использовать специальный флаг при установке куки, после чего браузер будет передавать их только по надёжному каналу, например, через SSL-соединение.^[6]

Однако большое число веб-сайтов, даже использующих безопасные HTTPS-сессии для идентификации пользователя, затем отправляют куки и другие данные более простым незашифрованным HTTP-соединением. Злоумышленники могут легко перехватить куки других пользователей и использовать их на соответствующих веб-сайтах.^[27]

Межсайтовый скриптинг: куки должны обмениваться лишь между сервером и клиентом, а отправляются третьей стороне.

Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Другой способ кражи куки — межсайтовый скриптинг и несанкционированная отправка куки на серверы, которые не должны получать их. Современные браузеры могут исполнять фрагменты кода, полученные с сервера. Если куки доступны во время этого исполнения, их содержимое может в той или иной форме оказаться на серверах, которые не должны получать к ним доступ. Шифрование куки не поможет в этом случае.^[28]

Следующий вид межсайтового скриптинга, как правило, используют на сайтах, где пользователям разрешено отправлять сообщения с HTML-содержимым. При вставке соответствующего PHP/Javascript -кода в сообщение атакующий может получить куки других пользователей.

Эти атаки можно предотвратить установкой флага HttpOnly,^[29] делающей куки недоступными для скриптов со стороны клиента. Тем не менее, веб-разработчики должны предусматривать защиту от межсайтового скриптинга на стадии разработки веб-сайтов.^[30]

Подмена куки

Подмена куки: атакующий отправляет серверу подложные куки, возможно изменив легитимные куки, ранее полученные от сервера.

Хотя теоретически куки должны сохраняться и отправляться назад на сервер неизменными, злоумышленник может изменить их содержимое перед отправкой. К примеру, куки могут содержать общую сумму, которую пользователь должен уплатить за свои покупки; изменив это значение, злоумышленник сможет заплатить меньше установленной суммы. Процесс изменения содержимого куки называется подменой куки.

Для защиты от подобных атак большинство веб-сайтов хранят в куки лишь идентификатор сессии — случайно сгенерированное число или набор символов, используемое для определения сессии, в то время как вся другая информация хранится на сервере. В этом случае подмена куки значительно затрудняется.

Межсайтовые куки

Атакующий использует баг браузера для отправки серверу подложных куки.

Каждый сайт должен иметь свои собственные куки, и сайт example.com не должен изменять или устанавливать куки другого сайта example.org. Уязвимости веб-браузеров позволяют вредоносным сайтам нарушать это правило. Это похоже на отправление куки, но здесь злоумышленник атакует пользователей с уязвимыми браузерами, а не сайт напрямую. Целью таких атак могут быть идентификаторы сессий.

Для защиты пользователям рекомендуется использовать последние версии браузеров, в которых эта проблема исправлена.

Нестабильность между клиентом и сервером

Куки могут вызвать противоречия между клиентом и сервером. Если пользователь получает куки, а затем нажимает кнопку «Назад» в браузере, то состояние браузера уже другое по сравнению с моментом получения куки. Для примера возьмем электронный магазин с корзиной покупок, основанной на применении куки: пользователь добавляет покупку в корзину, затем нажимает кнопку «Назад», но покупка остаётся в корзине, хотя пользователь, возможно, хотел отменить покупку. Это может привести к путанице и ошибкам. Веб-разработчики должны помнить об этом и принимать меры для решения таких ситуаций.

Срок действия куки

Постоянные куки критикуются экспертами за свой долгий срок хранения, который позволяет веб-сайтам отслеживать пользователей и создавать их профиль с течением времени.^[31] Здесь затрагиваются и вопросы безопасности, поскольку украденные постоянные куки могут использоваться на протяжении значительного периода времени.

Кроме того, правильно составленная вредоносная программа, которая может быть запущена после аутентификации пользователя, сможет перенести сессионные куки на компьютер злоумышленника, что в первом приближении позволит посещать защищённый сайт без ввода имени пользователя и пароля сколь угодно долгое время.

Альтернативы куки

Некоторые операции, для которых используются куки, могут быть реализованы с помощью других механизмов. Тем не менее, эти альтернативы имеют свои недостатки, которые делают куки порой более предпочтительными на практике. Большинство этих альтернатив позволяет отслеживать пользователя, хотя и менее надёжным способом, чем куки. Как результат, неприкосновенность частной жизни остаётся под угрозой, даже если куки отключены браузером или не устанавливаются сервером.

IP-адрес

Этот ненадёжный метод отслеживания пользователей основан на хранении IP-адресов компьютеров, просматривающих страницы. Данная техника доступна с самого появления World Wide Web, которая требует знания IP-адреса клиента для загрузки страницы. Эту информацию можно хранить на сервере вне зависимости от того, используются куки или нет.

Тем не менее этот способ менее надёжен, чем куки, поскольку компьютеры и прокси могут совместно использоваться несколькими пользователями, а один компьютер может использовать разные IP-адреса в разных сессиях (чаще всего это относится к коммутируемому соединению, т. н. dial-up).

Отслеживание по IP-адресу может оказаться невозможным и при использовании систем сохранения анонимности (например, Tor). В таких системах один браузер может иметь несколько IP-адресов, и несколько пользователей могут использовать один IP-адрес, в результате чего отслеживание IP-адреса не представляется возможным.

Некоторые крупные провайдеры, включая AOL, пропускают весь веб-трафик через сеть прокси^{[источник не указан 855 дней]}, что также делает этот метод неосуществимым.

URL (строка запроса)

Основная статья: URL

Более прогрессивная методика основана на встраивании данных в URL. Обычно для этого используется строка запроса, но так же могут задействоваться и другие части URL. Языки Java и PHP активно используют эти механизмы при отключенных куки.

Веб-сервер добавляет строку запроса к ссылке на веб-страницу при её отправке в браузере. Когда пользователь переходит по ссылке, браузер возвращает строку запроса серверу.

В этом плане строка запроса и куки очень схожи: они являются фрагментами информации сервера, возвращаемой обратно браузером. Но есть и определённые различия: так как строка запроса является частью URL, то при повторном использовании этого URL на сервер передастся та же информация. Например, если опции пользователя кодированы в строке запроса URL, и пользователь отправляет этот URL другому пользователю, эти опции будут действовать и для другого пользователя.

Более того, даже если пользователь повторно обращается к одной и той же странице, нет никакой гарантии, что строка запроса останется неизменной. Например, при переходе с внутренних страниц сайта и с внешних поисковых систем, строки запроса будут разным, когда куки оставались бы одинаковыми.

Другой недостаток строки запроса проявляется в вопросах безопасности: хранение идентификатора сессии в строке запроса упрощает проведение атаки. Передача идентификатора в куки более безопасна.

Скрытые поля формы

Одним из способов отслеживания сессии с помощью выполняемой на стороне сервера программы является использование веб-форм со скрытыми полями. Этот метод очень похож на строку запроса URL и обладает почти теми же преимуществами и недостатками, а если параметры формы отправляются HTTP-методом GET, то поля фактически станут частью URL, который браузер отправит на сервер. Но большинство форм обрабатывается HTTP POST, при которой информация не является ни частью URL, ни куки.

Этот подход даёт два преимущества в вопросе отслеживания: во-первых, вставка информации в HTML-код и в POST, а не в URL, означает, что средний пользователь её просто не заметит, во-вторых, информация сессии не копируется с копированием URL (например, когда пользователь отправляет ссылку по электронной почте). Недостаток метода состоит в том, что информация сессии содержится в HTML-коде, поэтому веб-страница должна генерироваться каждый раз, когда её запрашивают, что увеличивает нагрузку на веб-сервер.

HTTP-аутентификация

Протокол HTTP включает в себя базовую аутентификацию и шифрование, которые разрешают доступ к странице, только когда пользователь введёт правильное имя пользователя и пароль. Если сервер запрашивает подобное, то браузер обращается к пользователю и, получив нужные данные, сохраняет и использует их для доступа к другим страницам, не требуя от пользователя вводить их заново. С точки зрения пользователя эффект тот же, что и при использовании куки: имя пользователя и пароль требуются лишь однажды, и потом пользователь получает доступ к сайту. При базовой аутентификации сочетание имени пользователя и пароля отправляется на сервер при каждом запросе браузера в незашифрованном виде. Это означает, что если кто-то перехватывает трафик, он сможет получить эту информацию и впоследствии использовать. При шифрованной аутентификации имя пользователя и пароль шифруются со случайным ключом, созданным сервером.

Сохранение на клиентской стороне

Некоторые веб-браузеры позволяют странице сохранять информацию локально для последующего извлечения. Internet Explorer, например, поддерживает сохранение информации в истории, избранном, XML-хранилище, или позволяет провести прямое сохранение веб-страницы на диск.^[32]

Немного отличный механизм используются в браузерах, кэширующих файлы javascript, используемые в веб-странице. Например, страница может содержать ссылку <script type="text/javascript" src="example.js">. С загрузкой страницы загружается и example.js. Затем скрипт кэшируется и не требует загрузки при повторном посещении страницы. В результате, если скрипт содержит такое значение, как id=3243242, этот идентификатор остаётся в силе и может быть использован другим сценарием javascript или другой страницей, запрашивающей этот скрипт.

Примечания

Ссылки

Чем опасны отслеживающие cookies если вам и вправду нечего скрывать / Habr

В последнем подкасте Habr Weekly #21 обсуждалась тема отслеживающих cookies и вопрос их нежелательности. Бытуют мнения о сомнительности вреда таких куков если скрывать и вправду нечего. Такая позиция определенно не выдерживает критики.

На наш взгляд главный риск таких отслеживающих cookies для пользователей, кому и вправду нечего скрывать, кроется в возможности индивидуальной манипуляции их сознанием.
Это может быть выгодно как целым государствам, так и отдельным хозяйствующим субъектам.

Демократия и государственность

Самые серьезные риски, считаю, может нести прямое или косвенное воздействие на политические взгляды в обществе и, как следствие, влияние на демократические процессы в государстве. Об этом свидетельствуют регулярные сообщения, связанные с возможными вмешательствами государств в избирательный процесс других стран путем размещения политической рекламы в Интернете.

К тому же, подмешивая «правильную» (грамотно таргетированную по интересам) рекламу о событиях в мире, государстве и обществе можно планомерно доводить человека до нужного состояния. Искали сегодня билет на концерт любимой группы, — завтра можете увидеть рекламу о поддержке группой той или иной политсилы.

Купи Слона!

Ровно как и в политической рекламе, ваше сознание и восприятие вещей могут изменяться в пользу любых коммерческих продуктов.

Таргетированная реклама по интересам может быть не всегда добросовестной, или отражающей реальную действительность. Поискали как-то информацию о соблюдении GDPR для своего бизнеса — получите рекламу услуг и продуктов с шокирующей информацией о гигантских штрафах. И никто не будет говорить о реальной, не столь устрашающей, статистике таких санкций. Ничего личного, просто коммерция.

Дорогая, я могу все объяснить

А это пример из личного опыта, после которого взял за привычку использовать браузер в режиме инкогнито. Типичный случай человека, которому нечего, как казалось, скрывать перед женой.

Как вы наверняка догадались, речь о… подарке для любимой. Будьте предельно осторожны при поиске сюрпризов для своей второй половинки, если пользуетесь с ней общим девайсом. Ситуация, что в рекламе она увидит результаты ваших предыдущих поисков очевидна. Cюрпризу тут не быть, а в худшем случае придется объяснять, что подарок был для нее.

Что делать с отслеживающими cookies

Пользователям можно рекомендовать использовать режим инкогнито браузеров, который делает любые cookies сессионными, т.е. сохраняет их только до закрытия браузера. При этом после окончания работы нужно не забывать закрывать браузер. Не лишним будет нажимать на кнопки отказа от cookies на сайтах, где разрешение на их использование запрашивается.

Владельцам сайтов, не желающим способствовать маркетинговой слежке пользователей, рекомендуется придерживаться принципов и требований Европейского GDPR. В частности, можно установить баннер согласия cookies, который будет блокировать их установку до получения разрешения. В случае отказа пользователя отслеживающие куки установлены не будут.

Вместо выводов

Приведенные в статье случаи пагубного воздействия остлеживающих cookies далеко не исчерпывающие, впрочем, как и фантазия маркетологов (в хорошем смысле). В опросе и комментариях хотелось бы услышать мнение аудитории Хабра и возможные риски использования отслеживающих cookies для тех, кому нечего скрывать.

HTTP cookie — это… Что такое HTTP cookie?

У этого термина существуют и другие значения, см. Cookie.

аутентификации пользователя;
хранения персональных предпочтений и настроек пользователя;
отслеживания состояния сессии доступа пользователя;
ведения статистики о пользователях.

Назначение

Куки используются веб-серверами для различения пользователей и хранения данных о них.

Понятие

Возможное взаимодействие между браузером и сервером.

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

История

Заблуждения

Работа куки

Установка куки

	GET /index.html HTTP/1.1 Host: www.example.org
браузер	→	сервер

	HTTP/1.1 200 OK Content-type: text/html Set-Cookie: name=value (содержимое страницы)
браузер	←	сервер

	GET /spec.html HTTP/1.1 Host: www.example.org Cookie: name=value Accept: /
браузер	→	сервер

Атрибуты куки

Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org.

Образец HTTP-ответа google.com, содержащего куки с атрибутами.

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net

Условия истечения срока хранения

Срок хранения куки истекает в следующих случаях:^[19]

В конце сессии (например, когда браузер закрывается), если куки не являются постоянными.
Дата истечения была указана и срок хранения вышел.
Браузер удалил куки по запросу пользователя.

Аутентификация

Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна только для текущей сессии браузера, но может быть настроена и на длительное хранение.
Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на Yahoo!, в Википедии и в Facebook.

Настройка браузера

Просмотр и настройка куки в браузере Firefox 3.0

Полное отключение куки.
Удаление куки при закрытии браузера.
Различение сторонних куки с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
Запрет куки от определённых доменов (разновидность «чёрного списка»).
Установка разумных сроков истечения куки.

Приватность и сторонние куки

пользователю предоставляется информация о том, как эти данные используются;
пользователь имеет возможность отказаться от этого.

Недостатки куки

Неточная идентификация

Кража куки

Куки могут быть украдены другим компьютером, читающим трафик сети.

Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Подмена куки

Межсайтовые куки

Атакующий использует баг браузера для отправки серверу подложных куки.

Нестабильность между клиентом и сервером

Срок действия куки

Альтернативы куки

IP-адрес

URL (строка запроса)

Основная статья: URL

Скрытые поля формы

HTTP-аутентификация

Сохранение на клиентской стороне

Примечания

Ссылки

HTTP cookie — это… Что такое HTTP cookie?

У этого термина существуют и другие значения, см. Cookie.

аутентификации пользователя;
хранения персональных предпочтений и настроек пользователя;
отслеживания состояния сессии доступа пользователя;
ведения статистики о пользователях.

Назначение

Куки используются веб-серверами для различения пользователей и хранения данных о них.

Понятие

Возможное взаимодействие между браузером и сервером.

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

История

Заблуждения

Работа куки

Установка куки

	GET /index.html HTTP/1.1 Host: www.example.org
браузер	→	сервер

	HTTP/1.1 200 OK Content-type: text/html Set-Cookie: name=value (содержимое страницы)
браузер	←	сервер

	GET /spec.html HTTP/1.1 Host: www.example.org Cookie: name=value Accept: /
браузер	→	сервер

Атрибуты куки

Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org.

Образец HTTP-ответа google.com, содержащего куки с атрибутами.

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net

Условия истечения срока хранения

Срок хранения куки истекает в следующих случаях:^[19]

В конце сессии (например, когда браузер закрывается), если куки не являются постоянными.
Дата истечения была указана и срок хранения вышел.
Браузер удалил куки по запросу пользователя.

Аутентификация

Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна только для текущей сессии браузера, но может быть настроена и на длительное хранение.
Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на Yahoo!, в Википедии и в Facebook.

Настройка браузера

Просмотр и настройка куки в браузере Firefox 3.0

Полное отключение куки.
Удаление куки при закрытии браузера.
Различение сторонних куки с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
Запрет куки от определённых доменов (разновидность «чёрного списка»).
Установка разумных сроков истечения куки.

Приватность и сторонние куки

пользователю предоставляется информация о том, как эти данные используются;
пользователь имеет возможность отказаться от этого.

Недостатки куки

Неточная идентификация

Кража куки

Куки могут быть украдены другим компьютером, читающим трафик сети.

Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Подмена куки

Межсайтовые куки

Атакующий использует баг браузера для отправки серверу подложных куки.

Нестабильность между клиентом и сервером

Срок действия куки

Альтернативы куки

IP-адрес

URL (строка запроса)

Основная статья: URL

Скрытые поля формы

HTTP-аутентификация

Сохранение на клиентской стороне

Примечания

Ссылки

HTTP cookie — это… Что такое HTTP cookie?

У этого термина существуют и другие значения, см. Cookie.

аутентификации пользователя;
хранения персональных предпочтений и настроек пользователя;
отслеживания состояния сессии доступа пользователя;
ведения статистики о пользователях.

Назначение

Куки используются веб-серверами для различения пользователей и хранения данных о них.

Понятие

Возможное взаимодействие между браузером и сервером.

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

История

Заблуждения

Работа куки

Установка куки

	GET /index.html HTTP/1.1 Host: www.example.org
браузер	→	сервер

	HTTP/1.1 200 OK Content-type: text/html Set-Cookie: name=value (содержимое страницы)
браузер	←	сервер

	GET /spec.html HTTP/1.1 Host: www.example.org Cookie: name=value Accept: /
браузер	→	сервер

Атрибуты куки

Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org.

Образец HTTP-ответа google.com, содержащего куки с атрибутами.

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net

Условия истечения срока хранения

Срок хранения куки истекает в следующих случаях:^[19]

В конце сессии (например, когда браузер закрывается), если куки не являются постоянными.
Дата истечения была указана и срок хранения вышел.
Браузер удалил куки по запросу пользователя.

Аутентификация

Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна только для текущей сессии браузера, но может быть настроена и на длительное хранение.
Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на Yahoo!, в Википедии и в Facebook.

Настройка браузера

Просмотр и настройка куки в браузере Firefox 3.0

Полное отключение куки.
Удаление куки при закрытии браузера.
Различение сторонних куки с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
Запрет куки от определённых доменов (разновидность «чёрного списка»).
Установка разумных сроков истечения куки.

Приватность и сторонние куки

пользователю предоставляется информация о том, как эти данные используются;
пользователь имеет возможность отказаться от этого.

Недостатки куки

Неточная идентификация

Кража куки

Куки могут быть украдены другим компьютером, читающим трафик сети.

Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Подмена куки

Межсайтовые куки

Атакующий использует баг браузера для отправки серверу подложных куки.

Нестабильность между клиентом и сервером

Срок действия куки

Альтернативы куки

IP-адрес

URL (строка запроса)

Основная статья: URL

Скрытые поля формы

HTTP-аутентификация

Сохранение на клиентской стороне

Примечания

Ссылки

HTTP cookie — это… Что такое HTTP cookie?

У этого термина существуют и другие значения, см. Cookie.

аутентификации пользователя;
хранения персональных предпочтений и настроек пользователя;
отслеживания состояния сессии доступа пользователя;
ведения статистики о пользователях.

Назначение

Куки используются веб-серверами для различения пользователей и хранения данных о них.

Понятие

Возможное взаимодействие между браузером и сервером.

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

История

Заблуждения

Работа куки

Установка куки

	GET /index.html HTTP/1.1 Host: www.example.org
браузер	→	сервер

	HTTP/1.1 200 OK Content-type: text/html Set-Cookie: name=value (содержимое страницы)
браузер	←	сервер

	GET /spec.html HTTP/1.1 Host: www.example.org Cookie: name=value Accept: /
браузер	→	сервер

Атрибуты куки

Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org.

Образец HTTP-ответа google.com, содержащего куки с атрибутами.

Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net

Условия истечения срока хранения

Срок хранения куки истекает в следующих случаях:^[19]

В конце сессии (например, когда браузер закрывается), если куки не являются постоянными.
Дата истечения была указана и срок хранения вышел.
Браузер удалил куки по запросу пользователя.

Аутентификация

Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна только для текущей сессии браузера, но может быть настроена и на длительное хранение.
Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на Yahoo!, в Википедии и в Facebook.

Настройка браузера

Просмотр и настройка куки в браузере Firefox 3.0

Полное отключение куки.
Удаление куки при закрытии браузера.
Различение сторонних куки с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
Запрет куки от определённых доменов (разновидность «чёрного списка»).
Установка разумных сроков истечения куки.

Приватность и сторонние куки

пользователю предоставляется информация о том, как эти данные используются;
пользователь имеет возможность отказаться от этого.

Недостатки куки

Неточная идентификация

Кража куки

Куки могут быть украдены другим компьютером, читающим трафик сети.

Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Подмена куки

Межсайтовые куки

Атакующий использует баг браузера для отправки серверу подложных куки.

Blog

Cookie что это: Cookie — Википедия – Файлы cookie. Помощь

Cookie (куки) – что это такое и как работают: SEO Wiki

Что могут делать cookies?

Слежение за пользователем при помощи cookie

Закон и безопасность

HTTP cookie — это… Что такое HTTP cookie?

Назначение

Понятие

История

Заблуждения

Работа куки

Установка куки

Атрибуты куки

Условия истечения срока хранения

Аутентификация

Настройка браузера

Приватность и сторонние куки

Недостатки куки

Неточная идентификация

Кража куки

Подмена куки

Межсайтовые куки

Нестабильность между клиентом и сервером

Срок действия куки

Альтернативы куки

IP-адрес

URL (строка запроса)

Скрытые поля формы

HTTP-аутентификация

Сохранение на клиентской стороне

Примечания

Ссылки

Чем опасны отслеживающие cookies если вам и вправду нечего скрывать / Habr

Демократия и государственность

Купи Слона!

Дорогая, я могу все объяснить

Что делать с отслеживающими cookies

Вместо выводов

HTTP cookie — это… Что такое HTTP cookie?

Назначение

Понятие

История

Заблуждения

Работа куки

Установка куки

Атрибуты куки

Условия истечения срока хранения

Аутентификация

Настройка браузера

Приватность и сторонние куки

Недостатки куки

Неточная идентификация

Кража куки

Подмена куки

Межсайтовые куки

Нестабильность между клиентом и сервером

Срок действия куки

Альтернативы куки

IP-адрес

URL (строка запроса)

Скрытые поля формы

HTTP-аутентификация

Сохранение на клиентской стороне

Примечания

Ссылки

HTTP cookie — это… Что такое HTTP cookie?

Назначение

Понятие

История

Заблуждения

Работа куки

Установка куки

Атрибуты куки

Условия истечения срока хранения

Аутентификация

Настройка браузера

Приватность и сторонние куки

Недостатки куки

Неточная идентификация