Съгласие и банери

Еволюцията на бисквитките: От основно проследяване до стриктно съответствие

7 юли 2026 г. · 16 мин. четене

Бърз отговор

Бисквитките на браузъра започват през 1994 г. като просто решение за поддържане на състоянието на пазарската кошница през уеб сесии, но еволюцията на бисквитките от основно проследяване до стриктно съответствие ги превърна в една от най-регулираните технологии в дигиталната история. Днес разполагането на бисквитки без изрично съгласие на потребителя може да изложи организациите на значителни регулаторни санкции съгласно рамки като GDPR и CCPA. Разбирането на тази еволюция е от съществено значение за всеки собственик на уебсайт, разработчик или специалист по защита на данните, работещ през 2026 г.

Основни изводи

Бисквитките са изобретени от Лу Монтули в Netscape през 1994 г., за да решат проблем с HTTP без състояние, а не за проследяване на потребители
Бисквитките на трети страни позволяват профилиране на поведението между сайтове, предизвиквайки глобални регулаторни отговори от средата на 2000-те години нататък
GDPR (2018) и CCPA (2020) фундаментално промениха начина, по който уебсайтовете трябва да получават и документират съгласие за бисквитки
Прекратяването на поддръжката на бисквитки на трети страни от Google в Chrome ускори приемането на алтернативи, запазващи поверителността, включително стратегии за данни от първа страна и сървърни анализи
Платформите за управление на съгласието (CMPs) вече са изискване за съответствие, а не незадължително подобрение, за повечето търговски уебсайтове
Бисквитките на първи страни остават законни и функционални; тежестта на съответствието пада предимно върху бисквитките за проследяване и реклама
Банерите за съгласие за бисквитки трябва да отговарят на специфични правни стандарти: предварително отметнати квадратчета, пакетирано съгласие и тъмни модели са забранени съгласно GDPR
Потребителите могат да изтриват бисквитки по всяко време, но това влияе на персонализацията, постоянството на влизането и точността на анализите

Какво представляват бисквитките и как работят?

Бисквитките са малки текстови файлове, които уеб сървърът инструктира браузъра да съхранява локално на устройството на потребителя. Когато потребителят посети същия сайт отново, браузърът изпраща съхранената бисквитка обратно на сървъра, което му позволява да разпознае сесията, да запомни предпочитанията или да свърже поведението между страниците.

Технически, бисквитката се състои от двойка име-стойност плюс незадължителни атрибути: дата на изтичане, обхват на домейна, път и флагове за сигурност като HttpOnly и Secure. Сесийните бисквитки изтичат, когато браузърът се затвори; постоянните бисквитки остават до определената им дата на изтичане или докато потребителят не ги изтрие. [8]

Основни типове бисквитки по функция:

Тип	Предназначение	Типичен живот
Сесийни	Поддържат състоянието на влизане	Сесия на браузъра
Постоянни	Запомнят предпочитания	От дни до години
От първа страна	Зададени от посетения домейн	Различно
От трета страна	Зададени от външни домейни	Често 1-2 години
Аналитични	Измерват поведението на трафика	13-26 месеца
Маркетинг/Проследяване	Изграждат рекламни профили	До 2 години

Историята на бисквитките в уеб браузърите

Еволюцията на бисквитките от основно проследяване до стриктно съответствие започва с прост инженерен проблем. През 1994 г. Лу Монтули, инженер в Netscape Communications, се нуждае от начин да внедри виртуална пазарска кошница, без да съхранява данни за сесията на сървъра. Неговото решение е HTTP бисквитката, произлязла от съществуваща концепция на Unix, наречена "магическа бисквитка". [7]

Браузърът на Netscape е пуснат с поддръжка на бисквитки през 1994 г., а Internet Explorer приема стандарта до 1995 г. До 1997 г. IETF формализира спецификацията в RFC 2109. [8] Това, което започва като заобиколно решение за протокол без състояние, бързо се превръща в гръбнака на персонализацията, удостоверяването и, което е от решаващо значение, рекламата.

Основни етапи в историята на бисквитките:

1994: Лу Монтули изобретява HTTP бисквитката в Netscape [5]
1996: Financial Times публикува едно от първите публични предупреждения за проследяване, базирано на бисквитки [7]
2000-те: Рекламните мрежи разполагат бисквитки на трети страни, за да изграждат поведенчески профили между сайтове
2011: Директивата за бисквитките на ЕС изисква информирано съгласие за несъществени бисквитки
2018: GDPR драстично повишава летвата за съответствие, изисквайки изрично, детайлно съгласие
2020: CCPA предоставя на потребителите от Калифорния правото да се откажат от продажбите на данни, базирани на бисквитки
2024: Google започва поетапно премахване на бисквитки на трети страни в Chrome [10]

Бисквитки от първа страна срещу бисквитки от трета страна: Каква е разликата?

Бисквитките от първа страна се задават от домейна, който потребителят активно посещава. Бисквитките от трета страна се задават от различен домейн, обикновено рекламна мрежа, доставчик на анализи или платформа за социални медии, вградена в страницата.

Тази разлика е изключително важна както за функционалността, така и за съответствието. Бисквитките от първа страна обикновено се считат за по-малко рискови, тъй като потребителят има пряка връзка с домейна, който ги задава. Бисквитките от трета страна, напротив, позволяват на едно рекламно лице да проследява поведението на потребителя в хиляди несвързани уебсайтове, изграждайки подробни поведенчески профили без значимото знание на потребителя. [6]

"Бисквитката на трета страна се превърна в двигателя на икономиката на наблюдението, не защото е била проектирана за тази цел, а защото нейната техническа архитектура направи проследяването между сайтове тривиално лесно за внедряване в мащаб."

Повечето съвременни разпоредби за поверителност са насочени конкретно към бисквитките за проследяване на трети страни, въпреки че изискванията за съгласие се прилагат за всички несъществени бисквитки, независимо от произхода.

Какво е GDPR и как влияе на бисквитките?

Общият регламент за защита на данните (GDPR), който влезе в сила през май 2018 г., третира идентификаторите на бисквитки като лични данни, когато могат да бъдат използвани за идентифициране или профилиране на индивид. Съгласно GDPR, уебсайтовете, обслужващи жители на ЕС, трябва да получат свободно дадено, конкретно, информирано и недвусмислено съгласие, преди да поставят каквито и да било несъществени бисквитки. [2]

Изискванията за съответствие с GDPR за бисквитки включват:

Съгласието трябва да бъде получено преди бисквитките да бъдат зададени, а не след това
Потребителите трябва да могат да откажат съгласие толкова лесно, колкото могат да го приемат
Предварително отметнатите квадратчета за съгласие са изрично забранени
Съгласието трябва да бъде детайлно: потребителите могат да приемат аналитични бисквитки, но да отхвърлят рекламни бисквитки
Записите за съгласие трябва да бъдат съхранявани и подлежащи на одит
Потребителите трябва да могат да оттеглят съгласието си по всяко време

Нарушенията носят потенциални глоби до 4% от глобалния годишен оборот или 20 милиона евро, което от двете е по-голямо. Регулаторното прилагане се засили от 2020 г. насам, като органите за защита на данните във Франция, Ирландия, Италия и Испания наложиха значителни глоби за несъответстващи банери за съгласие. [4]

Изисквания за съответствие с CCPA за бисквитки

Законът за поверителност на потребителите в Калифорния (CCPA), в сила от януари 2020 г. и засилен от Закона за правата на поверителност в Калифорния (CPRA) през 2023 г., възприема различен, но допълващ се подход. Вместо да изисква съгласие за всички бисквитки за проследяване, CCPA предоставя на потребителите правото да се откажат от "продажбата" или "споделянето" на тяхната лична информация, което включва поведенчески данни, базирани на бисквитки, предавани на рекламни платформи на трети страни.

Задълженията на CCPA за използване на бисквитки включват:

Трябва да бъде видимо показана връзка "Не продавайте или споделяйте моята лична информация"
Бизнесът трябва да спазва сигналите за глобален контрол на поверителността (GPC) като валиден механизъм за отказ
Политиките за поверителност трябва да разкриват категориите лични данни, събирани чрез бисквитки
Потребителите имат право да поискат изтриване на данни, събрани чрез бисквитки

Бизнесът, подлежащ на CCPA, който също обслужва потребители от ЕС, трябва да съгласува и двете рамки, обикновено чрез внедряване на решение за управление на съгласието, способно да обработва специфични за юрисдикцията набори от правила.

Как да получите съгласие на потребителя за бисквитки

Получаването на валидно съгласие за бисквитки изисква повече от поставяне на банер на страница. Съгласието трябва да отговаря на правните стандарти на приложимата юрисдикция, преди да бъдат активирани каквито и да било несъществени бисквитки.

Съответстващият поток за съгласие следва тези стъпки:

Блокирайте всички несъществени бисквитки да се задействат, докато не бъде записано съгласие
Показване на ясно, разбираемо известие за съгласие, обясняващо какви бисквитки се използват и защо
Предложете истински опции за приемане и отхвърляне на едно и също ниво на видимост
Осигурете детайлни контроли по категории (анализи, маркетинг, предпочитания)
Запишете събитието на съгласие с времеви печат, версия и потребителски идентификатор
Уважавайте оттеглянето на съгласие незабавно и разпространете промяната до всички активни тагове

Платформи като Biscotti CMP са проектирани да обработват този работен процес, управлявайки събирането, съхранението и разпространението на сигнали за съгласие до последващи маркетингови и аналитични инструменти в множество юрисдикции.

Най-добри практики за банери за съгласие за бисквитки

Лошо проектираният банер за съгласие сам по себе си е риск за съответствие. Регулаторите са се насочили конкретно към тъмни модели, включително дизайни, които затрудняват отхвърлянето, скриват опцията за отхвърляне зад множество кликвания или използват цветови контраст, за да подтикнат потребителите към приемане.

Характеристики на съответстващ банер за съгласие:

Еднаква визуална тежест за бутоните за приемане и отхвърляне
Без предварително избрани превключватели за несъществени категории
Ясен език без правен жаргон
Постоянен механизъм за преразглеждане и промяна на предпочитанията за съгласие
Адаптивен за мобилни устройства дизайн, който не скрива съдържанието на страницата

Дизайнът на банера за съгласие трябва да бъде тестван спрямо специфичните указания, издадени от съответния орган за защита на данните. Френският CNIL, например, е публикувал подробни технически препоръки относно приемливите формати на банери, които надхвърлят основния текст на GDPR. [9]

Какво замени бисквитките на трети страни, след като Google ги премахна?

Прекратяването на поддръжката на бисквитки на трети страни от Google в Chrome, което започна сериозно през 2024 г., ускори търсенето на функционални алтернативи. Нито една единствена замяна не е постигнала универсално приемане, но няколко подхода набраха популярност. [10]

Водещи алтернативи на бисквитките през 2026 г.:

Стратегии за данни от първа страна: Събиране на поведенчески данни директно чрез собствени имоти и удостоверени сесии
Сървърни анализи: Преместване на изпълнението на тагове на сървъра за намаляване на зависимостта от бисквитки от страна на клиента
Privacy Sandbox API: Набор от API на Google, базирани на браузъра (Topics API, Protected Audience API), предназначени да позволят рекламиране, базирано на интереси, без идентификатори между сайтове
Контекстуална реклама: Таргетиране въз основа на съдържанието на страницата, а не на историята на потребителя
Стаи за чисти данни: Среда, запазваща поверителността, където набори от данни от първа страна от множество страни могат да бъдат съпоставени без обмен на сурови данни
Универсални ID: Хеширани идентификатори, базирани на имейл, споделяни между издателски мрежи със съгласието на потребителя

Всяка алтернатива носи свои собствени последици за съгласието и съответствието. Контекстуалната реклама не изисква потребителски данни; решенията за удостоверени ID все още изискват изрично съгласие съгласно GDPR.

Безопасни ли са бисквитките и какви са рисковете за поверителността?

Самите бисквитки не са изпълним код и не могат да инсталират зловреден софтуер. Въпреки това, те носят значителни рискове за поверителността, особено когато се използват за проследяване между сайтове или когато са прихванати чрез несигурни връзки.

Основни рискове за поверителността, свързани с бисквитките:

Профилиране между сайтове: Бисквитките на трети страни позволяват подробни поведенчески профили без знанието на потребителя
Отвличане на сесия: Бисквитките, предавани по некриптиран HTTP, могат да бъдат прихванати от нападатели в споделени мрежи
Синхронизиране на бисквитки: Рекламните мрежи споделят идентификатори на бисквитки помежду си, разширявайки обхвата на проследяване извън една платформа
Зомби бисквитки: Някои технологии за проследяване се опитват да пресъздадат изтрити бисквитки, използвайки отпечатване на браузъра или локално съхранение

Флаговете HttpOnly и Secure смекчават някои вектори на атака, но те не адресират структурните рискове за поверителността на поведенческото проследяване. [8]

Как да проверите какви бисквитки използва даден уебсайт

Всеки потребител или разработчик може да одитира бисквитките на уебсайт, използвайки вградени инструменти на браузъра. В Chrome или Firefox, отварянето на Developer Tools (F12) и навигирането до раздела Application или Storage разкрива всички бисквитки, зададени в момента за активния домейн, включително техните имена, стойности, домейни, дати на изтичане и флагове за сигурност.

За по-структуриран одит, инструменти, които обхождат сайт и категоризират бисквитките по тип и предназначение, предоставят по-пълна картина, което е особено полезно за документация за съответствие. Уебсайтовете трябва да извършват периодични одити на бисквитки, тъй като скриптове на трети страни, добавени чрез мениджъри на тагове, могат да въведат нови бисквитки без изричен преглед.

Как бисквитките влияят на производителността на уебсайта?

Бисквитките имат измеримо, но обикновено скромно въздействие върху производителността на зареждане на страницата. Всяка HTTP заявка към домейн включва всички бисквитки, зададени за този домейн, в заглавката на заявката, което добавя допълнителни разходи, пропорционални на броя и размера на присъстващите бисквитки.

По-значителни последици за производителността идват от JavaScript, който задава бисквитки: скриптове на тагове на трети страни, платформи за управление на съгласието и библиотеки за анализи, всички те допринасят за теглото на страницата и времето за изпълнение. Лошо управляваните внедрявания на тагове могат да добавят стотици милисекунди към Time to First Byte (TTFB) и Largest Contentful Paint (LCP), като и двете влияят на резултатите от Core Web Vitals.

Най-добрата практика е да зареждате несъществени скриптове асинхронно, да използвате система за управление на тагове за контрол на реда на задействане и редовно да одитирате скриптове на бисквитки на трети страни за излишък.

Могат ли потребителите да изтриват бисквитки и какво се случва?

Да, потребителите могат да изтриват бисквитки по всяко време чрез настройките на браузъра, като това става незабавно и напълно за съхранените бисквитки. Последиците зависят от типа на изтритата бисквитка.

Изтриването на сесийни бисквитки излиза от активните сесии на потребителя
Изтриването на бисквитки за предпочитания нулира запазените настройки като език или избор на дисплей
Изтриването на аналитични бисквитки нулира идентификацията на посетителя, което кара връщащите се потребители да изглеждат като нови посетители в платформите за анализи
Изтриването на рекламни бисквитки премахва профилите за таргетиране на реклами, въпреки че проследяването, базирано на отпечатване, може частично да се запази

Потребителите, които изтриват бисквитки, но не коригират предпочитанията си за съгласие, обикновено ще бъдат повторно бисквитирани при следващото си посещение, тъй като самият запис на съгласие може да бъде съхранен като бисквитка. Някои CMP използват сървърно съхранение на съгласие за решаване на този проблем.

Can Users Delete Cookies and What Happens?

Заключение: Навигиране в бъдещето на съответствието с бисквитките

Еволюцията на бисквитките от основно проследяване до стриктно съответствие отразява по-широкото осъзнаване на това как дигиталната инфраструктура е изградена без адекватни предпазни мерки за поверителност. Това, което започна като 30-редово инженерно решение през 1994 г., се превърна в основата на екосистема за реклама за трилиони долари, а след това се превърна в една от най-съдените технологии в регулаторната история. [1]

Действащи следващи стъпки за собственици на уебсайтове и разработчици през 2026 г.:

Извършете пълен одит на бисквитките на вашия уебсайт, включително всички скриптове на трети страни, заредени чрез мениджъри на тагове
Внедрете платформа за управление на съгласието като Biscotti CMP, за да управлявате събирането и документирането на съгласие, съобразено с юрисдикцията
Прегледайте банера си за съгласие спрямо текущите регулаторни указания, като изрично проверите за тъмни модели и опции за приемане/отхвърляне с еднаква тежест
Разработете стратегия за данни от първа страна, за да намалите зависимостта от бисквитки за проследяване на трети страни
Задайте повтарящо се напомняне в календара за повторен одит на бисквитките на тримесечие, тъй като скриптовете на трети страни се променят често
Уверете се, че вашата политика за поверителност точно отразява категориите и целите на всички използвани бисквитки

Пейзажът на съответствието ще продължи да се развива. Регламентите за поверителност се разширяват географски, прилагането се засилва, а доставчиците на браузъри вграждат допълнителни ограничения директно в своите платформи. Организациите, които третират управлението на бисквитките като текуща оперативна дисциплина, а не като еднократен проект за внедряване, ще бъдат най-добре позиционирани да поддържат както доверието на потребителите, така и регулаторното си положение.

ЧЗВ

Каква е разликата между сесийна бисквитка и постоянна бисквитка? Сесийната бисквитка се изтрива, когато браузърът се затвори, и се използва за поддържане на състоянието по време на едно посещение, като например поддържане на потребител влязъл. Постоянната бисквитка има определена дата на изтичане и остава на устройството между сесиите, използвана за предпочитания, анализи и реклама.

Изискват ли всички бисквитки съгласие съгласно GDPR? Не. Строго необходимите бисквитки, като тези, необходими за удостоверяване на вход или функционалност на пазарската кошница, са освободени от изискванията за съгласие съгласно GDPR. Всички несъществени бисквитки, включително аналитични и рекламни бисквитки, изискват изрично предварително съгласие.

Какво е платформа за управление на съгласието (CMP)? CMP е софтуерен инструмент, който управлява събирането, съхранението и прилагането на съгласието на потребителя за бисквитки. Той представя банера за съгласие, записва избора на потребителя и сигнализира тези избори към последващи маркетингови и аналитични тагове. Biscotti CMP (www.biscotti-cmp.com) е една такава платформа, създадена за съответствие с множество юрисдикции.

Може ли уебсайт да функционира без бисквитки? Да, но със значителни ограничения. Основната функционалност като постоянство на влизане, пазарски кошници и персонализирано съдържание обикновено зависи от бисквитките от първа страна. Функциите за анализи и реклама могат да бъдат частично заменени от алтернативи без бисквитки, но с намалена точност.

Какво е тъмен модел в банер за съгласие за бисквитки? Тъмният модел е техника за дизайн, която манипулира потребителите да приемат бисквитки, които иначе биха отхвърлили. Примерите включват правенето на бутона "Приеми всички" видим и цветен, докато "Отхвърли всички" е скрит зад множество менюта, или използването на предварително отметнати квадратчета за несъществени категории.

Колко дълго трябва да се съхраняват записите за съгласие? Съгласно GDPR, записите за съгласие трябва да се съхраняват толкова дълго, колкото продължава дейността по обработка, плюс разумен период за демонстриране на съответствие в случай на регулаторно запитване. Много организации съхраняват дневници за съгласие за минимум три години.

Какво е глобален контрол на поверителността (GPC)? GPC е сигнал на ниво браузър, който автоматично съобщава предпочитанията на потребителя за отказ на уебсайтовете. Съгласно CCPA/CPRA, калифорнийските бизнеси са длъжни да спазват GPC сигналите като валиден отказ от продажбата или споделянето на лични данни.

Считат ли се аналитичните бисквитки за лични данни съгласно GDPR? Като цяло да. Аналитичните бисквитки, които присвояват уникален идентификатор на браузър, могат да бъдат използвани за профилиране на индивидуално поведение във времето, което представлява обработка на лични данни съгласно GDPR, изискваща законно основание като съгласие.

Какво се случва, ако уебсайт не спазва правилата за бисквитки на GDPR? Органите за защита на данните могат да издават предупреждения, порицания и глоби. Глобите по GDPR за нарушения на бисквитките варират от десетки хиляди до стотици милиони евро, в зависимост от тежестта, продължителността и броя на засегнатите лица.

Валидно ли е подразбиращото се съгласие (продължаване на сърфирането) съгласно GDPR? Не. Съдът на Европейския съюз и множество органи за защита на данните потвърдиха, че продължаването на сърфирането не представлява валидно съгласие. Съгласието трябва да бъде утвърдителен, недвусмислен акт.