Resposta ràpida: SessionStorage i localStorage són ambdues API d'emmagatzematge web basades en el navegador que permeten als llocs web emmagatzemar dades al dispositiu d'un usuari, però difereixen críticament en la persistència i l'abast. localStorage reté les dades indefinidament entre sessions i pestanyes, mentre que sessionStorage esborra les dades quan es tanca la pestanya del navegador. Des del punt de vista de la privadesa, localStorage comporta un risc substancialment més alt perquè les dades romanen sense caducitat, cosa que el converteix en un objectiu més atractiu per al seguiment, la presa d'empremtes digitals i l'escrutini regulador sota marcs com el GDPR.
Punts clau
- localStorage persisteix indefinidament fins que s'esborra explícitament; sessionStorage s'elimina quan es tanca la pestanya o finestra.
- Tots dos tipus d'emmagatzematge són vulnerables a atacs de scripting entre llocs (XSS) i no ofereixen xifratge integrat.
- Ni les dades de localStorage ni les de sessionStorage es transmeten al servidor automàticament, a diferència de les cookies, però ambdues són totalment llegibles per qualsevol JavaScript que s'executi al mateix origen.
- Els scripts de tercers carregats en una pàgina poden accedir a les dades de localStorage si s'executen dins del mateix context d'origen.
- Sota el GDPR, emmagatzemar dades no essencials a localStorage sense el consentiment de l'usuari és una violació de la conformitat, igual que deixar caure cookies de seguiment.
- Les dades sensibles com ara tokens d'autenticació, contrasenyes i informació d'identificació personal (PII) mai s'han d'emmagatzemar en cap dels dos mecanismes sense capes de seguretat addicionals.
- La navegació privada/d'incògnit limita la persistència de localStorage, però no elimina els riscos de sessionStorage dins d'una sessió.
- Els desenvolupadors haurien de preferir sessionStorage per a l'estat temporal, sessions del costat del servidor o cookies HttpOnly per a l'autenticació, i una plataforma de gestió de consentiment com Biscotti CMP per gestionar el consentiment d'emmagatzematge.
Quina diferència hi ha entre SessionStorage i LocalStorage?
SessionStorage i localStorage formen part de l'API d'emmagatzematge web HTML5, però serveixen propòsits diferents definits pel seu comportament de persistència i abast de pestanyes.
localStorage emmagatzema parells clau-valor sense data de caducitat. Les dades sobreviuen als reinicis del navegador, als reinicis del sistema i a períodes d'inactivitat indefinits fins que l'usuari o l'aplicació les eliminen explícitament. Es comparteix entre totes les pestanyes i finestres que operen sota el mateix origen (protocol + domini + port). [1][5]
sessionStorage emmagatzema dades només durant la vida útil de la sessió de la pàgina. Quan l'usuari tanca la pestanya o finestra, les dades desapareixen. Críticament, cada pestanya manté el seu propi sessionStorage aïllat; obrir la mateixa URL en una segona pestanya no comparteix les dades de sessionStorage de la primera pestanya. [1]
| Característica | localStorage | sessionStorage |
|---|---|---|
| Persistència | Indefinida | Només durant la vida útil de la pestanya/finestra |
| Compartit entre pestanyes | Sí (mateix origen) | No (aïllament per pestanya) |
| Sobrevivència a la recàrrega de la pàgina | Sí | Sí |
| Sobrevivència al tancament de la pestanya | Sí | No |
| Capacitat d'emmagatzematge | ~5-10 MB per origen | ~5-10 MB per origen |
| Transmissió al servidor | No | No |
| Protecció HttpOnly | No disponible | No disponible |
Ambdues API s'adhereixen a la política del mateix origen, de manera que una pàgina a https://example.com no pot llegir l'emmagatzematge establert per https://otherdomain.com. [4]
localStorage té riscos de privadesa en comparació amb sessionStorage?
Sí, localStorage comporta riscos de privadesa significativament més alts que sessionStorage, principalment a causa de la seva persistència indefinida i l'accessibilitat entre pestanyes.
Les dades escrites a localStorage poden acumular-se durant mesos o anys sense el coneixement de l'usuari. Els anunciants i els proveïdors d'anàlisi han utilitzat històricament localStorage com a "super-cookie", un identificador de seguiment que sobreviu a l'eliminació de cookies perquè la majoria dels usuaris no pensen a esborrar l'emmagatzematge del navegador manualment. sessionStorage, en canvi, s'autodestrueix en tancar la pestanya, cosa que el fa un vector de seguiment molt menys útil.
Factors clau de risc de privadesa únics de localStorage:
- Identificadors de seguiment persistents: Un ID únic emmagatzemat a localStorage pot rastrejar un usuari a través de múltiples visites sense cap cookie del costat del servidor.
- Fuga de dades entre pestanyes: Qualsevol script que s'executi en qualsevol pestanya del mateix origen pot llegir totes les dades de localStorage.
- Difusió d'esdeveniments d'emmagatzematge: Els canvis a localStorage desencadenen un esdeveniment
storageen altres pestanyes obertes del mateix origen, permetent la sincronització de dades entre pestanyes que els usuaris no poden observar. [5] - Sense caducitat automàtica: A diferència de les cookies, que admeten els atributs
Max-AgeiExpires, localStorage no té cap mecanisme TTL.
Els llocs web poden rastrejar els usuaris utilitzant localStorage i sessionStorage?
Els llocs web poden i utilitzen localStorage per al seguiment persistent. sessionStorage és menys útil per al seguiment, però encara planteja riscos de vigilància dins de la sessió.
Una sola línia de JavaScript, localStorage.setItem('uid', 'abc123'), crea un identificador persistent que sobreviu a l'eliminació de cookies. Aquesta tècnica, de vegades anomenada "evercookie" o respawning basat en emmagatzematge, s'ha documentat en investigacions de privadesa i és la raó per la qual els reguladors tracten cada vegada més localStorage sota les mateixes regles de consentiment que les cookies.
sessionStorage pot rastrejar el comportament dins d'una única sessió (flux de pàgina, entrades de formulari, patrons de navegació), però aquestes dades desapareixen quan es tanca la pestanya, limitant la seva utilitat per a la creació de perfils a llarg termini.
Quant de temps romanen les dades a SessionStorage vs. LocalStorage?
Les dades de localStorage romanen fins que s'eliminen explícitament, ja sigui per l'usuari que esborra l'emmagatzematge del navegador, el lloc web que crida localStorage.removeItem() o localStorage.clear(), o el navegador que aplica quotes d'emmagatzematge. [2]
Les dades de sessionStorage s'eliminen automàticament quan es tanca la pestanya o finestra que les va crear. Sobreviven a les recàrregues de pàgina dins de la mateixa pestanya, però no es transfereixen a pestanyes noves, fins i tot si l'usuari duplica la pestanya en alguns navegadors. [1]
Implicació pràctica: Si un desenvolupador emmagatzema un token de sessió a localStorage en lloc de sessionStorage, aquest token roman al dispositiu després que l'usuari tanqui la sessió, tret que l'aplicació l'elimini explícitament. Aquest és un error comú i conseqüent.
SessionStorage és més privat que localStorage?
Per a la majoria dels casos d'ús de privadesa, sí, sessionStorage és l'opció que respecta més la privadesa. La seva eliminació automàtica en tancar la pestanya significa que les dades no romanen, reduint l'exposició per compartir dispositius, dispositius robats o anàlisi forense.
No obstant això, sessionStorage no és inherentment "privat". Dins d'una sessió activa, és tan vulnerable als atacs XSS com localStorage. Qualsevol script injectat pot cridar sessionStorage.getItem() i exfiltrar dades en temps real. [3]
Trieu sessionStorage si: les dades només són necessàries per a la interacció actual de l'usuari (per exemple, estat de formulari de diversos passos, tokens de navegació d'un sol ús).
Trieu localStorage si: les dades realment necessiten persistir entre sessions (per exemple, preferències d'interfície d'usuari, configuracions no sensibles), i assegureu-vos que no continguin res d'identificació personal.
Quines dades personals mai s'han d'incloure a localStorage?
Les següents categories de dades mai s'han d'emmagatzemar a localStorage (i s'han de manejar amb extrema precaució fins i tot a sessionStorage): [3]
- Tokens d'autenticació (JWTs, tokens OAuth, IDs de sessió)
- Contrasenyes o hashes de contrasenyes
- Informació de targetes de crèdit o pagament
- Números d'identificació emesos pel govern o números de seguretat social
- Noms complets combinats amb adreces de correu electrònic o números de telèfon
- Registres mèdics o de salut
- Qualsevol dada classificada com a "categoria especial" segons el GDPR (dades biomètriques, dades de salut, opinions polítiques)
Les dades emmagatzemades tant a localStorage com a sessionStorage no estan xifrades per defecte. Qualsevol persona amb accés físic al dispositiu, o qualsevol script capaç d'executar-se a la pàgina, pot llegir-les en text pla. [3]
Els scripts de tercers poden accedir a les dades de localStorage?
Els scripts de tercers poden accedir a les dades de localStorage si es carreguen i s'executen dins del mateix origen que la pàgina host. Aquest és un risc crític i freqüentment subestimat.
Quan un lloc web incrusta un script d'anàlisi o publicitat de tercers mitjançant una etiqueta <script>, aquest script s'executa en el context d'origen de la pàgina host. Pot llegir i escriure lliurement a localStorage del lloc. La política del mateix origen no protegeix contra scripts que s'inclouen intencionadament o inadvertidament a la pàgina. [4]
Què significa això a la pràctica: Si un lloc emmagatzema un identificador d'usuari a localStorage i també carrega un script d'anuncis de tercers, aquest script d'anuncis pot llegir l'identificador i associar-lo amb dades de comportament entre llocs, sense el coneixement o el consentiment de l'usuari.
Aquesta és una de les raons per les quals les plataformes de gestió de consentiment són importants. Biscotti CMP permet als llocs web gestionar i documentar el consentiment de l'usuari per a les operacions d'emmagatzematge, inclòs el seguiment basat en localStorage, ajudant els llocs a complir les seves obligacions segons el GDPR i marcs similars.
Quines són les implicacions del GDPR d'utilitzar localStorage?
Sota el GDPR, qualsevol emmagatzematge de dades personals o identificadors de seguiment, independentment del mecanisme tècnic, requereix una base legal. Per al seguiment no essencial mitjançant localStorage, aquesta base és gairebé sempre el consentiment explícit de l'usuari. [2]
La Junta Europea de Protecció de Dades ha confirmat que localStorage utilitzat per a anàlisis, publicitat o perfils d'usuari cau sota els mateixos requisits de consentiment que les cookies. Els llocs web que deixen caure identificadors de seguiment a localStorage sense consentiment previ s'enfronten a la mateixa exposició a l'aplicació que els que utilitzen cookies sense consentiment.
Llista de verificació de conformitat per a localStorage sota el GDPR:
- Auditeu totes les claus de localStorage escrites per scripts de primera i tercera part.
- Classifiqueu cada clau: és estrictament necessària per al servei, o s'utilitza per a anàlisis/publicitat?
- Per a l'emmagatzematge no essencial, condicioneu l'operació d'escriptura al consentiment documentat de l'usuari.
- Proporcioneu als usuaris un mecanisme clar per retirar el consentiment i activar l'eliminació de l'emmagatzematge.
- Documenteu l'interès legítim o el registre de consentiment del controlador de dades.
Una plataforma de gestió de consentiment configurada correctament, com Biscotti CMP, pot automatitzar gran part d'aquest cicle de vida del consentiment.
Es pot accedir a localStorage a través de diferents llocs web?
No. localStorage està estrictament limitat a l'origen (combinació de protocol + domini + port) que el va crear. Un script a https://siteA.com no pot llegir dades de localStorage establertes per https://siteB.com. [4]
No obstant això, aquesta protecció té límits. Si un únic proveïdor de publicitat o anàlisi carrega els seus scripts tant a siteA.com com a siteB.com, cada instància escriu al localStorage d'aquest lloc respectivament de manera independent. El proveïdor correlaciona les dades al costat del servidor, aconseguint efectivament el seguiment entre llocs sense violar la política del mateix origen.
Com afecten el mode d'incògnit i la navegació privada a localStorage?
La navegació privada/d'incògnit crea una partició d'emmagatzematge temporal que s'elimina quan es tanca la finestra privada. localStorage escrit durant una sessió d'incògnit no persisteix al perfil principal del navegador i no és accessible per a les finestres de navegació normals.
sessionStorage es comporta igual en incògnit que en la navegació normal: s'elimina quan es tanca la pestanya.
Advertències importants:
- Dins d'una sessió d'incògnit activa, localStorage encara és llegible per tots els scripts que s'executen en el context del mateix origen d'aquesta sessió.
- El mode d'incògnit no impedeix l'exfiltració de dades basada en XSS en temps real.
- Alguns navegadors sincronitzen localStorage entre dispositius si l'usuari ha iniciat sessió a la sincronització del navegador, un comportament que pot moure dades "locals" a la infraestructura del núvol.
Com esborro SessionStorage i localStorage per a la privadesa?
Esborrar l'emmagatzematge del navegador és senzill, però requereix una acció deliberada, ja que els navegadors no ho fan automàticament per a localStorage.
Esborrat a nivell de navegador:
- Chrome: Configuració > Privadesa i seguretat > Esborrar dades de navegació > Imatges i fitxers en memòria cau + Dades del lloc
- Firefox: Configuració > Privadesa i seguretat > Cookies i dades del lloc > Esborrar dades
- Safari: Configuració > Privadesa > Gestionar dades del lloc web
Esborrat programàtic (per a desenvolupadors):
localStorage.clear()elimina totes les claus per a l'origen.sessionStorage.clear()elimina totes les claus per a la sessió de la pestanya actual.localStorage.removeItem('keyName')elimina una clau específica.
Per als usuaris finals preocupats pel seguiment: esborrar "dades del lloc" o "cookies i emmagatzematge" a la configuració del navegador elimina el contingut de localStorage i sessionStorage per a tots els llocs. Les extensions del navegador dissenyades per a la privadesa poden automatitzar-ho per lloc o per sessió.
Quins errors comuns de privadesa cometen els desenvolupadors amb l'emmagatzematge web?
Els errors més importants comparteixen una arrel comuna: tractar l'emmagatzematge del costat del client com si fos una base de dades segura del costat del servidor.
- Emmagatzemar JWTs a localStorage: Els tokens d'autenticació emmagatzemats a localStorage són accessibles per a qualsevol script de la pàgina. Una única vulnerabilitat XSS exposa el token de cada usuari. Utilitzeu cookies HttpOnly per als tokens d'autenticació.
- Sense lògica de caducitat: localStorage no té TTL. Els desenvolupadors que emmagatzemen dades sense construir lògica de caducitat deixen dades obsoletes i sensibles als dispositius indefinidament.
- Assumir que el mateix origen significa segur: La política del mateix origen bloqueja els llocs externs, no els scripts maliciosos carregats des del mateix lloc (XSS, biblioteques de tercers compromeses).
- Ignorar l'accés a scripts de tercers: Incrustar scripts d'anàlisi o anuncis sense auditar el que llegeixen de localStorage.
- Sense porta de consentiment per a l'emmagatzematge de seguiment: Escriure identificadors d'anàlisi a localStorage abans d'obtenir el consentiment de l'usuari, una violació directa del GDPR. [2]
- Emmagatzemar PII redundant: Emmagatzemar en memòria cau respostes d'API que inclouen perfils d'usuari complets a localStorage "per rendiment" sense considerar la superfície d'exposició.
IndexedDB és més privat que localStorage?
IndexedDB no és inherentment més privat que localStorage. Tots dos es regeixen per la política del mateix origen, tots dos són accessibles per a JavaScript que s'executa a la pàgina i tots dos són vulnerables als atacs XSS.
IndexedDB ofereix una major capacitat d'emmagatzematge i admet dades estructurades i blobs binaris, cosa que el fa adequat per a aplicacions fora de línia complexes. Però des del punt de vista de la privadesa i la seguretat, els riscos són comparables. Les dades emmagatzemades a IndexedDB també no estan xifrades per defecte i persisteixen indefinidament tret que s'eliminin explícitament.
L'elecció entre IndexedDB i localStorage hauria de ser impulsada pels requisits de complexitat i volum de dades, no per suposicions de privadesa. Cap dels dos és adequat per a dades personals sensibles sense xifratge a nivell d'aplicació i controls d'accés estrictes.
Conclusió
El debat SessionStorage vs. LocalStorage: Implicacions de privadesa de les API d'emmagatzematge web no és només una nota tècnica, té conseqüències directes per a la privadesa de l'usuari, el compliment normatiu i la seguretat de les aplicacions. La persistència indefinida de localStorage i l'accessibilitat entre pestanyes el converteixen en un mecanisme d'emmagatzematge d'alt risc quan s'utilitza malament, mentre que l'eliminació automàtica de sessionStorage en tancar la pestanya el converteix en l'opció més defensable per a l'estat temporal.
Pròxims passos accionables per a desenvolupadors i propietaris de llocs web el 2026:
- Auditeu tot l'ús de localStorage i sessionStorage en scripts de primera i tercera part utilitzant les eines de desenvolupament del navegador (pestanya Aplicació).
- Elimineu immediatament qualsevol token d'autenticació, PII o identificadors sensibles de l'emmagatzematge del costat del client.
- Substituïu l'emmagatzematge de tokens d'autenticació basat en localStorage per cookies HttpOnly, Secure, SameSite gestionades al costat del servidor.
- Implementeu un flux de treball de gestió de consentiment, utilitzant una plataforma com Biscotti CMP, per condicionar les escriptures no essencials de localStorage al consentiment documentat de l'usuari.
- Integreu la lògica de caducitat en qualsevol dada de localStorage que hagi de persistir i apliqueu la neteja en tancar la sessió.
- Realitzeu una auditoria de scripts de tercers per entendre quins codis externs poden llegir de l'emmagatzematge del vostre origen.
- Formeu els equips de desenvolupament en la prevenció de XSS com a principal vector d'atac contra ambdós tipus d'emmagatzematge.
Les API d'emmagatzematge web són eines potents. Utilitzades sense disciplina de privadesa, es converteixen en vectors de responsabilitat. Utilitzades amb un abast deliberat, gestió de consentiment i higiene de seguretat, serveixen al seu propòsit previst sense comprometre els usuaris que confien en la vostra aplicació.
Preguntes freqüents
P: Quina és la principal diferència entre sessionStorage i localStorage? localStorage persisteix les dades indefinidament entre sessions i es comparteix entre totes les pestanyes del mateix origen. sessionStorage emmagatzema dades només durant la vida útil de la pestanya actual i s'elimina automàticament quan es tanca la pestanya.
P: Es pot utilitzar localStorage per rastrejar usuaris sense cookies? Sí. Un identificador únic emmagatzemat a localStorage sobreviu a l'eliminació de cookies i es pot utilitzar per rastrejar usuaris a través de múltiples visites al mateix lloc, funcionant com un mecanisme de seguiment persistent.
P: sessionStorage és segur per emmagatzemar contrasenyes? No. sessionStorage no està xifrat i és accessible per a qualsevol JavaScript que s'executi a la pàgina, inclosos els scripts maliciosos injectats. Les contrasenyes mai s'han d'emmagatzemar en cap mecanisme d'emmagatzematge del costat del client.
P: El GDPR s'aplica a localStorage? Sí. Sota el GDPR, emmagatzemar identificadors de seguiment o dades personals a localStorage sense una base legal, normalment el consentiment explícit de l'usuari per a propòsits no essencials, és una violació de la conformitat equivalent a l'ús de cookies sense consentiment.
P: Els scripts de tercers poden llegir les meves dades de localStorage?
Sí, si aquests scripts es carreguen i s'executen dins del mateix origen. Els scripts d'anàlisi o publicitat de tercers incrustats mitjançant etiquetes <script> s'executen en el context d'origen de la pàgina host i poden llegir totes les dades de localStorage per a aquest origen.
P: Esborrar les cookies també esborra localStorage? No sempre. En la majoria dels navegadors, esborrar només les "cookies" no esborra localStorage. Els usuaris han d'esborrar específicament "dades del lloc" o "cookies i altres dades del lloc" per eliminar el contingut de localStorage.
P: El mode d'incògnit és segur del seguiment de localStorage? El mode d'incògnit impedeix que les dades de localStorage persisteixin després que es tanqui la finestra privada, però dins d'una sessió d'incògnit activa, localStorage encara és llegible per tots els scripts de la pàgina.
P: Què hauria d'utilitzar en lloc de localStorage per als tokens d'autenticació? Utilitzeu cookies HttpOnly, Secure, SameSite gestionades al costat del servidor. Aquestes cookies són inaccessibles per a JavaScript, eliminant el risc de robatori de tokens basat en XSS que comporta localStorage.
P: IndexedDB és més segur que localStorage? No. IndexedDB està subjecte a les mateixes vulnerabilitats XSS i política del mateix origen que localStorage. Ofereix una major capacitat i suport d'estructura de dades, però no garanties addicionals de privadesa o seguretat.
P: Quantes dades poden contenir localStorage i sessionStorage? La majoria dels navegadors moderns assignen aproximadament de 5 a 10 MB d'emmagatzematge per origen per a cada tipus d'emmagatzematge, significativament més que el límit de 4 KB típic de les cookies. [2]
Referències
[1] Sessionstorage - https://developer.mozilla.org/en-US/docs/Web/API/Window/sessionStorage?utm_source=openai
[2] What Is Localstorage Sessionstorage - https://inspectwp.com/en/knowledge-base/what-is-localstorage-sessionstorage?utm_source=openai
[3] Html5 Web Storage Security Risks Safeguarding Localstorage And Sessionstorage - https://www.dopethemes.com/html5-web-storage-security-risks-safeguarding-localstorage-and-sessionstorage/?utm_source=openai
[4] Localstorage - https://javascript.info/localstorage?utm_source=openai
[5] Localstorage Sessionstorage - https://www.w3docs.com/learn-javascript/localstorage-sessionstorage?utm_source=openai
[6] Cookies Vs Localstorage Vs Sessionstorage What Each One Exactly Means - https://www.interserver.net/tips/kb/cookies-vs-localstorage-vs-sessionstorage-what-each-one-exactly-means/?utm_source=openai