Jawaban Cepat: SessionStorage dan localStorage adalah kedua API Web Storage berbasis browser yang memungkinkan situs web menyimpan data di perangkat pengguna, tetapi mereka berbeda secara kritis dalam ketahanan dan cakupan. localStorage mempertahankan data tanpa batas waktu di seluruh sesi dan tab, sementara sessionStorage menghapus data saat tab browser ditutup. Dari sudut pandang privasi, localStorage membawa risiko yang jauh lebih tinggi karena data tetap ada tanpa kedaluwarsa, menjadikannya target yang lebih menarik untuk pelacakan, fingerprinting, dan pengawasan regulasi di bawah kerangka kerja seperti GDPR.
Poin-Poin Utama
- localStorage bertahan tanpa batas waktu hingga secara eksplisit dibersihkan; sessionStorage dihapus saat tab atau jendela ditutup.
- Kedua jenis penyimpanan rentan terhadap serangan cross-site scripting (XSS) dan tidak menawarkan enkripsi bawaan.
- Data dari localStorage maupun sessionStorage tidak dikirim ke server secara otomatis, tidak seperti cookie, tetapi keduanya sepenuhnya dapat dibaca oleh JavaScript yang berjalan di asal yang sama.
- Skrip pihak ketiga yang dimuat di halaman dapat mengakses data localStorage jika mereka berjalan dalam konteks asal yang sama.
- Di bawah GDPR, menyimpan data non-esensial di localStorage tanpa persetujuan pengguna adalah pelanggaran kepatuhan, sama seperti menempatkan cookie pelacakan.
- Data sensitif seperti token otentikasi, kata sandi, dan informasi yang dapat diidentifikasi secara pribadi (PII) tidak boleh disimpan dalam mekanisme mana pun tanpa lapisan keamanan tambahan.
- Penjelajahan pribadi/incognito membatasi ketahanan localStorage tetapi tidak menghilangkan risiko sessionStorage dalam satu sesi.
- Pengembang harus lebih memilih sessionStorage untuk status sementara, sesi sisi server atau cookie HttpOnly untuk otentikasi, dan Platform Manajemen Persetujuan seperti Biscotti CMP untuk mengelola persetujuan penyimpanan.
Apa Perbedaan Antara SessionStorage dan LocalStorage?
SessionStorage dan localStorage keduanya merupakan bagian dari API Web Storage HTML5, tetapi mereka melayani tujuan yang berbeda yang ditentukan oleh ketahanan dan perilaku cakupan tab mereka.
localStorage menyimpan pasangan kunci-nilai tanpa tanggal kedaluwarsa. Data bertahan setelah restart browser, reboot sistem, dan periode ketidakaktifan yang tidak terbatas hingga pengguna atau aplikasi secara eksplisit menghapusnya. Ini dibagikan di seluruh tab dan jendela yang beroperasi di bawah asal yang sama (protokol + domain + port). [1][5]
sessionStorage menyimpan data hanya untuk masa hidup sesi halaman. Ketika pengguna menutup tab atau jendela, data tersebut hilang. Secara kritis, setiap tab mempertahankan sessionStorage terisolasi sendiri, membuka URL yang sama di tab kedua tidak membagikan data sessionStorage dari tab pertama. [1]
| Fitur | localStorage | sessionStorage |
|---|---|---|
| Ketahanan | Tanpa batas | Hanya masa hidup tab/jendela |
| Dibagikan di seluruh tab | Ya (asal yang sama) | Tidak (isolasi per-tab) |
| Bertahan setelah muat ulang halaman | Ya | Ya |
| Bertahan setelah tab ditutup | Ya | Tidak |
| Kapasitas penyimpanan | ~5-10 MB per asal | ~5-10 MB per asal |
| Transmisi ke server | Tidak | Tidak |
| Perlindungan HttpOnly | Tidak tersedia | Tidak tersedia |
Kedua API mematuhi kebijakan same-origin, sehingga halaman di https://example.com tidak dapat membaca penyimpanan yang ditetapkan oleh https://otherdomain.com. [4]
Apakah localStorage Memiliki Risiko Privasi Dibandingkan sessionStorage?
Ya, localStorage membawa risiko privasi yang jauh lebih tinggi dibandingkan sessionStorage, terutama karena ketahanan tanpa batas dan aksesibilitas antar-tab.
Data yang ditulis ke localStorage dapat terakumulasi selama berbulan-bulan atau bertahun-tahun tanpa sepengetahuan pengguna. Pengiklan dan vendor analitik secara historis telah menggunakan localStorage sebagai "super-cookie", pengidentifikasi pelacakan yang bertahan setelah penghapusan cookie karena sebagian besar pengguna tidak berpikir untuk membersihkan penyimpanan browser secara manual. sessionStorage, sebaliknya, menghancurkan diri saat tab ditutup, menjadikannya vektor pelacakan yang jauh kurang berguna.
Faktor risiko privasi utama yang unik untuk localStorage:
- Pengidentifikasi pelacakan yang persisten: ID unik yang disimpan di localStorage dapat melacak pengguna di berbagai kunjungan tanpa cookie sisi server.
- Kebocoran data antar-tab: Skrip apa pun yang berjalan di tab mana pun dari asal yang sama dapat membaca semua data localStorage.
- Siaran peristiwa penyimpanan: Perubahan pada localStorage memicu peristiwa
storagedi tab lain yang terbuka dari asal yang sama, memungkinkan sinkronisasi data antar-tab yang tidak dapat diamati oleh pengguna. [5] - Tidak ada kedaluwarsa otomatis: Tidak seperti cookie, yang mendukung atribut
Max-AgedanExpires, localStorage tidak memiliki mekanisme TTL.
Dapatkah Situs Web Melacak Pengguna Menggunakan localStorage dan sessionStorage?
Situs web dapat dan memang menggunakan localStorage untuk pelacakan persisten. sessionStorage kurang berguna untuk pelacakan tetapi masih menimbulkan risiko pengawasan dalam sesi.
Satu baris JavaScript, localStorage.setItem('uid', 'abc123'), membuat pengidentifikasi persisten yang bertahan setelah penghapusan cookie. Teknik ini, kadang-kadang disebut "evercookie" atau respawning berbasis penyimpanan, telah didokumentasikan dalam penelitian privasi dan merupakan alasan mengapa regulator semakin memperlakukan localStorage di bawah aturan persetujuan yang sama seperti cookie.
sessionStorage dapat melacak perilaku dalam satu sesi (alur halaman, input formulir, pola navigasi), tetapi data tersebut menghilang saat tab ditutup, membatasi kegunaannya untuk profil jangka panjang.
Berapa Lama Data Tinggal di SessionStorage vs. LocalStorage?
Data localStorage tetap ada hingga secara eksplisit dihapus, baik oleh pengguna yang membersihkan penyimpanan browser, situs web yang memanggil localStorage.removeItem() atau localStorage.clear(), atau browser yang menegakkan kuota penyimpanan. [2]
Data sessionStorage dihapus secara otomatis saat tab atau jendela yang membuatnya ditutup. Data tersebut bertahan setelah muat ulang halaman dalam tab yang sama tetapi tidak ditransfer ke tab baru, bahkan jika pengguna menggandakan tab di beberapa browser. [1]
Implikasi praktis: Jika seorang pengembang menyimpan token sesi di localStorage alih-alih sessionStorage, token tersebut tetap ada di perangkat setelah pengguna keluar, kecuali aplikasi secara eksplisit menghapusnya. Ini adalah kesalahan umum dan berdampak.
Apakah SessionStorage Lebih Privat Daripada localStorage?
Untuk sebagian besar kasus penggunaan privasi, ya, sessionStorage adalah pilihan yang lebih menghormati privasi. Penghapusan otomatisnya saat tab ditutup berarti data tidak tertinggal, mengurangi eksposur dari berbagi perangkat, perangkat yang dicuri, atau analisis forensik.
Namun, sessionStorage tidak secara inheren "pribadi." Dalam sesi aktif, ia sama rentannya terhadap serangan XSS seperti localStorage. Skrip yang disuntikkan dapat memanggil sessionStorage.getItem() dan mengekstrak data secara real-time. [3]
Pilih sessionStorage jika: data hanya diperlukan untuk interaksi pengguna saat ini (misalnya, status formulir multi-langkah, token navigasi satu kali).
Pilih localStorage jika: data benar-benar perlu bertahan di antara sesi (misalnya, preferensi UI pengguna, pengaturan non-sensitif), dan pastikan tidak mengandung informasi yang dapat diidentifikasi secara pribadi.
Data Pribadi Apa yang Tidak Pernah Harus Masuk ke localStorage?
Kategori data berikut tidak boleh disimpan di localStorage (dan harus ditangani dengan sangat hati-hati bahkan di sessionStorage): [3]
- Token otentikasi (JWT, token OAuth, ID sesi)
- Kata sandi atau hash kata sandi
- Informasi kartu kredit atau pembayaran
- Nomor ID yang dikeluarkan pemerintah atau nomor Jaminan Sosial
- Nama lengkap yang digabungkan dengan alamat email atau nomor telepon
- Rekam medis atau kesehatan
- Data apa pun yang diklasifikasikan sebagai "kategori khusus" di bawah GDPR (data biometrik, data kesehatan, opini politik)
Data yang disimpan di localStorage dan sessionStorage tidak terenkripsi secara default. Siapa pun yang memiliki akses fisik ke perangkat, atau skrip apa pun yang mampu dieksekusi di halaman, dapat membacanya dalam teks biasa. [3]
Dapatkah Skrip Pihak Ketiga Mengakses Data localStorage?
Skrip pihak ketiga dapat mengakses data localStorage jika mereka dimuat dan dieksekusi dalam asal yang sama dengan halaman host. Ini adalah risiko kritis dan sering kali diremehkan.
Ketika sebuah situs web menyematkan skrip analitik atau iklan pihak ketiga melalui tag <script>, skrip tersebut berjalan dalam konteks asal halaman host. Ia dapat membaca dan menulis ke localStorage situs tersebut dengan bebas. Kebijakan same-origin tidak melindungi terhadap skrip yang secara sengaja atau tidak disengaja disertakan di halaman. [4]
Apa artinya ini dalam praktik: Jika sebuah situs menyimpan pengidentifikasi pengguna di localStorage dan juga memuat skrip iklan pihak ketiga, skrip iklan tersebut dapat membaca pengidentifikasi dan mengaitkannya dengan data perilaku lintas situs, tanpa sepengetahuan atau persetujuan pengguna.
Ini adalah salah satu alasan mengapa Platform Manajemen Persetujuan penting. Biscotti CMP memungkinkan situs web untuk mengelola dan mendokumentasikan persetujuan pengguna untuk operasi penyimpanan, termasuk pelacakan berbasis localStorage, membantu situs memenuhi kewajiban mereka di bawah GDPR dan kerangka kerja serupa.
Apa Implikasi GDPR dari Menggunakan localStorage?
Di bawah GDPR, setiap penyimpanan data pribadi atau pengidentifikasi pelacakan, terlepas dari mekanisme teknisnya, memerlukan dasar hukum. Untuk pelacakan non-esensial melalui localStorage, dasar tersebut hampir selalu adalah persetujuan eksplisit pengguna. [2]
Dewan Perlindungan Data Eropa telah mengonfirmasi bahwa localStorage yang digunakan untuk analitik, iklan, atau profil pengguna termasuk dalam persyaratan persetujuan yang sama seperti cookie. Situs web yang menempatkan pengidentifikasi pelacakan ke dalam localStorage tanpa persetujuan sebelumnya menghadapi eksposur penegakan yang sama seperti mereka yang menggunakan cookie tanpa persetujuan.
Daftar periksa kepatuhan untuk localStorage di bawah GDPR:
- Audit semua kunci localStorage yang ditulis oleh skrip pihak pertama dan pihak ketiga.
- Klasifikasikan setiap kunci: apakah itu benar-benar diperlukan untuk layanan, atau digunakan untuk analitik/iklan?
- Untuk penyimpanan non-esensial, batasi operasi penulisan di belakang persetujuan pengguna yang didokumentasikan.
- Berikan pengguna mekanisme yang jelas untuk menarik persetujuan dan memicu penghapusan penyimpanan.
- Dokumentasikan kepentingan sah pengendali data atau catatan persetujuan.
Platform Manajemen Persetujuan yang dikonfigurasi dengan baik seperti Biscotti CMP dapat mengotomatiskan banyak siklus hidup persetujuan ini.
Dapatkah localStorage Diakses di Berbagai Situs Web?
Tidak. localStorage secara ketat dibatasi pada asal (kombinasi protokol + domain + port) yang membuatnya. Skrip di https://siteA.com tidak dapat membaca data localStorage yang ditetapkan oleh https://siteB.com. [4]
Namun, perlindungan ini memiliki batasan. Jika satu penyedia iklan atau analitik memuat skripnya di kedua siteA.com dan siteB.com, setiap instance menulis ke localStorage situs tersebut secara independen. Penyedia kemudian mengaitkan data tersebut di sisi server, secara efektif mencapai pelacakan lintas situs tanpa melanggar kebijakan same-origin.
Bagaimana Mode Incognito dan Penjelajahan Pribadi Mempengaruhi localStorage?
Penjelajahan pribadi/incognito membuat partisi penyimpanan sementara yang dihapus saat jendela pribadi ditutup. localStorage yang ditulis selama sesi incognito tidak bertahan ke profil browser utama dan tidak dapat diakses oleh jendela penjelajahan biasa.
sessionStorage berperilaku sama di incognito seperti di penjelajahan biasa: ia dihapus saat tab ditutup.
Peringatan penting:
- Dalam sesi incognito yang aktif, localStorage masih dapat dibaca oleh semua skrip yang berjalan dalam konteks asal yang sama dari sesi tersebut.
- Mode incognito tidak mencegah eksfiltrasi data berbasis XSS secara real-time.
- Beberapa browser menyinkronkan localStorage di seluruh perangkat jika pengguna masuk ke sinkronisasi browser, perilaku yang dapat memindahkan data "lokal" ke infrastruktur cloud.
Bagaimana Cara Saya Menghapus SessionStorage dan localStorage untuk Privasi?
Menghapus penyimpanan browser cukup sederhana tetapi memerlukan tindakan yang disengaja karena browser tidak melakukannya secara otomatis untuk localStorage.
Penghapusan di tingkat browser:
- Chrome: Pengaturan > Privasi dan Keamanan > Hapus data penjelajahan > Gambar dan file yang di-cache + Data situs
- Firefox: Pengaturan > Privasi & Keamanan > Cookie dan Data Situs > Hapus Data
- Safari: Pengaturan > Privasi > Kelola Data Situs
Penghapusan secara programatik (untuk pengembang):
localStorage.clear()menghapus semua kunci untuk asal tersebut.sessionStorage.clear()menghapus semua kunci untuk sesi tab saat ini.localStorage.removeItem('keyName')menghapus kunci tertentu.
Untuk pengguna akhir yang khawatir tentang pelacakan: menghapus "data situs" atau "cookie dan penyimpanan" di pengaturan browser menghapus konten localStorage dan sessionStorage untuk semua situs. Ekstensi browser yang dirancang untuk privasi dapat mengotomatiskan ini berdasarkan per-situs atau per-sesi.
Apa Kesalahan Privasi Umum yang Dilakukan Pengembang dengan Web Storage?
Kesalahan yang paling berdampak memiliki akar yang sama: memperlakukan penyimpanan sisi klien seolah-olah itu adalah basis data sisi server yang aman.
- Menyimpan JWT di localStorage: Token otentikasi yang disimpan di localStorage dapat diakses oleh skrip mana pun di halaman. Satu kerentanan XSS mengekspos token setiap pengguna. Gunakan cookie HttpOnly untuk token otentikasi sebagai gantinya.
- Tidak ada logika kedaluwarsa: localStorage tidak memiliki TTL. Pengembang yang menyimpan data tanpa membangun logika kedaluwarsa meninggalkan data sensitif yang basi di perangkat tanpa batas waktu.
- Menganggap same-origin berarti aman: Kebijakan same-origin memblokir situs eksternal, bukan skrip jahat yang dimuat dari dalam situs yang sama (XSS, pustaka pihak ketiga yang terkompromi).
- Mengabaikan akses skrip pihak ketiga: Menyematkan skrip analitik atau iklan tanpa mengaudit apa yang mereka baca dari localStorage.
- Tidak ada gerbang persetujuan untuk penyimpanan pelacakan: Menulis pengidentifikasi analitik ke localStorage sebelum mendapatkan persetujuan pengguna, pelanggaran GDPR langsung. [2]
- Menyimpan PII yang berlebihan: Meng-cache respons API yang mencakup profil pengguna lengkap di localStorage "untuk kinerja" tanpa mempertimbangkan permukaan eksposur.
Apakah IndexedDB Lebih Privat Daripada localStorage?
IndexedDB tidak secara inheren lebih privat daripada localStorage. Keduanya diatur oleh kebijakan same-origin, keduanya dapat diakses oleh JavaScript yang berjalan di halaman, dan keduanya rentan terhadap serangan XSS.
IndexedDB menawarkan kapasitas penyimpanan yang lebih besar dan mendukung data terstruktur serta blob biner, menjadikannya cocok untuk aplikasi offline yang kompleks. Tetapi dari sudut pandang privasi dan keamanan, risikonya sebanding. Data yang disimpan di IndexedDB juga tidak terenkripsi secara default, dan bertahan tanpa batas waktu kecuali dihapus secara eksplisit.
Pilihan antara IndexedDB dan localStorage harus didorong oleh kompleksitas data dan kebutuhan volume, bukan asumsi privasi. Keduanya tidak cocok untuk data pribadi sensitif tanpa enkripsi lapisan aplikasi dan kontrol akses yang ketat.
Kesimpulan
Perdebatan SessionStorage vs. LocalStorage: Implikasi Privasi dari Web Storage APIs bukan sekadar catatan teknis, tetapi memiliki konsekuensi langsung bagi privasi pengguna, kepatuhan regulasi, dan keamanan aplikasi. Ketahanan tanpa batas localStorage dan aksesibilitas antar-tab menjadikannya mekanisme penyimpanan berisiko tinggi jika disalahgunakan, sementara penghapusan otomatis sessionStorage saat tab ditutup menjadikannya pilihan yang lebih dapat dipertahankan untuk status sementara.
Langkah-langkah yang dapat diambil untuk pengembang dan pemilik situs web pada tahun 2026:
- Audit semua penggunaan localStorage dan sessionStorage di seluruh skrip pihak pertama dan pihak ketiga menggunakan DevTools browser (tab Aplikasi).
- Hapus segera token otentikasi, PII, atau pengidentifikasi sensitif dari penyimpanan sisi klien.
- Ganti penyimpanan token otentikasi berbasis localStorage dengan cookie HttpOnly, Secure yang dikelola di sisi server.
- Implementasikan alur kerja manajemen persetujuan, menggunakan platform seperti Biscotti CMP, untuk membatasi penulisan localStorage non-esensial di belakang persetujuan pengguna yang didokumentasikan.
- Bangun logika kedaluwarsa ke dalam data localStorage yang harus bertahan, dan tegakkan pembersihan saat keluar.
- Lakukan audit skrip pihak ketiga untuk memahami kode eksternal apa yang dapat membaca dari penyimpanan asal Anda.
- Latih tim pengembangan tentang pencegahan XSS sebagai vektor serangan utama terhadap kedua jenis penyimpanan.
API penyimpanan web adalah alat yang kuat. Digunakan tanpa disiplin privasi, mereka menjadi vektor tanggung jawab. Digunakan dengan penentuan batas yang disengaja, manajemen persetujuan, dan kebersihan keamanan, mereka melayani tujuan yang dimaksudkan tanpa mengorbankan pengguna yang mempercayai aplikasi Anda.
FAQ
Q: Apa perbedaan utama antara sessionStorage dan localStorage?
localStorage mempertahankan data tanpa batas waktu di seluruh sesi dan dibagikan di semua tab dari asal yang sama. sessionStorage menyimpan data hanya untuk masa hidup tab saat ini dan dihapus secara otomatis saat tab ditutup.
Q: Dapatkah localStorage digunakan untuk melacak pengguna tanpa cookie?
Ya. Pengidentifikasi unik yang disimpan di localStorage bertahan setelah penghapusan cookie dan dapat digunakan untuk melacak pengguna di berbagai kunjungan ke situs yang sama, berfungsi sebagai mekanisme pelacakan persisten.
Q: Apakah sessionStorage aman untuk menyimpan kata sandi?
Tidak. sessionStorage tidak terenkripsi dan dapat diakses oleh JavaScript mana pun yang berjalan di halaman, termasuk skrip jahat yang disuntikkan. Kata sandi tidak boleh disimpan dalam mekanisme penyimpanan sisi klien mana pun.
Q: Apakah GDPR berlaku untuk localStorage?
Ya. Di bawah GDPR, menyimpan pengidentifikasi pelacakan atau data pribadi di localStorage tanpa dasar hukum, biasanya persetujuan eksplisit pengguna untuk tujuan non-esensial, adalah pelanggaran kepatuhan yang setara dengan penggunaan cookie tanpa persetujuan.
Q: Dapatkah skrip pihak ketiga membaca data localStorage saya?
Ya, jika skrip tersebut dimuat dan dieksekusi dalam asal yang sama. Skrip analitik atau iklan pihak ketiga yang disematkan melalui tag <script> berjalan dalam konteks asal halaman host dan dapat membaca semua data localStorage untuk asal tersebut.
Q: Apakah menghapus cookie juga menghapus localStorage?
Tidak selalu. Di sebagian besar browser, menghapus "cookie" saja tidak menghapus localStorage. Pengguna harus secara spesifik menghapus "data situs" atau "cookie dan data situs lainnya" untuk menghapus konten localStorage.
Q: Apakah mode incognito aman dari pelacakan localStorage?
Mode incognito mencegah data localStorage bertahan setelah jendela pribadi ditutup, tetapi dalam sesi incognito yang aktif, localStorage masih dapat dibaca oleh semua skrip di halaman.
Q: Apa yang harus saya gunakan sebagai pengganti localStorage untuk token otentikasi?
Gunakan cookie HttpOnly, Secure, SameSite yang dikelola di sisi server. Cookie ini tidak dapat diakses oleh JavaScript, menghilangkan risiko pencurian token berbasis XSS yang dibawa oleh localStorage.
Q: Apakah IndexedDB lebih aman daripada localStorage?
Tidak. IndexedDB tunduk pada kerentanan XSS dan kebijakan same-origin yang sama seperti localStorage. Ini menawarkan kapasitas yang lebih besar dan dukungan struktur data tetapi tidak ada jaminan privasi atau keamanan tambahan.
Q: Berapa banyak data yang dapat ditampung oleh localStorage dan sessionStorage?
Sebagian besar browser modern mengalokasikan sekitar 5 hingga 10 MB penyimpanan per asal untuk setiap jenis penyimpanan, jauh lebih banyak daripada batas 4 KB yang biasanya dimiliki cookie. [2]
Referensi
[1] Sessionstorage - https://developer.mozilla.org/en-US/docs/Web/API/Window/sessionStorage?utm_source=openai
[2] What Is Localstorage Sessionstorage - https://inspectwp.com/en/knowledge-base/what-is-localstorage-sessionstorage?utm_source=openai
[3] Html5 Web Storage Security Risks Safeguarding Localstorage And Sessionstorage - https://www.dopethemes.com/html5-web-storage-security-risks-safeguarding-localstorage-and-sessionstorage/?utm_source=openai
[4] Localstorage - https://javascript.info/localstorage?utm_source=openai
[5] Localstorage Sessionstorage - https://www.w3docs.com/learn-javascript/localstorage-sessionstorage?utm_source=openai
[6] Cookies Vs Localstorage Vs Sessionstorage What Each One Exactly Means - https://www.interserver.net/tips/kb/cookies-vs-localstorage-vs-sessionstorage-what-each-one-exactly-means/?utm_source=openai