Согласие и баннеры

Эволюция куки: от простого отслеживания до строгого соблюдения

7 июля 2026 г. · 16 мин. чтения

Быстрый ответ

Куки браузеров появились в 1994 году как простое решение для поддержания состояния корзины покупок между веб-сессиями, но эволюция куки от простого отслеживания до строгого соблюдения превратила их в одну из самых регулируемых технологий в цифровой истории. Сегодня использование куки без явного согласия пользователя может подвергнуть организации значительным штрафам в рамках таких регуляторных систем, как GDPR и CCPA. Понимание этой эволюции имеет решающее значение для любого владельца сайта, разработчика или специалиста по защите данных, работающего в 2026 году.

Основные выводы

Куки были изобретены Лу Монтулли в Netscape в 1994 году для решения проблемы безгосударственного HTTP, а не для отслеживания пользователей
Куки третьих сторон позволили создавать поведенческие профили на разных сайтах, что вызвало глобальные регуляторные реакции с середины 2000-х годов
GDPR (2018) и CCPA (2020) кардинально изменили способ, которым сайты должны получать и документировать согласие на куки
Устранение куки третьих сторон в Chrome от Google ускорило внедрение альтернатив, сохраняющих конфиденциальность, включая стратегии работы с данными первой стороны и серверную аналитику
Платформы управления согласиями (CMP) теперь являются обязательным требованием для соблюдения норм, а не опциональным улучшением для большинства коммерческих сайтов
Куки первой стороны остаются законными и функциональными; бремя соблюдения норм в основном ложится на куки для отслеживания и рекламы
Баннеры согласия на куки должны соответствовать определенным юридическим стандартам: предварительно отмеченные поля, объединенное согласие и темные схемы запрещены в соответствии с GDPR
Пользователи могут удалять куки в любое время, но это влияет на персонализацию, сохранение входа и точность аналитики

Что такое куки и как они работают?

Куки — это небольшие текстовые файлы, которые веб-сервер инструктирует браузер сохранять локально на устройстве пользователя. Когда пользователь повторно посещает тот же сайт, браузер отправляет сохраненный куки обратно на сервер, позволяя ему распознавать сессию, запоминать предпочтения или связывать поведение на разных страницах.

Технически куки состоят из пары имя-значение и дополнительных атрибутов: дата истечения, область домена, путь и флаги безопасности, такие как HttpOnly и Secure. Сессионные куки истекают, когда браузер закрывается; постоянные куки остаются до установленной даты истечения или до тех пор, пока пользователь не удалит их. [8]

Основные типы куки по функции:

Тип	Цель	Типичный срок действия
Сессионные	Поддержание состояния входа	Сессия браузера
Постоянные	Запоминание предпочтений	Дни до лет
Первые стороны	Устанавливаются посещаемым доменом	Разное
Третьи стороны	Устанавливаются внешними доменами	Обычно 1-2 года
Аналитические	Измерение поведения трафика	13-26 месяцев
Маркетинговые/Отслеживание	Создание рекламных профилей	До 2 лет

История куки в веб-браузерах

Эволюция куки от простого отслеживания до строгого соблюдения начинается с простой инженерной задачи. В 1994 году Лу Монтулли, инженер в Netscape Communications, нуждался в способе реализации виртуальной корзины покупок без хранения данных сессии на сервере. Его решением стал HTTP куки, заимствованный из существующей концепции Unix, называемой "магическим куки". [7]

Браузер Netscape был выпущен с поддержкой куки в 1994 году, а Internet Explorer принял стандарт к 1995 году. К 1997 году IETF формализовал спецификацию в RFC 2109. [8] То, что начиналось как обход безгосударственного протокола, быстро стало основой персонализации, аутентификации и, критически, рекламы.

Ключевые вехи в истории куки:

1994: Лу Монтулли изобретает HTTP куки в Netscape [5]
1996: Financial Times публикует одно из первых публичных предупреждений о отслеживании на основе куки [7]
2000-е: Рекламные сети внедряют куки третьих сторон для создания поведенческих профилей на разных сайтах
2011: Директива ЕС о куки требует информированного согласия на несущественные куки
2018: GDPR значительно повышает требования к соблюдению норм, требуя явного, детализированного согласия
2020: CCPA предоставляет потребителям Калифорнии право отказаться от "продажи" или "обмена" своих персональных данных
2024: Google начинает поэтапное устранение куки третьих сторон в Chrome [10]

Куки первой стороны против куки третьих сторон: в чем разница?

Куки первой стороны устанавливаются доменом, который пользователь активно посещает. Куки третьих сторон устанавливаются другим доменом, обычно рекламной сетью, поставщиком аналитики или платформой социальных медиа, встроенной на страницу.

Это различие имеет огромное значение как для функциональности, так и для соблюдения норм. Куки первой стороны обычно считаются менее рискованными, поскольку у пользователя есть прямая связь с доменом, устанавливающим куки. Куки третьих сторон, напротив, позволяют одной рекламной сущности отслеживать поведение пользователя на тысячах несвязанных сайтов, создавая детализированные поведенческие профили без значимого осознания со стороны пользователя. [6]

"Куки третьих сторон стали двигателем экономики наблюдения, не потому что они были разработаны с этой целью, а потому что их техническая архитектура сделала отслеживание на разных сайтах тривиально простым для масштабирования."

Большинство современных норм конфиденциальности нацелены именно на куки третьих сторон, хотя требования к согласию применяются ко всем несущественным куки независимо от их происхождения.

Что такое GDPR и как он влияет на куки?

Общий регламент по защите данных (GDPR), который вступил в силу в мае 2018 года, рассматривает идентификаторы куки как персональные данные, когда они могут быть использованы для идентификации или профилирования отдельного лица. В соответствии с GDPR сайты, обслуживающие жителей ЕС, должны получать свободно данное, конкретное, информированное и недвусмысленное согласие перед установкой любых несущественных куки. [2]

Требования к соблюдению норм GDPR для куки включают:

Согласие должно быть получено до установки куки, а не после
Пользователи должны иметь возможность отказаться от согласия так же легко, как и принять его
Предварительно отмеченные поля согласия строго запрещены
Согласие должно быть детализированным: пользователи могут принять аналитические куки, но отказаться от рекламных куки
Записи согласия должны храниться и быть доступными для аудита
Пользователи должны иметь возможность отозвать согласие в любое время

Нарушения могут повлечь штрафы до 4% от глобального годового оборота или 20 миллионов евро, в зависимости от того, что больше. Регуляторное принуждение усилилось с 2020 года, когда органы по защите данных во Франции, Ирландии, Италии и Испании наложили значительные штрафы за несоответствующие баннеры согласия. [4]

Требования к соблюдению норм CCPA для куки

Закон о конфиденциальности потребителей Калифорнии (CCPA), вступивший в силу в январе 2020 года и усиленный Законом о правах на конфиденциальность Калифорнии (CPRA) в 2023 году, применяет другой, но взаимодополняющий подход. Вместо того чтобы требовать согласия на все куки для отслеживания, CCPA предоставляет потребителям право отказаться от "продажи" или "обмена" своей персональной информации, включая данные о поведении на основе куки, передаваемые третьим рекламным платформам.

Обязанности CCPA по использованию куки включают:

Ссылка "Не продавать и не делиться моей персональной информацией" должна быть явно видна
Бизнесы должны уважать сигналы Global Privacy Control (GPC) как действительный механизм отказа
Политики конфиденциальности должны раскрывать категории персональных данных, собранных с помощью куки
Потребители имеют право запрашивать удаление данных, собранных через куки

Бизнесы, подпадающие под действие CCPA и обслуживающие пользователей ЕС, должны согласовать оба регламента, обычно внедряя решение для управления согласиями, способное обрабатывать наборы правил, специфичные для юрисдикции.

Как получить согласие пользователя на куки

Получение действительного согласия на куки требует больше, чем просто размещение баннера на странице. Согласие должно соответствовать юридическим стандартам применимой юрисдикции до активации любых несущественных куки.

Соответствующий процесс согласия включает следующие шаги:

Блокировать все несущественные куки до записи согласия
Отобразить ясное уведомление о согласии на простом языке, объясняющее, какие куки используются и зачем
Предложить реальные варианты принятия и отказа на одном уровне видимости
Предоставить детализированные категории управления (аналитика, маркетинг, предпочтения)
Записать событие согласия с отметкой времени, версией и идентификатором пользователя
Немедленно уважать отзыв согласия и распространить изменение на все активные теги

Платформы, такие как Biscotti CMP, предназначены для управления этим рабочим процессом, обеспечивая сбор согласия, его хранение и распределение сигналов для последующих маркетинговых и аналитических инструментов в разных юрисдикциях.

Лучшие практики для баннеров согласия на куки

Плохо спроектированный баннер согласия сам по себе является риском для соблюдения норм. Регуляторы специально нацелились на темные схемы, включая дизайны, которые затрудняют отказ, скрывают опцию отказа за несколькими кликами или используют контраст цветов, чтобы подтолкнуть пользователей к принятию.

Характеристики соответствующего баннера согласия:

Равный визуальный вес для кнопок принятия и отказа
Нет предварительно выбранных переключателей для несущественных категорий
Ясный язык без юридического жаргона
Постоянный механизм для повторного обращения и изменения предпочтений согласия
Адаптивный макет, который не закрывает содержимое страницы

Дизайн баннера согласия следует тестировать на соответствие конкретным рекомендациям, выданным соответствующим органом по защите данных. Например, французская CNIL опубликовала подробные технические рекомендации по приемлемым форматам баннеров, которые выходят за рамки базового текста GDPR. [9]

Что заменило куки третьих сторон после их устранения Google?

Устранение куки третьих сторон в Chrome от Google, которое началось в 2024 году, ускорило поиск функциональных альтернатив. Ни одно единственное решение не достигло универсального принятия, но несколько подходов получили популярность. [10]

Ведущие альтернативы куки в 2026 году:

Стратегии данных первой стороны: Сбор поведенческих данных напрямую через собственные ресурсы и аутентифицированные сессии
Серверная аналитика: Перемещение выполнения тегов на сервер для снижения зависимости от куки на стороне клиента
API Privacy Sandbox: Набор API на основе браузера от Google (Topics API, Protected Audience API), предназначенный для обеспечения рекламы на основе интересов без идентификаторов на разных сайтах
Контекстная реклама: Таргетинг на основе содержимого страницы, а не истории пользователя
Чистые комнаты данных: Среды, сохраняющие конфиденциальность, где наборы данных первой стороны от нескольких сторон могут быть сопоставлены без обмена сырыми данными
Универсальные идентификаторы: Хэшированные идентификаторы на основе электронной почты, которые делятся по сетям издателей с согласия пользователя

Каждая альтернатива имеет свои собственные последствия для согласия и соблюдения норм. Контекстная реклама не требует пользовательских данных; решения с аутентифицированными идентификаторами все еще требуют явного согласия в соответствии с GDPR.

Безопасны ли куки и каковы риски конфиденциальности?

Сами по себе куки не являются исполняемым кодом и не могут устанавливать вредоносное ПО. Однако они несут значительные риски конфиденциальности, особенно когда используются для отслеживания на разных сайтах или когда перехватываются через небезопасные соединения.

Основные риски конфиденциальности, связанные с куки:

Профилирование на разных сайтах: Куки третьих сторон позволяют создавать детализированные поведенческие профили без осознания пользователя
Перехват сессий: Куки, передаваемые по нешифрованному HTTP, могут быть перехвачены злоумышленниками в общих сетях
Синхронизация куки: Рекламные сети обмениваются идентификаторами куки друг с другом, расширяя охват отслеживания за пределы одной платформы
Зомби-куки: Некоторые технологии отслеживания пытаются восстановить удаленные куки с помощью отпечатков браузера или локального хранилища

Флаги HttpOnly и Secure уменьшают некоторые векторы атак, но не устраняют структурные риски конфиденциальности поведенческого отслеживания. [8]

Как проверить, какие куки использует сайт

Любой пользователь или разработчик может провести аудит куки сайта с помощью встроенных инструментов браузера. В Chrome или Firefox открытие инструментов разработчика (F12) и переход на вкладку Приложение или Хранилище показывает все куки, установленные для активного домена, включая их имена, значения, домены, даты истечения и флаги безопасности.

Для более структурированного аудита инструменты, которые сканируют сайт и классифицируют куки по типу и цели, предоставляют более полную картину, что особенно полезно для документации по соблюдению норм. Сайты должны проводить периодические аудиты куки, поскольку сторонние скрипты, добавленные через менеджеры тегов, могут вводить новые куки без явного обзора.

Как куки влияют на производительность сайта?

Куки имеют измеримое, но обычно скромное влияние на производительность загрузки страницы. Каждый HTTP-запрос к домену включает все куки, установленные для этого домена, в заголовке запроса, что добавляет накладные расходы, пропорциональные количеству и размеру присутствующих куки.

Более значительные последствия для производительности возникают из-за JavaScript, который устанавливает куки: скрипты тегов третьих сторон, платформы управления согласиями и библиотеки аналитики все увеличивают вес страницы и время выполнения. Плохо управляемые реализации тегов могут добавлять сотни миллисекунд к времени до первого байта (TTFB) и к времени до самого большого содержимого (LCP), оба из которых влияют на оценки Core Web Vitals.

Лучшей практикой является асинхронная загрузка несущественных скриптов, использование системы управления тегами для контроля порядка срабатывания и регулярный аудит скриптов куки третьих сторон на предмет избыточности.

Могут ли пользователи удалять куки и что происходит?

Да, пользователи могут удалять куки в любое время через настройки браузера, и это происходит немедленно и полностью для сохраненных куки. Последствия зависят от типа удаляемого куки.

Удаление сессионных куки выводит пользователя из активных сессий
Удаление предпочтительных куки сбрасывает сохраненные настройки, такие как язык или выбор отображения
Удаление аналитических куки сбрасывает идентификацию посетителей, в результате чего возвращающиеся пользователи появляются как новые посетители в аналитических платформах
Удаление рекламных куки удаляет профили таргетинга рекламы, хотя отслеживание на основе отпечатков может частично сохраняться

Пользователи, которые удаляют куки, но не изменяют свои предпочтения согласия, обычно будут повторно кукированными при следующем посещении, так как запись согласия может сама по себе храниться как куки. Некоторые CMP используют серверное хранение согласия, чтобы решить эту проблему.

Can Users Delete Cookies and What Happens?

Заключение: Навигация в будущем соблюдения норм куки

Эволюция куки от простого отслеживания до строгого соблюдения отражает более широкое осознание того, как цифровая инфраструктура была построена без адекватных мер защиты конфиденциальности. То, что начиналось как 30-строчное инженерное решение в 1994 году, стало основой триллионной рекламной экосистемы, а затем стало одной из самых оспариваемых технологий в истории регулирования. [1]

Практические шаги для владельцев сайтов и разработчиков в 2026 году:

Проведите полный аудит куки вашего сайта, включая все сторонние скрипты, загруженные через менеджеры тегов
Внедрите платформу управления согласиями, такую как Biscotti CMP, для обработки сбора и документации согласия с учетом юрисдикции
Проверьте свой баннер согласия на соответствие текущим регуляторным рекомендациям, особенно проверяя на наличие темных схем и равновесных опций принятия/отказа
Разработайте стратегию данных первой стороны, чтобы уменьшить зависимость от куки третьих сторон
Установите повторяющееся напоминание в календаре для повторного аудита куки раз в квартал, так как сторонние скрипты часто меняются
Убедитесь, что ваша политика конфиденциальности точно отражает категории и цели всех используемых куки

Ландшафт соблюдения норм будет продолжать эволюционировать. Регуляции по защите конфиденциальности расширяются географически, принуждение усиливается, а поставщики браузеров внедряют дополнительные ограничения непосредственно в свои платформы. Организации, которые рассматривают управление куки как постоянную операционную дисциплину, а не как одноразовый проект внедрения, будут лучше подготовлены для поддержания как доверия пользователей, так и регуляторного статуса.

FAQ

В чем разница между сессионным куки и постоянным куки? Сессионный куки удаляется, когда браузер закрывается, и используется для поддержания состояния во время одного визита, например, для сохранения пользователя в системе. Постоянный куки имеет определенную дату истечения и остается на устройстве между сессиями, используется для предпочтений, аналитики и рекламы.

Требуют ли все куки согласия в соответствии с GDPR? Нет. Строго необходимые куки, такие как те, которые требуются для аутентификации входа или функциональности корзины покупок, освобождаются от требований согласия в соответствии с GDPR. Все несущественные куки, включая аналитические и рекламные куки, требуют явного предварительного согласия.

Что такое платформа управления согласиями (CMP)? CMP — это программный инструмент, который управляет сбором, хранением и соблюдением согласия пользователей на куки. Он отображает баннер согласия, записывает выбор пользователя и сигнализирует об этих выборах для последующих маркетинговых и аналитических тегов. Biscotti CMP (www.biscotti-cmp.com) — это одна из таких платформ, созданных для соблюдения норм в нескольких юрисдикциях.

Может ли сайт функционировать без куки? Да, но с значительными ограничениями. Основная функциональность, такая как сохранение входа, корзины покупок и персонализированного контента, обычно зависит от куки первой стороны. Функции аналитики и рекламы могут быть частично заменены альтернативами без куки, но с меньшей точностью.

Что такое темная схема в баннере согласия на куки? Темная схема — это дизайнерская техника, которая манипулирует пользователями, заставляя их принимать куки, которые они могли бы иначе отклонить. Примеры включают выделение кнопки "Принять все" ярким цветом, в то время как "Отклонить все" скрыто за несколькими меню, или использование предварительно отмеченных флажков для несущественных категорий.

Как долго должны храниться записи согласия? В соответствии с GDPR записи согласия должны храниться до тех пор, пока продолжается деятельность по обработке, плюс разумный период для демонстрации соблюдения в случае регуляторного запроса. Многие организации хранят журналы согласия минимум три года.

Что такое Global Privacy Control (GPC)? GPC — это сигнал на уровне браузера, который автоматически сообщает сайтам о предпочтении пользователя отказаться. В соответствии с CCPA/CPRA бизнесы Калифорнии обязаны уважать сигналы GPC как действительный отказ от продажи или обмена персональными данными.

Считаются ли аналитические куки персональными данными в соответствии с GDPR? В общем, да. Аналитические куки, которые присваивают уникальный идентификатор браузеру, могут использоваться для профилирования поведения отдельных лиц с течением времени, что представляет собой обработку персональных данных в соответствии с GDPR, требуя законного основания, такого как согласие.

Что происходит, если сайт не соблюдает правила куки GDPR? Органы по защите данных могут выдавать предупреждения, выговоры и штрафы. Штрафы GDPR за нарушения куки варьировались от десятков тысяч до сотен миллионов евро в зависимости от серьезности, продолжительности и числа затронутых лиц.

Является ли подразумеваемое согласие (продолжение просмотра) действительным в соответствии с GDPR? Нет. Суд Европейского Союза и несколько органов по защите данных подтвердили, что продолжение просмотра не является действительным согласием. Согласие должно быть положительным, недвусмысленным действием.