Швидка відповідь
Кукі браузера з'явилися у 1994 році як просте рішення для збереження стану кошика покупок під час веб-сесій, але еволюція кукі від базового трекінгу до суворої відповідності перетворила їх на одну з найбільш регульованих технологій в цифровій історії. Сьогодні використання кукі без явної згоди користувача може призвести до значних регуляторних штрафів відповідно до таких рамок, як GDPR та CCPA. Розуміння цієї еволюції є важливим для будь-якого власника веб-сайту, розробника або фахівця з конфіденційності даних, що працює у 2026 році.
Основні висновки
- Кукі були винайдені Лу Монтуллі в Netscape у 1994 році для вирішення проблеми безстанного HTTP, а не для трекінгу користувачів
- Треті кукі дозволили створювати крос-сайтові поведінкові профілі, що викликало глобальні регуляторні реакції з середини 2000-х років
- GDPR (2018) та CCPA (2020) кардинально змінили спосіб, яким веб-сайти повинні отримувати та документувати згоду на кукі
- Відмова Google від третіх кукі в Chrome прискорила впровадження альтернатив, що зберігають конфіденційність, включаючи стратегії першої сторони та аналітику на стороні сервера
- Платформи управління згодою (CMP) тепер є вимогою відповідності, а не необов'язковим поліпшенням для більшості комерційних веб-сайтів
- Кукі першої сторони залишаються законними та функціональними; тягар відповідності в основному лягає на кукі для трекінгу та реклами
- Банери згоди на кукі повинні відповідати конкретним юридичним стандартам: попередньо відмічені поля, об'єднана згода та темні патерни заборонені відповідно до GDPR
- Користувачі можуть видаляти кукі в будь-який час, але це вплине на персоналізацію, збереження сеансів та точність аналітики
Що таке кукі і як вони працюють?
Кукі — це невеликі текстові файли, які веб-сервер інструктує браузер зберігати локально на пристрої користувача. Коли користувач знову відвідує той самий сайт, браузер відправляє збережений кукі назад на сервер, що дозволяє йому розпізнати сесію, запам'ятати налаштування або асоціювати поведінку на різних сторінках.
Технічно кукі складаються з пари ім'я-значення плюс необов'язкові атрибути: дата закінчення, область домену, шлях та прапори безпеки, такі як HttpOnly та Secure. Сесійні кукі закінчуються, коли браузер закривається; постійні кукі залишаються до визначеної дати закінчення або до того часу, поки користувач їх не видалить. [8]
Основні типи кукі за функцією:
| Тип | Призначення | Типовий термін дії |
|---|---|---|
| Сесійні | Підтримка стану входу | Сесія браузера |
| Постійні | Запам'ятовування налаштувань | Дні до років |
| Першої сторони | Встановлені відвідуваним доменом | Варіюється |
| Треті сторони | Встановлені зовнішніми доменами | Часто 1-2 роки |
| Аналітичні | Вимірювання поведінки трафіку | 13-26 місяців |
| Маркетингові/Трекінгові | Створення рекламних профілів | До 2 років |
Історія кукі в веб-браузерах
Еволюція кукі від базового трекінгу до суворої відповідності починається з простого інженерного завдання. У 1994 році Лу Монтуллі, інженер компанії Netscape Communications, потребував способу реалізації віртуального кошика покупок без збереження даних сесії на сервері. Його рішенням став HTTP кукі, що походить від існуючої концепції Unix, відомої як "магічний кукі". [7]
Браузер Netscape був випущений з підтримкою кукі у 1994 році, а Internet Explorer прийняв стандарт до 1995 року. До 1997 року IETF формалізував специфікацію в RFC 2109. [8] Те, що почалося як обхід безстанного протоколу, швидко стало основою персоналізації, аутентифікації та, критично, реклами.
Ключові етапи в історії кукі:
- 1994: Лу Монтуллі винаходить HTTP кукі в Netscape [5]
- 1996: Financial Times публікує одне з перших публічних попереджень про трекінг на основі кукі [7]
- 2000-ті: Рекламні мережі впроваджують кукі третіх сторін для створення крос-сайтових поведінкових профілів
- 2011: Директива ЄС про кукі вимагає обізнаної згоди на неістотні кукі
- 2018: GDPR значно підвищує вимоги до відповідності, вимагаючи явної, детальної згоди
- 2020: CCPA надає споживачам Каліфорнії право відмовитися від продажу даних на основі кукі
- 2024: Google починає поетапну відмову від кукі третіх сторін у Chrome [10]
Кукі першої та третьої сторони: у чому різниця?
Кукі першої сторони встановлюються доменом, який користувач активно відвідує. Кукі третіх сторін встановлюються іншим доменом, зазвичай рекламною мережею, постачальником аналітики або соціальною мережею, вбудованою на сторінці.
Ця відмінність має велике значення як для функціональності, так і для відповідності. Кукі першої сторони зазвичай вважаються менш ризикованими, оскільки користувач має безпосередні стосунки з доменом, що встановлює кукі. Кукі третіх сторін, навпаки, дозволяють єдиній рекламній сутності відстежувати поведінку користувача на тисячах несуміжних веб-сайтів, створюючи детальні поведінкові профілі без значущого усвідомлення з боку користувача. [6]
"Кукі третіх сторін стали двигуном економіки спостереження, не тому, що вони були спроектовані для цієї мети, а тому, що їхня технічна архітектура зробила крос-сайтовий трекінг тривіально простим для реалізації в масштабах."
Більшість сучасних регуляцій конфіденційності націлені саме на кукі для трекінгу третіх сторін, хоча вимоги до згоди застосовуються до всіх неістотних кукі незалежно від їх походження.
Що таке GDPR і як він впливає на кукі?
Загальний регламент захисту даних (GDPR), який набрав чинності в травні 2018 року, розглядає ідентифікатори кукі як персональні дані, коли їх можна використовувати для ідентифікації або профілювання особи. Відповідно до GDPR, веб-сайти, що обслуговують резидентів ЄС, повинні отримувати вільно надану, специфічну, обізнану та недвозначну згоду перед розміщенням будь-яких неістотних кукі. [2]
Вимоги до відповідності кукі за GDPR включають:
- Згода повинна бути отримана до встановлення кукі, а не після
- Користувачі повинні мати можливість відмовитися від згоди так само легко, як і прийняти її
- Попередньо відмічені поля для згоди є явно забороненими
- Згода повинна бути детальною: користувачі можуть приймати аналітичні кукі, але відхиляти рекламні кукі
- Записи згоди повинні зберігатися та бути доступними для аудиту
- Користувачі повинні мати можливість відкликати згоду в будь-який час
Порушення можуть призвести до штрафів до 4% від глобального річного обороту або 20 мільйонів євро, залежно від того, що більше. Регуляторне виконання посилилося з 2020 року, коли органи захисту даних у Франції, Ірландії, Італії та Іспанії наклали значні штрафи за неналежні банери згоди. [4]
Вимоги до відповідності кукі за CCPA
Закон про конфіденційність споживачів Каліфорнії (CCPA), що набрав чинності в січні 2020 року та був посилений Законом про права на конфіденційність Каліфорнії (CPRA) у 2023 році, має інший, але доповнюючий підхід. Замість того, щоб вимагати згоду на участь для всіх кукі трекінгу, CCPA надає споживачам право відмовитися від "продажу" або "обміну" їхньою особистою інформацією, що включає дані поведінки на основі кукі, які передаються третім рекламним платформам.
Обов'язки CCPA щодо використання кукі включають:
- Посилання "Не продавати або ділитися моєю особистою інформацією" повинно бути чітко видимим
- Бізнеси повинні поважати сигнали Глобального контролю конфіденційності (GPC) як дійсний механізм відмови
- Політики конфіденційності повинні розкривати категорії особистих даних, зібраних за допомогою кукі
- Споживачі мають право запитувати видалення даних, зібраних через кукі
Бізнеси, що підпадають під дію CCPA і також обслуговують користувачів ЄС, повинні узгоджувати обидві рамки, зазвичай впроваджуючи рішення для управління згодою, здатне обробляти специфічні набори правил для юрисдикцій.
Як отримати згоду користувача на кукі
Отримання дійсної згоди на кукі вимагає більше, ніж просто розміщення банера на сторінці. Згода повинна відповідати юридичним стандартам відповідної юрисдикції перед активацією будь-яких неістотних кукі.
Відповідний процес згоди включає такі етапи:
- Блокувати всі неістотні кукі до запису згоди
- Відобразити чітке повідомлення про згоду зрозумілою мовою, пояснюючи, які кукі використовуються і чому
- Запропонувати справжні варіанти прийняття та відхилення на одному рівні видимості
- Надати детальні категорійні контролі (аналітика, маркетинг, налаштування)
- Записати подію згоди з часовою міткою, версією та ідентифікатором користувача
- Негайно поважати відкликання згоди та поширити зміни на всі активні теги
Платформи, такі як Biscotti CMP, призначені для обробки цього робочого процесу, управляючи збором згоди, зберіганням та розподілом сигналів до маркетингових та аналітичних інструментів у різних юрисдикціях.
Найкращі практики для банерів згоди на кукі
Погано спроектований банер згоди сам по собі є ризиком для відповідності. Регулятори спеціально націлилися на темні патерни, включаючи дизайни, які ускладнюють відмову, ховають опцію відхилення за кількома кліками або використовують контраст кольорів, щоб підштовхнути користувачів до прийняття.
Характеристики відповідного банера згоди:
- Рівна візуальна вага для кнопок прийняття та відхилення
- Відсутність попередньо вибраних перемикачів для неістотних категорій
- Чітка мова без юридичного жаргону
- Постійний механізм для повторного перегляду та зміни налаштувань згоди
- Адаптивний макет, який не закриває вміст сторінки
Дизайн банера згоди слід перевіряти відповідно до конкретних рекомендацій, виданих відповідним органом захисту даних. Наприклад, французька CNIL опублікувала детальні технічні рекомендації щодо прийнятних форматів банерів, які перевищують базовий текст GDPR. [9]
Що замінило кукі третіх сторін після їх поетапного скасування Google?
Відмова Google від кукі третіх сторін у Chrome, яка почалася серйозно у 2024 році, прискорила пошук функціональних альтернатив. Жодна єдина заміна не досягла універсального прийняття, але кілька підходів набули популярності. [10]
Ведучі альтернативи кукі у 2026 році:
- Стратегії даних першої сторони: Збір поведінкових даних безпосередньо через власні ресурси та аутентифіковані сесії
- Аналітика на стороні сервера: Переміщення виконання тегів на сервер для зменшення залежності від кукі на стороні клієнта
- API Privacy Sandbox: Набір API на базі браузера Google (Topics API, Protected Audience API), призначений для можливості реклами на основі інтересів без крос-сайтових ідентифікаторів
- Контекстна реклама: Цілевказування на основі вмісту сторінки, а не історії користувача
- Чисті кімнати даних: Середовища, що зберігають конфіденційність, де набори даних першої сторони з кількох сторін можуть бути зіставлені без обміну сирими даними
- Універсальні ідентифікатори: Хешовані ідентифікатори на основі електронної пошти, які діляться між мережами видавців за згодою користувача
Кожна альтернатива має свої наслідки для згоди та відповідності. Контекстна реклама не вимагає даних користувача; рішення з аутентифікованими ідентифікаторами все ще вимагають явної згоди відповідно до GDPR.
Чи безпечні кукі і які ризики для конфіденційності?
Кукі самі по собі не є виконуваним кодом і не можуть встановлювати шкідливе ПЗ. Однак вони несуть значні ризики для конфіденційності, особливо коли використовуються для крос-сайтового трекінгу або коли їх перехоплюють через незахищені з'єднання.
Основні ризики конфіденційності, пов'язані з кукі:
- Крос-сайтове профілювання: Кукі третіх сторін дозволяють створювати детальні поведінкові профілі без усвідомлення користувача
- Викрадення сесій: Кукі, що передаються через незашифрований HTTP, можуть бути перехоплені зловмисниками в загальних мережах
- Синхронізація кукі: Рекламні мережі діляться ідентифікаторами кукі одна з одною, розширюючи охоплення трекінгу за межі однієї платформи
- Зомбі-кукі: Деякі технології трекінгу намагаються відтворити видалені кукі за допомогою відбитків браузера або локального зберігання
Прапори HttpOnly та Secure зменшують деякі вектори атак, але вони не вирішують структурні ризики конфіденційності поведінкового трекінгу. [8]
Як перевірити, які кукі використовує веб-сайт
Будь-який користувач або розробник може провести аудит кукі веб-сайту за допомогою вбудованих інструментів браузера. У Chrome або Firefox відкриття Інструментів розробника (F12) та перехід на вкладку Застосування або Сховище виявляє всі кукі, які наразі встановлені для активного домену, включаючи їхні імена, значення, домени, дати закінчення та прапори безпеки.
Для більш структурованого аудиту інструменти, які сканують сайт і категоризують кукі за типом і призначенням, надають більш повну картину, що особливо корисно для документації з відповідності. Веб-сайти повинні проводити періодичні аудити кукі, оскільки сторонні скрипти, додані через менеджери тегів, можуть вводити нові кукі без явного перегляду.
Як кукі впливають на продуктивність веб-сайту?
Кукі мають вимірювальний, але зазвичай помірний вплив на продуктивність завантаження сторінки. Кожен HTTP-запит до домену включає всі кукі, встановлені для цього домену, у заголовку запиту, що додає накладні витрати, пропорційні кількості та розміру присутніх кукі.
Більш значні наслідки для продуктивності виникають від JavaScript, який встановлює кукі: сторонні скрипти тегів, платформи управління згодою та бібліотеки аналітики всі додають до ваги сторінки та часу виконання. Погано керовані реалізації тегів можуть додати сотні мілісекунд до часу до першого байта (TTFB) та найбільшого контентного малюнка (LCP), обидва з яких впливають на оцінки Core Web Vitals.
Найкраща практика полягає в тому, щоб завантажувати неістотні скрипти асинхронно, використовувати систему управління тегами для контролю порядку виконання та регулярно перевіряти сторонні скрипти кукі на наявність надмірності.
Чи можуть користувачі видаляти кукі і що відбувається?
Так, користувачі можуть видаляти кукі в будь-який час через налаштування браузера, і це відбувається миттєво та повністю для збережених кукі. Наслідки залежать від типу видаленого кукі.
- Видалення сесійних кукі виводить користувача з активних сесій
- Видалення кукі налаштувань скидає збережені налаштування, такі як мова або вибір відображення
- Видалення аналітичних кукі скидає ідентифікацію відвідувача, внаслідок чого повертаючі користувачі виглядають як нові відвідувачі в аналітичних платформах
- Видалення рекламних кукі усуває профілі таргетингу реклами, хоча трекінг на основі відбитків може частково зберігатися
Користувачі, які видаляють кукі, але не коригують свої налаштування згоди, зазвичай знову отримують кукі під час наступного відвідування, оскільки запис згоди може сам по собі зберігатися як кукі. Деякі CMP використовують зберігання згоди на стороні сервера, щоб вирішити цю проблему.
Висновок: орієнтація в майбутньому відповідності кукі
Еволюція кукі від базового трекінгу до суворої відповідності відображає ширше усвідомлення того, як цифрова інфраструктура була побудована без адекватних заходів конфіденційності. Те, що почалося як 30-рядкове інженерне рішення у 1994 році, стало основою трильйонної рекламної екосистеми, а потім стало однією з найбільш оскаржуваних технологій в історії регулювання. [1]
Дії для власників веб-сайтів та розробників у 2026 році:
- Проведіть повний аудит кукі вашого веб-сайту, включаючи всі сторонні скрипти, завантажені через менеджери тегів
- Впровадьте платформу управління згодою, таку як Biscotti CMP, для обробки збору згоди та документації з урахуванням юрисдикції
- Перегляньте свій банер згоди відповідно до поточних регуляторних рекомендацій, зокрема перевіряючи наявність темних патернів та рівноваги між опціями прийняття/відхилення
- Розробіть стратегію даних першої сторони, щоб зменшити залежність від кукі для трекінгу третіх сторін
- Встановіть повторюване нагадування в календарі для повторного аудиту кукі щоквартально, оскільки сторонні скрипти часто змінюються
- Переконайтеся, що ваша політика конфіденційності точно відображає категорії та цілі всіх використовуваних кукі
Ландшафт відповідності продовжить еволюціонувати. Регуляції конфіденційності розширюються географічно, виконання посилюється, а постачальники браузерів впроваджують додаткові обмеження безпосередньо у свої платформи. Організації, які розглядають управління кукі як постійну операційну дисципліну, а не одноразовий проект впровадження, будуть найкраще підготовлені для підтримки як довіри користувачів, так і регуляторного статусу.
Питання та відповіді
У чому різниця між сесійним кукі та постійним кукі? Сесійний кукі видаляється, коли браузер закривається, і використовується для підтримки стану під час одного відвідування, наприклад, для збереження входу користувача. Постійний кукі має визначену дату закінчення і залишається на пристрої між сесіями, використовується для налаштувань, аналітики та реклами.
Чи потребують усі кукі згоди відповідно до GDPR? Ні. Строго необхідні кукі, такі як ті, що потрібні для аутентифікації входу або функціональності кошика покупок, звільнені від вимог згоди відповідно до GDPR. Усі неістотні кукі, включаючи аналітичні та рекламні кукі, вимагають явної попередньої згоди.
Що таке платформа управління згодою (CMP)? CMP — це програмний інструмент, який управляє збором, зберіганням і виконанням згоди користувача на кукі. Він відображає банер згоди, записує вибір користувача та сигналізує про ці вибори до маркетингових та аналітичних тегів. Biscotti CMP (www.biscotti-cmp.com) — це одна з таких платформ, створена для відповідності багатьом юрисдикціям.
Чи може веб-сайт функціонувати без кукі? Так, але з істотними обмеженнями. Основна функціональність, така як збереження входу, кошики покупок та персоналізований вміст, зазвичай залежить від кукі першої сторони. Функції аналітики та реклами можуть бути частково замінені альтернативами без кукі, але з меншою точністю.
Що таке темний патерн у банері згоди на кукі? Темний патерн — це дизайнерська техніка, яка маніпулює користувачами, щоб вони приймали кукі, які вони інакше могли б відхилити. Приклади включають виділення кнопки "Прийняти все" яскравими кольорами, в той час як "Відхилити все" ховається за кількома меню, або використання попередньо відмічених чекбоксів для неістотних категорій.
Як довго повинні зберігатися записи згоди? Відповідно до GDPR, записи згоди повинні зберігатися протягом усього часу, поки триває обробка, плюс розумний період для демонстрації відповідності у разі регуляторного запиту. Багато організацій зберігають журнали згоди мінімум три роки.
Що таке Глобальний контроль конфіденційності (GPC)? GPC — це сигнал на рівні браузера, який автоматично повідомляє веб-сайтам про перевагу користувача щодо відмови. Відповідно до CCPA/CPRA, бізнеси Каліфорнії зобов'язані поважати сигнали GPC як дійсний механізм відмови від продажу або обміну особистими даними.
Чи вважаються аналітичні кукі персональними даними відповідно до GDPR? Зазвичай так. Аналітичні кукі, які призначають унікальний ідентифікатор браузеру, можуть використовуватися для профілювання індивідуальної поведінки з часом, що є обробкою персональних даних відповідно до GDPR, що вимагає законної основи, такої як згода.
Що відбувається, якщо веб-сайт не дотримується правил кукі GDPR? Органи захисту даних можуть видавати попередження, догани та штрафи. Штрафи GDPR за порушення кукі варіюються від десятків тисяч до сотень мільйонів євро, залежно від серйозності, тривалості та кількості постраждалих осіб.
Чи є імпліцитна згода (продовження перегляду) дійсною відповідно до GDPR? Ні. Суд Європейського Союзу та кілька органів захисту даних підтвердили, що продовження перегляду не є дійсною згодою. Згода повинна бути ствердним, недвозначним актом.
Інтерактивна самооцінка відповідності кукі
Посилання
[1] Хроніки кукі - https://medium.com/@global.audiences/the-cookie-chronicles-9a5b3096f7a7
[2] Історія конфіденційності даних від першого кукі до глобального регулювання - https://flowsery.com/en/blog/data-privacy-history-from-first-cookie-to-global-regulation
[3] ACM Digital Library - https://dl.acm.org/doi/abs/10.1145/3559613.3563200
[4] Всеосяжний посібник з управління кукі - https://www.scribd.com/document/992136196/A-Comprehensive-Guide-to-Cookie-Governance
[5] Історія та походження трекінгу споживачів та використання кукі - https://www.purposeandmeans.io/the-history-and-origins-of-tracking-consumers-and-the-use-of-cookies
[6] Біла книга еволюції кукі - https://brkthru.com/wp-content/uploads/2023/09/Whitepaper-Evolution-of-the-Cookie-1.pdf
[7] Щоб зрозуміти, куди прямує кукі, давайте подивимося на його історію - https://digitalcontentnext.org/blog/2020/11/16/to-understand-where-the-cookie-is-headed-lets-look-at-its-history/
[8] HTTP кукі - https://en.wikipedia.org/wiki/HTTP_cookie
[9] Дослідження KU Leuven - https://lirias.kuleuven.be/retrieve/685004
[10] Еволюція конфіденційності відстеження в Інтернеті - https://iabtechlab.com/evolution-of-internet-identity-privacy-tracking/