快速解答
瀏覽器餅乾始於1994年，作為維持網頁會話中購物車狀態的簡單解決方案，但餅乾從基本追蹤到嚴格合規的演變，使其成為數位歷史上最受規範的技術之一。如今，在沒有明確用戶同意的情況下部署餅乾，可能會使組織面臨GDPR和CCPA等框架下的重大監管罰款。了解這一演變對於任何在2026年運營的網站擁有者、開發者或數據隱私專業人士都是至關重要的。
重點摘要
- 餅乾是由Netscape的Lou Montulli於1994年發明的，旨在解決無狀態HTTP問題，而不是用來追蹤用戶
- 第三方餅乾使跨網站行為分析成為可能，從2000年代中期開始引發全球監管反應
- GDPR（2018年）和CCPA（2020年）根本改變了網站獲取和記錄餅乾同意的方式
- Google在Chrome中逐步淘汰第三方餅乾，加速了包括第一方數據策略和伺服器端分析在內的隱私保護替代方案的採用
- 同意管理平台（CMP）現在對於大多數商業網站來說是合規要求，而不是可選增強功能
- 第一方餅乾仍然合法且功能正常；合規負擔主要落在追蹤和廣告餅乾上
- 餅乾同意橫幅必須符合特定法律標準：預先勾選的框、捆綁同意和黑暗模式在GDPR下是禁止的
- 用戶可以隨時刪除餅乾，但這樣做會影響個性化、登錄持久性和分析準確性
什麼是 Cookie，它們如何運作？
餅乾是網頁伺服器指示瀏覽器在用戶設備上本地存儲的小文本文件。當用戶重新訪問同一網站時，瀏覽器會將存儲的餅乾發送回伺服器，允許其識別會話、記住偏好或在頁面之間關聯行為。
技術上，餅乾由名稱-值對加上可選屬性組成：到期日期、域範圍、路徑和安全標誌，如HttpOnly和Secure。會話餅乾在瀏覽器關閉時過期；持久餅乾則保持有效，直到其定義的到期日期或用戶刪除它們。[8]
按功能劃分的主要餅乾類型：
| Type | Purpose | Typical Lifespan |
|---|---|---|
| Session | Maintain login state | Browser session |
| Persistent | Remember preferences | Days to years |
| First-party | Set by the visited domain | Varies |
| Third-party | Set by external domains | Often 1-2 years |
| Analytics | Measure traffic behavior | 13-26 months |
| Marketing/Tracking | Build ad profiles | Up to 2 years |
網頁瀏覽器中的 Cookie 歷史
餅乾從基本追蹤到嚴格合規的演變始於一個簡單的工程問題。1994年，Netscape Communications的工程師Lou Montulli需要一種方法來實現虛擬購物車，而不在伺服器端存儲會話數據。他的解決方案是HTTP餅乾，源自一個名為“魔法餅乾”的現有Unix概念。[7]
Netscape的瀏覽器於1994年隨附餅乾支持，而Internet Explorer則在1995年採用了這一標準。到1997年，IETF已在RFC 2109中正式化了該規範。[8] 起初作為無狀態協議的變通方案，迅速成為個性化、身份驗證和廣告的基石。
餅乾歷史上的重要里程碑：
- 1994年： Lou Montulli在Netscape發明HTTP餅乾[5]
- 1996年： 《金融時報》發表了有關基於餅乾追蹤的首次公開警告之一[7]
- 2000年代： 廣告網絡部署第三方餅乾以建立跨網站行為分析
- 2011年： 歐盟餅乾指令要求對非必要餅乾獲得知情同意
- 2018年： GDPR大幅提高了合規標準，要求明確、細緻的同意
- 2020年： CCPA賦予加州消費者選擇退出基於餅乾的數據銷售的權利
- 2024年： Google開始逐步淘汰Chrome中的第三方餅乾[10]
第一方與第三方Cookie：有何差異？
第一方餅乾是由用戶正在訪問的域設置的。第三方餅乾則由不同的域設置，通常是嵌入頁面中的廣告網絡、分析提供商或社交媒體平台。
這一區別對於功能性和合規性至關重要。第一方餅乾通常被認為風險較低，因為用戶與設置域之間存在直接關係。相比之下，第三方餅乾使單一廣告實體能夠在數千個無關網站上追蹤用戶行為，建立詳細的行為檔案，而用戶並未真正意識到。[6]
"第三方餅乾成為監控經濟的引擎，並不是因為它是為此目的設計的，而是因為其技術架構使得跨網站追蹤在規模上變得極其容易實施。"
大多數現代隱私法規專門針對第三方追蹤餅乾，儘管同意要求適用於所有非必要餅乾，無論其來源如何。
什麼是 GDPR，它如何影響 Cookie？
通用數據保護條例（GDPR）於2018年5月生效，將餅乾識別符視為個人數據，當它們可以用來識別或分析個體時。在GDPR下，為服務於歐盟居民的網站必須在放置任何非必要餅乾之前獲得自由給予、具體、知情且明確的同意。[2]
GDPR餅乾合規要求包括：
- 必須在設置餅乾之前獲得同意，而不是之後
- 用戶必須能夠像接受同意一樣輕鬆拒絕同意
- 明確禁止預先勾選的同意框
- 同意必須是細緻的：用戶可以接受分析餅乾但拒絕廣告餅乾
- 必須存儲和可審計同意記錄
- 用戶必須能夠隨時撤回同意
違規行為可能面臨高達全球年營業額4%或2000萬歐元的罰款，以較高者為準。自2020年以來，監管執法力度加大，法國、愛爾蘭、意大利和西班牙的數據保護機構對不合規的同意橫幅處以了巨額罰款。[4]
CCPA Cookie 合規要求
加州消費者隱私法（CCPA）於2020年1月生效，並在2023年由加州隱私權法（CPRA）加強，採取了不同但互補的方法。CCPA並不要求對所有追蹤餅乾獲得選擇加入的同意，而是賦予消費者選擇退出其個人信息的“銷售”或“共享”的權利，這包括傳輸給第三方廣告平台的基於餅乾的行為數據。
使用餅乾的CCPA義務包括：
- 必須顯著顯示“請勿出售或分享我的個人信息”鏈接
- 企業必須尊重全球隱私控制（GPC）信號，作為有效的選擇退出機制
- 隱私政策必須披露通過餅乾收集的個人數據類別
- 消費者有權要求刪除通過餅乾收集的數據
受CCPA約束的企業如果同時服務於歐盟用戶，必須協調兩個框架，通常通過實施能夠處理特定法域規則集的同意管理解決方案來實現。
如何取得使用者對Cookie的同意
獲得有效的餅乾同意不僅僅是將橫幅放在頁面上。必須在啟用任何非必要餅乾之前，滿足適用法域的法律標準。
合規的同意流程遵循以下步驟：
- 阻止所有非必要餅乾在記錄同意之前啟動
- 顯示清晰、通俗的同意通知，解釋使用餅乾的目的
- 提供真正的接受和拒絕選項，並保持同等顯著性
- 提供細緻的類別控制（分析、營銷、偏好）
- 記錄同意事件，包括時間戳、版本和用戶標識符
- 立即尊重同意撤回，並將變更傳播到所有活動標籤
如Biscotti CMP等平台旨在處理此工作流程，管理同意的收集、存儲和信號分發到多個法域的下游營銷和分析工具。
Cookie 同意橫幅最佳實踐
設計不良的同意橫幅本身就是合規風險。監管機構特別針對黑暗模式，包括使拒絕變得困難的設計，將拒絕選項隱藏在多次點擊之後，或使用顏色對比來引導用戶接受。
合規同意橫幅的特徵：
- 接受和拒絕按鈕的視覺權重相等
- 對於非必要類別，沒有預選的切換
- 清晰的語言，無法律術語
- 持久的機制以重新訪問和更改同意偏好
- 移動響應式佈局，不遮擋頁面內容
同意橫幅的設計應根據相關數據保護機構發布的具體指導進行測試。例如，法國CNIL已發布了詳細的技術建議，關於可接受的橫幅格式，超出了GDPR的基準文本。[9]
Google 淘汰第三方 Cookie 後，什麼取而代之？
Google在Chrome中逐步淘汰第三方餅乾的過程始於2024年，這加速了對功能性替代方案的搜索。雖然沒有單一的替代方案實現了普遍採用，但幾種方法已獲得了關注。[10]
2026年主要的餅乾替代方案：
- 第一方數據策略： 通過擁有的屬性和身份驗證會話直接收集行為數據
- 伺服器端分析： 將標籤執行移至伺服器，以減少對客戶端餅乾的依賴
- 隱私沙盒API： Google的一套基於瀏覽器的API（主題API、受保護受眾API），旨在實現基於興趣的廣告，而不使用跨網站識別符
- 上下文廣告： 根據頁面內容而非用戶歷史進行定位
- 數據清理室： 隱私保護環境，允許多方的第一方數據集在不交換原始數據的情況下進行匹配
- 通用ID： 基於哈希的電子郵件識別符，在獲得用戶同意的情況下在出版商網絡中共享
每種替代方案都有其自身的同意和合規影響。上下文廣告不需要用戶數據；經過身份驗證的ID解決方案在GDPR下仍然需要明確同意。
Cookie 是否安全以及隱私風險有哪些？
餅乾本身不是可執行代碼，無法安裝惡意軟件。然而，它們帶來了重要的隱私風險，特別是在用於跨網站追蹤或通過不安全連接被攔截時。
與餅乾相關的主要隱私風險：
- 跨網站分析： 第三方餅乾使得在用戶不知情的情況下建立詳細的行為檔案
- 會話劫持： 通過未加密的HTTP傳輸的餅乾可能會被共享網絡上的攻擊者攔截
- 餅乾同步： 廣告網絡之間共享餅乾識別符，擴大了追蹤範圍
- 殭屍餅乾： 一些追蹤技術試圖使用瀏覽器指紋或本地存儲重新創建已刪除的餅乾
HttpOnly和Secure標誌可以減輕某些攻擊向量，但它們並未解決行為追蹤的結構性隱私風險。[8]
如何檢查網站正在使用哪些Cookie
任何用戶或開發者都可以使用瀏覽器內建工具審核網站的餅乾。在Chrome或Firefox中，打開開發者工具（F12）並導航到應用程序或存儲選項卡，可以查看當前為活動域設置的所有餅乾，包括它們的名稱、值、域、到期日期和安全標誌。
為了進行更結構化的審核，爬蟲工具可以對網站進行爬取，並按類型和目的對餅乾進行分類，提供更完整的視圖，這對於合規文檔特別有用。網站應定期進行餅乾審核，因為通過標籤管理器添加的第三方腳本可能會在未經明確審查的情況下引入新的餅乾。
Cookie如何影響網站效能？
餅乾對頁面加載性能有可測量但通常較小的影響。每個對域的HTTP請求都包括該域設置的所有餅乾在請求標頭中，這增加了與餅乾數量和大小成正比的開銷。
更顯著的性能影響來自設置餅乾的JavaScript：第三方標籤腳本、同意管理平台和分析庫都增加了頁面重量和執行時間。管理不善的標籤實現可能會使首次字節時間（TTFB）和最大內容繪製（LCP）增加數百毫秒，這兩者都會影響核心網頁指標分數。
最佳實踐是異步加載非必要腳本，使用標籤管理系統控制觸發順序，並定期審核第三方餅乾腳本以避免冗餘。
使用者是否可以刪除 Cookie 以及會發生什麼？
是的，用戶可以隨時通過瀏覽器設置刪除餅乾，這對於存儲的餅乾是立即和徹底的。後果取決於刪除的餅乾類型。
- 刪除會話餅乾會使用戶登出活動會話
- 刪除偏好餅乾會重置保存的設置，例如語言或顯示選擇
- 刪除分析餅乾會重置訪客識別，導致回訪用戶在分析平台上顯示為新訪客
- 刪除廣告餅乾會移除廣告定位檔案，儘管基於指紋的追蹤可能會部分持續
刪除餅乾但不調整同意偏好的用戶，通常在下次訪問時會再次被設置餅乾，因為同意記錄本身可能會作為餅乾存儲。一些CMP使用伺服器端同意存儲來解決此問題。
結論：應對 Cookie 合規的未來
餅乾從基本追蹤到嚴格合規的演變反映了對數位基礎設施在缺乏足夠隱私保障的情況下建設的更廣泛反思。1994年開始的30行工程解決方案，成為了價值數萬億美元的廣告生態系統的基礎，然後成為了監管歷史上最具爭議的技術之一。[1]
2026年網站擁有者和開發者的可行後續步驟：
- 對您的網站進行全面的餅乾審核，包括通過標籤管理器加載的所有第三方腳本
- 實施如Biscotti CMP的同意管理平台，以處理符合法域要求的同意收集和文檔
- 根據當前的監管指導檢查您的同意橫幅，特別檢查黑暗模式和接受/拒絕選項的平等權重
- 制定第一方數據策略，以減少對第三方追蹤餅乾的依賴
- 設置定期的日曆提醒，每季度重新審核餅乾，因為第三方腳本經常變更
- 確保您的隱私政策準確反映所有使用中的餅乾的類別和目的
合規環境將繼續演變。隱私法規正在地理上擴展，執法力度加大，瀏覽器供應商正在其平台中直接建立額外的限制。將餅乾治理視為持續的操作紀律，而不是一次性實施項目的組織，將最有可能維持用戶信任和監管地位。
FAQ
工作階段 Cookie 和持久性 Cookie 之間有什麼區別？ 會話餅乾在瀏覽器關閉時被刪除，用於在單次訪問期間維持狀態，例如保持用戶登錄。持久餅乾有定義的到期日期，在會話之間保持在設備上，用於偏好、分析和廣告。
GDPR 下是否所有 Cookie 都需要同意？ 不。嚴格必要的餅乾，例如登錄身份驗證或購物車功能所需的餅乾，根據GDPR不需要獲得同意。所有非必要餅乾，包括分析和廣告餅乾，則需要明確的事前同意。
什麼是同意管理平台（CMP）？ 同意管理平台（CMP）是一種管理用戶餅乾同意的收集、存儲和執行的軟件工具。它展示同意橫幅，記錄用戶選擇，並將這些選擇信號傳遞給下游的營銷和分析標籤。Biscotti CMP (www.biscotti-cmp.com) 是一個為多法域合規而設的平台。
網站是否可以在沒有 Cookie 的情況下運作？ 可以，但有重大限制。核心功能如登錄持久性、購物車和個性化內容通常依賴於第一方餅乾。分析和廣告功能可以部分被無餅乾替代方案取代，但精確度會降低。
Cookie 同意橫幅中的暗黑模式是什麼？ 黑暗模式是一種設計技術，操縱用戶接受他們可能會拒絕的餅乾。例子包括使“接受所有”按鈕顯眼且色彩鮮豔，同時將“拒絕所有”隱藏在多個菜單後，或對非必要類別使用預先勾選的復選框。
同意紀錄必須保留多久？ 根據GDPR，同意記錄應保留至處理活動持續期間，加上合理的時間以證明合規性，以應對監管查詢。許多組織將同意日誌保留至少三年。
什麼是全球隱私控制（GPC）？ GPC是一種瀏覽器級信號，自動向網站傳達用戶的選擇退出偏好。根據CCPA/CPRA，加州企業必須尊重GPC信號，作為有效的選擇退出個人數據的銷售或共享。
分析 Cookie 在 GDPR 下是否被視為個人資料？ 通常是的。分配唯一識別符給瀏覽器的分析餅乾可以用來隨時間分析個體行為，這構成了根據GDPR的個人數據處理，需具備合法基礎，如同意。
網站若未遵守 GDPR Cookie 規則會發生什麼？ 數據保護機構可以發出警告、譴責和罰款。根據餅乾違規的GDPR罰款範圍從數萬到數百萬歐元不等，具體取決於嚴重性、持續時間和受影響人數。
根據GDPR，默示同意（繼續瀏覽）是否有效？ 不。歐洲聯盟法院和多個數據保護機構已確認，持續瀏覽不構成有效同意。同意必須是明確的、無歧義的行為。
互動式Cookie合規自我評估
參考資料
[1] The Cookie Chronicles - https://medium.com/@global.audiences/the-cookie-chronicles-9a5b3096f7a7
[2] Data Privacy History From First Cookie To Global Regulation - https://flowsery.com/en/blog/data-privacy-history-from-first-cookie-to-global-regulation
[3] ACM Digital Library - https://dl.acm.org/doi/abs/10.1145/3559613.3563200
[4] A Comprehensive Guide To Cookie Governance - https://www.scribd.com/document/992136196/A-Comprehensive-Guide-to-Cookie-Governance
[5] The History And Origins Of Tracking Consumers And The Use Of Cookies - https://www.purposeandmeans.io/the-history-and-origins-of-tracking-consumers-and-the-use-of-cookies
[6] Whitepaper Evolution Of The Cookie - https://brkthru.com/wp-content/uploads/2023/09/Whitepaper-Evolution-of-the-Cookie-1.pdf
[7] To Understand Where The Cookie Is Headed Lets Look At Its History - https://digitalcontentnext.org/blog/2020/11/16/to-understand-where-the-cookie-is-headed-lets-look-at-its-history/
[8] HTTP Cookie - https://en.wikipedia.org/wiki/HTTP_cookie
[9] KU Leuven Research - https://lirias.kuleuven.be/retrieve/685004
[10] Evolution Of Internet Identity Privacy Tracking - https://iabtechlab.com/evolution-of-internet-identity-privacy-tracking/