快速回答
浏览器饼干始于1994年，最初是为了在网络会话中维护购物车状态的简单解决方案，但饼干从基本跟踪到严格合规的演变使其成为数字历史上最受监管的技术之一。如今，在没有明确用户同意的情况下部署饼干可能会使组织面临GDPR和CCPA等框架下的重大监管处罚。了解这一演变对于任何在2026年运营的网站所有者、开发者或数据隐私专业人士都是至关重要的。
关键要点
- 饼干是由Lou Montulli在1994年于Netscape发明的，旨在解决无状态HTTP问题，而不是跟踪用户
- 第三方饼干使跨站点行为分析成为可能，从2000年代中期开始引发全球监管响应
- GDPR（2018年）和CCPA（2020年）从根本上改变了网站获取和记录饼干同意的方式
- Google在Chrome中逐步淘汰第三方饼干，加速了隐私保护替代方案的采用，包括第一方数据策略和服务器端分析
- 同意管理平台（CMP）现在是大多数商业网站的合规要求，而不是可选增强功能
- 第一方饼干仍然合法且功能正常；合规负担主要落在跟踪和广告饼干上
- 饼干同意横幅必须符合特定法律标准：预选框、捆绑同意和黑暗模式在GDPR下被禁止
- 用户可以随时删除饼干，但这样做会影响个性化、登录持久性和分析准确性
什么是饼干，它们是如何工作的？
饼干是小型文本文件，Web服务器指示浏览器在用户设备上本地存储。当用户重新访问同一网站时，浏览器将存储的饼干发送回服务器，使其能够识别会话、记住偏好或在页面之间关联行为。
从技术上讲，饼干由名称-值对加上可选属性组成：过期日期、域范围、路径和安全标志，如HttpOnly和Secure。会话饼干在浏览器关闭时过期；持久饼干则保持有效，直到其定义的过期日期或用户删除它们。[8]
按功能分类的关键饼干类型：
| 类型 | 目的 | 典型生命周期 |
|---|---|---|
| 会话 | 维护登录状态 | 浏览器会话 |
| 持久 | 记住偏好 | 天到年 |
| 第一方 | 由访问的域设置 | 不同 |
| 第三方 | 由外部域设置 | 通常1-2年 |
| 分析 | 测量流量行为 | 13-26个月 |
| 营销/跟踪 | 构建广告档案 | 最长2年 |
饼干在Web浏览器中的历史
饼干从基本跟踪到严格合规的演变始于一个简单的工程问题。1994年，Netscape Communications的工程师Lou Montulli需要一种方法来实现虚拟购物车，而不在服务器端存储会话数据。他的解决方案是HTTP饼干，源自一个名为“魔法饼干”的现有Unix概念。[7]
Netscape的浏览器在1994年推出了饼干支持，Internet Explorer在1995年采用了该标准。到1997年，IETF在RFC 2109中正式化了该规范。[8] 从最初的无状态协议解决方案迅速演变为个性化、身份验证和关键的广告的支柱。
饼干历史中的关键里程碑：
- 1994年： Lou Montulli在Netscape发明HTTP饼干 [5]
- 1996年： 《金融时报》发布了关于基于饼干的跟踪的首次公开警告之一 [7]
- 2000年代： 广告网络部署第三方饼干以构建跨站点行为档案
- 2011年： 欧盟饼干指令要求对非必要饼干获得知情同意
- 2018年： GDPR大幅提高合规标准，要求明确、细致的同意
- 2020年： CCPA赋予加州消费者选择退出基于饼干的数据销售的权利
- 2024年： Google开始逐步淘汰Chrome中的第三方饼干 [10]
第一方饼干与第三方饼干：有什么区别？
第一方饼干是由用户正在访问的域设置的。第三方饼干是由不同的域设置的，通常是嵌入页面的广告网络、分析提供商或社交媒体平台。
这种区别对功能和合规性至关重要。第一方饼干通常被认为风险较低，因为用户与设置域之间有直接关系。相比之下，第三方饼干使单一广告实体能够跨数千个不相关的网站跟踪用户行为，构建详细的行为档案，而用户对此并不知情。[6]
“第三方饼干成为监视经济的引擎，并不是因为它是为此目的设计的，而是因为其技术架构使得跨站点跟踪在规模上变得极其容易实现。”
大多数现代隐私法规专门针对第三方跟踪饼干，尽管同意要求适用于所有非必要饼干，无论其来源如何。
什么是GDPR，它如何影响饼干？
通用数据保护条例（GDPR）于2018年5月生效，当饼干标识符可以用于识别或分析个人时，将其视为个人数据。根据GDPR，为服务欧盟居民的网站必须在放置任何非必要饼干之前获得自由给予、具体、知情和明确的同意。[2]
GDPR饼干合规要求包括：
- 必须在设置饼干之前获得同意，而不是之后
- 用户必须能够像接受同意一样轻松拒绝同意
- 明确禁止预选同意框
- 同意必须是细致的：用户可以接受分析饼干但拒绝广告饼干
- 必须存储和可审计同意记录
- 用户必须能够随时撤回同意
违反规定可能面临高达全球年营业额4%或2000万欧元的罚款，以较高者为准。自2020年以来，监管执法力度加大，法国、爱尔兰、意大利和西班牙的数据保护机构对不合规的同意横幅处以了巨额罚款。[4]
CCPA饼干合规要求
加州消费者隐私法案（CCPA）于2020年1月生效，并在2023年被加州隐私权法案（CPRA）加强，采取了不同但互补的方法。CCPA并不要求对所有跟踪饼干获得选择加入的同意，而是赋予消费者选择退出“销售”或“共享”其个人信息的权利，其中包括传输给第三方广告平台的基于饼干的行为数据。
CCPA对饼干使用的义务包括：
- 必须显著显示“请勿出售或共享我的个人信息”链接
- 企业必须尊重全球隐私控制（GPC）信号作为有效的选择退出机制
- 隐私政策必须披露通过饼干收集的个人数据类别
- 消费者有权请求删除通过饼干收集的数据
受CCPA约束的企业如果同时服务于欧盟用户，必须协调两个框架，通常通过实施能够处理特定司法管辖区规则集的同意管理解决方案。
如何获取用户对饼干的同意
获得有效的饼干同意不仅仅是在页面上放置一个横幅。必须在激活任何非必要饼干之前，确保同意符合适用司法管辖区的法律标准。
合规的同意流程遵循以下步骤：
- 在记录同意之前，阻止所有非必要饼干的触发
- 显示清晰、通俗的同意通知，解释使用饼干的目的和原因
- 提供真实的接受和拒绝选项，具有相同的显著性
- 提供细致的类别控制（分析、营销、偏好）
- 记录同意事件，包括时间戳、版本和用户标识符
- 立即尊重同意撤回，并将更改传播到所有活动标签
像Biscotti CMP这样的平台旨在处理此工作流程，管理同意收集、存储和信号分发到多个司法管辖区的下游营销和分析工具。
饼干同意横幅的最佳实践
设计不良的同意横幅本身就是合规风险。监管机构特别针对黑暗模式，包括使拒绝变得困难的设计、将拒绝选项隐藏在多个点击后，或使用颜色对比来促使用户接受。
合规同意横幅的特征：
- 接受和拒绝按钮具有相等的视觉权重
- 对于非必要类别没有预选切换
- 使用清晰的语言而非法律术语
- 有一个持久的机制来重新访问和更改同意偏好
- 移动响应布局，不遮挡页面内容
同意横幅设计应根据相关数据保护机构发布的具体指导进行测试。例如，法国CNIL已发布了关于可接受横幅格式的详细技术建议，超出了GDPR的基本文本。[9]
Google逐步淘汰第三方饼干后，什么替代方案出现了？
Google在Chrome中逐步淘汰第三方饼干的过程始于2024年，推动了对功能替代方案的搜索。没有单一替代方案实现了普遍采用，但几种方法获得了关注。[10]
2026年领先的饼干替代方案：
- 第一方数据策略： 通过自有属性和身份验证会话直接收集行为数据
- 服务器端分析： 将标签执行转移到服务器，以减少对客户端饼干的依赖
- 隐私沙盒API： Google的一套基于浏览器的API（主题API、受保护受众API），旨在在没有跨站点标识符的情况下实现基于兴趣的广告
- 上下文广告： 基于页面内容而非用户历史进行定位
- 数据清算室： 隐私保护环境，在其中可以匹配来自多个方的第一方数据集，而无需交换原始数据
- 通用ID： 基于哈希的电子邮件标识符，在发布者网络中共享，需用户同意
每种替代方案都有其自身的同意和合规含义。上下文广告不需要用户数据；经过身份验证的ID解决方案在GDPR下仍然需要明确同意。
饼干安全吗？隐私风险是什么？
饼干本身不是可执行代码，无法安装恶意软件。然而，它们带来了重要的隐私风险，特别是在用于跨站点跟踪或通过不安全连接被拦截时。
与饼干相关的主要隐私风险：
- 跨站点分析： 第三方饼干使得在用户不知情的情况下构建详细的行为档案成为可能
- 会话劫持： 通过未加密的HTTP传输的饼干可能被共享网络上的攻击者拦截
- 饼干同步： 广告网络相互共享饼干标识符，扩大了跟踪范围
- 僵尸饼干： 一些跟踪技术试图使用浏览器指纹或本地存储重新创建已删除的饼干
HttpOnly和Secure标志可以减轻一些攻击向量，但它们并未解决行为跟踪的结构性隐私风险。[8]
如何检查网站使用了哪些饼干
任何用户或开发者都可以使用浏览器原生工具审核网站的饼干。在Chrome或Firefox中，打开开发者工具（F12）并导航到应用程序或存储选项卡，可以查看当前为活动域设置的所有饼干，包括它们的名称、值、域、过期日期和安全标志。
为了进行更结构化的审核，爬虫工具可以对网站进行爬取，并按类型和目的对饼干进行分类，从而提供更完整的视图，这对于合规文档特别有用。网站应定期进行饼干审核，因为通过标签管理器添加的第三方脚本可能会在未明确审查的情况下引入新的饼干。
饼干如何影响网站性能？
饼干对页面加载性能有可测量但通常较小的影响。每个对域的HTTP请求都包括为该域设置的所有饼干在请求头中，这增加了与饼干数量和大小成正比的开销。
更显著的性能影响来自设置饼干的JavaScript：第三方标签脚本、同意管理平台和分析库都会增加页面重量和执行时间。管理不善的标签实现可能会使首次字节时间（TTFB）和最大内容绘制（LCP）增加数百毫秒，这两者都会影响核心Web指标得分。
最佳实践是异步加载非必要脚本，使用标签管理系统控制触发顺序，并定期审核第三方饼干脚本以消除冗余。
用户可以删除饼干吗？会发生什么？
是的，用户可以随时通过浏览器设置删除饼干，删除操作对存储的饼干是立即且完全的。后果取决于删除的饼干类型。
- 删除会话饼干会使用户退出活动会话
- 删除偏好饼干会重置保存的设置，例如语言或显示选择
- 删除分析饼干会重置访客识别，导致回访用户在分析平台中显示为新访客
- 删除广告饼干会移除广告定位档案，尽管基于指纹的跟踪可能部分持续
删除饼干但未调整同意偏好的用户，通常在下次访问时会重新被记录为饼干，因为同意记录本身可能被存储为饼干。一些CMP使用服务器端同意存储来解决此问题。
结论：导航饼干合规的未来
饼干从基本跟踪到严格合规的演变反映了对数字基础设施在没有足够隐私保障的情况下构建的更广泛反思。1994年开始的30行工程解决方案，成为了一个万亿美元广告生态系统的基础，随后成为了监管历史上最常被诉讼的技术之一。[1]
2026年网站所有者和开发者的可行后续步骤：
- 对您的网站进行全面的饼干审核，包括通过标签管理器加载的所有第三方脚本
- 实施像Biscotti CMP这样的同意管理平台，以处理符合司法管辖区的同意收集和文档
- 根据当前的监管指导审查您的同意横幅，特别检查黑暗模式和接受/拒绝选项的平等权重
- 制定第一方数据策略，以减少对第三方跟踪饼干的依赖
- 设置定期的日历提醒，每季度重新审核饼干，因为第三方脚本经常变化
- 确保您的隐私政策准确反映所有使用中的饼干的类别和目的
合规环境将继续演变。隐私法规正在地理上扩展，执法力度加大，浏览器供应商正在其平台中直接构建额外的限制。将饼干治理视为持续的运营纪律，而不是一次性实施项目的组织，将在维持用户信任和监管地位方面处于最佳位置。
常见问题
会话饼干和持久饼干有什么区别？ 会话饼干在浏览器关闭时被删除，用于在单次访问期间维护状态，例如保持用户登录。持久饼干有一个定义的过期日期，并在会话之间保留在设备上，用于偏好、分析和广告。
所有饼干在GDPR下都需要同意吗？ 不。严格必要的饼干，例如用于登录身份验证或购物车功能的饼干，免于GDPR下的同意要求。所有非必要饼干，包括分析和广告饼干，都需要明确的事先同意。
什么是同意管理平台（CMP）？ CMP是一种软件工具，管理用户饼干同意的收集、存储和执行。它展示同意横幅，记录用户选择，并将这些选择信号传递给下游的营销和分析标签。Biscotti CMP (www.biscotti-cmp.com) 是一个为多司法管辖区合规而构建的平台。
网站可以在没有饼干的情况下运行吗？ 可以，但会有显著的限制。核心功能，如登录持久性、购物车和个性化内容，通常依赖于第一方饼干。分析和广告功能可以部分替代为无饼干的替代方案，但精确度会降低。
饼干同意横幅中的黑暗模式是什么？ 黑暗模式是一种设计技术，操纵用户接受他们可能会拒绝的饼干。例子包括使“接受所有”按钮显著且颜色鲜艳，而将“拒绝所有”隐藏在多个菜单后，或对非必要类别使用预选复选框。
同意记录必须保留多久？ 根据GDPR，同意记录应保留至处理活动持续期间，加上合理的时间以证明合规，以备监管查询。许多组织将同意日志保留至少三年。
什么是全球隐私控制（GPC）？ GPC是一个浏览器级信号，自动向网站传达用户的选择退出偏好。根据CCPA/CPRA，加州企业必须尊重GPC信号，作为有效的选择退出个人数据销售或共享的方式。
分析饼干在GDPR下被视为个人数据吗？ 通常是的。分配唯一标识符给浏览器的分析饼干可以用于分析个体行为，这构成了GDPR下的个人数据处理，要求合法依据，如同意。
如果网站未能遵守GDPR饼干规则，会发生什么？ 数据保护机构可以发出警告、训斥和罚款。GDPR对饼干违规的罚款范围从数万欧元到数亿欧元不等，具体取决于严重性、持续时间和受影响人数。
隐含同意（继续浏览）在GDPR下有效吗？ 不。欧洲联盟法院和多个数据保护机构已确认，继续浏览不构成有效同意。同意必须是明确、无歧义的行为。
互动饼干合规自我评估
参考文献
[1] The Cookie Chronicles - https://medium.com/@global.audiences/the-cookie-chronicles-9a5b3096f7a7
[2] Data Privacy History From First Cookie To Global Regulation - https://flowsery.com/en/blog/data-privacy-history-from-first-cookie-to-global-regulation
[3] ACM Digital Library - https://dl.acm.org/doi/abs/10.1145/3559613.3563200
[4] A Comprehensive Guide To Cookie Governance - https://www.scribd.com/document/992136196/A-Comprehensive-Guide-to-Cookie-Governance
[5] The History And Origins Of Tracking Consumers And The Use Of Cookies - https://www.purposeandmeans.io/the-history-and-origins-of-tracking-consumers-and-the-use-of-cookies
[6] Whitepaper Evolution Of The Cookie - https://brkthru.com/wp-content/uploads/2023/09/Whitepaper-Evolution-of-the-Cookie-1.pdf
[7] To Understand Where The Cookie Is Headed Lets Look At Its History - https://digitalcontentnext.org/blog/2020/11/16/to-understand-where-the-cookie-is-headed-lets-look-at-its-history/
[8] HTTP Cookie - https://en.wikipedia.org/wiki/HTTP_cookie
[9] KU Leuven Research - https://lirias.kuleuven.be/retrieve/685004
[10] Evolution Of Internet Identity Privacy Tracking - https://iabtechlab.com/evolution-of-internet-identity-privacy-tracking/