Què són les galetes? Com els llocs web et recorden

Una galeta és un petit fragment de text que un lloc web demana al teu navegador que guardi i que després envia de tornada en cada visita posterior a aquest lloc. És com un lloc web «et recorda»: que has iniciat sessió, què hi ha al teu carretó, quin idioma has triat. Les galetes són només dades, no programes, però com que poden identificar-te, importen tant per a la seguretat com per a la privacitat.

Per què importa quan construeixes amb IA

Les galetes són la base de diverses funcions que demanaràs a un constructor amb IA, sovint sense que la paraula «galeta» aparegui mai:

Inici de sessió. En la majoria d'aplicacions web, «mantén la sessió iniciada» significa una galeta de sessió. Com està configurada aquesta galeta decideix com de fàcil és robar-la.
Carretons i preferències. Un carretó que sobreviu a una recàrrega de pàgina sovint depèn d'una galeta o de l'emmagatzematge del navegador.
Analítica i publicitat. Afegir Google Analytics, un píxel de Meta o un widget de xat sol afegir galetes d'altres empreses.
Avisos legals. En molts llocs, algunes galetes necessiten primer el consentiment del visitant, i d'aquí venen els avisos de galetes.

Si saps quines galetes estableix la teva aplicació i per què, pots prendre millors decisions sobre la configuració de seguretat, el consentiment i la teva política de privacitat.

Una analogia quotidiana

Pensa en el tiquet del guarda-roba. Lliures l'abric i reps un tiquet numerat. El tiquet no conté el teu abric, només un número. Cada vegada que tornes al taulell ensenyes el tiquet i l'encarregat sap quin abric és el teu.

Una galeta de sessió funciona de la mateixa manera. Quan inicies sessió, el servidor guarda les teves dades pel seu costat i dona al teu navegador un tiquet: un identificador aleatori i llarg. El teu navegador mostra aquest tiquet en cada sol·licitud, i el servidor busca qui ets. Qualsevol que copiï el tiquet pot recollir l'abric, per això les galetes d'inici de sessió necessiten protecció.

Com funciona realment una galeta

Visites un lloc. La resposta del servidor inclou una capçalera com Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
El teu navegador la guarda, lligada al domini d'aquest lloc.
En cada sol·licitud posterior al mateix lloc, el navegador afegeix automàticament Cookie: session_id=8f3k....
El servidor la llegeix i sap que ets tu.

El JavaScript de la pàgina també pot crear galetes, però les més importants —les sessions d'inici— haurien d'establir-les el servidor i ocultar-les a JavaScript.

Tipus de galetes

Tipus	Què vol dir	Exemple
Galeta de sessió	Sense data de caducitat; s'elimina quan acaba la sessió del navegador	Un pas de pagament de curta durada
Galeta persistent	Té una data de caducitat (`Expires` o `Max-Age`) i sobreviu als reinicis	«Recorda'm durant 30 dies»
De primera part	La defineix el lloc que apareix a la barra d'adreces	El teu inici de sessió en aquell lloc
De tercera part	La defineix un altre domini incrustat a la pàgina	L'identificador de seguiment d'una xarxa publicitària
Estrictament necessàries	Necessàries per a un servei que l'usuari ha demanat	Sessió d'inici, carretó de la compra
No essencials	Convenients per al propietari del lloc	Analítica, publicitat, proves A/B

Els navegadors han restringit cada cop més les galetes de tercers perquè s'usen per seguir les persones entre llocs web. Diversos navegadors importants ara bloquegen moltes d'elles per defecte, i els detalls canvien constantment, així que no construeixis res important sobre galetes de tercers.

Un exemple pràctic: una petita botiga en línia

Suposem que has construït una botiga que ven espelmes artesanals. Aquí tens les galetes que establiria una versió sensata, i per què.

session: s'estableix quan el propietari o un client inicia sessió. Només conté un identificador aleatori; el servidor guarda les dades reals de la sessió. Configuració: HttpOnly (els scripts de la pàgina no la poden llegir), Secure (només s'envia per HTTPS), SameSite=Lax (no s'envia en la majoria de sol·licituds iniciades per altres llocs). Estrictament necessària.

cart_id: permet que un visitant que no ha iniciat sessió mantingui el seu carretó. Apunta a un carretó desat a la base de dades. Estrictament necessària, perquè el visitant ha demanat afegir coses a un carretó.

theme: recorda el mode fosc. Podria ser una galeta, però mai no cal que arribi al servidor, així que el localStorage del navegador és més senzill.

Galetes d'analítica: s'afegeixen si instal·les una eina d'analítica. Són no essencials. A la UE i al Regne Unit, generalment necessiten consentiment abans d'establir-se, així que l'script d'analítica hauria d'esperar que el visitant faci clic a «Accepta».

Fixa't en el que la botiga no guarda en galetes: el nom del client, la seva adreça ni els dades de la targeta. Les galetes viatgen amb cada sol·licitud i viuen al dispositiu de l'usuari, així que han de contenir identificadors, no dades personals.

Termes habituals explicats

Terme	Què vol dir
Galeta	Un parell nom–valor petit que el navegador guarda i envia de tornada al lloc.
`Set-Cookie`	La capçalera de resposta que fa servir un servidor per crear o actualitzar una galeta.
Sessió	El registre del servidor d'un usuari que ha iniciat sessió, vinculat a un identificador de galeta.
`HttpOnly`	Impedeix que el JavaScript de la pàgina llegeixi la galeta, cosa que limita el dany dels scripts injectats.
`Secure`	La galeta només s'envia per connexions HTTPS xifrades.
`SameSite`	Controla si la galeta s'envia en sol·licituds d'altres llocs (`Strict`, `Lax` o `None`).
`Expires` / `Max-Age`	Quan s'ha d'eliminar la galeta.
Domini / Ruta	Quines adreces del lloc reben la galeta.
localStorage	Emmagatzematge del navegador que el codi de la pàgina pot llegir, però que no s'envia automàticament al servidor.
XSS	Cross-site scripting: un script d'un atacant que s'executa a la teva pàgina, i que pot intentar robar dades.
CSRF	Cross-site request forgery: un altre lloc que enganya el navegador perquè enviï una sol·licitud amb les teves galetes.
Consentiment de galetes	Demanar permís als visitants abans d'establir galetes no essencials.

Errors habituals i idees equivocades

«Les galetes són virus.» Són text pla. No poden executar codi al teu ordinador.
Posar dades sensibles a les galetes. Guarda un identificador aleatori i mantín les dades al servidor.
Tokens d'inici de sessió a localStorage. Qualsevol script que s'executi a la pàgina pot llegir el localStorage, inclòs un d'injectat. Una galeta HttpOnly no la poden llegir els scripts de la pàgina.
Oblidar Secure i HttpOnly. Aquests dos indicadors són barats i tanquen forats habituals.
Suposar que un avís ho cobreix tot. Un avís que carrega l'analítica abans que ningú faci clic a «Accepta» no fa la seva feina.
Oblidar la sortida de la sessió. Tancar la sessió hauria d'eliminar la galeta i acabar la sessió al servidor, perquè una galeta copiada deixi de funcionar.
«Si no faig servir galetes, les normes de privacitat no s'apliquen.» Normes com el RGPD cobreixen les dades personals sigui on s'emmagatzemin: l'emmagatzematge local, les empremtes del dispositiu i els registres del servidor inclosos.

Què demanar al teu constructor amb IA

«Enumera totes les galetes que estableix l'aplicació, per a què són, quant duren i si són estrictament necessàries.»
«Fes servir una galeta HttpOnly, Secure, SameSite=Lax per a la sessió d'inici. No posis tokens d'autenticació a localStorage.»
«Guarda només un identificador de sessió aleatori a la galeta; emmagatzema les dades de la sessió al servidor.»
«En tancar la sessió, esborra la galeta i invalida la sessió al servidor.»
«No carreguis scripts d'analítica o de màrqueting fins que el visitant els accepti, i recorda la seva elecció.»
«Afegeix una secció simple sobre galetes a la política de privacitat que coincideixi amb la llista anterior.»

Per a la part del consentiment, consulta com afegir el consentiment de galetes. Per veure com encaixen les galetes amb els inicis de sessió, llegeix què és l'autenticació.

Galetes a Mythex

Mythex no ofereix un inici de sessió integrat per als usuaris de la teva aplicació, així que les galetes que estableix la teva aplicació provenen del seu propi codi i de les eines que hi afegeixes —per exemple, una galeta de sessió del mètode d'autenticació que triïs. Demana a l'agent al xat que les enumeri, que ajusti la seva configuració o que afegeixi un avís de consentiment, i comprova el resultat a la previsualització en directe abans de publicar. La recepta de la documentació sobre com afegir inici de sessió a la teva aplicació és un bon punt de partida, i la seguretat de les aplicacions que construeixes explica com mantenir les claus i els secrets fora del navegador.

Preguntes

Què és una galeta en un lloc web?

Una galeta és un petit fragment de text que un lloc web demana al teu navegador que guardi. El navegador l'envia de tornada amb cada sol·licitud posterior a aquest lloc, cosa que permet al lloc recordar coses com si has iniciat sessió o què hi ha al teu carretó.

Les galetes són perilloses?

Les galetes són només dades, no programes, així que no poden executar codi ni infectar un ordinador. Les preocupacions són la privacitat, quan les galetes de tercers et segueixen a través de diversos llocs, i la seguretat, quan es roba una galeta d'inici de sessió i es fa servir per fer-se passar per tu.

Quina és la diferència entre galetes de primera i de tercera part?

Una galeta de primera part la defineix el lloc que apareix a la barra d'adreces, com una galeta d'inici de sessió. Una galeta de tercera part la defineix un domini diferent incrustat a la pàgina, com una xarxa de publicitat, i sovint s'utilitza per seguir-te a través de molts llocs.

Necessito un avís de galetes?

Depèn de on són els teus usuaris i de quines galetes fas servir. A la UE i al Regne Unit, les galetes no essencials, com les d'analítica o publicitat, generalment necessiten el consentiment previ, mentre que les estrictament necessàries per al servei, com una sessió d'inici, normalment no. Revisa les normes que t'afecten.

Quina és la diferència entre galetes i localStorage?

Tots dos emmagatzemen dades al navegador. Les galetes s'envien automàticament al servidor amb cada sol·licitud, cosa que encaixa amb els inicis de sessió. El localStorage es queda al navegador i només el llegeix el codi propi de la pàgina, cosa que encaixa amb preferències com un tema.