Mis on küpsised? Kuidas veebisaidid sind mäletavad

Küpsis on väike tekstiosa, mida veebisait palub sinu brauseril salvestada ja seejärel igal järgneval külastusel sellele saidile tagasi saata. Nii veebisait sind „mäletab“: et oled sisse logitud, mis on su ostukorvis, millise keele valisid. Küpsised on lihtsalt andmed, mitte programmid, kuid kuna need võivad sind tuvastada, on neil tähtsus nii turvalisuse kui privaatsuse seisukohalt.

Miks see on oluline, kui ehitad tehisintellektiga

Küpsised asuvad mitme funktsiooni all, mida tehisintellekti koostajalt palud, sageli ilma et sõna „küpsis“ kunagi kõlaks:

Sisselogimine. Enamikus veebirakendustes tähendab „jää sisse logituks“ sessiooniküpsist. See, kuidas see küpsis on seadistatud, määrab, kui lihtne seda varastada on.
Ostukorvid ja eelistused. Korv, mis säilib lehe värskendamisel, tugineb sageli küpsisele või brauseri salvestusele.
Analüütika ja reklaam. Google Analyticsi, Meta pikslit või vestlusvidina lisamine toob tavaliselt kaasa teiste ettevõtete küpsised.
Õiguslikud teated. Paljudes kohtades vajavad mõned küpsised külastaja nõusolekut, sellest tulevad küpsisebännerid.

Kui tead, milliseid küpsiseid su rakendus seab ja miks, saad teha paremaid valikuid turvaseadete, nõusoleku ja privaatsuspoliitika osas.

Igapäevane võrdlus

Mõtle garderoobi numbrile. Annad mantli ära ja saad nummerdatud pileti. Pilet ei sisalda sinu mantlit, vaid ainult numbrit. Iga kord, kui tuled leti juurde tagasi, näitad piletit ja töötaja teab, milline mantel on sinu.

Sessiooniküpsis töötab samamoodi. Kui logid sisse, hoiab server sinu andmeid enda pool ja annab brauserile pileti, pika juhusliku ID. Su brauser näitab seda piletit igal päringul ja server vaatab üles, kes sa oled. Keegi, kes pileti kopeerib, saab mantli kätte, seetõttu tuleb sisselogimise küpsist kaitsta.

Kuidas küpsis tegelikult töötab

Külastad saiti. Serveri vastus sisaldab päist nagu Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Brauser salvestab selle, seotuna selle saidi domeeniga.
Igal järgneval päringul samale saidile lisab brauser automaatselt Cookie: session_id=8f3k....
Server loeb selle ja teab, et see oled sina.

Lehe JavaScript saab samuti küpsiseid luua, kuid kõige olulisemad, nagu sisselogimise sessioonid, peaks seadma server ja need peaksid olema JavaScripti eest peidetud.

Küpsiste tüübid

Tüüp	Mida see tähendab	Näide
Sessiooniküpsis	Aegumiskuupäev puudub; kustutatakse, kui brauseri sessioon lõpeb	Lühiajaline kassasamm
Püsiv küpsis	Sellel on aegumiskuupäev (`Expires` või `Max-Age`) ja see säilib taaskäivitustest	„Mäleta mind 30 päeva“
Esimese osapoole	Seab sait aadressiribal	Sinu sisselogimine sellel saidil
Kolmanda osapoole	Seab lehele manustatud muu domeen	Reklaamivõrgustiku jälgimise ID
Rangelt vajalikud	Vajalikud teenuse jaoks, mida kasutaja palus	Sisselogimise sessioon, ostukorv
Mittevajalikud	Saidi omanikule mugavad	Analüütika, reklaam, A/B-testid

Brauserid on järk-järgult piiranud kolmanda osapoole küpsiseid, sest neid kasutatakse inimeste jälgimiseks eri veebisaitide vahel. Mitmed suured brauserid blokeerivad nüüd paljud neist vaikimisi ja üksikasjad muutuvad pidevalt, seega ära ehita midagi olulist kolmanda osapoole küpsistele.

Töötav näide: väike veebipood

Oletame, et oled ehitanud poe, mis müüb käsitöölisi küünlaid. Siin on küpsised, mida mõistlik versioon seaks, ja miks.

session: seatakse, kui omanik või klient logib sisse. See hoiab ainult juhuslikku ID-d; tegelikke sessiooniandmeid hoiab server. Seadistused: HttpOnly (lehe skriptid ei saa seda lugeda), Secure (saadetakse ainult üle HTTPS-i), SameSite=Lax (ei saadeta enamikul teiste saitide algatatud päringutel). Rangelt vajalik.

cart_id: võimaldab sisse logimata külastajal oma korvi alles hoida. See osutab korvile, mis on salvestatud andmebaasi. Rangelt vajalik, sest külastaja palus lisada asju korvi.

theme: mäletab tumedat režiimi. See võiks olla küpsis, kuid seda ei pea kunagi serverisse jõudma, seega on brauseri localStorage lihtsam.

Analüütika küpsised: lisatakse, kui paigaldad analüütikatööriista. Need on mittevajalikud. EL-is ja Ühendkuningriigis nõuavad need üldiselt nõusolekut enne seadmist, seega peaks analüütika skript ootama, kuni külastaja klõpsab „Nõustun“.

Pane tähele, mida pood küpsistesse ei salvesta: kliendi nime, aadressi ega kaardiandmeid. Küpsised liiguvad igal päringul ja elavad kasutaja seadmes, seega peaksid need hoidma ID-sid, mitte isikuandmeid.

Levinud mõisted selgitatud

Mõiste	Mida see tähendab
Küpsis	Väike nimi–väärtus paar, mille brauser salvestab ja saadab saidile tagasi.
`Set-Cookie`	Vastuse päis, millega server loob või uuendab küpsist.
Sessioon	Serveri kirje sisse logitud kasutajast, seotud küpsise ID-ga.
`HttpOnly`	Takistab lehe JavaScripti küpsist lugemast, mis piirab süstitud skriptide kahju.
`Secure`	Küpsist saadetakse ainult krüpteeritud HTTPS-ühendustel.
`SameSite`	Määrab, kas küpsist saadetakse teiste saitide päringutel (`Strict`, `Lax` või `None`).
`Expires` / `Max-Age`	Millal küpsis tuleb kustutada.
Domain / Path	Millised saidi aadressid küpsise saavad.
localStorage	Brauseri salvestus, mida lehe kood saab lugeda, kuid mida automaatselt serverisse ei saadeta.
XSS	Saidideülene skriptimine: ründaja skript käivitub sinu lehel ja võib proovida andmeid varastada.
CSRF	Saidideülene päringu võltsimine: mõni muu sait petab brauseri saatma päringu sinu küpsistega.
Küpsiste nõusolek	Küpsiste, mis pole vajalikud, seadmise eel külastajalt loa küsimine.

Levinud vead ja arusaamatused

„Küpsised on viirused.“ Need on lihtne tekst. Nad ei saa sinu arvutis koodi käivitada.
Tundliku info panemine küpsistesse. Salvesta juhuslik ID ja hoia andmed serveris.
Sisselogimise märgid localStorage'is. Igal lehel töötav skript saab localStorage'i lugeda, sealhulgas süstitud skript. HttpOnly küpsist ei saa lehe skriptid üldse lugeda.
Secure ja HttpOnly puudumine. Need kaks lippu on odavad ja sulgevad levinud augud.
Eeldus, et bänner katab kõike. Bänner, mis laadib analüütika enne, kui keegi „Nõustun“ klõpsab, ei tee oma tööd.
Väljalogimise unustamine. Väljalogimine peaks kustutama küpsise ja lõpetama sessiooni serveris, nii et kopeeritud küpsis lakkab töötamast.
„Kui ma küpsiseid ei kasuta, ei kehti privaatsusreeglid.“ Reeglid nagu GDPR katavad isikuandmeid sõltumata sellest, kus need salvestatakse: sealhulgas localStorage, seadme jäljed ja serverilogid.

Mida küsida oma tehisintellekti koostajalt

„Loetle iga küpsis, mida rakendus seab, mille jaoks see on, kui kaua see kestab ja kas see on rangelt vajalik.“
„Kasuta sisselogimise sessiooniks HttpOnly, Secure, SameSite=Lax küpsist. Ära pane autentimise märke localStorage'i.“
„Hoia küpsises ainult juhuslikku sessiooni ID-d; sessiooni andmed hoia serveris.“
„Väljalogimisel kustuta küpsis ja tühista sessioon serveris.“
„Ära lae analüütika ega turunduse skripte enne, kui külastaja need heaks kiidab, ja mäleta tema valikut.“
„Lisa privaatsuspoliitikasse lihtne küpsiste osa, mis vastab ülal toodud loetelule.“

Nõusoleku osa kohta vaata kuidas lisada küpsiste nõusolekut. Selleks, kuidas küpsised sisselogimistega seotud on, loe mis on autentimine.

Küpsised Mythexis

Mythex ei paku sinu rakenduse kasutajatele sisseehitatud sisselogimist, seega tulevad rakenduse seatavad küpsised selle enda koodist ja sinu lisatud tööriistadest, näiteks sessiooniküpsis valitud autentimise lahendusest. Palu vestluses agendil need loetleda, nende seadeid karmistada või lisada nõusoleku bänner ning kontrolli tulemust elavas eelvaates enne avaldamist. Dokumentatsiooni retsept sisselogimise lisamisest oma rakendusele on hea alguspäring ja turvalisus sinu ehitatud rakendustele selgitab, kuidas hoida võtmed ja saladused brauserist eemal.

Küsimused

Mis on veebisaidi küpsis?

Küpsis on väike tekstiosa, mida veebisait palub sinu brauseril salvestada. Brauser saadab selle igal järgneval päringul tagasi sellele saidile, mis võimaldab saidil mäletada asju, nagu kas oled sisse logitud või mis on su ostukorvis.

Kas küpsised on ohtlikud?

Küpsised on lihtsalt andmed, mitte programmid, seega nad ei saa koodi käivitada ega arvutit nakatada. Mured puudutavad privaatsust, kui kolmanda osapoole küpsised jälgivad sind eri saitide vahel, ja turvalisust, kui sisselogimise küpsis varastatakse ja kasutatakse sinu isikut jäljendamiseks.

Mis vahe on esimese ja kolmanda osapoole küpsistel?

Esimese osapoole küpsise seab sait, mis on sinu aadressiribal, näiteks sisselogimise küpsis. Kolmanda osapoole küpsise seab lehele manustatud muu domeen, näiteks reklaamivõrgustik, ja seda kasutatakse sageli sinu jälgimiseks paljudel saitidel.

Kas mul on vaja küpsiste bännerit?

See sõltub sellest, kus su kasutajad asuvad ja milliseid küpsiseid kasutad. EL-is ja Ühendkuningriigis vajavad mittevajalikud küpsised, nagu analüütika või reklaam, üldiselt eelnevat nõusolekut, samas kui teenuse jaoks rangelt vajalikud küpsised, nagu sisselogimise sessioon, tavaliselt seda ei vaja. Kontrolli enda suhtes kehtivaid reegleid.

Mis vahe on küpsistel ja localStorage'il?

Mõlemad salvestavad andmeid brauseris. Küpsised saadetakse serverisse automaatselt igal päringul, mis sobib sisselogimisteks. localStorage jääb brauserisse ja seda loeb ainult lehe enda kood, mis sobib eelistustele, nagu teema.