Mitä evästeet ovat? Miten sivustot muistavat sinut

Eväste on pieni tekstinpätkä, jonka verkkosivusto pyytää selaintasi tallentamaan ja lähettämään takaisin jokaisella myöhemmällä vierailulla kyseiselle sivustolle. Näin verkkosivusto ”muistaa” sinut: että olet kirjautunut sisään, mitä ostoskorissasi on, mitä kieltä valitsit. Evästeet ovat pelkkää dataa, eivät ohjelmia, mutta koska ne voivat tunnistaa sinut, ne ovat tärkeitä sekä tietoturvan että yksityisyyden kannalta.

Miksi tämä on tärkeää, kun rakennat tekoälyllä

Evästeet ovat monien ominaisuuksien pohjalla, joita pyydät tekoälyrakentajalta, usein ilman että sana ”eväste” koskaan tulee esiin:

• Kirjautuminen. Useimmissa web-sovelluksissa ”pysy kirjautuneena” tarkoittaa istuntoevästettä. Sen asetukset määräävät, kuinka helppo se on varastaa.
• Ostoskorit ja asetukset. Ostoskori, joka säilyy sivun päivityksen jälkeen, nojaa usein evästeeseen tai selaimen tallennukseen.
• Analytiikka ja mainokset. Google Analyticsin, Metan pikselin tai chat-widgetin lisääminen tuo yleensä mukanaan evästeitä muilta yrityksiltä.
• Lakiteksti. Monissa paikoissa jotkin evästeet vaativat ensin kävijän suostumuksen, ja siitä evästebannerit tulevat.

Kun tiedät, mitä evästeitä sovelluksesi asettaa ja miksi, voit tehdä parempia valintoja tietoturva-asetuksista, suostumuksesta ja tietosuojaselosteesta.

Arkinen vertaus

Ajattele vaatesäilytyksen numerolappua. Jätät takkisi ja saat numeroidun lapun. Lappu ei sisällä takkiasi — vain numeron. Joka kerta kun palaat tiskille, näytät lappua, ja henkilökunta tietää, mikä takki on sinun.

Istuntoeväste toimii samalla tavalla. Kun kirjaudut sisään, palvelin pitää tietosi omalla puolellaan ja antaa selaimellesi lapun — pitkän satunnaisen tunnuksen. Selain näyttää tuon lapun jokaisessa pyynnössä, ja palvelin etsii, kuka olet. Jos joku kopioi lapun, hän voi noutaa takin, minkä vuoksi kirjautumisevästeet pitää suojata.

Miten eväste oikeasti toimii

1. Vierailet sivustolla. Palvelimen vastaus sisältää otsakkeen kuten Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
2. Selaimesi tallentaa sen ja liittää sen kyseisen sivuston domainiin.
3. Jokaisessa myöhemmässä pyynnössä samalle sivustolle selain lisää automaattisesti otsakkeen Cookie: session_id=8f3k....
4. Palvelin lukee sen ja tietää, että olet sinä.

Sivun JavaScript voi myös luoda evästeitä, mutta tärkeimmät — kirjautumisistunnot — kannattaa asettaa palvelimella ja piilottaa JavaScriptiltä.

Evästetyypit

Selaimet ovat vähitellen rajoittaneet kolmannen osapuolen evästeitä, koska niitä käytetään ihmisten seuraamiseen eri verkkosivujen välillä. Useat suuret selaimet estävät nykyään monia niistä oletuksena, ja yksityiskohdat muuttuvat jatkuvasti, joten älä rakenna mitään tärkeää kolmannen osapuolen evästeiden varaan.

Esimerkki: pieni verkkokauppa

Oletetaan, että olet rakentanut kaupan, joka myy käsintehtyjä kynttilöitä. Tässä ovat evästeet, jotka järkevä versio asettaisi, ja miksi.

session — asetetaan, kun omistaja tai asiakas kirjautuu sisään. Se sisältää vain satunnaisen tunnuksen; palvelin pitää varsinaisen istuntodatan. Asetukset: HttpOnly (sivun skriptit eivät voi lukea sitä), Secure (lähetetään vain HTTPS:n yli), SameSite=Lax (ei lähetetä useimmissa muiden sivustojen käynnistämissä pyynnöissä). Ehdottoman välttämätön.

cart_id — antaa kirjautumattoman kävijän säilyttää korinsa. Se osoittaa palvelimella tallennettuun koriin tietokannassa. Ehdottoman välttämätön, koska kävijä pyysi lisäämään tuotteita koriin.

theme — muistaa tumman tilan. Tämä voisi olla eväste, mutta sen ei koskaan tarvitse päätyä palvelimelle, joten selaimen localStorage on yksinkertaisempi.

Analytiikkaevästeet — lisätään, jos asennat analytiikkatyökalun. Nämä ovat ei-välttämättömiä. EU:ssa ja Isossa-Britanniassa ne vaativat yleensä suostumuksen ennen asettamista, joten analytiikkaskriptin pitäisi odottaa, kunnes kävijä klikkaa ”Hyväksy”.

Huomaa, mitä kauppa ei tallenna evästeisiin: asiakkaan nimeä, osoitetta tai korttitietoja. Evästeet kulkevat jokaisen pyynnön mukana ja asuvat käyttäjän laitteella, joten niiden pitäisi sisältää tunnuksia, ei henkilötietoja.

Yleisiä termejä selitettynä

Yleisiä virheitä ja väärinkäsityksiä

• ”Evästeet ovat viruksia.” Ne ovat pelkkää tekstiä. Ne eivät voi suorittaa koodia tietokoneellasi.
• Arkaluonteisen datan laittaminen evästeisiin. Tallenna satunnainen tunnus ja pidä tiedot palvelimella.
• Kirjautumistunnisteet localStoragessa. Mikä tahansa sivulla ajettava skripti voi lukea localStoragea, myös injektoitu. HttpOnly-eväste ei ole sivun skriptien luettavissa lainkaan.
• Secure- ja HttpOnly-liput puuttuvat. Nämä kaksi lippua ovat halpoja ja sulkevat yleisiä aukkoja.
• Oletus, että banneri kattaa kaiken. Banneri, joka lataa analytiikan ennen kuin kukaan klikkaa ”Hyväksy”, ei tee tehtäväänsä.
• Uloskirjautumisen unohtaminen. Uloskirjautumisen pitäisi poistaa eväste ja päättää istunto palvelimella, jotta kopioitu eväste lakkaa toimimasta.
• ”Jos en käytä evästeitä, tietosuojasäännöt eivät koske minua.” Säännöt, kuten GDPR, koskevat henkilötietoja siellä, missä ne on tallennettu — localStorage, laitesormenjäljet ja palvelinlokit mukaan lukien.

Mitä pyytää tekoälyrakentajalta

• ”Listaa jokainen sovelluksen asettama eväste, mihin se on, kuinka kauan se kestää ja onko se ehdottoman välttämätön.”
• ”Käytä kirjautumisistunnolle HttpOnly-, Secure- ja SameSite=Lax-evästettä. Älä laita todennustunnisteita localStorageen.”
• ”Pidä evästeessä vain satunnainen istuntotunnus; tallenna istuntodata palvelimelle.”
• ”Uloskirjautuessa tyhjennä eväste ja mitätöi istunto palvelimella.”
• ”Älä lataa analytiikka- tai markkinointiskriptejä, ennen kuin kävijä hyväksyy ne, ja muista hänen valintansa.”
• ”Lisää tietosuojaselosteeseen yksinkertainen evästeosio, joka vastaa yllä olevaa listaa.”

Suostumusosuuteen katso miten lisätään evästesuostumus. Siihen, miten evästeet liittyvät kirjautumisiin, lue mitä todennus on.

Evästeet Mythexissä

Mythex ei tarjoa sovelluksesi käyttäjille sisäänrakennettua kirjautumista, joten sovelluksesi asettamat evästeet tulevat sen omasta koodista ja lisäämistäsi työkaluista — esimerkiksi istuntoevästeestä valitsemasi todennustavan kautta. Pyydä agenttia chatissa listaamaan ne, kiristämään niiden asetuksia tai lisäämään suostumusbannerin, ja tarkista tulos live-esikatselussa ennen julkaisua. Dokumentaation resepti kirjautumisen lisäämisestä sovellukseesi on hyvä lähtökohta, ja rakentamiesi sovellusten tietoturva kertoo, miten avaimet ja salaisuudet pidetään selaimen ulkopuolella.

Kysymykset