Qu'est-ce qu'un cookie ? Comment les sites Web vous reconnaissent

Un cookie est un petit texte qu'un site demande à votre navigateur d'enregistrer, puis de renvoyer à chaque visite ultérieure de ce site. C'est ainsi qu'un site Web « se souvient » de vous : que vous êtes connecté, ce qui se trouve dans votre panier, la langue que vous avez choisie. Les cookies sont de simples données, pas des programmes, mais comme ils peuvent vous identifier, ils comptent à la fois pour la sécurité et pour la vie privée.

Pourquoi c'est important lorsque vous créez avec l'IA

Les cookies se trouvent sous plusieurs fonctions que vous demanderez à un créateur d'IA, souvent sans que le mot « cookie » ne soit jamais prononcé :

Connexion. Dans la plupart des applications Web, « rester connecté » signifie un cookie de session. La façon dont ce cookie est configuré détermine à quel point il est facile à voler.
Paniers et préférences. Un panier qui survit à l'actualisation d'une page repose souvent sur un cookie ou sur le stockage du navigateur.
Analyse et publicité. Ajouter Google Analytics, un pixel Meta ou un widget de clavardage ajoute habituellement des cookies d'autres entreprises.
Avis légaux. Dans de nombreux endroits, certains cookies exigent le consentement du visiteur au préalable; c'est là que viennent les bandeaux de cookies.

Si vous savez quels cookies votre application définit et pourquoi, vous pouvez faire de meilleurs choix en matière de paramètres de sécurité, de consentement et de politique de confidentialité.

Une analogie du quotidien

Pensez au ticket du vestiaire. Vous remettez votre manteau et recevez un ticket numéroté. Le ticket ne contient pas votre manteau, seulement un numéro. Chaque fois que vous revenez au comptoir, vous montrez le ticket, et le préposé sait quel manteau est le vôtre.

Un cookie de session fonctionne de la même façon. Lorsque vous vous connectez, le serveur conserve vos renseignements de son côté et donne à votre navigateur un ticket, un long identifiant aléatoire. Votre navigateur présente ce ticket à chaque requête, et le serveur consulte qui vous êtes. Quiconque copie le ticket peut récupérer le manteau, c'est pourquoi les cookies de connexion doivent être protégés.

Vous visitez un site. La réponse du serveur comprend un en-tête comme Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Votre navigateur le stocke, rattaché au domaine de ce site.
À chaque requête ultérieure vers le même site, le navigateur ajoute automatiquement Cookie: session_id=8f3k....
Le serveur le lit et sait que c'est vous.

Le JavaScript de la page peut aussi créer des cookies, mais les plus importants, les sessions de connexion, devraient être définis par le serveur et cachés du JavaScript.

Types de cookies

Type	Ce que cela signifie	Exemple
Cookie de session	Sans date d'expiration; supprimé à la fermeture de la session du navigateur	Une étape de paiement de courte durée
Cookie persistant	A une date d'expiration (`Expires` ou `Max-Age`) et survit aux redémarrages	« Se souvenir de moi pendant 30 jours »
Interne (de première partie)	Défini par le site affiché dans la barre d'adresse	Votre connexion à ce site
Tiers (de tierce partie)	Défini par un autre domaine intégré à la page	L'identifiant de suivi d'un réseau publicitaire
Strictement nécessaire	Requis pour un service que l'utilisateur a demandé	Session de connexion, panier d'achat
Non essentiel	Utile au propriétaire du site, sans plus	Analyse, publicité, tests A/B

Les navigateurs ont progressivement restreint les cookies tiers, car ils servent à suivre les gens d'un site Web à l'autre. Plusieurs grands navigateurs en bloquent maintenant beaucoup par défaut, et les détails changent constamment; ne construisez donc rien d'important sur des cookies tiers.

Un exemple concret : une petite boutique en ligne

Supposons que vous ayez créé une boutique qui vend des bougies artisanales. Voici les cookies qu'une version raisonnable définirait, et pourquoi.

session : défini lorsque le propriétaire ou un client se connecte. Il ne contient qu'un identifiant aléatoire; le serveur conserve les vraies données de session. Paramètres : HttpOnly (les scripts de la page ne peuvent pas le lire), Secure (envoyé seulement par HTTPS), SameSite=Lax (non envoyé pour la plupart des requêtes lancées par d'autres sites). Strictement nécessaire.

cart_id : permet à un visiteur qui n'est pas connecté de conserver son panier. Il pointe vers un panier enregistré dans la base de données. Strictement nécessaire, car le visiteur a demandé d'ajouter des articles à un panier.

theme : mémorise le mode sombre. Cela pourrait être un cookie, mais il n'a jamais besoin d'atteindre le serveur; le localStorage du navigateur est donc plus simple.

Cookies d'analyse : ajoutés si vous installez un outil d'analyse. Ils sont non essentiels. Dans l'Union européenne et au Royaume-Uni, ils exigent généralement un consentement avant d'être définis; le script d'analyse doit donc attendre que le visiteur clique sur « Accepter ».

Remarquez ce que la boutique ne stocke pas dans les cookies : le nom, l'adresse ou les renseignements de carte de crédit du client. Les cookies voyagent avec chaque requête et restent sur l'appareil de l'utilisateur; ils devraient donc contenir des identifiants, pas des données personnelles.

Termes courants expliqués

Terme	Ce que cela signifie
Cookie	Une petite paire nom-valeur que le navigateur stocke et renvoie au site.
`Set-Cookie`	L'en-tête de réponse qu'un serveur utilise pour créer ou mettre à jour un cookie.
Session	Le registre du serveur d'un utilisateur connecté, lié à un identifiant de cookie.
`HttpOnly`	Empêche le JavaScript de la page de lire le cookie, ce qui limite les dégâts causés par des scripts injectés.
`Secure`	Le cookie n'est envoyé que sur les connexions HTTPS chiffrées.
`SameSite`	Contrôle si le cookie est envoyé lors de requêtes provenant d'autres sites (`Strict`, `Lax` ou `None`).
`Expires` / `Max-Age`	Moment où le cookie doit être supprimé.
Domain / Path	Quelles adresses du site reçoivent le cookie.
localStorage	Stockage du navigateur que le code de la page peut lire, mais qui n'est pas envoyé automatiquement au serveur.
XSS	Cross-site scripting : un script malveillant qui s'exécute dans votre page et peut tenter de voler des données.
CSRF	Cross-site request forgery : un autre site qui amène le navigateur à envoyer une requête avec vos cookies.
Consentement aux cookies	Demander la permission des visiteurs avant de définir des cookies non essentiels.

Erreurs courantes et idées reçues

« Les cookies sont des virus. » Ce sont des textes simples. Ils ne peuvent pas exécuter de code sur votre ordinateur.
Mettre des données sensibles dans les cookies. Stockez un identifiant aléatoire et gardez les détails sur le serveur.
Jetons de connexion dans le localStorage. Tout script qui s'exécute sur la page peut lire le localStorage, y compris un script injecté. Un cookie HttpOnly ne peut pas du tout être lu par les scripts de la page.
Absence des indicateurs Secure et HttpOnly. Ces deux indicateurs ne coûtent presque rien et ferment des failles courantes.
Croire qu'un bandeau couvre tout. Un bandeau qui charge l'analyse avant que quiconque clique sur « Accepter » ne fait pas son travail.
Oublier la déconnexion. La déconnexion devrait supprimer le cookie et mettre fin à la session sur le serveur, pour qu'un cookie copié cesse de fonctionner.
« Si je n'utilise pas de cookies, les règles de confidentialité ne s'appliquent pas. » Des règles comme le RGPD couvrent les données personnelles où qu'elles soient stockées, y compris le stockage local, les empreintes d'appareil et les journaux de serveur.

Quoi demander à votre créateur d'IA

« Liste chaque cookie que l'application définit, à quoi il sert, combien de temps il dure et s'il est strictement nécessaire. »
« Utilise un cookie HttpOnly, Secure, SameSite=Lax pour la session de connexion. Ne mets pas de jetons d'authentification dans le localStorage. »
« Ne garde qu'un identifiant de session aléatoire dans le cookie; stocke les données de session sur le serveur. »
« À la déconnexion, efface le cookie et invalide la session sur le serveur. »
« Ne charge pas les scripts d'analyse ou de marketing avant que le visiteur ne les accepte, et mémorise son choix. »
« Ajoute une section simple sur les cookies à la politique de confidentialité, qui correspond à la liste ci-dessus. »

Pour la partie consentement, consultez comment ajouter un consentement aux cookies. Pour voir comment les cookies s'intègrent aux connexions, lisez ce qu'est l'authentification.

Les cookies dans Mythex

Mythex ne fournit pas de connexion intégrée pour les utilisateurs de votre application; les cookies que votre application définit proviennent donc de son propre code et des outils que vous y ajoutez, par exemple un cookie de session selon l'approche d'authentification que vous choisissez. Demandez à l'agent, dans le clavardage, de les lister, de resserrer leurs paramètres ou d'ajouter un bandeau de consentement, puis vérifiez le résultat dans l'aperçu en direct avant de publier. La recette de la documentation sur l'ajout d'une connexion à votre application est un bon point de départ, et la sécurité des applications que vous créez explique comment garder les clés et les secrets hors du navigateur.

Questions

Qu'est-ce qu'un cookie sur un site Web ?

Un cookie est un petit texte qu'un site demande à votre navigateur d'enregistrer. Le navigateur le renvoie avec chaque requête ultérieure vers ce site, ce qui permet au site de se souvenir de choses comme le fait que vous êtes connecté ou le contenu de votre panier.

Les cookies sont-ils dangereux ?

Les cookies sont de simples données, pas des programmes; ils ne peuvent donc pas exécuter de code ni infecter un ordinateur. Les préoccupations concernent la vie privée, lorsque des cookies tiers vous suivent d'un site à l'autre, et la sécurité, lorsqu'un cookie de connexion est volé et utilisé pour se faire passer pour vous.

Quelle est la différence entre les cookies internes et les cookies tiers ?

Un cookie interne est défini par le site affiché dans la barre d'adresse, comme un cookie de connexion. Un cookie tiers est défini par un autre domaine intégré à la page, comme un réseau publicitaire, et sert souvent à vous suivre sur de nombreux sites.

Ai-je besoin d'un bandeau de cookies ?

Cela dépend de l'endroit où se trouvent vos utilisateurs et des cookies que vous utilisez. Dans l'Union européenne et au Royaume-Uni, les cookies non essentiels, comme ceux d'analyse ou de publicité, exigent généralement un consentement préalable, tandis que les cookies strictement nécessaires au service, comme une session de connexion, n'en exigent habituellement pas. Vérifiez les règles qui s'appliquent à vous.

Quelle est la différence entre les cookies et le localStorage ?

Les deux stockent des données dans le navigateur. Les cookies sont envoyés automatiquement au serveur avec chaque requête, ce qui convient aux connexions. Le localStorage reste dans le navigateur et n'est lu que par le code de la page elle-même, ce qui convient aux préférences comme un thème.