Qu'est-ce qu'un cookie ? Comment les sites web se souviennent de vous
Un cookie est un petit fragment de texte qu'un site demande à votre navigateur de stocker, puis de renvoyer à chaque visite ultérieure sur ce site. C'est ainsi qu'un site web vous « reconnaît » : vous êtes connecté, il sait ce qu'il y a dans votre panier, quelle langue vous avez choisie. Les cookies sont de simples données, pas des programmes, mais comme ils peuvent vous identifier, ils comptent à la fois pour la sécurité et pour la vie privée.
Pourquoi cela compte lorsque vous construisez avec l'IA
Les cookies se cachent sous plusieurs fonctions que vous demanderez à un créateur IA, souvent sans que le mot « cookie » n'apparaisse :
- Connexion. Dans la plupart des applications web, « rester connecté » signifie un cookie de session. La manière dont ce cookie est configuré détermine la facilité avec laquelle il peut être volé.
- Paniers et préférences. Un panier qui survit à l'actualisation de la page repose souvent sur un cookie ou sur le stockage du navigateur.
- Analyse et publicité. Ajouter Google Analytics, un pixel Meta ou un widget de chat ajoute en général des cookies d'autres entreprises.
- Mentions légales. Dans de nombreux endroits, certains cookies nécessitent le consentement du visiteur avant d'être déposés, c'est d'où viennent les bannières de cookies.
Si vous savez quels cookies votre application dépose et pourquoi, vous pouvez mieux choisir les réglages de sécurité, le consentement et votre politique de confidentialité.
Une analogie du quotidien
Pensez au ticket du vestiaire. Vous remettez votre manteau et recevez un ticket numéroté. Le ticket ne contient pas votre manteau, seulement un numéro. Chaque fois que vous revenez au comptoir, vous montrez le ticket, et l'employé sait quel manteau est le vôtre.
Un cookie de session fonctionne de la même façon. Lorsque vous vous connectez, le serveur garde vos informations de son côté et donne à votre navigateur un ticket : un long identifiant aléatoire. Votre navigateur présente ce ticket à chaque requête, et le serveur retrouve qui vous êtes. Quiconque copie le ticket peut récupérer le manteau, c'est pourquoi les cookies de connexion doivent être protégés.
Comment fonctionne concrètement un cookie
- Vous visitez un site. La réponse du serveur comprend un en-tête comme
Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax. - Votre navigateur le stocke, rattaché au domaine de ce site.
- À chaque requête ultérieure vers le même site, le navigateur ajoute automatiquement
Cookie: session_id=8f3k.... - Le serveur le lit et sait que c'est vous.
Le JavaScript de la page peut aussi créer des cookies, mais les plus importants, comme les sessions de connexion, doivent être déposés par le serveur et masqués au JavaScript.
Les types de cookies
| Type | Ce que cela signifie | Exemple |
|---|---|---|
| Cookie de session | Pas de date d'expiration ; supprimé à la fin de la session du navigateur | Une étape de paiement de courte durée |
| Cookie persistant | A une date d'expiration (Expires ou Max-Age) et survit aux redémarrages | « Se souvenir de moi pendant 30 jours » |
| Interne (first-party) | Déposé par le site affiché dans la barre d'adresse | Votre connexion à ce site |
| Tiers (third-party) | Déposé par un autre domaine intégré à la page | Identifiant de suivi d'un réseau publicitaire |
| Strictement nécessaire | Requis pour un service demandé par l'utilisateur | Session de connexion, panier d'achat |
| Non essentiel | Utile pour le propriétaire du site | Analyse, publicité, tests A/B |
Les navigateurs restreignent progressivement les cookies tiers, parce qu'ils servent à suivre les personnes d'un site web à l'autre. Plusieurs grands navigateurs les bloquent désormais par défaut dans de nombreux cas, et les détails continuent d'évoluer : ne bâtissez donc rien d'important sur des cookies tiers.
Un exemple concret : une petite boutique en ligne
Imaginons que vous ayez construit une boutique qui vend des bougies artisanales. Voici les cookies qu'une version raisonnable déposerait, et pourquoi.
session : déposé lorsque le propriétaire ou un client se connecte. Il ne contient qu'un identifiant aléatoire ; le serveur conserve les vraies données de session. Réglages : HttpOnly (les scripts de la page ne peuvent pas le lire), Secure (envoyé uniquement via HTTPS), SameSite=Lax (non envoyé lors de la plupart des requêtes lancées par d'autres sites). Strictement nécessaire.
cart_id : permet à un visiteur non connecté de conserver son panier. Il renvoie vers un panier enregistré dans la base de données. Strictement nécessaire, car le visiteur a demandé à ajouter des articles au panier.
theme : retient le mode sombre. Cela pourrait être un cookie, mais il n'a jamais besoin d'atteindre le serveur, donc le localStorage du navigateur est plus simple.
Cookies d'analyse : ajoutés si vous installez un outil d'analyse. Ils sont non essentiels. Dans l'UE et au Royaume-Uni, ils nécessitent en général un consentement avant d'être déposés, donc le script d'analyse doit attendre que le visiteur clique sur « Accepter ».
Remarquez ce que la boutique ne stocke pas dans des cookies : le nom, l'adresse ou les coordonnées bancaires du client. Les cookies voyagent avec chaque requête et restent sur l'appareil de l'utilisateur ; ils ne doivent donc contenir que des identifiants, pas des données personnelles.
Termes courants expliqués
| Terme | Ce que cela signifie |
|---|---|
| Cookie | Une paire nom-valeur que le navigateur stocke et renvoie au site. |
Set-Cookie | L'en-tête de réponse qu'un serveur utilise pour créer ou mettre à jour un cookie. |
| Session | L'enregistrement, côté serveur, d'un utilisateur connecté, rattaché à un identifiant de cookie. |
HttpOnly | Empêche le JavaScript de la page de lire le cookie, ce qui limite les dégâts causés par des scripts injectés. |
Secure | Le cookie n'est envoyé que sur des connexions HTTPS chiffrées. |
SameSite | Contrôle si le cookie est envoyé lors de requêtes provenant d'autres sites (Strict, Lax ou None). |
Expires / Max-Age | Moment auquel le cookie doit être supprimé. |
| Domaine / Chemin | Quelles adresses du site reçoivent le cookie. |
| localStorage | Stockage du navigateur que le code de la page peut lire, mais qui n'est pas envoyé automatiquement au serveur. |
| XSS | Cross-site scripting : un script de l'attaquant qui s'exécute dans votre page et peut tenter de voler des données. |
| CSRF | Cross-site request forgery : un autre site qui amène le navigateur à envoyer une requête avec vos cookies. |
| Consentement aux cookies | Demander l'autorisation des visiteurs avant de déposer des cookies non essentiels. |
Erreurs courantes et idées reçues
- « Les cookies sont des virus. » Ce sont des textes simples. Ils ne peuvent pas exécuter de code sur votre ordinateur.
- Mettre des données sensibles dans des cookies. Stockez un identifiant aléatoire et gardez les détails sur le serveur.
- Des jetons de connexion dans le localStorage. Tout script qui s'exécute sur la page peut lire le localStorage, y compris un script injecté. Un cookie
HttpOnlyne peut pas du tout être lu par les scripts de la page. - Oublier
SecureetHttpOnly. Ces deux drapeaux ne coûtent presque rien et ferment des failles courantes. - Croire qu'une bannière couvre tout. Une bannière qui charge l'analyse avant que quiconque ne clique sur « Accepter » ne remplit pas son rôle.
- Oublier la déconnexion. Se déconnecter doit supprimer le cookie et mettre fin à la session côté serveur, afin qu'un cookie copié cesse de fonctionner.
- « Si je n'utilise pas de cookies, les règles de confidentialité ne s'appliquent pas. » Des règles comme le RGPD couvrent les données personnelles où qu'elles soient stockées : stockage local, empreintes d'appareil et journaux serveur compris.
Ce qu'il faut demander à votre créateur IA
- « Liste chaque cookie que l'application dépose, à quoi il sert, combien de temps il dure et s'il est strictement nécessaire. »
- « Utilise un cookie
HttpOnly,Secure,SameSite=Laxpour la session de connexion. Ne mets pas de jetons d'authentification dans le localStorage. » - « Ne garde qu'un identifiant de session aléatoire dans le cookie ; stocke les données de session sur le serveur. »
- « À la déconnexion, supprime le cookie et invalide la session côté serveur. »
- « Ne charge pas les scripts d'analyse ou de marketing tant que le visiteur ne les a pas acceptés, et retiens son choix. »
- « Ajoute une section simple sur les cookies à la politique de confidentialité, conforme à la liste ci-dessus. »
Pour la partie consentement, voyez comment ajouter le consentement aux cookies. Pour comprendre le rôle des cookies dans les connexions, lisez ce qu'est l'authentification.
Les cookies dans Mythex
Mythex ne fournit pas de connexion intégrée pour les utilisateurs de votre application ; les cookies que votre application dépose proviennent donc de son propre code et des outils que vous y ajoutez, par exemple un cookie de session issu de la méthode d'authentification que vous choisissez. Demandez à l'agent, dans le chat, de les lister, de renforcer leurs réglages ou d'ajouter une bannière de consentement, puis vérifiez le résultat dans l'aperçu en direct avant de publier. La recette de la documentation sur l'ajout d'une connexion à votre application est un bon point de départ, et la sécurité des applications que vous construisez explique comment garder les clés et les secrets hors du navigateur.
Questions
Qu'est-ce qu'un cookie sur un site web ?
Un cookie est un petit fragment de texte qu'un site demande à votre navigateur de stocker. Le navigateur le renvoie à chaque requête ultérieure vers ce site, ce qui permet au site de se souvenir de choses comme le fait que vous êtes connecté ou le contenu de votre panier.
Les cookies sont-ils dangereux ?
Les cookies sont de simples données, pas des programmes : ils ne peuvent ni exécuter de code ni infecter un ordinateur. Les problèmes concernent la vie privée, lorsque des cookies tiers vous suivent d'un site à l'autre, et la sécurité, lorsqu'un cookie de connexion est volé et utilisé pour se faire passer pour vous.
Quelle est la différence entre les cookies internes et les cookies tiers ?
Un cookie interne (ou « first-party ») est déposé par le site affiché dans la barre d'adresse, comme un cookie de connexion. Un cookie tiers est déposé par un autre domaine intégré à la page, comme un réseau publicitaire, et sert souvent à vous suivre sur de nombreux sites.
Ai-je besoin d'une bannière de cookies ?
Cela dépend de l'endroit où se trouvent vos utilisateurs et des cookies que vous utilisez. Dans l'UE et au Royaume-Uni, les cookies non essentiels, comme ceux d'analyse ou de publicité, nécessitent en général un consentement préalable, tandis que les cookies strictement nécessaires au service, comme une session de connexion, n'en nécessitent généralement pas. Vérifiez les règles qui s'appliquent à vous.
Quelle est la différence entre les cookies et le localStorage ?
Les deux stockent des données dans le navigateur. Les cookies sont envoyés automatiquement au serveur à chaque requête, ce qui convient aux connexions. Le localStorage reste dans le navigateur et n'est lu que par le code de la page, ce qui convient aux préférences comme un thème.