Mik azok a cookie-k? Hogyan jegyeznek meg a weboldalak

A cookie egy kis szövegdarab, amelyet egy weboldal megkér a böngésződnek, hogy tároljon, majd minden későbbi látogatáskor visszaküldjön arra az oldalra. Így „emlékszik” rád a weboldal: hogy be vagy-e jelentkezve, mi van a kosaradban, melyik nyelvet választottad. A cookie-k csak adatok, nem programok, de mivel azonosíthatnak téged, fontosak a biztonság és az adatvédelem szempontjából is.

Miért fontos ez, amikor AI-val építesz

A cookie-k számos olyan funkció alatt húzódnak, amelyeket egy AI-építőtől kérni fogsz, gyakran anélkül, hogy a „cookie” szó egyáltalán szóba kerülne:

Bejelentkezés. A legtöbb webappban a „maradj bejelentkezve” egy munkamenet-cookie-t jelent. Az, hogyan van beállítva ez a cookie, eldönti, mennyire könnyű ellopni.
Kosarak és beállítások. Az oldal frissítésén átvészelő kosár gyakran cookie-ra vagy böngészőtárhelyre épül.
Analitika és hirdetések. Egy Google Analytics, Meta-pixel vagy chat-widget hozzáadása általában más cégek cookie-jait is beteszi.
Jogi tájékoztatók. Sok helyen bizonyos cookie-khoz a látogató előzetes hozzájárulása kell, innen származnak a cookie-bannerek.

Ha tudod, mely cookie-kat állítja be az appod, és miért, jobb döntéseket hozhatsz a biztonsági beállításokról, a hozzájárulásról és az adatvédelmi tájékoztatódról.

Hétköznapi hasonlat

Gondolj a ruhatári jegyre. Átadod a kabátodat, és kapsz egy számozott jegyet. A jegy nem tartalmazza a kabátodat, csak egy számot. Valahányszor visszamész a pulthoz, megmutatod a jegyet, és az ügyintéző tudja, melyik kabát a tiéd.

A munkamenet-cookie ugyanígy működik. Bejelentkezéskor a szerver a saját oldalán tartja az adataidat, és a böngésződnek ad egy jegyet – egy hosszú, véletlenszerű azonosítót. A böngésződ ezt a jegyet minden kéréssel megmutatja, a szerver pedig kikeresi, ki vagy. Aki lemásolja a jegyet, elviheti a kabátot, ezért kell védeni a bejelentkezési cookie-kat.

Meglátogatsz egy oldalt. A szerver válasza tartalmaz egy fejlécet, például Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
A böngésződ tárolja, az adott oldal domainjéhez kötve.
Minden későbbi kéréskor ugyanarra az oldalra a böngésző automatikusan hozzáadja a Cookie: session_id=8f3k... fejlécet.
A szerver beolvassa, és tudja, hogy te vagy.

Az oldal JavaScriptje is létrehozhat cookie-kat, de a legfontosabbakat – a bejelentkezési munkameneteket – a szervernek kell beállítania, és el kell rejteni a JavaScript elől.

Típus	Jelentése	Példa
Munkamenet-cookie	Nincs lejárati dátuma; a böngészőmunkamenet végén törlődik	Egy rövid életű fizetési lépés
Tartós cookie	Van lejárati dátuma (`Expires` vagy `Max-Age`), és túléli az újraindítást	„Emlékezz rám 30 napig”
Első féltől	Az oldal állítja be, amelyen éppen vagy	A bejelentkezésed azon az oldalon
Harmadik féltől	Az oldalba ágyazott másik domain állítja be	Egy hirdetési hálózat követési azonosítója
Szigorúan szükséges	A felhasználó által kért szolgáltatáshoz kell	Bejelentkezési munkamenet, bevásárlókosár
Nem elengedhetetlen	Az oldal tulajdonosának hasznos	Analitika, hirdetés, A/B-tesztelés

A böngészők fokozatosan korlátozták a harmadik féltől származó cookie-kat, mert ezekkel követik nyomon az embereket a weboldalak között. Több nagy böngésző ma már sok ilyet alapértelmezetten blokkol, és a részletek folyamatosan változnak, ezért ne építs semmi fontosat harmadik féltől származó cookie-kra.

Kidolgozott példa: egy kis online bolt

Tegyük fel, hogy kézzel készített gyertyákat árusító boltot építettél. Íme azok a cookie-k, amelyeket egy józan megvalósítás beállítana, és azok oka.

session – akkor állítódik be, amikor a tulaj vagy egy vásárló bejelentkezik. Csak egy véletlenszerű azonosítót tartalmaz; a valódi munkamenet-adatokat a szerver tárolja. Beállításai: HttpOnly (az oldal szkriptjei nem olvashatják), Secure (csak HTTPS felett küldi), SameSite=Lax (nem küldi a legtöbb más oldalról indított kérésnél). Szigorúan szükséges.

cart_id – lehetővé teszi, hogy a be nem jelentkezett látogató megtartsa a kosarát. Egy kosárra mutat, amely a adatbázisban van tárolva. Szigorúan szükséges, mert a látogató kérte, hogy dolgokat tegyen a kosarába.

theme – megjegyzi a sötét módot. Ez lehetne cookie is, de sosem kell eljutnia a szerverig, ezért a böngésző localStorage egyszerűbb.

Analitikai cookie-k – akkor kerülnek be, ha analitikai eszközt telepítesz. Ezek nem elengedhetetlenek. Az EU-ban és az Egyesült Királyságban általában hozzájárulás kell, mielőtt beállítanák őket, ezért az analitikai szkriptnek addig kell várnia, amíg a látogató rá nem kattint az „Elfogadom” gombra.

Figyeld meg, mit nem tárol a bolt cookie-kban: a vásárló nevét, címét vagy bankkártya-adatait. A cookie-k minden kéréssel utaznak, és a felhasználó eszközén élnek, ezért azonosítókat kell tartalmazniuk, nem személyes adatokat.

Gyakori kifejezések magyarázata

Kifejezés	Jelentése
Cookie	Egy kis név–érték pár, amelyet a böngésző tárol és visszaküld az oldalnak.
`Set-Cookie`	Az a válaszfejléc, amellyel a szerver cookie-t hoz létre vagy frissít.
Munkamenet	A bejelentkezett felhasználó szerveroldali nyilvántartása, cookie-azonosítóhoz kötve.
`HttpOnly`	Megakadályozza, hogy az oldal JavaScriptje olvassa a cookie-t, így korlátozza a beszúrt szkriptek kárát.
`Secure`	A cookie csak titkosított HTTPS-kapcsolaton keresztül küldhető.
`SameSite`	Szabályozza, hogy a cookie elküldésre kerüljön-e más oldalakról érkező kéréseknél (`Strict`, `Lax` vagy `None`).
`Expires` / `Max-Age`	Mikor kell törölni a cookie-t.
Domain / Path	Az oldal mely címei kapják meg a cookie-t.
localStorage	Böngésző-tárhely, amelyet az oldal kódja olvashat, de nem küldi automatikusan a szerverre.
XSS	Oldalak közötti szkriptelés: egy támadó szkriptje fut az oldalon, és adatot próbálhat lopni.
CSRF	Oldalak közötti kéréshamisítás: egy másik oldal rávesz a böngészőt, hogy a cookie-idat használva küldjön kérést.
Cookie-hozzájárulás	A látogatók engedélyének kérése, mielőtt nem elengedhetetlen cookie-kat állítanánk be.

Gyakori hibák és tévhitek

„A cookie-k vírusok.” Egyszerű szöveg. Nem tudnak kódot futtatni a számítógépeden.
Érzékeny adat tárolása cookie-ban. Tárolj véletlenszerű azonosítót, a részleteket pedig tartsd a szerveren.
Bejelentkezési tokenek a localStorage-ban. Az oldalon futó bármely szkript olvashatja a localStorage-ot, beleértve a beszúrt szkriptet is. Egy HttpOnly cookie-t az oldal szkriptjei egyáltalán nem tudnak olvasni.
Hiányzó Secure és HttpOnly. Ez a két jelölő olcsó, és gyakori réseket zár be.
Azt feltételezni, hogy a banner mindent lefed. Ha a banner úgy tölti be az analitikát, hogy valaki még az „Elfogadom” gombra kattintana, nem tölti be a szerepét.
A kijelentkezés elfelejtése. Kijelentkezéskor törölni kell a cookie-t és a szerveren meg kell szüntetni a munkamenetet, hogy a lemásolt cookie is érvénytelen legyen.
„Ha nem használok cookie-kat, az adatvédelmi szabályok nem vonatkoznak rám.” A GDPR szabályai a személyes adatokra vonatkoznak, bárhol tárolják: a helyi tárhelyen, az eszközujjlenyomatokon és a szerverlogokban is.

Mit kérj az AI-építődtől

„Sorold fel az összes cookie-t, amelyet az app beállít, mire való, meddig él, és hogy szigorúan szükséges-e.”
„A bejelentkezési munkamenethez HttpOnly, Secure, SameSite=Lax cookie-t használj. Ne tegyél hitelesítési tokeneket a localStorage-ba.”
„A cookie-ban csak véletlenszerű munkamenet-azonosító legyen; a munkamenet-adatokat a szerveren tárold.”
„Kijelentkezéskor töröld a cookie-t, és szüntesd meg a munkamenetet a szerveren.”
„Ne töltsd be az analitikai vagy marketingszkripteket, amíg a látogató el nem fogadja őket, és jegyezd meg a döntését.”
„Adj az adatvédelmi tájékoztatóhoz egy egyszerű cookie-részt, amely megegyezik a fenti listával.”

A hozzájárulás részéhez lásd: hogyan adj hozzá cookie-hozzájárulást. Ahhoz, hogyan illeszkednek a cookie-k a bejelentkezésekbe, olvasd el: mi a hitelesítés.

A Mythex nem ad beépített bejelentkezést az app felhasználóinak, ezért az appod által beállított cookie-k a saját kódjából és az általad hozzáadott eszközökből származnak – például egy munkamenet-cookie a választott hitelesítési megoldásból. Kérd a chatben az ügynöktől, hogy sorolja fel őket, szigorítsa a beállításaikat, vagy adjon hozzá cookie-bannert, majd a publikálás előtt ellenőrizd az eredményt az élő előnézetben. A dokumentáció bejelentkezés hozzáadása az appodhoz receptje jó kiindulópont, a biztonság a saját építésű appokhoz pedig azt mutatja, hogyan tartsd a kulcsokat és a titkokat a böngészőn kívül.

Kérdések

Mi az a cookie egy weboldalon?

A cookie egy kis szövegdarab, amelynek tárolására a weboldal megkéri a böngésződet. A böngésző minden későbbi kéréskor visszaküldi arra az oldalra, ami lehetővé teszi, hogy az oldal megjegyezze például, hogy be vagy-e jelentkezve, vagy mi van a kosaradban.

Veszélyesek a cookie-k?

A cookie-k csak adatok, nem programok, ezért nem tudnak kódot futtatni, és nem fertőzhetik meg a számítógépet. Az aggályok az adatvédelemmel kapcsolatosak, amikor a harmadik féltől származó cookie-k követnek több oldalon át, és a biztonsággal, amikor egy bejelentkezési cookie-t ellopnak, és valaki a nevedben jár el.

Mi a különbség az első és harmadik féltől származó cookie-k között?

Az első féltől származó cookie-t az oldal állítja be, amelyen éppen vagy, például a bejelentkezési cookie. A harmadik féltől származó cookie-t az oldalba ágyazott másik domain állítja be, például egy hirdetési hálózat, és gyakran arra használják, hogy sok oldalon át kövessen téged.

Szükségem van cookie-bannerre?

Attól függ, hol vannak a felhasználóid és milyen cookie-kat használsz. Az EU-ban és az Egyesült Királyságban a nem elengedhetetlen cookie-khoz, például analitikához vagy hirdetéshez, általában először hozzájárulás kell, míg a szolgáltatáshoz szigorúan szükséges cookie-k, például a bejelentkezési munkamenet, általában nem. Nézd meg, melyek a rád vonatkozó szabályok.

Mi a különbség a cookie-k és a localStorage között?

Mindkettő adatot tárol a böngészőben. A cookie-kat minden kéréssel automatikusan elküldi a szerver, ami a bejelentkezéseknek felel meg. A localStorage a böngészőben marad, és csak az oldal saját kódja olvassa, ami az olyan beállításokhoz illik, mint a téma.