Hvað eru vafrakökur? Hvernig vefsíður muna eftir þér

Vafraka er lítill textabútur sem vefsíða biður vafrann þinn um að geyma og senda svo til baka í hverri síðari heimsókn á þá síðu. Þannig „man“ vefsíða eftir þér — að þú ert innskráð(ur), hvað er í körfunni þinni, hvaða tungumál þú valdir. Vafrakökur eru bara gögn, ekki forrit, en vegna þess að þær geta auðkennt þig skipta þær máli bæði fyrir öryggi og friðhelgi.

Af hverju þetta skiptir máli þegar þú byggir með gervigreind

Vafrakökur liggja undir nokkrum eiginleikum sem þú biður gervigreindarsmið um, oft án þess að orðið „vafraka“ komi nokkurn tímann upp:

• Innskráning. Í flestum vefforritum þýðir „vertu innskráð(ur)“ setukaka. Hvernig hún er stillt ræður hversu auðvelt er að stela henni.
• Körfur og stillingar. Karfa sem lifir af endurhleðslu síðu byggir oft á vafraköku eða geymslu vafrans.
• Greining og auglýsingar. Að bæta við Google Analytics, Meta-pixli eða spjallgræju bætir yfirleitt við vafrakökum frá öðrum fyrirtækjum.
• Lagatilkynningar. Á mörgum stöðum þurfa sumar vafrakökur samþykki gestsins fyrst, og þaðan koma borðar um vafrakökur.

Ef þú veist hvaða vafrakökur appið þitt setur og hvers vegna, geturðu tekið betri ákvarðanir um öryggisstillingar, samþykki og persónuverndarstefnu þína.

Hversdagslíking

Hugsaðu þér fatamiða í fatahengi. Þú afhendir yfirhöfnina og færð númeraðan miða. Miðinn inniheldur ekki yfirhöfnina — bara númer. Í hvert skipti sem þú kemur aftur að borðinu sýnir þú miðann og starfsmaðurinn veit hvaða yfirhöfn er þín.

Setukaka virkar eins. Þegar þú skráir þig inn geymir þjónninn upplýsingarnar þínar hjá sér og gefur vafranum þínum miða — langt, handahófskennt auðkenni. Vafrinn sýnir þann miða í hverri beiðni og þjónninn flettir upp hver þú ert. Sá sem afritar miðann getur sótt yfirhöfnina, þess vegna þarf að vernda innskráningarkökur.

Hvernig vafraka virkar í raun

1. Þú heimsækir síðu. Svar þjónsins inniheldur haus eins og Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
2. Vafrinn geymir hana, tengda léni þeirrar síðu.
3. Í hverri síðari beiðni á sömu síðu bætir vafrinn sjálfkrafa við Cookie: session_id=8f3k....
4. Þjónninn les hana og veit að þetta ert þú.

JavaScript síðunnar getur líka búið til vafrakökur, en mikilvægustu kökurnar — innskráningarsetur — ættu að vera settar af þjóninum og faldar fyrir JavaScript.

Gerðir vafrakaka

Vafrar hafa smám saman takmarkað vafrakökur frá þriðja aðila, því þær eru notaðar til að rekja fólk milli vefsíðna. Nokkrir helstu vafrar loka nú mörgum þeirra sjálfgefið, og smáatriðin breytast stöðugt, svo byggðu ekkert mikilvægt á vafrakökum frá þriðja aðila.

Dæmi: lítil netverslun

Segjum að þú hafir smíðað verslun sem selur handgerð kerti. Hér eru vafrakökurnar sem skynsamleg útgáfa myndi setja, og af hverju.

session — sett þegar eigandinn eða viðskiptavinur skráir sig inn. Hún heldur aðeins handahófskenndu auðkenni; þjónninn geymir raunveruleg setugögnin. Stillingar: HttpOnly (JavaScript síðunnar getur ekki lesið hana), Secure (aðeins send yfir HTTPS), SameSite=Lax (ekki send í flestum beiðnum sem aðrar síður hefja). Algjörlega nauðsynleg.

cart_id — gerir gesti sem er ekki innskráður kleift að halda körfunni sinni. Hún vísar í körfu sem er vistuð í gagnagrunninum. Algjörlega nauðsynleg, því gesturinn bað um að bæta hlutum í körfu.

theme — man eftir dökkri stillingu. Þetta gæti verið vafraka, en hún þarf aldrei að ná til þjónsins, svo localStorage í vafranum er einfaldara.

Greiningarkökur — bætast við ef þú setur upp greiningartól. Þær eru ekki nauðsynlegar. Í ESB og Bretlandi þurfa þær yfirleitt samþykki áður en þær eru settar, svo greiningarhandritið ætti að bíða þar til gesturinn smellir á „Samþykkja“.

Taktu eftir hvað verslunin geymir ekki í vafrakökum: nafn viðskiptavinarins, heimilisfang eða kortaupplýsingar. Vafrakökur ferðast með hverri beiðni og lifa í tæki notandans, svo þær ættu að geyma auðkenni, ekki persónuupplýsingar.

Algeng hugtök útskýrð

Algeng mistök og misskilningur

• „Vafrakökur eru vírusar.“ Þær eru venjulegur texti. Þær geta ekki keyrt kóða í tölvunni þinni.
• Að setja viðkvæm gögn í vafrakökur. Geymdu handahófskennt auðkenni og geymdu upplýsingarnar á þjóninum.
• Innskráningarlyklar í localStorage. Sérhvert handrit sem keyrir á síðunni getur lesið localStorage, þar með talið innsprautað handrit. Vafraka með HttpOnly er alls ekki hægt að lesa með handritum síðunnar.
• Vantar Secure og HttpOnly. Þessi tvö merki eru ódýr og loka algengum götum.
• Að gera ráð fyrir að borði nái yfir allt. Borði sem hleður greiningu áður en nokkur smellir á „Samþykkja“ gegnir ekki hlutverki sínu.
• Að gleyma útskráningu. Útskráning ætti að eyða vafrakökunni og ljúka setunni á þjóninum, svo afrituð vafraka hætti að virka.
• „Ef ég nota ekki vafrakökur gilda persónuverndarreglur ekki.“ Reglur eins og GDPR ná yfir persónuupplýsingar hvar sem þær eru geymdar — þar með talið localStorage, auðkenni tækja og netþjónaskrár.

Hvað þú ættir að biðja gervigreindarsmiðinn þinn um

• „Listaðu hverja vafraköku sem appið setur, til hvers hún er, hversu lengi hún gildir og hvort hún sé algjörlega nauðsynleg.“
• „Notaðu HttpOnly, Secure, SameSite=Lax vafrakökur fyrir innskráningarsetuna. Ekki setja auðkenningarlykla í localStorage.“
• „Geymdu aðeins handahófskennt setuauðkenni í vafrakökunni; geymdu gögn setunnar á þjóninum.“
• „Við útskráningu skaltu hreinsa vafrakökuna og ógilda setuna á þjóninum.“
• „Ekki hlaða greiningar- eða markaðshandritum fyrr en gesturinn samþykkir þau, og mundu val hans.“
• „Bættu einföldum kafla um vafrakökur við persónuverndarstefnuna sem samsvarar listanum hér að ofan.“

Fyrir samþykkishlutann, sjáðu hvernig á að bæta við samþykki fyrir vafrakökur. Til að sjá hvernig vafrakökur passa við innskráningar, lestu hvað auðkenning er.

Vafrakökur í Mythex

Mythex býður ekki upp á innbyggða innskráningu fyrir notendur appsins þíns, svo vafrakökurnar sem appið setur koma úr eigin kóða þess og verkfærunum sem þú bætir við það — til dæmis setukaka frá auðkenningaraðferðinni sem þú velur. Biddu gervigreindarkerfið í spjallinu um að lista þær, herða stillingarnar þeirra eða bæta við samþykkisborða, og athugaðu niðurstöðuna í lifandi forskoðun áður en þú birtir. Leiðarvísirinn í skjölunum um að bæta innskráningu við appið þitt er góð upphafsbeiðni, og öryggi fyrir öpp sem þú byggir fjallar um að halda lyklum og leyndarmálum úr vafranum.

Spurningar