Cos’è un cookie? Come i siti web ti riconoscono

Un cookie è un piccolo testo che un sito chiede al browser di memorizzare e poi di rimandare a ogni visita successiva. È il modo in cui un sito « ti ricorda »: che sei connesso, cosa c’è nel carrello, quale lingua hai scelto. I cookie sono solo dati, non programmi, ma poiché possono identificarti contano sia per la sicurezza sia per la privacy.

Perché conta quando costruisci con l’AI

I cookie stanno sotto a diverse funzioni che chiederai a un costruttore AI, spesso senza che la parola « cookie » compaia mai:

Accesso. Nella maggior parte delle app web, « rimani connesso » significa un cookie di sessione. Come è configurato quel cookie decide quanto è facile rubarlo.
Carrelli e preferenze. Un carrello che sopravvive a un aggiornamento della pagina spesso si basa su un cookie o sull’archiviazione del browser.
Analisi e pubblicità. Aggiungere Google Analytics, un pixel di Meta o un widget di chat di solito aggiunge cookie di altre aziende.
Avvisi legali. In molti luoghi alcuni cookie richiedono prima il consenso del visitatore, ed è da qui che nascono i banner dei cookie.

Se sai quali cookie imposta la tua app e perché, puoi fare scelte migliori su impostazioni di sicurezza, consenso e informativa sulla privacy.

Un’analogia quotidiana

Pensa al ticket del guardaroba. Consegni il cappotto e ricevi un tagliando numerato. Il tagliando non contiene il cappotto, solo un numero. Ogni volta che torni al banco mostri il tagliando, e il custode sa quale cappotto è il tuo.

Un cookie di sessione funziona allo stesso modo. Quando accedi, il server conserva i tuoi dati dalla sua parte e dà al tuo browser un tagliando — un lungo ID casuale. Il browser mostra quel tagliando a ogni richiesta, e il server cerca chi sei. Chiunque copi il tagliando può ritirare il cappotto, ed è per questo che i cookie di accesso vanno protetti.

Visiti un sito. La risposta del server include un’intestazione come Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Il browser la memorizza, legata al dominio di quel sito.
Ad ogni richiesta successiva allo stesso sito, il browser aggiunge automaticamente Cookie: session_id=8f3k....
Il server la legge e sa che sei tu.

Il JavaScript della pagina può anche creare cookie, ma quelli più importanti — le sessioni di accesso — dovrebbero essere impostati dal server e nascosti al JavaScript.

Tipo	Cosa significa	Esempio
Cookie di sessione	Nessuna data di scadenza; eliminato alla chiusura del browser	Un passaggio di checkout di breve durata
Cookie persistente	Ha una data di scadenza (`Expires` o `Max-Age`) e sopravvive ai riavvii	« Ricordami per 30 giorni »
Di prima parte	Impostato dal sito nella barra degli indirizzi	Il tuo accesso su quel sito
Di terza parte	Impostato da un altro dominio incorporato nella pagina	L’ID di tracciamento di una rete pubblicitaria
Strettamente necessari	Richiesti per un servizio chiesto dall’utente	Sessione di accesso, carrello
Non essenziali	Utili per il titolare del sito	Analisi, pubblicità, test A/B

I browser hanno progressivamente limitato i cookie di terza parte, perché servono a tracciare le persone da un sito all’altro. Diversi browser principali ora ne bloccano molti per impostazione predefinita, e i dettagli continuano a cambiare, quindi non costruire nulla di importante sui cookie di terza parte.

Un esempio concreto: un piccolo negozio online

Supponi di aver costruito un negozio che vende candele artigianali. Ecco i cookie che una versione sensata imposterebbe, e perché.

session — impostato quando il titolare o un cliente accede. Contiene solo un ID casuale; il server conserva i veri dati di sessione. Impostazioni: HttpOnly (gli script della pagina non possono leggerlo), Secure (inviato solo tramite HTTPS), SameSite=Lax (non inviato sulla maggior parte delle richieste avviate da altri siti). Strettamente necessario.

cart_id — permette a un visitatore non connesso di conservare il carrello. Punta a un carrello salvato nel database. Strettamente necessario, perché il visitatore ha chiesto di aggiungere articoli al carrello.

theme — ricorda la modalità scura. Potrebbe essere un cookie, ma non ha mai bisogno di raggiungere il server, quindi il localStorage del browser è più semplice.

Cookie di analisi — aggiunti se installi uno strumento di analisi. Sono non essenziali. Nell’UE e nel Regno Unito di solito richiedono il consenso prima di essere impostati, quindi lo script di analisi dovrebbe attendere che il visitatore clicchi « Accetta ».

Nota cosa il negozio non memorizza nei cookie: nome, indirizzo o dati della carta del cliente. I cookie viaggiano con ogni richiesta e restano sul dispositivo dell’utente, quindi dovrebbero contenere ID, non dati personali.

Termini comuni spiegati

Termine	Cosa significa
Cookie	Una piccola coppia nome-valore che il browser memorizza e rimanda al sito.
`Set-Cookie`	L’intestazione di risposta con cui un server crea o aggiorna un cookie.
Sessione	La registrazione lato server di un utente connesso, collegata a un ID cookie.
`HttpOnly`	Impedisce al JavaScript della pagina di leggere il cookie, il che limita i danni da script iniettati.
`Secure`	Il cookie viene inviato solo su connessioni HTTPS cifrate.
`SameSite`	Controlla se il cookie viene inviato alle richieste provenienti da altri siti (`Strict`, `Lax` o `None`).
`Expires` / `Max-Age`	Quando il cookie deve essere eliminato.
Domain / Path	Quali indirizzi del sito ricevono il cookie.
localStorage	Archiviazione del browser che il codice della pagina può leggere, ma che non viene inviata automaticamente al server.
XSS	Cross-site scripting: uno script dell’attaccante eseguito nella tua pagina, che può tentare di rubare dati.
CSRF	Cross-site request forgery: un altro sito che inganna il browser inducendolo a inviare una richiesta con i tuoi cookie.
Consenso ai cookie	Chiedere il permesso ai visitatori prima di impostare cookie non essenziali.

Errori comuni e idee sbagliate

« I cookie sono virus ». Sono testo semplice. Non possono eseguire codice sul tuo computer.
Mettere dati sensibili nei cookie. Memorizza un ID casuale e tieni i dettagli sul server.
Token di accesso nel localStorage. Qualsiasi script in esecuzione sulla pagina può leggere il localStorage, anche uno iniettato. Un cookie HttpOnly non può essere letto affatto dagli script della pagina.
Mancanza dei flag Secure e HttpOnly. Questi due flag costano poco e chiudono falle comuni.
Credere che un banner copra tutto. Un banner che carica l’analisi prima che qualcuno clicchi « Accetta » non fa il suo lavoro.
Dimenticare il logout. Il logout dovrebbe eliminare il cookie e chiudere la sessione sul server, così un cookie copiato smette di funzionare.
« Se non uso cookie, le regole sulla privacy non si applicano ». Regole come il GDPR coprono i dati personali ovunque siano memorizzati — localStorage, impronte del dispositivo e log del server inclusi.

Cosa chiedere al tuo costruttore AI

« Elenca ogni cookie che imposta l’app, a cosa serve, quanto dura e se è strettamente necessario. »
« Usa per la sessione di accesso un cookie HttpOnly, Secure, SameSite=Lax. Non mettere token di autenticazione nel localStorage. »
« Metti nel cookie solo un ID di sessione casuale; conserva i dati di sessione sul server. »
« Al logout, cancella il cookie e invalida la sessione sul server. »
« Non caricare script di analisi o di marketing finché il visitatore non li accetta, e ricorda la sua scelta. »
« Aggiungi all’informativa sulla privacy una semplice sezione sui cookie che corrisponda all’elenco qui sopra. »

Per la parte del consenso, vedi come aggiungere il consenso ai cookie. Per capire come i cookie si integrano negli accessi, leggi cos’è l’autenticazione.

Mythex non fornisce un accesso integrato per gli utenti della tua app, quindi i cookie che la tua app imposta provengono dal suo codice e dagli strumenti che aggiungi — per esempio, un cookie di sessione dall’approccio di autenticazione che scegli. Chiedi all’agente in chat di elencarli, di rendere più stringenti le loro impostazioni o di aggiungere un banner per il consenso, e verifica il risultato nell’anteprima dal vivo prima di pubblicare. La ricetta della documentazione su come aggiungere l’accesso alla tua app è un buon prompt di partenza, e sicurezza per le app che costruisci spiega come tenere chiavi e segreti fuori dal browser.

Domande

Cos’è un cookie di un sito web?

Un cookie è un piccolo testo che un sito chiede al browser di memorizzare. Il browser lo rimanda con ogni richiesta successiva a quel sito, e così il sito può ricordare cose come se sei connesso o cosa c’è nel tuo carrello.

I cookie sono pericolosi?

I cookie sono solo dati, non programmi, quindi non possono eseguire codice né infettare un computer. Le preoccupazioni riguardano la privacy, quando i cookie di terze parti ti seguono da un sito all’altro, e la sicurezza, quando un cookie di accesso viene rubato e usato per impersonarti.

Qual è la differenza tra cookie di prima e di terza parte?

Un cookie di prima parte è impostato dal sito che appare nella barra degli indirizzi, come un cookie di accesso. Un cookie di terza parte è impostato da un altro dominio incorporato nella pagina, come una rete pubblicitaria, e spesso serve per seguirti su molti siti.

Ho bisogno di un banner per i cookie?

Dipende da dove si trovano i tuoi utenti e da quali cookie usi. Nell’UE e nel Regno Unito, i cookie non essenziali come quelli di analisi o pubblicità richiedono in genere il consenso preventivo, mentre i cookie strettamente necessari al servizio, come una sessione di accesso, di solito no. Verifica le regole che si applicano a te.

Qual è la differenza tra cookie e localStorage?

Entrambi memorizzano dati nel browser. I cookie vengono inviati automaticamente al server con ogni richiesta, il che è adatto agli accessi. Il localStorage resta nel browser ed è letto solo dal codice della pagina, il che è adatto alle preferenze come il tema.