O que são cookies? Como os sites lembram de você

Um cookie é um pequeno texto que um site pede ao seu navegador para guardar e depois enviar de volta em cada visita posterior àquele site. É assim que um site “lembra” de você — que você está logado, o que há no carrinho, qual idioma escolheu. Cookies são apenas dados, não programas, mas como podem identificar você, importam tanto para a segurança quanto para a privacidade.

Por que isso importa ao criar com IA

Cookies estão por baixo de vários recursos que você vai pedir a um construtor com IA, muitas vezes sem que a palavra “cookie” apareça:

Login. Na maioria dos apps web, “continuar conectado” significa um cookie de sessão. Como esse cookie é configurado define o quão fácil ele é de roubar.
Carrinhos e preferências. Um carrinho que sobrevive a um recarregamento da página muitas vezes depende de um cookie ou do armazenamento do navegador.
Análise e anúncios. Adicionar o Google Analytics, o pixel da Meta ou um widget de chat geralmente adiciona cookies de outras empresas.
Avisos legais. Em muitos lugares, alguns cookies precisam do consentimento do visitante antes, e é daí que vêm os banners de cookies.

Se você sabe quais cookies seu app define e por quê, consegue fazer escolhas melhores sobre configurações de segurança, consentimento e sua política de privacidade.

Uma analogia do dia a dia

Pense no ticket do guarda-volumes. Você entrega seu casaco e recebe um ticket numerado. O ticket não contém o casaco — só um número. Toda vez que volta ao balcão, você mostra o ticket, e o atendente sabe qual casaco é seu.

Um cookie de sessão funciona do mesmo jeito. Quando você faz login, o servidor guarda seus dados do lado dele e dá ao seu navegador um ticket — um ID aleatório e longo. O navegador mostra esse ticket em cada requisição, e o servidor procura quem você é. Quem copiar o ticket pode pegar o casaco, por isso cookies de login precisam de proteção.

Você visita um site. A resposta do servidor inclui um cabeçalho como Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Seu navegador o guarda, vinculado ao domínio desse site.
Em cada requisição posterior ao mesmo site, o navegador adiciona automaticamente Cookie: session_id=8f3k....
O servidor lê o cookie e sabe que é você.

O JavaScript da página também pode criar cookies, mas os mais importantes — as sessões de login — devem ser definidos pelo servidor e ocultados do JavaScript.

Tipos de cookies

Tipo	O que significa	Exemplo
Cookie de sessão	Sem data de expiração; é apagado quando a sessão do navegador termina	Uma etapa curta de checkout
Cookie persistente	Tem data de expiração (`Expires` ou `Max-Age`) e sobrevive a reinícios	“Lembrar de mim por 30 dias”
Primeira parte	Definido pelo site que aparece na barra de endereços	Seu login naquele site
Terceira parte	Definido por outro domínio incorporado na página	O ID de rastreamento de uma rede de anúncios
Estritamente necessário	Necessário para um serviço que o usuário pediu	Sessão de login, carrinho de compras
Não essencial	Útil para o dono do site, mas não necessário	Análise, publicidade, testes A/B

Os navegadores vêm restringindo cookies de terceira parte porque eles são usados para rastrear pessoas entre sites. Vários dos principais navegadores agora bloqueiam muitos deles por padrão, e os detalhes mudam o tempo todo, então não construa nada importante sobre cookies de terceira parte.

Um exemplo prático: uma pequena loja online

Digamos que você criou uma loja que vende velas artesanais. Estes são os cookies que uma versão sensata definiria, e por quê.

session — definido quando o dono ou um cliente faz login. Guarda apenas um ID aleatório; o servidor guarda os dados reais da sessão. Configurações: HttpOnly (scripts da página não conseguem lê-lo), Secure (enviado apenas por HTTPS), SameSite=Lax (não enviado na maioria das requisições iniciadas por outros sites). Estritamente necessário.

cart_id — permite que um visitante sem login mantenha a cesta. Ele aponta para um carrinho salvo no banco de dados. Estritamente necessário, porque o visitante pediu para adicionar itens ao carrinho.

theme — lembra o modo escuro. Poderia ser um cookie, mas nunca precisa chegar ao servidor, então o localStorage do navegador é mais simples.

Cookies de análise — adicionados se você instalar uma ferramenta de análise. São não essenciais. Na UE e no Reino Unido, geralmente exigem consentimento antes de serem definidos, então o script de análise deve esperar até o visitante clicar em “Aceitar”.

Repare no que a loja não guarda em cookies: nome, endereço ou dados de cartão do cliente. Cookies viajam em cada requisição e ficam no dispositivo do usuário, então devem conter IDs, não dados pessoais.

Termos comuns explicados

Termo	O que significa
Cookie	Um par pequeno de nome e valor que o navegador guarda e envia de volta ao site.
`Set-Cookie`	O cabeçalho de resposta que um servidor usa para criar ou atualizar um cookie.
Sessão	O registro do servidor de um usuário logado, vinculado a um ID de cookie.
`HttpOnly`	Impede que o JavaScript da página leia o cookie, o que limita os danos de scripts injetados.
`Secure`	O cookie só é enviado por conexões HTTPS criptografadas.
`SameSite`	Controla se o cookie é enviado em requisições vindas de outros sites (`Strict`, `Lax` ou `None`).
`Expires` / `Max-Age`	Quando o cookie deve ser apagado.
Domain / Path	Quais endereços do site recebem o cookie.
localStorage	Armazenamento do navegador que o código da página pode ler, mas que não é enviado automaticamente ao servidor.
XSS	Cross-site scripting: um script do atacante rodando na sua página, que pode tentar roubar dados.
CSRF	Cross-site request forgery: outro site enganando o navegador para enviar uma requisição com os seus cookies.
Consentimento de cookies	Pedir permissão aos visitantes antes de definir cookies não essenciais.

Erros comuns e ideias equivocadas

“Cookies são vírus.” São texto simples. Não conseguem executar código no seu computador.
Colocar dados sensíveis em cookies. Guarde um ID aleatório e mantenha os detalhes no servidor.
Tokens de login no localStorage. Qualquer script rodando na página pode ler o localStorage, inclusive um injetado. Um cookie HttpOnly não pode ser lido por scripts da página de jeito nenhum.
Faltar Secure e HttpOnly. Essas duas flags são baratas e fecham brechas comuns.
Achar que um aviso cobre tudo. Um aviso que carrega a análise antes de alguém clicar em “Aceitar” não faz o seu trabalho.
Esquecer o logout. Sair deve apagar o cookie e encerrar a sessão no servidor, para que um cookie copiado deixe de funcionar.
“Se eu não uso cookies, as regras de privacidade não se aplicam.” Regras como o GDPR cobrem dados pessoais onde quer que estejam guardados — armazenamento local, impressões digitais de dispositivo e logs do servidor inclusos.

O que pedir ao seu construtor com IA

“Liste cada cookie que o app define, para que serve, quanto tempo dura e se é estritamente necessário.”
“Use um cookie HttpOnly, Secure, SameSite=Lax para a sessão de login. Não coloque tokens de autenticação no localStorage.”
“Guarde no cookie apenas um ID de sessão aleatório; guarde os dados da sessão no servidor.”
“No logout, apague o cookie e invalide a sessão no servidor.”
“Não carregue scripts de análise ou marketing até o visitante aceitá-los, e lembre a escolha dele.”
“Adicione uma seção simples sobre cookies na política de privacidade que corresponda à lista acima.”

Para a parte de consentimento, veja como adicionar consentimento de cookies. Para entender como os cookies se encaixam nos logins, leia o que é autenticação.

Cookies no Mythex

O Mythex não oferece um login integrado para os usuários do seu app, então os cookies que seu app define vêm do próprio código dele e das ferramentas que você adiciona — por exemplo, um cookie de sessão da abordagem de autenticação que você escolher. Peça ao agente no chat para listá-los, endurecer as configurações ou adicionar um banner de consentimento, e confira o resultado na prévia ao vivo antes de publicar. A receita da documentação sobre como adicionar login ao seu app é um bom prompt inicial, e segurança para os apps que você cria explica como manter chaves e segredos fora do navegador.

Perguntas

O que é um cookie de site?

Um cookie é um pequeno texto que um site pede ao seu navegador para guardar. O navegador o envia de volta em cada requisição posterior àquele site, o que permite ao site lembrar coisas como se você está logado ou o que há no seu carrinho.

Cookies são perigosos?

Cookies são apenas dados, não programas, então não conseguem executar código nem infectar um computador. As preocupações são de privacidade, quando cookies de terceiros rastreiam você entre sites, e de segurança, quando um cookie de login é roubado e usado para se passar por você.

Qual é a diferença entre cookies de primeira e de terceira parte?

Um cookie de primeira parte é definido pelo site que aparece na barra de endereços, como um cookie de login. Um cookie de terceira parte é definido por outro domínio incorporado na página, como uma rede de anúncios, e muitas vezes serve para acompanhar você em vários sites.

Preciso de um aviso de cookies?

Depende de onde estão seus usuários e de quais cookies você usa. Na UE e no Reino Unido, cookies não essenciais, como os de análise ou publicidade, geralmente precisam de consentimento antes, enquanto cookies estritamente necessários para o serviço, como uma sessão de login, normalmente não. Verifique as regras que se aplicam a você.

Qual é a diferença entre cookies e localStorage?

Ambos guardam dados no navegador. Cookies são enviados ao servidor automaticamente em cada requisição, o que combina com logins. O localStorage fica no navegador e só é lido pelo código da própria página, o que combina com preferências como um tema.