Čo sú cookies? Ako si vás weby pamätajú

Cookie je malý textový súbor, ktorý web požiada váš prehliadač uložiť a potom ho poslať späť pri každej ďalšej návšteve tohto webu. Tak si web „pamätá“ vás – že ste prihlásení, čo máte v košíku, ktorý jazyk ste vybrali. Cookies sú len dáta, nie programy, ale keďže môžu identifikovať vás, záležia na nich z hľadiska bezpečnosti aj súkromia.

Prečo je to dôležité pri tvorbe s AI

Cookies sú pod viacerými funkciami, o ktoré budete AI tvorcu žiadať, často bez toho, aby slovo „cookie“ vôbec padlo:

• Prihlásenie. V väčšine webových aplikácií znamená „zostať prihlásený“ reláciové cookie. Ako je toto cookie nastavené, určuje, ako ľahko sa dá ukradnúť.
• Košíky a predvoľby. Košík, ktorý prežije obnovenie stránky, sa často spolieha na cookie alebo na úložisko prehliadača.
• Analytika a reklamy. Pridanie Google Analytics, Meta pixelu alebo chatovacieho widgetu zvyčajne pridá cookies od iných firiem.
• Právne upozornenia. Na mnohých miestach niektoré cookies vyžadujú najprv súhlas návštevníka, odtiaľ pochádzajú bannery pre cookies.

Ak viete, aké cookies vaša aplikácia nastavuje a prečo, môžete lepšie rozhodovať o bezpečnostných nastaveniach, súhlase a svojich zásadách ochrany súkromia.

Každodenné prirovnanie

Predstavte si lístok do šatne. Odovzdáte kabát a dostanete očíslovaný lístok. Lístok nemá v sebe váš kabát – je na ňom len číslo. Pri každom návrate k pultu ukážete lístok a obsluha vie, ktorý kabát je váš.

Reláciové cookie funguje rovnako. Keď sa prihlásite, server si nechá vaše údaje u seba a dá vášmu prehliadaču lístok – dlhé náhodné ID. Váš prehliadač ukazuje tento lístok pri každej požiadavke a server podľa neho zistí, kto ste. Kto skopíruje lístok, môže si vziať kabát, preto treba prihlasovacie cookies chrániť.

Ako cookie v skutočnosti funguje

1. Navštívite web. Odpoveď servera obsahuje hlavičku ako Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
2. Váš prehliadač ju uloží, naviazanú na doménu tohto webu.
3. Pri každej ďalšej požiadavke na ten istý web prehliadač automaticky pridá Cookie: session_id=8f3k....
4. Server ju prečíta a vie, že ste to vy.

JavaScript stránky môže cookies tiež vytvárať, no tie najdôležitejšie – relácie prihlásenia – by mal nastavovať server a mali by byť skryté pred JavaScriptom.

Typy cookies

Prohliadače postupne obmedzujú cookies tretích strán, lebo sa používajú na sledovanie ľudí naprieč webmi. Niekoľko veľkých prehliadačov ich teraz predvolene blokuje a podrobnosti sa stále menia, takže na cookies tretích strán nestavajte nič dôležité.

Praktický príklad: malý online obchod

Predstavme si, že ste vytvorili obchod s ručne robenými sviečkami. Tu sú cookies, ktoré by rozumná verzia nastavila, a prečo.

session – nastavené, keď sa vlastník alebo zákazník prihlási. Obsahuje len náhodné ID; skutočné údaje relácie uchováva server. Nastavenia: HttpOnly (skripty stránky ho nemôžu čítať), Secure (posiela sa len cez HTTPS), SameSite=Lax (neposiela sa pri väčšine požiadaviek, ktoré začali iné weby). Nevyhnutné.

cart_id – umožní návštevníkovi, ktorý nie je prihlásený, zachovať si košík. Ukazuje na košík uložený v databáze. Nevyhnutné, lebo návštevník chcel pridať veci do košíka.

theme – pamätá si tmavý režim. Mohlo by to byť cookie, ale nikdy nemusí dôjsť na server, takže lokálne úložisko prehliadača localStorage je jednoduchšie.

Analytické cookies – pridané, ak nainštalujete analytický nástroj. Sú nepotrebné. V EÚ a Spojenom kráľovstve zvyčajne vyžadujú súhlas pred nastavením, takže analytický skript by mal počkať, kým návštevník klikne na „Prijať“.

Všimnite si, čo obchod v cookies neukladá: meno zákazníka, adresu ani údaje o karte. Cookies putujú pri každej požiadavke a žijú na zariadení používateľa, takže majú obsahovať ID, nie osobné údaje.

Vysvetlenie bežných pojmov

Časté chyby a mylné predstavy

• „Cookies sú vírusy.“ Sú to obyčajný text. Nemôžu spúšťať kód na vašom počítači.
• Ukladanie citlivých dát do cookies. Uložte náhodné ID a údaje nechajte na serveri.
• Tokeny prihlásenia v localStorage. Akýkoľvek skript bežiaci na stránke vie čítať localStorage, vrátane vloženého. Cookie HttpOnly nemôžu skripty stránky vôbec čítať.
• Chýbajúce Secure a HttpOnly. Tieto dva príznaky sú lacné a zatvárajú bežné diery.
• Predpoklad, že banner pokryje všetko. Banner, ktorý načíta analytiku skôr, než niekto klikne na „Prijať“, svoju úlohu neplní.
• Zabudnutie na odhlásenie. Odhlásenie by malo zmazať cookie a ukončiť reláciu na serveri, aby skopírované cookie prestalo fungovať.
• „Ak nepoužívam cookies, pravidlá ochrany súkromia sa na mňa nevzťahujú.“ Pravidlá ako GDPR pokrývajú osobné údaje kdekoľvek sú uložené – vrátane lokálneho úložiska, odtlačkov zariadení a serverových logov.

Čo sa pýtať svojho AI tvorcu

• „Vypíš každé cookie, ktoré aplikácia nastavuje, na čo slúži, ako dlho trvá a či je nevyhnutné.“
• „Pre reláciu prihlásenia použi cookie HttpOnly, Secure, SameSite=Lax. Autentifikačné tokeny nedávaj do localStorage.“
• „Do cookie ukladaj len náhodné ID relácie; dáta relácie ukladaj na serveri.“
• „Pri odhlásení vymaž cookie a na serveri zneplatni reláciu.“
• „Analytické ani marketingové skripty nenačítavaj, kým ich návštevník neprijme, a zapamätaj si jeho voľbu.“
• „Pridaj do zásad ochrany súkromia krátku sekciu o cookies, ktorá zodpovedá vyššie uvedenému zoznamu.“

Pre časť so súhlasom pozrite ako pridať súhlas s cookies. O tom, ako cookies zapadajú do prihlásení, si prečítajte čo je autentifikácia.

Cookies v Mythex

Mythex neposkytuje vstavané prihlásenie pre používateľov vašej aplikácie, takže cookies, ktoré vaša aplikácia nastavuje, pochádzajú z jej vlastného kódu a z nástrojov, ktoré do nej pridáte – napríklad reláciové cookie z prístupu k autentifikácii, ktorý zvolíte. Požiadajte agenta v chate, aby ich vypísal, sprísnil ich nastavenia alebo pridal banner so súhlasom, a výsledok skontrolujte v živom náhľade skôr, než publikujete. Dobrým východiskovým promptom je návod v dokumentácii ako pridať prihlásenie do aplikácie a bezpečnosť pre aplikácie, ktoré stavate vysvetľuje, ako držať kľúče a tajomstvá mimo prehliadača.

Otázky