Kaj so piškotki? Kako vas spletne strani prepoznajo

Piškotek je majhno besedilo, ki ga spletna stran prosi vaš brskalnik, naj ga shrani, in nato pošlje nazaj ob vsakem kasnejšem obisku te strani. Tako se spletna stran »spomni« vas – da ste prijavljeni, kaj je v vaši košarici, kateri jezik ste izbrali. Piškotki so zgolj podatki, ne programi, vendar ker vas lahko prepoznajo, so pomembni za varnost in zasebnost.

Zakaj je to pomembno, ko gradite z AI

Piškotki ležijo pod več funkcijami, ki jih boste zahtevali od AI gradnika, pogosto brez, da bi beseda »piškotek« sploh padla.

Prijava. V večini spletnih aplikacij »ostani prijavljen« pomeni sejni piškotek. Način, kako je ta piškotek nastavljen, določa, kako enostavno ga je ukrasti.
Košarice in nastavitve. Košarica, ki preživi osvežitev strani, se pogosto opira na piškotek ali na shrambo v brskalniku.
Analitika in oglasi. Dodajanje Google Analytics, Meta pikslov ali klepetalnega pripomočka navadno doda piškotke drugih podjetij.
Pravna obvestila. Na mnogih mestih morajo nekateri piškotki pred nastavitvijo dobiti privolitev obiskovalca, od tod pojavljajo obvestila o piškotkih.

Če veste, kateri piškotki vaša aplikacija nastavlja in zakaj, lahko bolje izberete varnostne nastavitve, privolitev in vašo politiko zasebnosti.

Vsakdanja primerjava

Pomislite na garderobni listek. Oddate plašč in dobite oštevilčen listek. Listek ne vsebuje vašega plašča – samo številko. Vsakič, ko se vrnete k pultu, pokažete listek in natakar ve, kateri plašč je vaš.

Sejni piškotek deluje enako. Ko se prijavite, strežnik svoje podatke hrani na svoji strani in vašemu brskalniku da »listek« – dolg naključni ID. Vaš brskalnik ta listek pokaže ob vsaki zahtevi, strežnik pa poišče, kdo ste. Kdor kopira listek, lahko vzame plašč, zato je treba piškotke za prijavo varovati.

Kako piškotek dejansko deluje

Obiščete stran. Odgovor strežnika vključuje glavo, kot je Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Brskalnik ga shrani, vezanega na domeno te strani.
Ob vsaki kasnejši zahtevi na isto stran brskalnik samodejno doda Cookie: session_id=8f3k....
Strežnik ga prebere in ve, da ste to vi.

JavaScript strani lahko ustvari tudi piškotke, vendar bi najpomembnejše – seje prijave – moral nastaviti strežnik in jih skriti pred JavaScriptom.

Vrste piškotkov

Vrsta	Kaj pomeni	Primer
Sejni piškotek	Nima datuma poteka; izbriše se, ko se seja brskalnika konča	Kratkotrajen korak na blagajni
Trajni piškotek	Ima datum poteka (`Expires` ali `Max-Age`) in preživi ponovne zagone	»Ostani prijavljen 30 dni«
Prve osebe	Nastavi stran v naslovni vrstici	Vaša prijava na tej strani
Tretje osebe	Nastavi drug domenski naslov, vgrajen v stran	ID za sledenje oglaševalske mreže
Nujno potrebni	Potrebni za storitev, ki jo je uporabnik zahteval	Seja prijave, nakupovalna košarica
Nebistveni	Koristni za lastnika strani	Analitika, oglaševanje, A/B testiranje

Brskalniki so vedno bolj omejevali piškotke tretjih oseb, ker se uporabljajo za sledenje ljudem med spletnimi stranmi. Več glavnih brskalnikov jih zdaj privzeto blokira, podrobnosti pa se nenehno spreminjajo, zato na piškotkih tretjih oseb ne gradite ničesar pomembnega.

Delovni primer: majhna spletna trgovina

Recimo, da ste zgradili trgovino, ki prodaja ročno izdelane sveče. Tukaj so piškotki, ki bi jih razumna različica nastavila, in zakaj.

session – nastavi se, ko se lastnik ali stranka prijavi. Vsebuje samo naključni ID; prave podatke seje hrani strežnik. Nastavitve: HttpOnly (skripte strani ga ne morejo brati), Secure (pošlje se samo prek HTTPS), SameSite=Lax (ni poslan pri večini zahtevkov, ki jih začnejo druge strani). Nujno potreben.

cart_id – omogoča obiskovalcu, ki ni prijavljen, da obdrži svojo košarico. Kaže na košarico, shranjeno v bazi podatkov. Nujno potreben, ker je obiskovalec zahteval dodajanje v košarico.

theme – si zapomni temni način. To bi lahko bil piškotek, vendar ni nikoli treba, da bi dosegel strežnik, zato je preprosteje uporabiti brskalnikov localStorage.

Analitični piškotki – dodani, če namestite orodje za analitiko. To so nebistveni piškotki. V EU in Veliki Britaniji na splošno zahtevajo privolitev, preden se nastavijo, zato bi se analitični skript moral počakati, dokler obiskovalec ne klikne »Sprejmi«.

Opazite, kaj trgovina v piškotkih ne shranjuje: stranke ime, naslov ali podatkov o kartici. Piškotki potujejo z vsako zahtevo in ostajajo v napravi uporabnika, zato naj vsebujejo ID-je, ne osebnih podatkov.

Pogosti izrazi razloženi

Izraz	Kaj pomeni
Piškotek	Majhen par ime–vrednost, ki ga brskalnik shrani in pošlje nazaj na stran.
`Set-Cookie`	Glava odgovora, s katero strežnik ustvari ali posodobi piškotek.
Seja	Strežnikov zapis o prijavljenem uporabniku, povezan z ID-jem piškotka.
`HttpOnly`	Prepreči, da bi JavaScript strani prebral piškotek, kar omejuje škodo od vbrizganih skript.
`Secure`	Piškotek se pošilja samo prek šifriranih povezav HTTPS.
`SameSite`	Določa, ali se piškotek pošlje pri zahtevkah iz drugih strani (`Strict`, `Lax` ali `None`).
`Expires` / `Max-Age`	Kdaj naj se piškotek izbriše.
Domain / Path	Kateri naslovi na strani prejmejo piškotek.
localStorage	Shramba v brskalniku, ki jo lahko bere koda strani, vendar se samodejno ne pošilja strežniku.
XSS	Vbrizgavanje skript med spletnimi stranmi: skripta napadalca teče na vaši strani in lahko poskuša ukrasti podatke.
CSRF	Ponarejanje zahtevkov med spletnimi stranmi: druga stran zavede brskalnik, da pošlje zahtevek z vašimi piškotki.
Privolitev za piškotke	Vprašanje obiskovalcev za dovoljenje, preden se nastavijo nebistveni piškotki.

Pogoste napake in zmote

»Piškotki so virusi.« So navadno besedilo. Ne morejo zagnati kode na vašem računalniku.
Shranjevanje občutljivih podatkov v piškotkih. Shranite naključni ID, podrobnosti pa hranite na strežniku.
Žetoni za prijavo v localStorage. Vsaka skripta, ki teče na strani, lahko prebere localStorage, tudi vbrizgana. Piškotek HttpOnly skripte strani sploh ne morejo brati.
Manjkajoči zastavici Secure in HttpOnly. Ti dve zastavici sta poceni in zapreta pogoste luknje.
Predpostavka, da obvestilo pokrije vse. Obvestilo, ki naloži analitiko, preden kdo klikne »Sprejmi«, ne opravi svoje naloge.
Pozabljena odjava. Odjava mora izbrisati piškotek in končati sejo na strežniku, da ukradeni piškotek preneha delovati.
»Če ne uporabljam piškotkov, pravila o zasebnosti ne veljajo.« Pravila, kot je GDPR, veljajo za osebne podatke ne glede na to, kje so shranjeni – tudi v lokalni shrambi, prstnih odtisih naprav in strežniških dnevnikih.

Kaj vprašati svoj AI gradnik

»Naštej vse piškotke, ki jih aplikacija nastavlja, za kaj so, kako dolgo trajajo in ali so nujno potrebni.«
»Za sejo prijave uporabi piškotek HttpOnly, Secure, SameSite=Lax. Žetonov za overjanje ne shranjuj v localStorage.«
»V piškotku hrani samo naključni ID seje; podatke seje hrani na strežniku.«
»Ob odjavi izbriši piškotek in na strežniku ukini sejo.«
»Analitičnih ali trženjskih skript ne nalagaj, dokler obiskovalec ne sprejme, in si zapomni njegovo izbiro.«
»Dodaj kratek razdelek o piškotkih v politiko zasebnosti, ki ustreza zgornjemu seznamu.«

Za del o privolitvi glejte kako dodati privolitev za piškotke. Za to, kako piškotki sodelujejo pri prijavah, preberite kaj je overjanje.

Piškotki v Mythex

Mythex svojim uporabnikom aplikacije ne ponuja vgrajene prijave, zato piškotki vaše aplikacije prihajajo iz njene lastne kode in orodij, ki jih dodate vanjo – na primer sejni piškotek iz pristopa overjanja, ki ga izberete. V klepetu z agentom ga lahko prosite, naj našteje piškotke, zaostri njihove nastavitve ali doda obvestilo o privolitvi, rezultat pa preverite v živem predogledu, preden objavite. Recept v dokumentaciji o dodajanju prijave v aplikacijo je dober začetni poziv, varnost za aplikacije, ki jih gradite pa pojasnjuje, kako ključe in skrivnosti držati izven brskalnika.

Vprašanja

Kaj je piškotek na spletni strani?

Piškotek je majhno besedilo, ki ga spletna stran prosi vaš brskalnik, naj ga shrani. Brskalnik ga pošlje nazaj ob vsaki kasnejši zahtevi na to stran, kar strani omogoča, da si zapomni stvari, na primer ali ste prijavljeni ali kaj je v vaši košarici.

Ali so piškotki nevarni?

Piškotki so zgolj podatki, ne programi, zato ne morejo zagnati kode ali okužiti računalnika. Skrb vzbujata zasebnost, ko tretjeosebni piškotki sledijo vašemu brskanju po spletu, in varnost, ko ukradeni piškotek za prijavo uporabi nekdo drug, da se predstavi kot vi.

Kakšna je razlika med piškotki prve in tretje osebe?

Piškotek prve osebe nastavi stran v naslovni vrstici, na primer piškotek za prijavo. Piškotek tretje osebe nastavi drug domenski naslov, vgrajen v stran, na primer oglaševalska mreža, in se pogosto uporablja za sledenje vam na mnogih straneh.

Ali potrebujem obvestilo o piškotkih?

To je odvisno od tega, kje so vaši uporabniki in katere piškotke uporabljate. V EU in Veliki Britaniji nebistveni piškotki, kot so analitični ali oglaševalski, na splošno zahtevajo privolitev vnaprej, medtem ko piškotki, nujno potrebni za storitev, na primer seja prijave, običajno ne. Preverite pravila, ki veljajo za vas.

Kakšna je razlika med piškotki in localStorage?

Oba shranjujeta podatke v brskalniku. Piškotki se ob vsaki zahtevi samodejno pošljejo strežniku, kar ustreza prijavam. localStorage ostane v brskalniku in ga bere samo lastna koda strani, kar ustreza nastavitvam, na primer temi.