Ano ang Cookies? Paano Ka Inaalala ng mga Website

Ang cookie ay maliit na teksto na hinihiling ng website sa browser mo na itago at ipadala pabalik sa bawat susunod na pagbisita sa site na iyon. Ito ang paraan kung paano "naaalala" ka ng website: na naka-log in ka, ano ang nasa cart mo, aling wika ang pinili mo. Datos lang ang cookies, hindi programa, pero dahil maaari ka nilang makilala, mahalaga ang mga ito para sa seguridad at privacy.

Bakit mahalaga ito kapag gumagawa ka gamit ang AI

Nasa ilalim ng ilang feature na hihilingin mo sa AI builder ang cookies, kadalasan nang hindi lumalabas ang salitang "cookie":

Login. Sa karamihan ng web apps, ang "manatiling naka-log in" ay session cookie. Ang pagkaka-configure nito ang nagtatakda kung gaano ito kadaling nakawin.
Cart at preferences. Ang basket na nananatili kahit i-refresh ang pahina ay kadalasang umaasa sa cookie o sa browser storage.
Analytics at ads. Ang pagdagdag ng Google Analytics, Meta pixel o chat widget ay kadalasang nagdadagdag din ng cookies mula sa ibang kumpanya.
Legal na abiso. Sa maraming lugar, kailangan ng pahintulot ng bisita para sa ilang cookies, kaya nagmula rito ang cookie banners.

Kapag alam mo kung anong cookies ang itinatakda ng app mo at bakit, makakagawa ka ng mas magagandang pagpili tungkol sa security settings, pahintulot at privacy policy mo.

Isang pang-araw-araw na paghahambing

Isipin ang claim ticket sa cloakroom. Iniaabot mo ang coat mo at nakakakuha ka ng numbered na ticket. Walang coat ang ticket, numero lang. Sa bawat balik mo sa counter, ipinapakita mo ang ticket, at alam ng attendant kung alin ang coat mo.

Ganito rin ang session cookie. Kapag nag-log in ka, itinatabi ng server ang detalye mo sa panig nito at binibigyan ang browser mo ng ticket: mahabang random na ID. Ipinapakita ito ng browser sa bawat request, at tinitingnan ng server kung sino ka. Ang sinumang kumopya ng ticket ay makakakuha ng coat, kaya kailangang protektahan ang login cookies.

Bumisita ka sa site. Kasama sa response ng server ang header na tulad ng Set-Cookie: session_id=8f3k...; HttpOnly; Secure; SameSite=Lax.
Itinatabi ito ng browser mo, nakatali sa domain ng site.
Sa bawat susunod na request sa parehong site, awtomatikong idinadagdag ng browser ang Cookie: session_id=8f3k....
Binabasa ito ng server at alam nitong ikaw iyon.

Kaya rin ng JavaScript ng pahina na gumawa ng cookies, pero ang pinakamahalaga, ang login sessions, ay dapat itakda ng server at itago sa JavaScript.

Mga uri ng cookies

Uri	Ibig sabihin	Halimbawa
Session cookie	Walang expiry date; nabubura kapag natapos ang browser session	Maikling checkout step
Persistent cookie	May expiry date (`Expires` o `Max-Age`) at nananatili kahit mag-restart	"Tandaan ako sa loob ng 30 araw"
First-party	Itinakda ng site sa address bar	Login mo sa site na iyon
Third-party	Itinakda ng ibang domain na naka-embed sa pahina	Tracking ID ng ad network
Talagang kailangan	Kailangan para sa serbisyong hiniling ng user	Login session, shopping cart
Hindi mahalaga	Kapaki-pakinabang lang para sa may-ari ng site	Analytics, advertising, A/B testing

Unti-unting hinigpitan ng mga browser ang third-party cookies dahil ginagamit ang mga ito sa pagsubaybay sa tao sa iba't ibang website. Marami sa mga pangunahing browser ngayon ang humaharang sa marami sa mga ito bilang default, at patuloy na nagbabago ang mga detalye, kaya huwag magtayo ng anumang mahalaga sa third-party cookies.

Isang halimbawa: maliit na online shop

Sabihin nating gumawa ka ng shop na nagbebenta ng gawang-kamay na kandila. Narito ang mga cookie na itatakda ng isang maayos na bersyon, at kung bakit.

session: Itinatakda kapag nag-log in ang may-ari o ang customer. Random na ID lang ang laman nito; itinatabi ng server ang totoong session data. Mga setting: HttpOnly (hindi mababasa ng page scripts), Secure (ipinapadala lang sa HTTPS), SameSite=Lax (hindi ipinapadala sa karamihan ng request na sinimulan ng ibang site). Talagang kailangan.

cart_id: Nagpapahintulot sa bisitang hindi naka-log in na mapanatili ang basket niya. Tumuturo ito sa cart na naka-save sa database. Talagang kailangan, dahil hiniling ng bisita na magdagdag ng bagay sa cart.

theme: Inaalala ang dark mode. Puwede itong maging cookie, pero hindi na kailangang umabot sa server, kaya mas simple ang browser localStorage.

Analytics cookies: Idinadagdag kung maglalagay ka ng analytics tool. Hindi mahalaga ang mga ito. Sa EU at UK, kadalasang kailangan ng pahintulot bago itakda ang mga ito, kaya dapat maghintay ang analytics script hanggang pindutin ng bisita ang "Accept".

Tandaan kung ano ang hindi itinatago ng shop sa cookies: pangalan, address o detalye ng card ng customer. Kasama ng bawat request ang cookies at nananatili ang mga ito sa device ng user, kaya dapat ID ang laman nila, hindi personal na datos.

Karaniwang termino na ipinaliwanag

Termino	Ibig sabihin
Cookie	Maliit na pares ng pangalan at halaga na itinatago ng browser at ipinapadala pabalik sa site.
`Set-Cookie`	Ang response header na ginagamit ng server para gumawa o mag-update ng cookie.
Session	Tala ng server tungkol sa naka-log in na user, na nakakabit sa cookie ID.
`HttpOnly`	Pumipigil sa JavaScript ng pahina na basahin ang cookie, kaya nalilimitahan ang pinsala mula sa mga na-inject na script.
`Secure`	Ipinapadala lang ang cookie sa naka-encrypt na HTTPS connections.
`SameSite`	Kinokontrol kung ipinapadala ang cookie sa mga request mula sa ibang site (`Strict`, `Lax` o `None`).
`Expires` / `Max-Age`	Kailan dapat burahin ang cookie.
Domain / Path	Aling mga address sa site ang tumatanggap ng cookie.
localStorage	Storage ng browser na nababasa ng page code, pero hindi awtomatikong ipinapadala sa server.
XSS	Cross-site scripting: script ng umaatake na tumatakbo sa pahina mo, na maaaring magnakaw ng datos.
CSRF	Cross-site request forgery: ibang site na nanlilinlang sa browser para magpadala ng request gamit ang cookies mo.
Cookie consent	Paghingi ng pahintulot ng bisita bago magtakda ng mga hindi mahalagang cookie.

Karaniwang pagkakamali at maling akala

"Virus ang cookies." Payak na teksto ang mga ito. Hindi sila makapagpapatakbo ng code sa computer mo.
Paglalagay ng sensitibong datos sa cookies. Mag-imbak ng random na ID at itago ang detalye sa server.
Login tokens sa localStorage. Anumang script na tumatakbo sa pahina ay mababasa ang localStorage, kasama ang na-inject na script. Hindi mababasa ng page scripts ang HttpOnly cookie.
Kulang na Secure at HttpOnly. Mura lang ang dalawang flag na ito at isinasara nila ang karaniwang butas.
Pag-aakalang sakop na ng banner ang lahat. Hindi nito natutupad ang tungkulin nito kung nagla-load ang analytics bago pa pindutin ng sinuman ang "Accept".
Pagkalimot sa logout. Dapat burahin ng logout ang cookie at tapusin ang session sa server, para hindi gumana ang nakopyang cookie.
"Kapag hindi ako gumagamit ng cookies, hindi na sakop ng privacy rules." Sakop ng mga patakaran gaya ng GDPR ang personal na datos saan man ito nakaimbak, kasama ang local storage, device fingerprints at server logs.

Ano ang itatanong sa AI builder mo

"Ilista ang bawat cookie na itinatakda ng app, kung para saan ito, gaano katagal ito tatagal, at kung talagang kailangan ito."
"Gumamit ng HttpOnly, Secure, SameSite=Lax na cookie para sa login session. Huwag maglagay ng auth tokens sa localStorage."
"Itago lang ang random na session ID sa cookie; itago ang session data sa server."
"Sa logout, burahin ang cookie at pawalang-bisa ang session sa server."
"Huwag mag-load ng analytics o marketing scripts hangga't hindi tinatanggap ng bisita, at alalahanin ang kanilang pinili."
"Magdagdag ng simpleng cookie section sa privacy policy na tutugma sa listahan sa itaas."

Para sa bahagi ng pahintulot, tingnan ang paano magdagdag ng cookie consent. Para makita kung paano nababagay ang cookies sa login, basahin ang ano ang authentication.

Cookies sa Mythex

Hindi nagbibigay ang Mythex ng built-in na login para sa mga user ng app mo, kaya ang cookies na itinatakda ng app mo ay galing sa sarili nitong code at sa mga tool na idinagdag mo rito, halimbawa ang session cookie mula sa auth approach na pipiliin mo. Hilingin sa agent sa chat na ilista ang mga ito, higpitan ang settings nila, o magdagdag ng consent banner, at tingnan ang resulta sa live preview bago mag-publish. Magandang panimulang prompt ang docs recipe tungkol sa pagdagdag ng login sa app mo, at sakop ng security para sa mga app na ginawa mo ang pananatiling wala sa browser ng keys at secrets.

Mga tanong

Ano ang cookie sa isang website?

Ang cookie ay maliit na teksto na hinihiling ng website sa browser mo na itago. Ipinapadala ito pabalik ng browser sa bawat susunod na request sa site na iyon, kaya naaalala ng site ang mga bagay gaya ng kung naka-log in ka o ano ang nasa cart mo.

Mapanganib ba ang cookies?

Datos lang ang cookies, hindi programa, kaya hindi sila makapagpapatakbo ng code o makapagpapahawa ng computer. Ang mga alalahanin ay tungkol sa privacy, kapag sinusundan ka ng third-party cookies sa iba't ibang site, at tungkol sa seguridad, kapag nanakaw ang login cookie at ginamit para magpanggap na ikaw.

Ano ang pagkakaiba ng first-party at third-party cookies?

Ang first-party cookie ay itinakda ng site na nasa address bar mo, gaya ng login cookie. Ang third-party cookie naman ay itinakda ng ibang domain na naka-embed sa pahina, gaya ng ad network, at kadalasang ginagamit para sundan ka sa maraming site.

Kailangan ko ba ng cookie banner?

Nakadepende ito sa kung nasaan ang mga user mo at kung anong cookies ang gamit mo. Sa EU at UK, kadalasang kailangan ng pahintulot muna para sa mga hindi mahalagang cookies gaya ng analytics o advertising, samantalang ang cookies na talagang kailangan ng serbisyo, gaya ng login session, kadalasang hindi. Tingnan ang mga patakarang naaangkop sa iyo.

Ano ang pagkakaiba ng cookies at localStorage?

Parehong nag-iimbak ng datos sa browser. Awtomatikong ipinapadala ang cookies sa server sa bawat request, kaya angkop ito sa login. Nananatili sa browser ang localStorage at binabasa lang ng sariling code ng pahina, kaya angkop ito sa mga preference gaya ng theme.