Редактирование: Cookie

{{Другие значения}}
'''Ку́ки''' ({{lang-en|cookie}}, буквально — печенье) — небольшой фрагмент данных, отправленный [[веб-сервер]]ом и хранимый на [[компьютер]]е пользователя. Веб-клиент (обычно [[Браузер|веб-браузер]]) всякий раз при попытке открыть страницу соответствующего сайта пересылает этот фрагмент данных веб-серверу в составе [[HTTP]]-запроса. Применяется для сохранения данных на стороне пользователя, на практике обычно используется для<ref name="microsoft" />:
* [[аутентификация|аутентификации]] пользователя;
* хранения персональных предпочтений и настроек пользователя;
* отслеживания состояния {{не переведено 5|Сеанс (информатика)|сеанса||Session (computer science)|}} доступа пользователя;
* ведения статистики о [[Пользователь|пользователях]].

Поддержки браузерами куки (приём, сохранение и последующая пересылка серверу сохранённых куки) требуют многие сайты с ограничениями доступа, большинство [[интернет-магазин]]ов<ref>{{cite web|url=http://www.ozon.ru/context/detail/id/3480907/|title=Проблемы с работой интернет-магазина|publisher=[[OZON.ru]]|accessdate=12 августа 2008}}</ref>. Настройка оформления и поведения многих [[веб-сайт]]ов по индивидуальным предпочтениям пользователя тоже основана на куки<ref name="microsoft">{{cite web|url=http://www.microsoft.com/info/cookies.mspx|title=FAQ по куки|author=|website=|date=|publisher=Microsoft|lang=en|accessdate=12 августа 2008|archiveurl=https://www.webcitation.org/61DWpwhHj?url=http://www.microsoft.com/info/cookies.mspx|archivedate=2011-08-26|deadurl=yes}}</ref>.

Куки легко [[сниффер|перехватить]] и подменить (например, для получения доступа к учётной записи), если пользователь использует нешифрованное соединение с сервером. В группе риска пользователи, выходящие в интернет при помощи публичных точек доступа [[Wi-Fi]] и не использующие при этом таких механизмов, как [[SSL]] и [[TLS]]. Шифрование позволяет также решить и другие проблемы, связанные с безопасностью передаваемых данных.

Большинство современных браузеров позволяет пользователям выбрать — принимать куки или нет, но их отключение делает невозможной работу с некоторыми сайтами. Кроме того, по законам некоторых стран (например, по закону [[Европейский союз|Евросоюза]] от 2002 года) сайты должны в обязательном порядке запрашивать согласие перед установкой куки.

== Назначение ==
Куки используются веб-серверами для идентификации пользователей и хранения данных о них.

К примеру, если вход на сайт осуществляется при помощи куки, то, после ввода пользователем своих данных на странице входа, куки позволяют серверу запомнить, что пользователь уже идентифицирован и ему разрешён доступ к соответствующим услугам и операциям<ref name="microsoft" />.

Многие сайты также используют куки для сохранения настроек пользователя. Эти настройки могут использоваться для персонализации, которая включает в себя выбор оформления и функциональности. Например, [[Википедия]] позволяет авторизованным пользователям выбрать [[Википедия:Персональное оформление|дизайн]] сайта. Поисковая система [[Google (поисковая система)|Google]] позволяет пользователям (в том числе и не зарегистрированным в ней) выбрать количество результатов поиска, отображаемых на одной [[веб-страница|странице]]<ref>{{cite web|url=http://www.google.com/support/bin/static.py?page=searchguides.html&ctx=preferences&hl=ru#number|title=Справочный центр, веб-поиск|publisher=[[Google (компания)|Google]]|accessdate=12 августа 2008|archiveurl=https://www.webcitation.org/61DWqUw5S?url=http://www.google.com/support/websearch/bin/answer.py?hl=ru#number|archivedate=2011-08-26|deadurl=yes}}</ref>.

Куки также используются для отслеживания действий пользователей на сайте. Как правило, это делается с целью сбора статистики, а рекламные компании на основе такой статистики формируют анонимные [[учётная запись|профили]] пользователей для более точного нацеливания рекламы<ref>{{cite web|author=Киви Берд|url=http://www.ibusiness.ru/offline/2000/119/6438/|title=Целевая реклама - угроза приватности?|publisher=[[Компьютерра]]|accessdate=12 августа 2008|deadlink=404|archiveurl=https://web.archive.org/web/20130405044854/http://www.ibusiness.ru/offline/2000/119/6438/|archivedate=2013-04-05|deadurl=yes}}</ref>.

== Понятие ==
[[Файл:HTTP cookie exchange.PNG|thumb|300px|Возможное взаимодействие между браузером и сервером.]]
В техническом плане куки представляют собой фрагменты данных, изначально отправляемых веб-сервером браузеру. При каждом последующем посещении сайта браузер пересылает их обратно серверу. Без куки каждый просмотр веб-страницы является изолированным действием, не связанным с просмотром других страниц того же сайта, с помощью же куки можно выявить связь между просмотром разных страниц. Кроме отправки куки веб-сервером, куки могут создаваться [[скрипт]]ами на языках вроде [[JavaScript]], если они поддерживаются и включены в браузере.

Спецификации<ref name="Netscape">{{cite web|author=Netscape|url=http://lib.guru.ua/WEBMASTER/cookie_spec.txt|title=Предварительная спецификация кук|format=txt|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWr5bQ4?url=http://lib.guru.ua/WEBMASTER/cookie_spec.txt|archivedate=2011-08-26|deadurl=yes}}</ref><ref name="rfc">RFC 2109 и RFC 2965 — Механизм управления состояниями HTTP ([[IETF]])</ref> указывают минимальные объёмы, которые должны предоставляться браузерами для хранения куки. Так, браузер должен хранить по меньшей мере 300 куки по 4096 байт каждая, и по меньшей мере 20 куки для одного сервера или [[доменное имя|домена]].

Популярные браузеры имеют соответствующий максимум хранящихся куки для каждого домена:
* [[Internet Explorer 6]] — 20
* [[Internet Explorer 7]] — 20
* [[Opera 9]] — 30
* [[Firefox 2.0]] — 50
* [[Google Chrome]] 58.0 — 176
* [[Safari]] 10.0 — 242

На практике, некоторые браузеры могут накладывать более жёсткие ограничения. К примеру, Internet Explorer предоставляет 4096 байт для всех куки в одном домене.

Имена куки нечувствительны к регистру в соответствии с разделом 3.1 RFC 2965.

Куки могут устанавливать дату их удаления, в этом случае они будут автоматически удалены браузером в указанный срок. Если дата удаления не указана, куки удаляются сразу, как только пользователь закроет браузер. Таким образом, указание даты истечения позволяет сохранить куки более чем на один сеанс и такие куки называются постоянными. Например, интернет-магазин может использовать постоянные куки для хранения кодов предметов, которые пользователь поместил в корзину покупок — и даже если пользователь закроет браузер, не совершив покупки, при последующем входе ему не придётся формировать корзину заново.

Хранение куки также может ограничиваться в зависимости от веб-сервера, домена или поддомена, где они были созданы.

== История ==
По одной из версий, термин «куки» (печенье) происходит от «[[Magic cookie|волшебного печенья]]»<ref>{{cite web|author=Андрей Аликберов|datepublished=1998|url=http://www.citforum.ru/internet/html/cookie.shtml|title=Что такое cookies и как с ними работать|accessdate=2 августа 2008|archiveurl=https://www.webcitation.org/61DWtfqbB?url=http://citforum.ru/internet/html/cookie.shtml|archivedate=2011-08-26|deadurl=yes}}</ref> — набора данных, которые программа получает и затем отправляет обратно неизменными. В июне 1994 года Лу Монтулли пришла идея использовать их при веб-соединении<ref>{{cite web|author=John Schwartz|datepublished=4 сентября 2001|url=https://www.nytimes.com/2001/09/04/technology/04COOK.html|title=Giving Web a Memory Cost Its Users Privacy|publisher=[[New York Times]]|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWugEhM?url=http://www.nytimes.com/2001/09/04/technology/04COOK.html|archivedate=2011-08-26|deadurl=yes}}</ref>. В то время он был сотрудником [[Netscape Communications]], которая разрабатывала по заказу пакет электронной коммерции. Куки стали решением проблемы надёжной реализации виртуальной корзины покупок.

С помощью [[Джаннандреа, Джон|Джона Джаннандреа]] в тот же год Монтулли написал начальную спецификацию куки. Mosaic Netscape 0.9beta, выпущенная 13 октября 1994 года<ref>{{cite web|datepublished=13 октября 1994|url=http://news.cnet.com/Netscapes-original-browser-press-release/2030-1032_3-5406484.html|title=Netscape Communications Представляют Новый Сетевой Бесплатной Интернет-Навигатор|publisher=[[CNET Networks]]|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWvKlU0?url=http://news.cnet.com/Netscapes-original-browser-press-release/2030-1032_3-5406484.html|archivedate=2011-08-26|deadurl=yes}}</ref><ref>{{cite web|author=Марк Андреассен|datepublished=13 октября 1994|url=http://groups.google.com/group/comp.infosystems.www.users/msg/9a210e5f72278328|title=Мир, вот он!|accessdate=7 августа 2008|lang=en|description=Сообщение на [[Usenet]]}}</ref>, уже поддерживала куки. Куки впервые начали использоваться вне лаборатории на сайте Netscape и определяли, посещал ли пользователь сайт ранее. Монтулли подал заявку на [[патент]] в 1995 году и получил его в 1998 году. Internet Explorer начал поддерживать куки с версии 2, выпущенной в октябре [[1995 год]]а<ref>{{cite web|author=Сэнди Хардмайер|datepublished=25 августа 2005|url=http://www.microsoft.com/windows/IE/community/columns/historyofie.mspx|title=История Internet Explorer|publisher=Microsoft|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWwPHfd?url=http://windows.microsoft.com/en-US/internet-explorer/products/history|archivedate=2011-08-26|deadurl=yes}}</ref>.

Хотя некоторые люди знали о существовании куки уже в первом квартале 1995 года<ref>{{cite web|author=Роджер Кларк|datepublished=1 июня 1998|url=http://www.anu.edu.au/people/Roger.Clarke/II/Cookies.html|title=Куки|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWxAgJc?url=http://www.rogerclarke.com/II/Cookies.html|archivedate=2011-08-26|deadurl=yes}}</ref>, широкая общественность узнала о них лишь после статьи в «[[Financial Times]]» от 12 февраля [[1996 год]]а. В том же году куки оказались в центре внимания средств массовой информации, особенно из-за потенциальной угрозы [[приватность|приватности]]. Куки были рассмотрены в Федеральной комиссии по торговле США в двух слушаниях в 1996 и 1997 годах.

Развитие спецификаций куки на этом не остановилось. В частности, первые обсуждения формальной спецификации начались в апреле 1995 года. Была сформирована специальная рабочая группа в рамках [[IETF]]. В качестве отправной точки была выбрана спецификация Netscape. В феврале 1996 года рабочая группа определила сторонние куки как серьёзную угрозу приватности. Выработанная спецификация была выпущена под названием RFC 2109 в феврале [[1997 год]]а. В ней указывалось, что сторонние куки должны либо блокироваться, либо хотя бы не работать по умолчанию.

В то время рекламные компании уже вовсю использовали сторонние куки и рекомендации RFC 2109 не поддерживались ни в браузерах Netscape, ни в Internet Explorer. Позднее, в октябре [[2000 год]]а, RFC 2109 была заменена новой спецификацией RFC 2965.

== Типы куки ==

=== Сессионные куки ===
''Сессионные куки'', также известные как ''временные куки'', существуют только во временной памяти, пока пользователь находится на странице веб-сайта. Браузеры обычно удаляют сессионные куки после того, как пользователь закрывает окно браузера<ref>{{Cite web|url=https://msdn.microsoft.com/en-us/library/ms526029(v=vs.90).aspx|title="Maintaining session state with cookies"|author=|website=Microsoft Developer Network|date=22 October 2012|publisher=}}</ref>. В отличие от других типов куки, сессионные куки не имеют истечения срока действия, и поэтому браузеры понимают их как сессионные.

=== Постоянные куки ===
Вместо того, чтобы удаляться после закрытия браузера, как это делают сессионные куки, ''постоянные куки-файлы'' удаляются в определённую дату или через определённый промежуток времени. Это означает, что информация о куки будет передаваться на сервер каждый раз, когда пользователь посещает веб-сайт, которому эти куки принадлежат. По этой причине постоянные куки иногда называются ''следящие куки'', поскольку они могут использоваться рекламодателями для записи о предпочтениях пользователя в течение длительного периода времени. Однако, они также могут использоваться и в «мирных» целях, например, чтобы избежать повторного ввода данных при каждом посещении сайта.

=== Защищённые куки ===
''Защищённые куки'' могут быть переданы только через шифрованное соединение (то есть HTTPS). Они не могут передаваться по незащищенным соединениям. Чтобы защитить куки, необходимо добавить флаг <code>Secure</code> в файл куки.

=== Http Only-куки ===
К файлу HttpOnly-куки нельзя обращаться с помощью API на стороне клиента, таких как JavaScript. Это ограничение устраняет угрозу кражи куки с помощью кросс-сайтового скриптинга (XSS). Тем не менее, куки остается уязвимым для кросс-сайтовой трассировки (XST) и кросс-сайтовых поддельных запросов (XSRF).

Этот тип куки содержит [[Флаг (компьютерная техника)|флаг]] <code>HttpOnly</code>.

=== Куки сайта ===
В 2016 году Google Chrome версии 51 представил новый тип файлов куки, куки того же сайта, которые можно отправлять только в запросах, исходящих из того же источника, что и целевой домен. Это ограничение смягчает атаки, такие как подделка межсайтовых запросов (XSRF).

=== Сторонние куки ===
Обычно атрибут домена куки совпадает с доменом, который отображается в адресной строке веб-браузера. Это называется первый файл куки. Однако сторонний файл куки принадлежит домену, отличному от того, который указан в адресной строке. Этот тип файлов куки обычно появляется, когда веб-страницы содержат контент с внешних веб-сайтов, например рекламные баннеры. Это открывает возможности для отслеживания истории посещений пользователя и часто используется рекламодателями для предоставления релевантной рекламы каждому пользователю.

В качестве примера предположим, что пользователь посещает www.example.org. Этот веб-сайт содержит рекламу от ad.foxytracking.com, которая при загрузке устанавливает файл cookie, принадлежащий домену рекламы (ad.foxytracking.com). Затем пользователь посещает другой веб-сайт www.foo.com, который также содержит рекламу от ad.foxytracking.com и устанавливает файл cookie, принадлежащий этому домену (ad.foxytracking.com). В конце концов, оба этих куки будут отправлены рекламодателю при загрузке их рекламы или посещении их веб-сайта. Затем рекламодатель может использовать эти файлы куки для создания истории просмотров пользователя на всех веб-сайтах, на которых размещена реклама этого рекламодателя.

По состоянию на 2014 год некоторые веб-сайты устанавливали файлы куки для чтения более чем на 100 сторонних доменах<ref>{{Cite web|url=https://webcookies.org/third-party-cookies/|title=Third party domains|author=|website=WebCookies.org.|date=|publisher=}}</ref>. В среднем на одном веб-сайте было установлено 10 файлов cookie, при этом максимальное количество файлов cookie (как для сторонних, так и для третьих сторон) может превышать 800<ref>{{Cite web|url=https://webcookies.org/number-of-cookies/|title=Number of cookies|author=|website=WebCookies.org|date=|publisher=}}</ref>. Большинство современных веб-браузеров содержат настройки конфиденциальности, которые могут блокировать сторонние файлы cookie.

=== Супер-куки ===
Супер-куки – это куки-файл с источником домена верхнего уровня (например, .ru) или общедоступным суффиксом (например, .co.uk). Обычные куки, напротив, имеют происхождение от конкретного доменного имени, например example.com.

Супер-куки могут быть потенциальной проблемой безопасности и поэтому часто блокируются веб-браузерами. Если браузер разблокирует вредоносный веб-сайт, злоумышленник может установить супер-куки и потенциально нарушить или выдать себя за законные запросы пользователей на другой веб-сайт, который использует тот же домен верхнего уровня или общедоступный суффикс, что и вредоносный веб-сайт. Например, супер-куки с происхождением .com может злонамеренно повлиять на запрос к example.com, даже если файл cookie не был создан с сайта example.com. Это может быть использовано для подделки логинов или изменения информации пользователя.

Публичный список суффиксов<ref>{{Cite web|url=https://publicsuffix.org/learn/|title=Learn more about the Public Suffix List|author=|website=Publicsuffix.org|date=2016|publisher=}}</ref> помогает снизить риск, который представляют супер-куки. Публичный список суффиксов – это инициатива кросс-вендоров, целью которого является предоставление точного и актуального списка суффиксов доменных имен. В старых версиях браузеров может отсутствовать актуальный список, и поэтому они будут уязвимы для супер-куки из определённых домен.

==== Другое использование ====
Термин «supercookie» (супер-куки) иногда используется для отслеживания технологий, которые не используют файлы куки HTTP. В августе 2011 года на веб-сайтах Майкрософт были обнаружены два таких механизма «супер-куки»: синхронизация файлов куки, которая порождает файлы куки MUID (уникальный идентификатор машины), и файлы куки ETag<ref>{{Cite web|url=http://cyberlaw.stanford.edu/blog/2011/08/tracking-trackers-microsoft-advertising|title=Tracking the Trackers: Microsoft Advertising|author=Mayer, Jonathan|website=The Center for Internet and Society|date=2011|publisher=}}</ref>. Из-за внимания средств массовой информации Microsoft позже отключила этот код<ref>{{Cite web|url=https://www.computerworld.com/article/2510494/microsoft-disables--supercookies--used-on-msn-com-visitors.html|title=Microsoft disables 'supercookies' used on MSN.com visitors|author=Vijayan, Jaikumar.|website=|date=2014|publisher=}}</ref>.

=== «Зомби» куки ===
Поскольку куки-файлы можно очень легко удалить из браузера, программисты ищут способы идентифицировать пользователей даже после полной очистки истории браузера. Одним из таких решений являются зомби-куки (или ''evercookie'', или ''persistent cookie'') – не удаляемые, или трудно удаляемые куки, которые можно восстановить в браузере с помощью JavaScript. Это возможно потому, что для хранения куков сайт одновременно использует все доступные хранилища браузера (''HTTP ETag, Session Storage, Local Storage, Indexed DB''), в том числе и хранилища приложений, таких как Flash Player (''Local Shared Objects''), Microsoft Silverlight (''Isolated Storage'') и Java (''Java presistence API'')<ref>{{Cite web|url=https://habr.com/ru/company/oleg-bunin/blog/321294/|title=Browser Fingerprint – анонимная идентификация браузеров|publisher=habr.com|lang=ru|accessdate=2019-09-02}}</ref>. Когда программа обнаруживает отсутствие в браузере куки-файла, информация о котором присутствует в других хранилищах – она тут же восстанавливает его на место и, тем самым, идентифицирует пользователя для сайта.

== Работа куки ==

=== Установка куки ===
Запрашивая страницу, браузер отправляет веб-серверу короткий текст с HTTP-запросом. Например, для доступа к странице <nowiki>http://www.example.org/index.html</nowiki>, браузер отправляет на сервер <nowiki>www.example.org</nowiki> следующий запрос:
{|
|
|
<div style="border: solid thin; padding: 0em 1em">
<tt>
<nowiki>GET /index.html HTTP/1.1</nowiki><br />
Host: www.example.org<br />
</tt>
</div>
|
|-
| '''браузер'''
| <center>→</center>
| '''сервер'''
|}
Сервер отвечает, отправляя запрашиваемую страницу вместе с текстом, содержащим HTTP-ответ. Там может содержаться указание браузеру сохранить куки:
{|
|
|
<div style="border: solid thin; padding: 0em 1em">
<tt>
HTTP/1.1 200 OK<br />
Content-type: text/html<br />
<font color=green>Set-Cookie: name=value</font><br />
&nbsp;<br />
(содержимое страницы)
</tt>
</div>
|
|-
| '''браузер'''
| <center>←</center>
| '''сервер'''
|}
Строка <code>Set-cookie</code> отправляется лишь тогда, когда сервер желает, чтобы браузер сохранил куки. В этом случае, если куки поддерживаются браузером и их приём включён, браузер запоминает строку <code>name=value</code> (имя = значение) и отправляет её обратно серверу с каждым последующим запросом. Например, при запросе следующей страницы <nowiki>http://www.example.org/spec.html</nowiki> браузер пошлёт серверу <nowiki>www.example.org</nowiki> следующий запрос:
{|
|
|
<div style="border: solid thin; padding: 0em 1em;">
<tt>
<nowiki>GET /spec.html HTTP/1.1</nowiki><br />
Host: www.example.org<br />
<font color=green>Cookie: name=value</font><br />
Accept: */*<br />
&nbsp;<br />
</tt>
</div>
|
|-
| '''браузер'''
| <center>→</center>
| '''сервер'''
|}
Этот запрос отличается от первого запроса тем, что содержит строку, которую сервер отправил браузеру ранее. Таким образом, сервер узна́ет, что этот запрос связан с предыдущим. Сервер отвечает, отправляя запрашиваемую страницу и, возможно, добавив новые куки.

Значение куки может быть изменено сервером путём отправления новых строк <code>Set-Cookie: name=new_value</code>. После этого браузер заменяет старое куки с тем же name на новую строку.

Куки также могут устанавливаться программами на языках типа JavaScript, встроенными в текст страниц, или аналогичными скриптами, работающими в браузере. В JavaScript для этого используется свойство cookie объекта document — <code>document.cookie</code>. Например, <code>document.cookie = "temperature=20"</code> создаст куки под именем «temperature» и значением 20<ref>{{cite web|author=Росс Шэннон|datepublished=26 февраля 2007|url=http://www.yourhtmlsource.com/javascript/cookies.html|title=Куки и JavaScript|accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWzt4OP?url=http://www.yourhtmlsource.com/javascript/cookies.html|archivedate=2011-08-26|deadurl=yes}}</ref>.

=== Атрибуты куки ===
Кроме пары имя/значение, куки может содержать срок действия, [[Путь к файлу|путь]] и [[доменное имя]]. RFC 2965 также предусматривает, что куки должны обязательно иметь номер версии, но это используется редко. Эти атрибуты должны идти после пары <code>name=newvalue</code> и разделяться точкой с запятой. Например:

<code>Set-Cookie: name=newvalue; expires=date; path=/; domain=.example.org</code>

[[Файл:HTTP-Cookie-Google.png|thumb|right|200px|Образец HTTP-ответа google.com, содержащего куки с атрибутами.]]
Домен и путь говорят браузеру, что куки должна быть отправлена обратно на сервер при запросах [[URL]] для указанного домена и пути. Если они не указаны, используются домен и путь запрошенной страницы<ref name="rfc"/>. Фактически, куки определяются тройкой параметров имя-домен-путь (оригинальная спецификация Netscape учитывала только пару имя-путь<ref name="Netscape" />). Иными словами, куки с разными путями или доменами являются разными куки, даже если имеют одинаковые имена. Соответственно, куки меняется на новое, только если новое куки имеет те же имя, путь и домен.

Дата истечения указывает браузеру, когда удалить куки. Если срок истечения не указан, куки удаляется по окончании пользовательского сеанса, то есть с закрытием браузера. Если же указана дата истечения срока хранения, куки становится постоянной до указанной даты. Дата истечения указывается в формате «Нед, ДД Мес ГГГГ ЧЧ:ММ:СС GMT». Например:

<code>Set-Cookie: RMID=732423sdfs73242; expires=Fri, 31 Dec 2010 23:59:59 GMT; path=/; domain=.example.net</code>

куки из примера выше имеет имя RMID и значение «732423sdfs73242». Срок его хранения истечёт 31 декабря 2010 года в 23:59:59. Путь «/» и домен «example.net» показывают браузеру, что нужно отправить куки при просмотре любой страницы в домене example.net<ref name="wolenfaq">{{cite web|author=Дэвид Уолен|datepublished=6 августа 2002|url=http://www.cookiecentral.com/faq/|title=Неофициальный FAQ по куки|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX0Skd1?url=http://www.cookiecentral.com/faq/|archivedate=2011-08-26|deadurl=yes}}</ref>.

=== Условия истечения срока хранения ===
Срок хранения куки истекает в следующих случаях:<ref>{{cite web|url=http://webmaster.info.aol.com/aboutcookies.html|title=О куки|publisher=[[AOL]]|datepublished=15 марта 2004|accessdate=13 августа 2008|lang=en|deadlink=404|archiveurl=https://web.archive.org/web/20060321034700/http://webmaster.info.aol.com/aboutcookies.html|archivedate=2006-03-21|deadurl=yes}}</ref>

# В конце сеанса (например, когда браузер закрывается), если куки не являются постоянными.
# Дата истечения была указана, и срок хранения вышел.
# Браузер удалил куки по запросу пользователя.

Заметим, что сервер может узнать, когда истекают сроки хранения куки, только когда браузер отправляет на сервер эту информацию.

=== Аутентификация ===
Куки могут использоваться сервером для опознания ранее [[Аутентификация в Интернете|аутентифицированных]] пользователей. Это происходит следующим образом<ref>{{cite web|url=http://msdn.microsoft.com/en-us/library/ms936337.aspx|title=Куки и авторизация|publisher=[[MSDN]]|accessdate=13 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX0u0oM?url=http://msdn.microsoft.com/en-us/library/ms936337.aspx|archivedate=2011-08-26|deadurl=yes}}</ref>:

# Пользователь вводит имя пользователя и пароль в текстовых полях страницы входа и отправляет их на сервер.
# Сервер получает имя пользователя и пароль, проверяет их и, при их правильности, отправляет страницу успешного входа, прикрепив куки с неким идентификатором сессии. Эта куки может быть действительна не только для текущей сессии браузера, но может быть настроена и на длительное хранение.
# Каждый раз, когда пользователь запрашивает страницу с сервера, браузер автоматически отправляет куки с идентификатором сессии серверу. Сервер проверяет идентификатор по своей базе идентификаторов и, при наличии в базе такого идентификатора, «узнаёт» пользователя.

Этот метод широко используется на многих сайтах, например на [[Yahoo!]], в [[Википедия|Википедии]] и в [[Facebook]].

Многие браузеры (в частности Opera, FireFox), путём редактирования свойств куки, могут управлять поведением веб-сайтов. Изменив срок истечения непостоянных (сессионных) куки можно, например, получить формально-неограниченную сессию после авторизации на каком-либо сайте. Возможность редактирования куки стандартными средствами отсутствует в Internet Explorer. Но, воспользовавшись иными механизмами, например, JavaScript, пользователь может изменить куки-файл. Более того, существует возможность заменить сессионные куки постоянными (с указанием срока годности).

Однако серверное программное обеспечение может отслеживать такие попытки. Для этого сервер выдаёт куки на определённый срок и записывает дату окончания куки у себя или, в зашифрованном виде, в самих куки, каждый раз, когда пользователь обращается к серверу. Если куки, присланный браузером, имеет дату годности, отличную от той, что хранится на сервере или содержатся в куки, значит, имеет место попытка подмены даты годности куки. Сервер может отреагировать, например, запросив у пользователя повторную авторизацию.

== Настройка браузера ==
[[Файл:Cookies in Firefox 3.0.PNG|thumb|200px|Просмотр и настройка куки в браузере Firefox 3.0]] Большинство современных браузеров поддерживает куки<ref>{{cite web|url=http://www.itpolicies.buffalo.edu/web_browser_support/|title=Поддержка веб-браузеров|publisher=[[Университет Буффало]]|datepublished=15 ноября 2004|accessdate=13 августа 2008|lang=en|deadlink=404|archiveurl=https://web.archive.org/web/20050914065452/http://www.itpolicies.buffalo.edu/web_browser_support/|archivedate=2005-09-14|deadurl=yes}}</ref> и, как правило, пользователь может выбрать, должны куки использоваться или нет. Наиболее распространены следующие настройки браузеров<ref name="wolenfaq" />:

# Полное отключение куки.
# Удаление куки при закрытии браузера.
# Различение [[#Приватность и сторонние куки|сторонних куки]] с третьей стороны и соответствующее обращение с ними (например, ограничение или запрет для них).
# Обработка куки на основе «белого» и/или «чёрного» списков, обновляемых пользователем или изготовителем браузера. Куки из «чёрного списка» блокируются.
# Запрет куки от определённых доменов (разновидность «чёрного списка»).
# Установка разумных сроков истечения куки.

Большинство браузеров, поддерживающих JavaScript, позволяют пользователю увидеть активные на данном сайте куки, набрав <code>javascript:alert(document.cookie)</code> или <code>javascript:prompt(document.cookie)</code> в адресной строке браузера<ref name="wolenfaq" />. Некоторые браузеры содержат менеджер куки, позволяющий пользователю выборочно просмотреть и удалить куки, хранящиеся в браузере.

== Приватность и сторонние куки ==
Существует заблуждение, что куки являются программами и могут самостоятельно отслеживать действия пользователей, хотя это только фрагменты данных, хранящиеся на компьютере браузером<ref>{{cite web|url=https://www.theguardian.com/technology/2012/apr/23/cookies-and-web-tracking-intro|title=Tracking the trackers: What are cookies? An introduction to web tracking|date=23 April 2012|author=Joanna Geary|publisher=[[The Guardian]]}}</ref>. Согласно опросу, проведённому американской компанией ''Insight Express'' в 2005 году, 25% респондентов уверены в этом<ref>{{cite web|author=Brian Quinton|datepublished=18 мая 2005|url=http://searchlineinfo.com/InsightExpress_cookie_study/|title=Users Don't Understand, Can't Delete Cookies |accessdate=7 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DWyVAXI?url=http://searchlineinfo.com/InsightExpress_cookie_study/|archivedate=2011-08-26|deadurl=yes}}</ref>.

Куки значительным образом влияют на анонимность пользователей Интернета и [[конфиденциальность]] пользовательской информации. Хотя куки отправляются только на серверы домена, для которого они предназначены, веб-страница может подгружать изображения или другие компоненты из других доменов. Куки, получаемые во время подгрузки этих компонентов из других доменов, называются «сторонними»<ref>
{{статья
| автор         = 
| заглавие      = Доклад по проблеме безопасности при использовании «куки»
| оригинал      = Bittersweet cookies. Some security and privacy considerations
| ссылка        = http://ifap.ru/pr/2011/n110221b.pdf
| язык          = en
| ответственный = 
| автор издания = Европейское агентство по безопасности сетей и информационной безопасности (ENISA)
| издание       = 
| тип           = 
| место         = 
| издательство  = 
| год           = 2011
| выпуск        = 
| том           = 
| номер         = 
| страницы      = 
}}</ref>.

[[Файл:Third party cookie.png|thumb|400px|Устанавливая баннеры на разных сайтах и используя сторонние куки, рекламная компания может отследить перемещение пользователей между этими сайтами.]]
Рекламные компании используют сторонние куки для отслеживания перемещений пользователя по сайтам. В частности, рекламная компания может отслеживать пользователей на всех сайтах, где установлены их рекламные [[баннер]]ы. Знание страниц, посещённых пользователем, позволяет менять направленность рекламы в зависимости от предпочтений пользователя.

Создание профиля пользователей рассматривается как потенциальная угроза приватности даже при отслеживании в рамках одного домена, но особенно это актуально при отслеживания на нескольких доменах с использованием сторонних куки. По этой причине в некоторых странах куки регулируются законодательством.

[[Федеральное правительство США|Правительство Соединённых Штатов]] приняло строгие законы в отношении куки в 2000 году, после того, как выяснилось, что [[DEA|Агентство по борьбе с наркотиками США]] использовало куки для отслеживания пользователей, просмотревших их антинаркотическую рекламу в сети. В 2002 году Дэниел Брандт установил, что [[Центральное разведывательное управление|ЦРУ]] устанавливает на компьютеры постоянные куки со сроком хранения до 2010 года. Когда ЦРУ было уведомлено о неправомерности подобного использования куки, управление заявило, что это было непреднамеренно и прекратило их установку<ref>{{cite web|datepublished=20 марта 2002|url=http://www.cbsnews.com/stories/2002/03/20/tech/main504131.shtml|title=ЦРУ поймано на краже куки|publisher=[[CBS News]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX1WQIe?url=http://www.cbsnews.com/stories/2002/03/20/tech/main504131.shtml|archivedate=2011-08-26|deadurl=yes}}</ref>. 25 декабря [[2005 год]]а Брандт обнаружил, что [[Агентство национальной безопасности (США)|Агентство национальной безопасности]] оставляло пару постоянных куки после обновления программного обеспечения. После этого сообщения Агентство немедленно отключило куки<ref>{{cite web|datepublished=29 декабря 2005|url=https://www.nytimes.com/2005/12/29/national/29cookies.html|title=Агентство удаляет незаконные файлы слежения|publisher=[[Associated Press]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX2E9iP?url=http://www.nytimes.com/2005/12/29/national/29cookies.html|archivedate=2011-08-26|deadurl=yes}}</ref>.

Директива [[Европейский союз|Европейского союза]] 2002/58/ЕС о конфиденциальности и электронных средствах связи<ref>{{cite web|datepublished=12 июля 2002|url=http://eur-lex.europa.eu/smartapi/cgi/sga_doc?smartapi!celexapi!prod!CELEXnumdoc&lg=en&numdoc=32002L0058&model=guichett|title=Директива о неприкосновенности частной жизни и электронных коммуникаций|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX34Jxw?url=http://eur-lex.europa.eu/smartapi/cgi/sga_doc?smartapi!celexapi!prod!CELEXnumdoc|archivedate=2011-08-26|deadurl=yes}}</ref> содержит нормы, касающиеся использования куки. В частности, статья 5(3) устанавливает, что хранение данных (в том числе куки) может осуществляться лишь если:

* пользователю предоставляется информация о том, как эти данные используются;
* пользователь имеет возможность отказаться от этого.

В 2009 году Директива 2009/136/ЕС<ref>{{cite web|url=http://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32009L0136|title=Директива 2009/136/EC от 25 ноября 2009 г.|accessdate=6 июня 2017|lang=en}}</ref> внесла изменения в Директиву 2002/58/ЕС, которые вступили в силу мае 2011 года. Изменения ужесточили требования к порядку сбора информации о посетителях сайтов. Согласно новым правилам владельцы сайтов должны получать предварительное согласие посетителей на сбор информации (в том числе куки) и сообщать о действующих на сайте инструментах сбора информации<ref>{{cite web|url=http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf|title=Рабочая группа статьи 29 - Позиция 04/2012 от 7 июня 2012 об исключении из требования о получении согласия в отношении cookie файлов|accessdate=6 июня 2017|lang=en}}</ref>.

В мае 2018 года в Евросоюзе вступил в силу [[Общий регламент по защите данных]], заменивший действующую Директиву 2002/58/ЕС, относящийся ко всем сайтам, посещаемым из Евросоюза, и приравнивающий большую часть куки к другим персональным данным. В изначальном проекте предполагалось, что настройки браузера могут признаваться достаточным выражением согласия пользователя на установку куки<ref>{{cite web|url=https://www.cookielaw.org/blog/2016/5/13/the-gdpr,-cookie-consent-and-customer-centric-privacy/|title=Proposal for an ePrivacy Regulation|accessdate=6 июня 2017|lang=en}}</ref>, а согласно окончательной версии достаточно уведомления об установке куки<ref>{{cite web|url=https://texterra.ru/blog/novye-pravila-raboty-s-personalnymi-dannymi-evropeytsev.html|title=Новые правила работы с персональными данными европейцев|author=Елена Неб|publisher=texterra.ru|date=26 июня 2018}}</ref>.

Спецификация [[P3P]] включает возможность для веб-сервера сообщить браузеру о нарушении конфиденциальности, указывая характер собираемой информации и цели сбора. Сюда входит и использование информации, полученной с помощью куки. По спецификации P3P браузер может принимать или отклонять куки согласно пользовательским настройкам или же спросить пользователя.

Многие браузеры, включая [[Safari]] от [[Apple]] и [[Internet Explorer]] версий 6 и 7 от Microsoft, поддерживают спецификации P3P, которые позволяют определить, следует ли разрешать сторонние куки. Браузер [[Opera]] позволяет пользователям отказаться от сторонних куки и создать глобальные или выборочные профили безопасности для веб-доменов<ref>{{cite web|url=http://operawiki.info/NewCookieSettings|title=Настройки куки в Opera 9|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX3ifpR?url=http://operawiki.info/NewCookieSettings|archivedate=2011-08-26|deadurl=yes}}</ref>. [[Firefox]] 2 был лишён этой опции, но она была восстановлена в версии 3.

== Недостатки куки ==
Помимо проблем конфиденциальности, куки имеют и некоторые технические недостатки, присущие любым данным. В частности, они не всегда точно идентифицируют пользователя и могут быть причиной атак злоумышленников.

=== Неточная идентификация ===
Если на компьютере используется более одного браузера, то, как правило, каждый имеет отдельное хранилище для куки. Поэтому куки идентифицируют не человека, а сочетание [[Учётная запись|учётной записи]], компьютера, и браузера. Таким образом, любой человек, который использует несколько учётных записей, компьютеров или браузеров, имеет несколько наборов куки.

Аналогично, куки не различают пользователей, пользующихся одним компьютером и браузером, если не используются разные учётные записи в операционной системе.

=== Кража куки ===
Во время нормальной эксплуатации сервер и браузер пользователя постоянно обмениваются куки. Поскольку куки могут содержать конфиденциальную информацию (имя пользователя, условия доступа и т. д.), их содержимое не должно быть доступно другим. Кража куки — это акт [[Несанкционированный доступ к информации|несанкционированного перехвата куки]] посторонними.
[[Файл:Cookie-sniffing.PNG|thumb|200px|Куки могут быть украдены другим компьютером, читающим трафик сети.]]
Куки могут быть украдены с помощью анализа [[сетевой трафик|трафика]] — это называется взломом сессии. Сетевой трафик может быть перехвачен не только его отправителем и получателем (особенно в публичных сетях [[Wi-Fi]]). Этот трафик включает в себя и куки, передаваемые через незашифрованные HTTP-сессии. Там, где сетевой трафик не шифруется, злоумышленники могут прочесть сообщения пользователей сети, в том числе их куки, используя программы, называемые [[сниффер]]ами.

Шифрование сервером данных в куки снимает вопрос о их безопасности, однако, возможна подмена куки злоумышленником. Для невозможности доступа даже к зашифрованным куки может помочь установление между пользователем и сервером шифрованного соединения с использованием протокола [[HTTPS]]. Сервер также может использовать специальный флаг при установке куки, после чего браузер будет передавать их только по надёжному каналу, например, через [[SSL]]-соединение<ref name="rfc"/>.

Однако большое число веб-сайтов, даже использующих безопасные HTTPS-сессии для идентификации пользователя, затем отправляют куки и другие данные более простым незашифрованным HTTP-соединением. Злоумышленники могут легко перехватить куки других пользователей и использовать их на соответствующих веб-сайтах<ref>{{cite web|datepublished=3 августа 2007|url=http://news.bbc.co.uk/2/hi/technology/6929258.stm|title=Wi-fi взлом веб-почты|publisher=[[BBC News]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX4CmXi?url=http://news.bbc.co.uk/2/hi/technology/6929258.stm|archivedate=2011-08-26|deadurl=yes}}</ref>.
[[Файл:Cookie-theft.PNG|thumb|200px|Межсайтовый скриптинг: куки должны обмениваться лишь между сервером и клиентом, а отправляются третьей стороне.]] Для того чтобы гарантировать передачу куки только через HTTPS-сессию, куки должны иметь атрибут Secure.

Другой способ кражи куки — [[межсайтовый скриптинг]] и несанкционированная отправка куки на серверы, которые не должны получать их. Современные браузеры могут исполнять фрагменты кода, полученные с сервера. Если куки доступны во время этого исполнения, их содержимое может в той или иной форме оказаться на серверах, которые не должны получать к ним доступ. Шифрование куки не поможет в этом случае<ref>{{cite web|datepublished=май 2002|url=http://www.cgisecurity.com/articles/xss-faq.shtml#theft|title=На что похожа XSS-кража куки?|publisher=[[Cgisecurity.com]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX53rTG?url=http://www.cgisecurity.com/articles/xss-faq.shtml#theft|archivedate=2011-08-26|deadurl=yes}}</ref>.

Следующий вид межсайтового скриптинга, как правило, используют на сайтах, где пользователям разрешено отправлять сообщения с HTML-содержимым. При вставке соответствующего PHP/Javascript -кода в сообщение атакующий может получить куки других пользователей.

Эти атаки можно предотвратить установкой флага HttpOnly<ref>{{cite web|url=http://msdn.microsoft.com/en-us/library/ms533046.aspx|title=Снижение опасности межсайтового скриптинга с помощью HTTP-only кук|publisher=Microsoft|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/60ujxtZnN?url=http://msdn.microsoft.com/en-us/library/ms533046.aspx|archivedate=2011-08-13|deadurl=yes}}</ref>, делающей куки недоступными для скриптов со стороны клиента. Тем не менее, веб-разработчики должны предусматривать защиту от межсайтового скриптинга на стадии [[Веб-разработка|разработки]] веб-сайтов<ref>{{cite web|author=Майкл Ховард|coauthors=Кит Браун|datepublished=2000|url=http://msdn.microsoft.com/ru-ru/magazine/cc188938(en-us).aspx|title=10 советов по защите кода|publisher=Microsoft|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX5Tc3Z?url=http://msdn.microsoft.com/ru-ru/magazine/cc188938(en-us).aspx|archivedate=2011-08-26|deadurl=yes}}</ref>.

=== Подмена куки ===
* <!--понятия «Отравление куки» не существует. Такое понятие существует(-вовало) только на русской Википедии. Не надо переводить английские слова на русский дословно! Забейте в гугле(google.ru) варианты «Подмена куки» и «Отравление куки» (с кавычками) и вы увидите что правильное понятие это «Подмена куки»-->
[[Файл:Cookie-poison.PNG|thumb|200px|Подмена куки: атакующий отправляет серверу подложные куки, возможно изменив легитимные куки, ранее полученные от сервера.]]
Хотя теоретически куки должны сохраняться и отправляться назад на сервер неизменными, злоумышленник может изменить их содержимое перед отправкой. К примеру, куки могут содержать общую сумму, которую пользователь должен уплатить за свои покупки; изменив это значение, злоумышленник сможет заплатить меньше установленной суммы. Процесс изменения содержимого куки называется ''подменой куки''.

Для защиты от подобных атак большинство веб-сайтов хранит в куки лишь идентификатор сессии — случайно сгенерированное число или набор символов, используемое для определения сессии, в то время как вся другая информация хранится на сервере. В этом случае подмена куки значительно затрудняется.

=== Межсайтовые куки ===
[[Файл:Cookie-cooking.PNG|thumb|200px|Атакующий использует баг браузера для отправки серверу подложных куки.]]
Каждый сайт должен иметь свои собственные куки, и сайт <nowiki>example.com</nowiki> не должен изменять или устанавливать куки другого сайта <nowiki>example.org</nowiki>. Уязвимости веб-браузеров позволяют вредоносным сайтам нарушать это правило. Это похоже на отправление куки, но здесь злоумышленник атакует пользователей с уязвимыми браузерами, а не сайт напрямую. Целью таких атак могут быть идентификаторы сессий.

Для защиты пользователям рекомендуется использовать последние версии браузеров, в которых эта проблема исправлена.

=== Нестабильность между клиентом и сервером ===
Куки могут вызвать противоречия между клиентом и сервером. Если пользователь получает куки, а затем нажимает кнопку «Назад» в браузере, то состояние браузера уже другое по сравнению с моментом получения куки. Для примера возьмем электронный магазин с корзиной покупок, основанной на применении куки: пользователь добавляет покупку в корзину, затем нажимает кнопку «Назад», но покупка остаётся в корзине, хотя пользователь, возможно, хотел отменить покупку. Это может привести к путанице и ошибкам. Веб-разработчики должны помнить об этом и принимать меры для решения таких ситуаций.

=== Срок действия куки ===
Постоянные куки критикуются экспертами за свой долгий срок хранения, который позволяет веб-сайтам отслеживать пользователей и создавать их профиль с течением времени.<ref>{{cite web|author=Элинор Милз|datepublished=16 июля 2007|url=http://news.cnet.com/8301-10784_3-9745630-7.html|title=Google снижает срок хранения куки для повышения безопасности|publisher=[[CNET Networks]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX60XTx?url=http://news.cnet.com/8301-10784_3-9745630-7.html|archivedate=2011-08-26|deadurl=yes}}</ref> Здесь затрагиваются и вопросы безопасности, поскольку украденные постоянные куки могут использоваться на протяжении значительного периода времени.

Кроме того, правильно составленная вредоносная программа, которая может быть запущена после аутентификации пользователя, сможет перенести сессионные куки на компьютер злоумышленника, что в первом приближении позволит посещать защищённый сайт без ввода имени пользователя и пароля сколь угодно долгое время.

Обычные куки имеют хоть и очень большой, но ограниченный «срок жизни», после чего удаляются. Кроме того, любые куки в браузере можно удалить с помощью специальной опции. В результате браузер перестает идентифицировать посетителя при повторном заходе на сайт. Польский специалист Сэмми Камкар решил систематизировать наиболее «живучие» куки, в результате чего появилась JavaScript-библиотека под названием Everycookie. Такие чудо-куки теоретически позволяют идентифицировать любого посетителя сайта при его возвращении на страницу. Сайт, использующий библиотеки Everycookie, без труда обходит все меры по сохранению анонимности (хотя некоторые антивирусы могут определять такие сайты как опасные). Для защиты от Everycookie рекомендуется использование режима Private Browsing, либо специальных программ, таких, как Mil Shield.

== Использование куки ==

=== Управление сессиями ===
Файлы куки были изначально представлены, чтобы предоставить пользователям возможность записывать товары, которые они хотят приобрести, когда они перемещаются по веб-сайту (виртуальная «корзина покупок» или «корзина покупок»).<ref>{{Книга|автор=Kesan, Jey; and Shah, Rajiv|заглавие=Deconstructing Code|ответственный=|издание=|место=|издательство=|год=|страницы=|страниц=|isbn=|isbn2=}}</ref> <ref>{{Книга|автор=David Kristol|заглавие=HTTP Cookies: Standards, privacy, and politics|ответственный=|издание=ACM Transactions on Internet Technology|место=|издательство=|год=2001|страницы=151–198|страниц=|isbn=|isbn2=}}</ref> Однако сегодня содержимое корзины покупок пользователя обычно хранится в базе данных на сервере, а не в файле куки о клиенте. Чтобы отслеживать, какой пользователь относится к какой корзине покупок, сервер отправляет клиенту файл куки, содержащий уникальный идентификатор сеанса (обычно длинную строку случайных букв и цифр). Поскольку файлы куки отправляются на сервер при каждом запросе клиента, этот идентификатор сеанса будет отправляться обратно на сервер каждый раз, когда пользователь посещает новую страницу на веб-сайте, которая позволяет серверу узнать, какую корзину покупок отобразить пользователю.

Другое популярное использование куки для входа на веб-сайты. Когда пользователь посещает страницу входа на веб-сайт, веб-сервер обычно отправляет клиенту файл куки, содержащий уникальный идентификатор сеанса. Когда пользователь успешно входит в систему, сервер запоминает, что этот конкретный идентификатор сеанса был аутентифицирован, и предоставляет пользователю доступ к его услугам.

Поскольку куки-файлы сеанса содержат только уникальный идентификатор сеанса, это делает объем личной информации, которую веб-сайт может сохранить о каждом пользователе, практически неограниченным - веб-сайт не ограничен ограничениями, касающимися размера файла куки. Сеансовые куки-файлы также помогают сократить время загрузки страницы, поскольку объем информации в сессионном куки-файле невелик и требует небольшой полосы пропускания.

=== Персонализация ===
Файлы куки могут использоваться для запоминания информации о пользователе, чтобы со временем показывать ему соответствующий контент. Например, веб-сервер может отправить файл куки, содержащий имя пользователя, которое в последний раз использовалось для входа на веб-сайт, чтобы он мог автоматически заполняться при следующем входе пользователя в систему.

Многие веб-сайты используют файлы куки для персонализации в соответствии с предпочтениями пользователя. Пользователи выбирают свои предпочтения, вводя их в веб-форму и отправляя форму на сервер. Сервер кодирует настройки в куки и отправляет куки обратно в браузер. Таким образом, каждый раз, когда пользователь получает доступ к странице на веб-сайте, сервер может персонализировать страницу в соответствии с предпочтениями пользователя. Например, поисковая система Google однажды использовала файлы куки, чтобы позволить пользователям (даже незарегистрированным) решать, сколько результатов поиска на странице они хотят видеть.

=== Отслеживание ===
Файлы куки используются для отслеживания привычек пользователей в Интернете. Это также можно сделать в некоторой степени, используя IP-адрес компьютера, запрашивающего страницу, или поле referer заголовка HTTP-запроса, но куки-файлы позволяют повысить точность. Это можно продемонстрировать, если пользователь запрашивает страницу сайта, но запрос не содержит куки, сервер предполагает, что это первая страница, которую посетил пользователь. Таким образом, сервер создаёт уникальный идентификатор (обычно последовательность случайных букв и цифр) и отправляет его в виде файла куки в браузер вместе с запрашиваемой страницей.

С этого момента куки будет автоматически отправляться браузером на сервер каждый раз, когда запрашивается новая страница с сайта. Сервер не только отправляет страницу как обычно, но также сохраняет URL запрошенной страницы, дату / время запроса и файл куки в файле журнала.

Анализируя этот файл журнала, можно определить, какие страницы посетил пользователь, в какой последовательности и как долго.

== Альтернативы куки ==
Некоторые операции, для которых используются куки, могут быть реализованы с помощью других механизмов. Тем не менее, эти альтернативы имеют свои недостатки, которые делают куки порой более предпочтительными на практике. Большинство этих альтернатив позволяет отслеживать пользователя, хотя и менее надёжным способом, чем куки. Как результат, неприкосновенность частной жизни остаётся под угрозой, даже если куки отключены браузером или не устанавливаются сервером.

=== IP-адрес ===
{{main|IP-адрес}}
Этот ненадёжный метод отслеживания пользователей основан на хранении [[IP-адрес]]ов компьютеров, просматривающих страницы. Данная техника доступна с самого появления [[World Wide Web]], которая требует знания IP-адреса клиента для загрузки страницы. Эту информацию можно хранить на сервере вне зависимости от того, используются куки или нет.

Тем не менее этот способ менее надёжен, чем куки, поскольку компьютеры и прокси могут совместно использоваться несколькими пользователями, а один компьютер может использовать разные IP-адреса в разных сессиях (динамический IP-адрес).

Отслеживание по IP-адресу может оказаться невозможным и при использовании систем сохранения анонимности (например, [[Tor]]). В таких системах один браузер может иметь несколько IP-адресов, и несколько пользователей могут использовать один IP-адрес, в результате чего отслеживание IP-адреса не представляется возможным.

Некоторые крупные провайдеры, включая [[AOL]], пропускают весь веб-трафик через сеть [[Прокси-сервер|прокси]]{{нет АИ|19|08|2010}}, что также делает этот метод неосуществимым.

=== URL (строка запроса) ===
{{main|URL}}
Более прогрессивная методика основана на встраивании данных в URL. Обычно для этого используется строка запроса, но так же могут задействоваться и другие части URL. Языки [[JavaScript]] и [[PHP]] активно используют эти механизмы при отключённых куки.

Веб-сервер добавляет строку запроса к ссылке на веб-страницу при её отправке в браузере. Когда пользователь переходит по ссылке, браузер возвращает строку запроса серверу.

В этом плане строка запроса и куки очень схожи: они являются фрагментами информации сервера, возвращаемой обратно браузером. Но есть и определённые различия: так как строка запроса является частью URL, то при повторном использовании этого URL на сервер передастся та же информация. Например, если опции пользователя кодированы в строке запроса URL, и пользователь отправляет этот URL другому пользователю, эти опции будут действовать и для другого пользователя.

Более того, даже если пользователь повторно обращается к одной и той же странице, нет никакой гарантии, что строка запроса останется неизменной. Например, при переходе с внутренних страниц сайта и с внешних поисковых систем, строки запроса будут разным, когда куки оставались бы одинаковыми.

Другой недостаток строки запроса проявляется в вопросах безопасности: хранение идентификатора сессии в строке запроса упрощает проведение атаки. Передача идентификатора в куки более безопасна.

=== Скрытые поля формы ===
Одним из способов отслеживания сессии с помощью выполняемой на стороне сервера программы является использование веб-форм со скрытыми полями. Этот метод очень похож на строку запроса URL и обладает почти теми же преимуществами и недостатками, а если параметры формы отправляются HTTP-методом GET, то поля фактически станут частью URL, который браузер отправит на сервер. Но большинство форм обрабатывается HTTP POST, при которой информация не является ни частью URL, ни куки.

Этот подход даёт два преимущества в вопросе отслеживания: во-первых, вставка информации в HTML-код и в POST, а не в URL, означает, что средний пользователь её просто не заметит, во-вторых, информация сессии не копируется с копированием URL (например, когда пользователь отправляет ссылку по электронной почте). Недостаток метода состоит в том, что информация сессии содержится в HTML-коде, поэтому веб-страница должна генерироваться каждый раз, когда её запрашивают, что увеличивает нагрузку на веб-сервер.

=== HTTP-аутентификация ===
Протокол HTTP включает в себя базовую аутентификацию и шифрование, которые разрешают доступ к странице, только когда пользователь введёт правильное имя пользователя и пароль. Если сервер запрашивает подобное, то браузер обращается к пользователю и, получив нужные данные, сохраняет и использует их для доступа к другим страницам, не требуя от пользователя вводить их заново. С точки зрения пользователя эффект тот же, что и при использовании куки: имя пользователя и пароль требуются лишь однажды, и потом пользователь получает доступ к сайту. При базовой аутентификации сочетание имени пользователя и пароля отправляется на сервер при каждом запросе браузера в незашифрованном виде. Это означает, что если кто-то перехватывает трафик, он сможет получить эту информацию и впоследствии использовать. При шифрованной аутентификации имя пользователя и пароль шифруются со случайным [[Ключ (криптография)|ключом]], созданным сервером.

=== Сохранение на клиентской стороне ===
Некоторые веб-браузеры позволяют странице сохранять информацию локально для последующего извлечения. Internet Explorer, например, поддерживает сохранение информации в истории, [[Избранное|избранном]], [[XML]]-хранилище, или позволяет провести прямое сохранение веб-страницы на диск<ref>{{cite web|url=http://msdn.microsoft.com/en-us/library/ms533007(VS.85).aspx|title=Введение в Хранение|publisher=[[MSDN]]|accessdate=8 августа 2008|lang=en|archiveurl=https://www.webcitation.org/61DX6fnF2?url=http://msdn.microsoft.com/en-us/library/ms533007(VS.85).aspx|archivedate=2011-08-26|deadurl=yes}}</ref>.

Немного отличный механизм используется в браузерах, [[кэш]]ирующих файлы javascript, используемые в веб-странице. Например, страница может содержать ссылку <code>&lt;script type="text/javascript" src="example.js"&gt;</code>. С загрузкой страницы загружается и example.js. Затем скрипт кэшируется и не требует загрузки при повторном посещении страницы. В результате, если скрипт содержит такое значение, как id=3243242, этот идентификатор остаётся в силе и может быть использован другим сценарием javascript или другой страницей, запрашивающей этот скрипт.

=== Веб-токены JSON ===
JSON Web Token (JWT) – это автономный пакет информации, который можно использовать для хранения информации о личности и подлинности пользователя. Это позволяет использовать их вместо файлов cookie сеанса. В отличие от файлов куки, которые автоматически присоединяются к каждому HTTP-запросу браузером, JWT должны быть явно присоединены веб-приложением к каждому HTTP-запросу.

=== DOM Window.name ===
Все современные веб-браузеры могут хранить довольно большой объем данных (2–32 МБ) через JavaScript, используя свойство DOM window.name. Эти данные могут использоваться вместо файлов cookie сеанса и также являются междоменными. Техника может быть объединена с объектами JSON / JavaScript для хранения сложных наборов переменных сеанса<ref>{{Cite web|url=https://github.com/ironboy/mongresto/tree/master|title=ThomasFrank.se|author=|website=ThomasFrank.se|date=2010-05-22|publisher=}}</ref> на стороне клиента.

=== Кэш браузера ===
Веб-кэш также может использоваться для хранения информации, которая может использоваться для отслеживания отдельных пользователей. Этот метод использует преимущество того факта, что веб-браузер будет использовать ресурсы, хранящиеся в кэше, вместо загрузки их с веб-сайта, когда он определит, что в кэше уже установлена самая последняя версия ресурса.

Например, веб-сайт может обслуживать файл JavaScript с кодом, который устанавливает уникальный идентификатор для пользователя (например, var userId = 3243242;). После первоначального посещения пользователя, каждый раз, когда пользователь заходит на страницу, этот файл будет загружаться из кэша, а не загружаться с сервера. Таким образом, его содержание никогда не изменится.

== Настройки браузера ==
Большинство современных браузеров поддерживают файлы куки и позволяют пользователю отключать их. Ниже приведены общие варианты<ref>{{Cite web|url=http://www.cookiecentral.com/faq/|title=The Unofficial Cookie FAQ v2.6|author=David Whalen|website=|date=2002|publisher=}}</ref>:

* Полностью включить или отключить файлы куки, чтобы они всегда были приняты или всегда блокировались.
* Для просмотра и выборочного удаления файлов куки используется менеджер файлов cookie.
* Чтобы полностью стереть все личные данные, в том числе куки.
* По умолчанию Internet Explorer разрешает сторонние файлы cookie только в том случае, если они сопровождаются P3P-полем «CP» (компактная политика)<ref>{{Cite web|url=https://grack.com/blog/2010/01/06/3rd-party-cookies-dom-storage-and-privacy/|title=3rd-Party Cookies, DOM Storage and Privacy : Matt Mastracci's blog|author=|website=grack.com|date=2010|publisher=}}</ref>.

== См. также ==
* [[Magic cookie]]
* [[Web Storage]]
* [[Локальные общие объекты]]
* [[Браузер]]
* [[JSON Web Token]]

== Примечания ==
{{примечания|2}}

== Ссылки ==
{{Навигация
 |Викиучебник  = Защита конфиденциальных данных и анонимность в интернете
}}
* RFC 6265{{ref-en}} — текущая официальная спецификация для куки
* RFC 2964{{ref-en}} — «Использование механизмов управления состоянием HTTP-сессии»
* RFC 2965{{ref-en}} — «Механизмы контроля состояния HTTP-сессии. Новая ревизия. HTTP-Cookies 2»
* [http://www.citforum.ru/internet/html/cookie.shtml Что такое cookies и как с ними работать]
{{HTTP}}

[[Категория:Веб-программирование]]
[[Категория:Интернет]]
[[Категория:Протокол HTTP]]
[[Категория:История Интернета]]
[[Категория:Стандарты Интернета]]
[[Категория:Всемирная паутина]]