Что такое cookie: типы, назначение и очистка в браузере

Cookie — это небольшие фрагменты данных, которые сайт сохраняет в браузере и получает обратно вместе с запросами: они используются для сессий входа, корзины покупок и предпочтений. В статье разбираем отличия first-party и third-party cookie, разницу между cookie, кешем и локальным хранилищем, а также шаги очистки в Chrome, Edge, Firefox и Safari.

Cookie (куки) — это небольшие фрагменты данных, которые сайт передаёт браузеру на сохранение. При каждом следующем посещении того же сайта браузер возвращает соответствующие cookie вместе с запросом — по правилам, связанным с доменом, путём, атрибутами безопасности и сроком действия. Благодаря этому сайт может «запоминать» вашу авторизацию, корзину покупок, язык и другие предпочтения.

Сначала уточним два момента: cookie — это не вирус и не ваш пароль. Грамотно устроенная система авторизации обычно хранит в cookie лишь случайный идентификатор сессии, а сервер по этому идентификатору определяет состояние аккаунта, а не записывает имя пользователя и пароль прямо в cookie. Однако если сессионный cookie похищен, злоумышленник всё равно сможет воспользоваться вашим авторизационным статусом, поэтому cookie одновременно приносят удобство и требуют защиты.

Ниже по порядку разберём принцип работы, практическое применение, распространённые типы, риски для конфиденциальности и шаги по очистке.

Протокол HTTP по своей природе «не хранит состояние»: сервер по умолчанию не запоминает, что два запроса пришли от одного пользователя. Согласно руководству MDN по cookie, сервер может с помощью Set-Cookie в ответе попросить браузер сохранить данные, а браузер затем отправляет их обратно в заголовке запроса Cookie в запросах, удовлетворяющих условиям.

Упрощённый процесс авторизации выглядит примерно так:

Пользователь отправляет имя пользователя и пароль.
Сервер успешно проверяет их и создаёт сессию авторизации.
Сервер возвращает cookie, содержащий идентификатор сессии.
При переходе на следующую страницу браузер автоматически отправляет этот cookie.
Сервер считывает идентификатор сессии и подтверждает, что пользователь остаётся авторизованным.

Один cookie обычно занимает всего несколько килобайт — подходит для идентификаторов и небольшого состояния, но не для больших объёмов данных. Изображения, скрипты и копии страниц относятся к кешу; более крупные структурированные данные браузера обычно хранятся в localStorage, sessionStorage или IndexedDB.

1. Управление сессиями

Cookie поддерживают состояние авторизации, корзину покупок, прогресс заполнения форм или игровые сессии. Без такого механизма состояния сайт после обновления страницы, скорее всего, не сможет понять, что вы только что сделали.

2. Сохранение предпочтений

Язык, светлая или тёмная тема, регион, порядок сортировки товаров и настройки вида «больше не показывать» могут сохраняться через cookie или другие механизмы хранения сайта.

3. Безопасность и управление рисками

Сайты могут использовать сессионные cookie для проверки запросов и фиксировать временное состояние устройства или процесса входа. Разработчики обычно задают для чувствительных cookie атрибуты Secure, HttpOnly и подходящий SameSite, чтобы снизить риск хищения и межсайтовых запросов.

4. Аналитика и реклама

Сайты также используют cookie для подсчёта посещений, атрибуции рекламы или распознавания повторных посетителей. First-party аналитика происходит только в пределах текущего сайта; сторонние же сервисы, встраиваемые на множество сайтов, могут с помощью third-party cookie формировать межсайтовый поведенческий профиль — это и есть самое спорное применение с точки зрения конфиденциальности.

Cookie можно классифицировать по разным признакам, и один и тот же cookie может одновременно относиться к нескольким типам.

Критерий	Тип	Значение
Источник	First-party cookie	Устанавливается или считывается текущим сайтом из адресной строки
Источник	Third-party cookie	Поступает от контента других сайтов, встроенного в страницу
Жизненный цикл	Сессионный cookie	Не имеет явного срока действия; обычно удаляется после завершения сессии
Жизненный цикл	Постоянный cookie	Срок действия задаётся через `Expires` или `Max-Age`
Назначение	Необходимые cookie	Поддерживают ключевые функции: авторизацию, безопасность, корзину покупок
Назначение	Cookie предпочтений	Сохраняют выбор языка, региона, оформления страницы
Назначение	Аналитические и рекламные cookie	Для статистики трафика, атрибуции или персонализированной рекламы

Утверждение «сессионный cookie обязательно исчезает при закрытии браузера» тоже не абсолютно. Функция восстановления сессий в браузерах может хранить его дольше; итоговое поведение зависит от браузера и настроек атрибутов cookie.

Элемент	Где хранится	Основная роль	Удаляется ли вместе с очисткой cookie
Cookie	Данные сайтов в браузере	Сессии, предпочтения, атрибуция	Да, в зависимости от выбранных пунктов очистки
Кеш	Диск/память браузера	Ускоряет загрузку изображений, скриптов и ресурсов страниц	Не обязательно; кеш нужно отмечать отдельно
localStorage	Данные сайтов в браузере	Хранит крупные долгоживущие front-end данные	Обычно удаляется при очистке «данных сайтов»; при удалении только cookie — не обязательно
sessionStorage	Сессия текущей вкладки	Хранит временное состояние страницы	Обычно вместе с завершением сессии вкладки
Отпечаток браузера	Вычисляется сайтом по характеристикам устройства	Позволяет различать браузеры при отсутствии cookie	Нет: очистка cookie не меняет аппаратные и системные характеристики

Это же объясняет, почему после очистки cookie сайт всё равно может узнать вас по авторизованному аккаунту, IP-адресу, настройкам браузера или поведенческим признакам. Очистка cookie решает вопрос сохранённого состояния сайта, но это не полноценная схема анонимизации.

Баннеры cookie обычно делят цели на категории: «необходимые», «предпочтения», «статистика», «маркетинг». Нажатие «Принять все» обычно означает разрешение необязательных аналитических или рекламных cookie; выбор «только необходимые» обычно оставляет лишь функции, нужные для авторизации и безопасности, и одновременно отклоняет часть трекинговых сценариев.

При выборе можно руководствоваться тремя принципами:

На незнакомых сайтах предпочтительнее выбирать «только необходимые» или настраивать параметры вручную;
Не стоит принимать всё только потому, что баннер выглядит сложно;
Если после отказа от необязательных cookie сайт становится полностью непригодным, стоит оценить, стоит ли продолжать им пользоваться.

Важно понимать: отказ от cookie не делает вас полностью анонимным в сети. Сайт по-прежнему может использовать авторизованный аккаунт, серверные логи, IP-адрес, хранилища браузера и другие технологии. Однако сокращение ненужных сторонних cookie действительно снижает часть межсайтового отслеживания.

Не стоит превращать «ежедневную очистку всех cookie» в обязательную рутину по безопасности. Она будет приводить к частым выходам с сайтов, потере предпочтений и может прервать корзину покупок или незавершённые формы. Более уместные сценарии очистки включают:

Сайт зацикленно требует авторизацию, состояние страницы некорректно или постоянно сообщает об истечении сессии;
После переключения аккаунта всё ещё отображаются данные предыдущего пользователя;
Вы входили на общем или публичном компьютере;
Вы хотите отозвать сохранённые на сайте согласия и предпочтения;
Вы заметили подозрительную сессию и хотите принудительно пройти повторную авторизацию;
Вы тестируете веб-страницы и хотите проверить путь нового посетителя.

При диагностике проблемы на одном сайте лучше сначала удалить данные только этого сайта — влияние будет значительно меньше, чем при «полной очистке».

Согласно официальной справке Google Chrome, в настольной версии можно удалить все cookie или cookie отдельных сайтов.

Откройте Chrome и нажмите на значок с тремя точками в правом верхнем углу.
Выберите «Очистить историю».
Выберите временной диапазон, например «Последний час» или «Всё время».
Отметьте «Файлы cookie и другие данные сайтов».
При необходимости выберите, удалять ли также кеш, затем нажмите «Удалить данные».

Удаление только конкретного сайта

Откройте «Настройки» → «Конфиденциальность и безопасность» → «Сторонние cookie».
Откройте «Просмотр всех данных и разрешений сайтов».
Найдите название сайта.
Нажмите соответствующую кнопку удаления и подтвердите.

Тексты в меню могут немного отличаться в зависимости от языка системы и версии. Можно также ввести в адресной строке «очистить историю» и быстро открыть окно очистки через подсказку действия Chrome.

Согласно официальной справке Microsoft Edge:

Нажмите «Настройки и прочее» → «Настройки».
Откройте «Конфиденциальность, поиск и службы».
В разделе «Удалить данные просмотра» выберите «Выберите, что нужно удалить».
Выберите временной диапазон и отметьте «Файлы cookie и другие данные сайтов».
Нажмите «Удалить сейчас».

Окно очистки также можно открыть напрямую с помощью сочетания клавиш Ctrl + Shift + Delete.

Удаление только конкретного сайта

Откройте «Конфиденциальность, поиск и службы» → «Файлы cookie» → «Просмотр всех файлов cookie и данных сайтов», найдите сайт и удалите соответствующую запись.

Официальное руководство Mozilla Firefox предлагает три уровня очистки:

Удаление данных текущего сайта

Зайдите на нужный сайт, нажмите на значок щита слева от адресной строки и выберите «Очистить cookie и данные сайтов».

Удаление данных конкретного сайта

Откройте «Настройки» → «Приватность и защита», в разделе «Cookie и данные сайтов» выберите «Управление данными…», найдите сайт и удалите его.

Откройте «Настройки» → «Приватность и защита», нажмите «Очистить данные…», выберите временной диапазон и отметьте cookie и данные сайтов. Если нужно удалить только cookie, убедитесь, что другие элементы истории или кеш не отмечены одновременно.

На Mac руководство пользователя Apple Safari предлагает следующий путь:

Откройте Safari.
Выберите «Safari» → «Настройки».
Нажмите «Конфиденциальность».
Выберите «Управление данными веб-сайтов».
Выделите один или несколько сайтов и нажмите «Удалить» или сразу — «Удалить все».

Apple предупреждает: удаление данных сайтов снижает часть отслеживания, но может также привести к выходу с сайтов или изменить их поведение; удалённые в Safari данные могут затронуть и связанные данные сайтов в других приложениях.

Самые распространённые изменения включают:

Большинство сайтов потребует повторной авторизации;
Корзина покупок, язык, регион или тема могут сброситься;
Баннеры согласия на cookie могут появиться снова;
Часть ошибок страниц устранится;
Сохранённые пароли обычно не удаляются, если только вы дополнительно не отметили пароли при очистке;
Серверные записи аккаунта, заказы, публикации и облачные файлы не удаляются из-за очистки cookie.

Если вы подозреваете взлом аккаунта, одной очистки cookie недостаточно. Стоит выйти из других сессий на странице безопасности аккаунта, сменить пароль, включить многофакторную аутентификацию и проверить резервную почту и авторизации приложений.

От постоянной «чистки cookie» чаще всего страдают те, кто ведёт несколько бизнесов одновременно. Например, специалист по трансграничной электронной коммерции, который входит в панели управления сразу нескольких магазинов, или рекламный специалист, переключающийся между несколькими рекламными аккаунтами на Facebook, TikTok и Google. В такой ситуации постоянные входы, выходы и полная очистка cookie в одном обычном браузере легко приводят к случайному входу не в тот аккаунт, к перепутыванию состояний авторизации разных аккаунтов и даже к удалению критичной сессии бизнеса A.

Если у вас действительно есть легитимная потребность управлять несколькими независимыми авторизациями, можно использовать PurpleMark, чтобы создать для каждого магазина или аккаунта отдельную среду браузера. В каждой среде свои независимые cookie, кеш и локальное хранилище: состояние входа магазина A хранится в среде A, аккаунта B — в среде B, и они не пересекаются. При необходимости вы переключаетесь между средами, а не очищаете всё и не начинаете заново.

Здесь важно подчеркнуть: размещение cookie в отдельных средах решает задачу упорядочивания — «какой бизнес использует какое состояние входа, чтобы они не перепутывались». Это не означает, что можно обходить правила платформ, автоматически скрывать свой реальный IP-адрес, изменять корпоративные данные или устранять оценку платформами поведения аккаунтов и платёжных связей. Перед использованием нескольких сред авторизации в правовом поле всё равно нужно убедиться, что юридическое лицо и цели каждого аккаунта соответствуют политике соответствующей платформы.

Кроме того, используете ли вы отдельные среды или нет, не покупайте, не импортируйте и не передавайте cookie авторизации из ненадёжных источников. Cookie часто содержат действующие сессии: при утечке это фактически передача доступа к аккаунту в чужие руки.

Если вы разработчик или отвечаете за сайт, избегайте сохранения в cookie напрямую паролей, номеров удостоверений личности или полных платёжных данных. Авторизационный cookie обычно должен:

Отправляться только по HTTPS и иметь атрибут Secure;
Иметь HttpOnly, чтобы снизить риск считывания сессии скриптами на стороне фронтенда;
Иметь подходящий SameSite в зависимости от бизнес-модели;
Иметь короткий срок действия для чувствительных сессий, а после входа — перегенерировать идентификатор сессии;
Предусматривать возможность выхода и отзыва всех сессий;
Прозрачно описывать цели cookie и предоставлять выбор в соответствии с применимым законодательством.

Такие практики, как «cookie-зомби», которые незаметно воссоздают идентификатор после его удаления пользователем, нарушают принцип контроля со стороны пользователя и могут нести регуляторные риски.

Часто задаваемые вопросы

Грамотные системы авторизации обычно хранят идентификатор сессии, а не пароль в открытом виде. Функция «сохранения паролей» в браузере относится к менеджеру паролей — это отдельный механизм, не связанный с cookie.

Нет. Cookie хранят сессии и предпочтения, а кеш — ресурсы страниц. В окнах очистки браузеров они часто сгруппированы вместе, но отметить их можно по отдельности.

Во время работы окна инкогнито cookie всё равно используются для поддержки входа и корзины; после закрытия всех окон инкогнито эти временные данные сайтов обычно удаляются. Однако сайты и поставщики сетевых услуг всё же могут видеть журнал ваших посещений.

Блокировка сторонних cookie уменьшает часть межсайтового отслеживания, но может также сломать встроенные компоненты входа, оплаты, видео или соцсетей. Более надёжный подход — ограничивать их по умолчанию, а затем добавлять исключения для проверенных сайтов, которым они действительно нужны.

Заключение

Cookie — это базовый механизм, который даёт «память» веб-страницам без состояния: они поддерживают вход, корзину покупок и персонализацию, но могут использоваться и для аналитики, и для межсайтового отслеживания. По-настоящему эффективное управление — это не слепая ежедневная очистка, а понимание того, какие данные какому сайту принадлежат, удаление только по необходимости, сокращение ненужных сторонних cookie и защита авторизационных сессий от утечек.

При сбое на отдельном сайте сначала удалите данные этого сайта; после работы на общем компьютере вовремя выйдите и очистите данные; при подозрении на инцидент безопасности действуйте вместе со сменой пароля и отзывом сессий. Так вы достигнете более практичного баланса между удобством и конфиденциальностью.