HTTP cookie

Jako cookie (anglicky koláček, oplatka, sušenka) se v protokolu HTTP označuje malé množství dat, která WWW server pošle prohlížeči, který je uloží na počítači uživatele. Při každé další návštěvě téhož serveru pak prohlížeč tato data posílá zpět serveru. Cookies běžně slouží k rozlišování jednotlivých uživatelů, ukládají se do nich uživatelské předvolby apod. Myšlenku cookies navrhl v 90. letech Lou Montulli, tehdy pracující u firmy Netscape Communications.

Technické podrobnosti

Přestože většina prohlížečů cookies podporuje, jiné jednodušší prohlížeče (např. na mobilních zařízeních) je podporovat nemusejí; navíc cookies lze ve většině prohlížečů zakázat. Pokud prohlížeč cookies podporuje, měl by splňovat tyto minimální limity:^[1]

podpora alespoň 300 cookies^[1]
alespoň 4 KB na data jedné cookie
alespoň 20 cookies na doménu^[2]
pokud některé prohlížeče nemohou přijmout větší cookie, nesmí „oříznout“ jeho obsah, ale nepřijmout ho jako takové.

Cookies se ukládají na straně klienta (uživatele) jako krátké textové soubory (např. pro Internet Explorer ve Windows XP do adresáře c:\Documents and Settings\Jméno uživatele\Cookies) a to pro každé webové místo (website).

Funkce cookies je definována v RFC 2965 pomocí HTTP hlaviček Set-Cookie (nebo její novější varianty Set-Cookie2) a Cookie. Hlavička Set-Cookie je poslána v odpovědi serveru a obsahuje:

název (identifikátor) cookie
data cookie (omezená prohlížečem, vyžadována je podpora alespoň pro 4096 byte),
dobu platnosti cookie (resp. čas, kdy hodnota vyprší),
doména, pro kterou cookie platí,
adresář na serveru, pro který cookie platí.

Pokud má prohlížeč alespoň jednu cookie pro daný server (a daný adresář na něm), posílá s každým dotazem danému serveru i hlavičku Cookie, která obsahuje stejná data, která server původně poslal.

V prohlížečích s podporou JavaScriptu lze v tomto jazyku ke cookie přistupovat přes vlastnost document.cookie ve formě: název_1._cookie=hodnota_1._cookie;název_2._cookie=hodnota_2._cookie;…. Páry název:hodnota jsou odděleny středníkem, pokud má hodnota obsahovat středník, je obalena uvozovkami.

Cookie lze nastavovat taktéž na straně serveru (podle možností skriptovacího jazyka) – nastavení hodnoty cookie představuje v podstatě přidání HTTP hlavičky do odpovědi serveru (z toho důvodu musí nastavení proběhnout před vypsání čehokoli na výstup). Například, pro jazyk PHP k tomu slouží funkce setcookie se syntaxí:

bool setcookie ( string name [, string value [, int expire [, string path [, string domain [, int secure]]]]])

Bezpečnost a ochrana soukromí

Cookies neznamenají žádné nebezpečí pro počítač jako takový. Přesto cookies mohou být nebezpečné pro ochranu soukromí. Navštívený web si totiž může ukládat do cookies jakékoliv informace, které o návštěvníkovi zjistí a může tak postupně zjišťovat zájmy konkrétního návštěvníka - které stránky navštěvuje, jaké informace vyhledává, jak často daný web navštěvuje apod.

Těchto informací se dá posléze i bez vědomí návštěvníka využívat pro cílenou reklamu, statistické vyhodnocování chování návštěvníků, apod.

Tyto informace však lze získávat i bez cookies, proto toto jejich využití nemůže být považováno za zvlášť nebezpečné. Například NSA využívá "evercookie" ke sledování uživatelů.^[3]

Cookies lze zneužít zejména tehdy, pokud získá útočník přístup k počítači uživatele, neboť cookies na počítači nejsou nijak chráněny. Pak lze předstírat např. cizí identitu.

Sušenkový zákon

Podle směrnice Evropské unie (provedena zákonem č. 468/2011 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích^[4], zákon o elektronických komunikacích) musí webový server poskytnout uživateli informaci o používání cookies a získat jeho souhlas ještě před tím, než se cookie uloží do uživatelova počítače.^[5] Výsledek je ten, že od podzimu roku 2015 většina webů začala zobrazovat informační pruh o cookies, který lze odstranit potvrzením souhlasu tlačítkem na něm umístěným (i tato funkce obvykle používá cookie, takže informační banner se potom již uživateli nezobrazuje).

Alternativy cookies

Moderní webové prohlížeče kromě tradičních cookie podporují další technologie podobné cookie.

Flash cookie

Takzvané Flash cookie jsou spravovány plug-inem Adobe Flash a jsou mimo kontrolu prohlížeče a prohlížeče neumoňují prohlížení a mazání cookies uložených v aplikaci Flash.^[6] Tyto cookie bývaly často využívány k obnově hodnot HTTP cookies v případě, že uživatel HTTP cookie smazal.^[6] S ústupem Flash plug-inu tato technologie přestává být používána.

HTML 5 DOM storage

Moderní prohlížeče obvykle podporují dvě úložiště - local storage a session storage (perzistentní a relační).^[7]

Microsoft Silverlight cookies

Data uložená v plug-inu Silverlight.

Microsoft Internet Explorer User Data Persistence

Umožňuje trvalé ukládání dat v prohlížeči Internet Exporer.

Google Gears data

Již nevyvíjené rozšíření, které umožňovalo větší možnosti webových aplikací tím, že mimo jiné umožňovalo ukládat data.

Odkazy

Pahýl

Tento článek je příliš stručný nebo postrádá důležité informace.
Pomozte Wikipedii tím, že jej vhodně rozšíříte. Nevkládejte však bez oprávnění cizí texty.

[:0-1] ttp://tools.ietf.org/html/rfc2965

[2] ttp://php.vrana.cz/zabezpeceni-session-promennych.php

[3] ttp://www.theguardian.com/world/interactive/2013/oct/04/tor-stinks-nsa-presentation-document - 'Tor Stinks' presentation – read the full document

[4] Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89

[5] Úřad pro ochranu osobních údajů. Cookies: přechod z principu opt-out na opt-in [online]. 2012-06-15 [cit. 2015-11-20]. Dostupné v archivu pořízeném dne 2015-11-21.

[eff.org/deeplinks/2009/09/new-cookie-technologies-harder-see-and-remove-wide-6] SCHOEN, Seth. New Cookie Technologies: Harder to See and Remove, Widely Used to Track You. Electronic Frontier Foundation [online]. September 14, 2009. Dostupné online.

[7] Vláda ČR: Zásady používání souborů cookie

[1]

[2]

[3]

[4]

[5]

[6]

[7]