HTTP-cookie (websüti) – működés, használat és adatvédelem
HTTP-cookie (websüti): hogyan működnek és használják (bevásárlókosár, automatikus bejelentkezés), hogyan érintik az adatvédelmet, jogi szabályozás és sütikezelés a böngészőben.
A HTTP-süti (általában csak süti) egy egyszerű, szövegből álló számítógépes fájl. A cookie-k által tárolt információk felhasználhatók a weboldal használatának személyre szabására. Egy weboldal a cookie-kat (a cookie-k által használt információkat) arra használhatja, hogy kiderítse, hogy valaki korábban már meglátogatott-e egy weboldalt, és információkat (adatokat) rögzítsen arról, hogy mit tett.
Hogyan működik egy süti?
Amikor valaki egy számítógépet használ egy weboldal böngészésére, a weboldal szervere egy vagy több sütit küldhet a böngészőnek. A böngésző ezeket a sütiket elmenti a felhasználó gépén, majd későbbi kéréseknél automatikusan visszaküldi a szervernek. Így a szerver „emlékezhet” korábbi beállításokra vagy tevékenységekre.
Típusok (röviden)
- Munkamenet-sütik (session cookies): ideiglenesek, a böngésző bezárásakor törlődnek.
- Állandó sütik (persistent cookies): előre meghatározott lejárati idővel rendelkeznek és a lemezre mentődnek, így a következő látogatásoknál is elérhetők.
- Első fél sütik (first-party cookies): azt a domaintól származnak, amelyet a felhasználó éppen látogat.
- Harmadik féltől származó sütik (third-party cookies): külső szolgáltatók (például hirdetési vagy elemző szolgáltatások) helyezik el a weboldalon, és gyakran több webhelyen is követik a felhasználót.
Technikai részletek — mire kell figyelni?
A szerver a Set-Cookie HTTP fejlécben küldi a sütit, amelynek alapvető részei:
- Név=érték páros: a tárolt adat.
- Expires/Max-Age: lejárati idő vagy élettartam.
- Domain és Path: meghatározzák, mely domainek és útvonalak küldhetik vissza a sütit.
- Secure: csak HTTPS kapcsolat esetén kerül továbbításra.
- HttpOnly: megakadályozza, hogy JavaScript közvetlenül elérje a sütit (csökkenti a XSS kockázatot).
- SameSite: csökkenti a harmadik féltől történő küldés esélyét (Strict, Lax vagy None értékekkel).
Gyakori felhasználási módok
- Személyre szabás: felhasználói beállítások, nyelv vagy megjelenítési preferenciák megjegyzése.
- Fizetési és bevásárlókosár-funkciók: például bevásárlókocsik működtetése, kosár tartalmának megőrzése.
- Beléptetés és munkamenet-kezelés: "maradj belépve" funkciók vagy azonosítási tokenek tárolása.
- Analitika és teljesítmény-mérés: látogatások, oldalletöltések és viselkedési minták gyűjtése.
- Célzott hirdetések: korábbi látogatások és érdeklődések alapján megjelenített reklámok.
Adatvédelem és kockázatok
A sütik problémát jelentenek az internetes adatvédelem szempontjából, mert a böngészési szokások nyomon követésére használhatók. Különösen a harmadik féltől származó sütik teszik lehetővé, hogy hirdetők több webhelyen keresztül profilokat építsenek fel a felhasználókról. Emiatt egyes országokban törvényeket hoztak az emberek magánéletének védelme érdekében (például a GDPR az Európai Unióban), és sok helyen elvárás a felhasználói hozzájárulás kérésére épülő cookie-banner használata.
Fontos megjegyezni, hogy a sütiket gyakran összetévesztik a kártevő programokkal, de önmagukban nem futtathatnak kódot: egyszerű adatokról van szó. Ennek ellenére előfordul, hogy rosszindulatú célokra használják őket, vagy a gyűjtött adatok alapján kár származik. Bár néha nevezik őket kémprogramnak vagy vírusnak, egyik sem az.
Alternatív és kiegészítő technikák
A cookie-któl eltérő módszerek is léteznek a felhasználó azonosítására vagy követésére, például a localStorage, sessionStorage, URL-paraméterek, valamint az ún. fingerprinting (eszköz- és böngészőjellemzők kombinálása). Mindegyiknek megvannak a maga előnyei és korlátai, valamint adatvédelmi kockázatai.
Hogyan kezelhetik a felhasználók a sütiket?
- Böngésző beállítások: a legtöbb webböngésző lehetővé teszi a sütik engedélyezését, megtagadását vagy törlését.
- Incognito / privát mód: a munkamenet-sütik többsége a munkamenet végeztével törlődik, de ez nem blokkolja teljesen a külső követést.
- Sütik törlése és adatvédelmi eszközök: a böngészőkben, illetve kiegészítő biztonsági bővítményekkel szabályozható a követés.
- Cookie-banner és hozzájárulás: sok weboldalon lehetőség van kiválasztani, mely típusú sütiket engedünk (például csak a szükségeseket engedélyezni).
Ha a felhasználó nem engedélyezi a sütiket, egyes weboldalak használhatatlanná válnak. Például a sütiket használó bevásárlókosarak nem működnek, ha a felhasználó nem engedélyezi a sütiket.
Fejlesztőknek: jó gyakorlatok
- Használjon rövid élettartamú sütiket, ahol lehetséges, és csak a szükséges adatokat tárolja.
- Állítsa be a Secure és HttpOnly attribútumokat érzékeny sütiknél.
- Alkalmazza a SameSite beállítást a CSRF-kockázat csökkentésére.
- Dokumentálja, mely sütiket használja az oldal, és adjon világos tájékoztatást a felhasználóknak a cookie-policy-ban.
- Ha harmadik féltől származó szolgáltatásokat használ (analitika, hirdetések), ellenőrizze azok adatkezelési gyakorlatát és, ahol szükséges, kérjen explicit hozzájárulást.
Hol nézhetem meg a sütiket?
A legtöbb modern böngésző fejlesztői eszközei között (DevTools) részletesen megtekinthetők a weboldal által beállított sütik, azok neve, értéke, domainje és attribútumai. Emellett a böngésző beállításainál is törölhetők és kezelhetők a sütik.
Összefoglalva: a sütik hasznos eszközök a weboldalak funkcionalitásának és személyre szabásának biztosítására, de adatvédelmi kockázatokat is hordoznak. Tudatos használat, átlátható tájékoztatás és a megfelelő technikai beállítások segítenek csökkenteni ezeket a kockázatokat.
Kérdések és válaszok
K: Mi az a HTTP-süti?
V: A HTTP-süti egy egyszerű, szövegből álló számítógépes fájl, amely a weboldalak által használt információkat tárolja, hogy személyre szabja a weboldal használatának élményét.
K: Hogyan használja egy weboldal a cookie-kat?
V: Egy weboldal a cookie-kban tárolt információk segítségével megtudhatja, hogy valaki korábban már meglátogatta-e a weboldalt, és adatokat rögzíthet arról, hogy mit tett. Amikor valaki egy számítógépet használ egy weboldal böngészésére, egy személyre szabott cookie-fájlt küldhet a weboldal szerveréről az adott személy számítógépére, és azt a webböngészője tárolja. A weboldal ezután üzenetet küldhet az illető böngészőjének, amelyben megkérdezi, hogy van-e már létező süti tőle, amelyet aztán felhasználhat a korábbi tevékenységek nyomon követésére.
K: Milyen példák vannak a sütik használatára?
V: A sütik használatára példák a következők: bevásárlókosarak, automatikus bejelentkezés és annak megjegyzése, hogy mely hirdetések kerültek már megjelenítésre.
K: Miért születtek törvények az internetes adatvédelemmel kapcsolatban?
V: Néhány országban azért hoztak törvényeket az internetes adatvédelemmel kapcsolatban, mert a cookie-kat a böngészési szokások nyomon követésére lehet használni, ami potenciálisan sértheti az emberek személyiségi jogait.
K: A sütik programok vagy vírusok?
V: Nem, a cookie-k nem programok vagy vírusok; ezek egyszerűen csak adatdarabok, amelyek önmagukban nem sok mindent tudnak tenni. Gyakran tévesen kémszoftvereknek vagy vírusoknak nevezik őket, de ez nem helytálló.
K: A felhasználók eldönthetik, hogy elfogadják-e a cookie-kat vagy sem?
V: Igen, a legtöbb webböngésző lehetővé teszi a felhasználók számára, hogy eldöntsék, elfogadják-e a sütiket vagy sem; ha azonban nem engedélyezik őket, egyes weboldalak használhatatlanná válhatnak, mivel bizonyos funkciók, például a bevásárlókosarak működéséhez szükség van rájuk.
Keres