Файлы cookies: что это и какие бывают

Файлы cookies – это небольшие фрагменты данных, которые сайт через браузер сохраняет на устройстве посетителя и получает обратно с каждым следующим запросом. По ним сайт узнаёт человека: помнит вход в личный кабинет, товары в корзине, выбранный город и рекламный источник визита.

Протокол HTTP сам ничего не запоминает. Каждый запрос для сервера как первый: вы положили смеситель в корзину, перешли в другой раздел, и без дополнительной метки сервер уже не знает, чья это корзина. Cookie и есть такая метка. Браузер хранит её и сам прикладывает к запросам на тот же сайт.

Как сайт ставит и читает cookie

Сервер добавляет в ответ заголовок Set-Cookie с именем, значением и настройками. Браузер сохраняет запись и при следующих запросах к сайту возвращает её в заголовке Cookie. Обмен выглядит так (данные условные):

HTTP/1.1 200 OK
Set-Cookie: city=krasnoyarsk; Path=/; Max-Age=2592000; Secure; SameSite=Lax

GET /catalog/ HTTP/1.1
Cookie: city=krasnoyarsk; PHPSESSID=8f2c41d07a

Настройки решают, сколько живёт запись и кому она достаётся:

• Expires или Max-Age задают срок. Без них cookie сессионная и пропадает после закрытия браузера.
• Domain и Path ограничивают адреса, на которые браузер её отправляет.
• Secure разрешает передачу только по HTTPS, HttpOnly прячет cookie от скриптов на странице.
• SameSite определяет, уйдёт ли cookie с запросом, который начался на чужом сайте.

Места мало: стандарт RFC 6265 требует от браузеров поддерживать запись размером хотя бы 4096 байт. Поэтому в cookie кладут короткий идентификатор, а сами данные держат на сервере. Телефон, e-mail или ФИО открытым текстом туда не пишут: запись видна любому, кто откроет браузер, и уходит на сервер с каждым запросом.

Какие бывают cookies

Сторонние cookies браузеры зажимают всё сильнее. Safari и Firefox по умолчанию их ограничивают. Google в апреле 2025 года отказался от планов отключить их в Chrome, и на момент написания это решает сам пользователь в настройках. Поэтому рекламные метки чужих доменов теряются чаще, чем cookies самого сайта.

Зачем cookies бизнесу

Без них не работают вход в кабинет, корзина, сравнение товаров и выбор города. На них же держится аналитика: Яндекс Метрика, по её справке, различает посетителей по cookie _ym_uid и хранит дату первого визита в _ym_d. Нет записи, и каждый заход выглядит как новый посетитель.

В проекте клиники effi мы строили сквозную аналитику по цепочке: сайт, Яндекс Метрика, коллтрекинг CoMagic, Бит.УМЦ (система управления медцентром на базе 1С). Отчёт показывал по каждому каналу заявки, продажи и сумму продаж. Такая связка работает, пока счётчики узнают посетителя между визитами, и узнают они его по cookies. Подробнее в кейсе effi и в статье Сквозная аналитика.

Что поисковый робот видит без cookies

Поисковые роботы приходят без истории. Google прямо пишет, что его система рендеринга не сохраняет состояние между загрузками страниц и очищает HTTP cookies. Каждую страницу робот видит так, будто открыл её впервые.

• Если город, цены или ассортимент меняются только по cookie, робот увидит версию по умолчанию. Регионам нужны отдельные адреса, об этом статья Региональное SEO.
• Окно «Выберите город», которое закрывается только кликом, робот не закроет. Текст под ним должен быть в HTML страницы.
• Сессию держат в cookie, а не в адресе. Google советует не добавлять идентификаторы сессий в URL, иначе у одной страницы появляются сотни адресов. Подробнее в статье Идентификатор сессии.

Cookies и 152-ФЗ

В 152-ФЗ слова «cookies» нет. Но закон называет персональными данными любую информацию, которая прямо или косвенно относится к определённому или определяемому человеку. Идентификатор из cookie вместе с IP-адресом, данными счётчиков и заявкой с телефоном можно связать с конкретным посетителем. Поэтому сайты предупреждают о cookies и описывают их в политике обработки персональных данных. По редакции закона от 24.06.2025 № 156-ФЗ согласие на обработку оформляют отдельно от других документов. Подробнее в статье 152-ФЗ и персональные данные на сайте.

Само предупреждение не должно мешать сайту. Окно на половину экрана телефона закрывает товар и кнопку заявки, а задачу решает узкая полоса внизу с кнопкой и ссылкой на политику.

Как посмотреть cookies сайта

1. Откройте сайт в Chrome, нажмите F12 и перейдите в Application, раздел Cookies. Там видны имя, значение, срок, домен и флаги каждой записи.
2. На вкладке Network выберите запрос и найдите в заголовках ответа Set-Cookie: так понятно, кто поставил запись.
3. Проверьте сессионную cookie: у неё должны стоять HttpOnly и Secure. Без HttpOnly сессию проще украсть, если на сайте найдётся уязвимость для внедрения скрипта.
4. Оцените объём. Если cookies разрослись, сервер начинает отклонять запросы, в nginx это ошибка «Request Header Or Cookie Too Large».

Cookies, заголовки ответа и индексацию проверяем на техническом аудите сайта. Защиту сессий и форм настраиваем в услуге Информационная безопасность сайтов, а связку счётчиков, коллтрекинга и CRM в сквозной аналитике.

Очистка, включение и уведомление о cookies

Источники

• RFC 6265: HTTP State Management Mechanism
• Справка Яндекс Метрики: использование файлов cookie
• Google Search Central: исправление проблем с JavaScript в поиске, структура URL
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Кейс E.BAEV: «effi»

См. также: Протокол HTTPS, Региональное SEO, Технический аудит сайта.