מלבד השם והערך יכולה העוגייה לכלול גם תאריך תפוגה, נתיב, שם מתחם ומידע לגבי חיבורים מקודדים. על פי RFC 6295 יש לכלול גם את מספר הגרסה. שדות אלו מופיעים לאחר השם והערך, והם מופרדים בנקודה ופסיק. לדוגמה, ניתן ליצור עוגייה באמצעות השורה הבאה:
שם המתחם והנתיב מבקשים מהדפדפן לשלוח את העוגייה חזרה לשרת כאשר ישנה בקשה של דפים מתוך שם המתחם והנתיב שצוינו. אם לא צוינו מאפיינים אלו, ברירת המחדל שניתנת להם הוא שם המתחם והנתיב שממנו נתבקש הדף. כתוצאה מכך, מחרוזות שם המתחם והנתיב עלולות לבקש מהדפדפן לשלוח עוגייה כאשר אין בכך צורך. למטרות אבטחה, העוגייה מתקבלת רק אם השרת מופיע במחרוזת שם המתחם, ולכן שרת אינו יכול לבקש לקבל עוגיות של אתרים אחרים.
את העוגיות מזהים על פי מאפיין השם, שם המתחם והנתיב – כולם יחד, ולא על פי מאפיין השם בלבד. ניתן אם כן ליצור מספר שמות על פני מספר שמות מתחם או על פני מספר נתיבים. כאמור לעיל, הדפדפן מאפשר לשנות את ערך העוגייה רק אם שם המתחם והנתיב זהים.
תאריך התפוגה מורה לדפדפן למחוק את העוגייה כאשר תוקף העוגייה פג. אם לא הוגדר תאריך תפוגה, העוגייה תימחק כאשר המשתמש יסגור את הדפדפן. תאריך התפוגה מוגדר בפורמט הבא: . לדוגמה, להלן עוגייה שהוגדרה על ידי שרת HTTP:
שם העוגייה הוא וערכה . השרת יכול להשתמש במחרוזת שרירותית בערך העוגייה. השרת יכול לשמור מספר פרמטרים במחרוזת יחידה, כמו למשל במקום . הנתיב ושם המתחם, ו- בהתאמה, מבקשים מהדפדפן לשלוח עוגייה זו כאשר מבקשים דף שנמצא תחת שם המתחם שצוין.
תפוגה.
העוגייה לא תישלח לשרת על ידי הדפדפן במצבים הבאים:
התנאי השלישי מאפשר לשרת או לסקריפט למחוק עוגייה. הדפדפן אינו שולח לשרת מידע בדבר משך חיי העוגייה, ולכן השרת אינו יכול לברר האם העוגייה תפוג בקרוב.
הגדרות הדפדפן.
מרבית הדפדפנים המודרניים תומכים בשימוש בעוגיות. עם זאת, המשתמש יכול בדרך כלל לבחור האם לאפשר לדפדפן להשתמש בהן באופן מלא או חלקי, או לאסור את השימוש בהן כליל. חלק מהדפדפנים מאפשרים להפעיל "מצב פרטיות", למשל מצב "גלישה פרטית" בגוגל כרום, אינטרנט אקספלורר גרסה 8 ומעלה ומוזילה פיירפוקס, שבו מותר השימוש בעוגיות כעוגיות זמניות בלבד (כלומר, העוגיות יימחקו בכל מקרה עם סגירת הדפדפן).
ישנם דפדפנים המאפשרים למשתמש לסרוק את העוגיות ולמחוק עוגיות ספציפיות. מרבית הדפדפנים התומכים ב-JavaScript מאפשרים למשתמש גישה לעוגיות באתר שבו הם נמצאים באמצעות המשתנה document.cookie, המכיל בתוכו את כל העוגיות השמורות בדפדפן לאתר האינטרנט הנוכחי.
בדפדפנים ישנים, ניתן לקבל בצורה פשוטה את נתוני העוגיות באמצעות הקלדת הקוד הבא לתוך שורת הכתובת של הדפדפן:
javascript:alert("Cookies: " + document.cookie)
פעולה זו תציג למשתמש הודעה ובה מחרוזת המכילה את כל העוגיות. ישנם דפדפנים הכוללים תוכנת "מנהל עוגיות" המאפשרת לנהל את העוגיות בצורה מסודרת ונוחה.
שרת אינטרנט הפועל במסגרת פרוטוקול P3P מחויב להצהיר על מדיניות הפרטיות שלו המפרטת איזה סוג מידע הוא אוסף ולאיזו מטרה. מדיניות זו כוללת גם גילוי נאות על המידע שנאסף באמצעות עוגיות.
תפיסות מוטעות.
מאז שהוצגו לראשונה באינטרנט, הופצו באמצעות האינטרנט והתקשורת מספר תפיסות מוטעות בכל הנוגע לעוגיות. למעשה, עוגיות כוללות בתוכן רק מחרוזות טקסט, ולא קוד תוכנית, והן לא יכולות להסיר או לקרוא מידע המצוי במחשב המשתמש. עם זאת, עוגיות יכולות לשמש למעקב אחרי דפי האינטרנט שבהם ביקר המשתמש באתר נתון. ניתן לאסוף מידע זה ולבנות באמצעותו פרופיל של המשתמש. בדרך כלל, פרופילים אלו לא כוללים מידע אישי של המשתמש (שם, מען וכדומה). ליתר דיוק, העוגיות אינן יכולות להכיל מידע אישי אלא אם המשתמש איפשר לאתרים מסוימים לצפות במידע זה. פרופילים אלו, על אף היותם אנונימיים, היו ועודם מקור לדאגות מבחינת פרטיות המשתמש.
פרטיות ועוגיות צד ג'.
לעוגיות משמעות רבה בהקשר לנושא הפרטיות והאלמוניות באינטרנט. העוגיות נשלחות אך ורק לשרת שיצר אותן או אל שרת אחר תחת אותו מתחם. אולם, דף האינטרנט עשוי לכלול תמונות או רכיבים אחרים שמקורם בשרת של מתחם אחר. עוגיות שנוצרות במהלך האחזור של רכיבים אלו קרויות בשם עוגיות צד ג' (או עוגיות צד שלישי).
חברות פרסום משתמשות בעוגיות צד ג' כדי לעקוב אחר המשתמש בעודו עובר בין האתרים השונים. חברת פרסום עשויה, למשל, לעקוב אחר משתמש שעבר דרך דפי אינטרנט שכוללים תמונות פרסומיות. בעזרת ידע זה עשויה חברת הפרסום לדעת מהן העדפות המשתמש וכך להציג בפניו את הפרסומות שמתאימות לו.
בניית פרופילים של משתמשים נחשבת על ידי רבים כאיום פוטנציאלי על הפרטיות. מסיבה זו הגבילו חלק מהמדינות באמצעות חקיקה את המידע שניתן להשיג באמצעות עוגיות ואת אופן השימוש בעוגיות. ארצות הברית, למשל, קבעה חוקים נוקשים בכל הנוגע ליצירת עוגיות חדשות. חוקים אלו, אשר נקבעו בשנת 2000, נקבעו לאחר שנחשף כי המשרד ליישום המדיניות של הממשל האמריקאי נגד השימוש בסמים (ONDCP) בבית הלבן השתמש בעוגיות כדי לעקוב אחרי משתמשים שצפו בפרסומות נגד השימוש בסמים במטרה לבדוק האם משתמשים אלו נכנסו לאתרים התומכים בשימוש בסמים. דניאל בראנט, פעיל הדוגל בפרטיות המשתמשים באינטרנט, חשף כי ה-CIA שלח עוגיות קבועות למחשבי אזרחים במשך עשר שנים. ב-25 בדצמבר 2005 גילה בראנט כי הסוכנות לביטחון לאומי (ה-NSA) השאירה שתי עוגיות קבועות במחשבי מבקרים בגלל שדרוג תוכנה. לאחר שהנושא פורסם, הם ביטלו מיד את השימוש בהן.
במסגרת מסמך שפרסם האיחוד האירופי בשנת 2002 נקבעה סדרה של הגבלות בנוגע לפרטיות בתחום הטלקומוניקציה. סעיף 5 בפסקה 3 מכתיב כי שמירת מידע (כגון עוגיות) במחשבו של משתמש ייעשה רק אם המשתמש הגדיר כיצד יש להשתמש במידע שנאסף, ולמשתמש ניתנה האפשרות להתנגד לאחסון המידע. עם זאת, הסעיף מציין כי אחסון מידע אשר נחשב להכרחי מסיבות טכניות, פטור מכלל זה. ההנחיה הייתה מיועדת להיכנס לתוקף באוקטובר 2003, אך דיווח מדצמבר 2004 מציין כי הנחיה זו אינה מיושמת בפועל, וכי מספר מדינות (סלובקיה, לטביה, יוון, בלגיה ולוקסמבורג) גם לא יישמו אותה בחוק הלאומי.
החסרונות בשימוש בעוגיות.
מעבר לבעיות הפרטיות, לעוגיות ישנם גם חסרונות טכניים.
חלופות לשימוש בעוגיות.
חלק מהפעולות הממומשות באמצעות עוגיות ניתן לממש בדרכים נוספות. עם זאת, גם לחלופות יש חסרונות ועל כן בדרך כלל אתרים מעדיפים להשתמש בעוגיות. מרבית החלופות מאפשרות מעקב אחר המשתמש, גם אם הן אינן אמינות כמו עוגיות. מסיבה זו, נושא הפרטיות אינו נפתר לחלוטין גם אם הדפדפן הוגדר על ידי המשתמש לחסום את השימוש בעוגיות.
כתובת IP.
שיטה לא מהימנה למעקב אחרי משתמשים מתבססת על שמירת כתובות ה-IP של מחשבים המבקשים דפים. שיטה זו הייתה אפשרית מאז יצירתו של ה-World Wide Web הואיל והורדת דפים מצריכה מהשרת המחזיק דפים אלו לדעת את כתובת ה-IP או הפרוקסי של המחשב שמריץ את הדפדפן. מסיבה זו, כתובת ה-IP נגישה גם אם השימוש בעוגיות חסומה.
אף על פי כן, כתובות IP אמינות פחות בזיהוי משתמשים לעומת עוגיות מפני שמספר משתמשים יכולים לשתף מחשב אחד או שרת פרוקסי אחד. יתרה מזאת, ניתן להקצות יותר מכתובת IP אחת לכל מחשב בעבודה על שיחות שונות. ניתן לשפר את מהימנות השיטה בעזרת מאפיין נוסף של פרוטוקול HTTP: כאשר דפדפן מבקש דף בעקבות משתמש שלחץ על היפר קישור, הבקשה נשלחת יחד עם כתובת ה-URL של הדף שבו נמצא הקישור. אם השרת שומר כתובות URL אלו, ניתן לעקוב אחר הדפים שנצפו על ידי המשתמש בצורה מדויקת יותר. מעקב מסוג הזה נחשב אמין פחות מהמעקב שמספקות עוגיות מפני שמספר משתמשים יכולים לגשת לאותו דף אינטרנט בעזרת אותו מחשב, נתב, NAT או פרוקסי, ולאחר מכן לגשת לדפים שונים. יתר על כן, שיטה זו מאפשרת מעקב בלבד, והיא אינה יכולה לשמש תחליף לשאר השימושים של עוגיות.
במערכות השמות דגש על האנונימיות, לא ניתן לעקוב אחרי משתמשים באמצעות כתובות IP כלל. דוגמה למערכת כזו היא רשת TOR. במערכות אלו יכול השרת להשתמש במספר כתובות IP במהלך שיחה אחת, כמו גם לאפשר למספר משתמשים להשתמש באותה כתובת IP.
מספר ספקי אינטרנט עיקריים, בהם AOL, מנתבים את כל תנועת האינטרנט דרך מספר קטן של שרתי פרוקסי. כיוון שכך, שיטה זו אינה מעשית.
URL (שאילתה).
שיטה מדויקת זו מבוססת על שיבוץ מידע לתוך כתובת ה-URL. כתובת ה-URL יכולה לכלול מחרוזת שאילתה (Query String) המתורגמת בצד השרת לנתונים.
שדות חבויים.
על ידי שימוש בשדות חבויים של טפסים ניתן לשלוח למשתמש נתונים שאינם מוצגים על המסך אולם נשלחים חזרה כחלק מהודעת POST הנשלחת מהמשתמש. לדוגמה:
&lt;FORM METHOD="post" ACTION="/hello.php"&gt;
&lt;INPUT TYPE="hidden" NAME="sessionID" VALUE="328932ABC232E"&gt;
&lt;/FORM&gt;
יגרום למשלוח הערך 328932ABC232E בשם sessionID כאשר המשתמש יאשר את הטופס, ללא ידיעתו של המשתמש.
תמונות.
אפשרות נוספת, פחות נפוצה, היא שימוש בקובצי תמונה היורדים לדפדפן ונשמרים בזיכרון המטמון שלו. על פי המזהה של התמונה מול הדפדפן, ניתן לקבל מידע על זהותו של הדפדפן ולשמור בו נתונים.
מהפיכת אוקטובר
הפיכת יולי
מחלות זיהומיות
אונה הולברוק
אונה הולברוק (נולדה ב-19 ביולי 1970) היא רקדנית, כוריאוגרפית ומורה לריקוד ישראלית-קנדית.
ביוגרפיה.