HTTP cookie

Cookie (anglicky koláčik, oblátka, sušienka) je v protokole HTTP malé množstvo stavových dát, ktoré WWW server pošle webovému prehliadaču súčasne s požadovanou webovou stránkou daného webového sídla, ak toto používa cookies (množné číslo od cookie). Ak sú cookies v prehliadači povolené, uložia sa na počítači (alebo smartfóne alebo tablete) používateľa, zvyčajne ako krátky textový súbor na určené miesto. Pri ďalšej požiadavke prehliadača na stránku z toho istého webového sídla (prakticky z tej istej domény napríklad passwords.example.org) potom prehliadač posiela späť serveru aj uložené cookie alebo viac cookies, ktoré si pýta už v hlavičke stránky. V prípade dočasných cookies sú informácie zapamätané len po dobu trvania aktuálnej návštevy (session) daného sídla, v prípade permanentných cookies aj pri ďalších návštevách až do uplynutia platnosti cookies, alebo ich odstránenia (vymazania) používateľom.
Cookies zvyčajne slúžia na rozlišovanie jednotlivých užívateľov. Ukladajú sa do nich najčastejšie používateľské predvoľby (napríklad jazyk) a pod. Myšlienku cookies navrhol v 90. rokoch 20. storočia Lou Montulli, vtedy pracujúci vo firme Netscape Communications.
Názov cookie – sušienka je odvodený z anglosaského zvyku ponúknuť návšteve obľúbenú sušienku na vytvorenie príjemnejšej atmosféry. Cookies majú viaceré výhody ale môžu byť aj zneužité na sledovanie užívateľa, preto je dôležité rozumieť ich účelu, čo umožňuje zvoliť správne nastavenie prehliadača a rozhodnutie o tom, či prijať alebo zamietnuť prijatie a ukladanie cookies.
Jann Horn v rámci projektu Google Project Zero popísal spôsoby, ako môžu byť cookies čítané sprostredkovateľom komunikácie (anglicky Man-in-the-middle) ako sú napríklad poskytovatelia Wi-Fi hotspotov. Za týchto okolností odporúča použiť prehliadač v privátnom režime prehliadania, ktorý sa v rôznych prehliadačoch nazýva ako Private Browsing (Safari), Inkognito / Incognito (Google Chrome), InPrivate (Internet Explorer, Microsoft Edge). V tomto režime sa cookies nezapisujú natrvalo resp. sa odstraňujú priamo prehliadačom.  Nastavenie prehliadača na prijímanie cookies je podľa Zákona o elektronických komunikáciách (§ 55 ods. 5 pozri dole celé znenie) považované za súhlas s používaním cookies. 
V úvode Všeobecného nariadenia o ochrane údajov (GDPR) sú cookies (odst. 30) definované ako online identifikátory, ktoré ..môžu zanechávať stopy, ktoré sa najmä v kombinácii s jedinečnými identifikátormi a inými informáciami získanými zo serverov môžu použiť na vytvorenie profilov fyzických osôb a na ich identifikáciu a preto sú považované za osobné údaje.

Účel cookies

Cookies môžu byť použité na zaznamenávanie voľby, ktorú urobil užívateľ ako napríklad položky pridané v nákupnom košíku v internetovom obchode (e-shop) alebo môžu zaznamenávať aktivitu používateľa počas prehliadania napríklad kliknutia na tlačidlá, prihlásenie alebo zaznamenávanie stránok, ktoré už navštívil. Môžu sa tiež použiť na zapamätanie si ľubovoľných informácií, ktoré používateľ predtým zadal do formulárov ako sú mená, adresy, heslá alebo čísla kreditných kariet.
Iné druhy cookies zabezpečujú niektoré základné funkcie súčasných webov. Najdôležitejšie sú autentifikačné (authentication) cookies, ktoré používajú servery na to, aby zistili, či je používateľ prihlásený alebo nie (a s ktorým účtom, ak ich má viacej). Bez takéhoto mechanizmu by stránka nevedela, či zobraziť na stránke citlivé informácie alebo nie a či požiadať používateľa o autentifikáciu prihlásením (login) alebo nie. Moderné weby však neukladajú meno používateľa a heslo do cookie ale využívajú iné metódy napríklad HTTP authentication. Tieto údaje aj keď sa uložia v počítači (napríklad pri voľbe zapamätať heslo), sú zvyčajne chránené ešte ďalším prístupovým mechanizmom. Heslá v internetových bankách nie sú nikdy ukladané do cookies.

Rozdelenia cookies podľa účelu

Java delí cookies na 3 kategórie a Google na 6 kategórií. Názvy kategórii v nasledovnom zodpovedajú Jave a názvy Google sú v zátvorke šikmým písmom:

Bezpečnosť a ochrana súkromia

Cookies neznamenajú žiadne nebezpečenstvo pre počítač, pretože sú v textovom alebo podobnom súbore, ktorý nemôže byť spustený a prevziať kontrolu nad počítačom. Napriek tomu cookies môžu byť nebezpečné z pohľadu ochranu súkromia. Navštívený web si totiž môže ukladať do cookies akékoľvek informácie, ktoré o návštevníkovi zistí a môže tak postupne zisťovať záujmy konkrétneho návštevníka: ktoré stránky navštevuje, aké informácie vyhľadáva, ako často daný web navštevuje, na ktorý iný web odchádza a pod.
Týchto informácií sa dá neskôr aj bez vedomia návštevníka využívať pre cielenú reklamu (eufemisticky nazývanú ako reklama založená na záujmoch), štatistické vyhodnocovanie správania návštevníkov, a pod. Tieto informácie však môže server získavať aj bez cookies, preto toto ich využitie nemôže byť považované za obzvlášť nebezpečné.
Ak viacero webových sídiel využíva rovnakú technológiou cookies a zasiela ich tretej strane, môže potom táto tretia strana pomocou cookies identifikovať a sledovať užívateľa aj pri prechádzaní z jednej domény na druhú. Takýmto nástrojom na identifikáciu návštevníkov je napríklad Google Analytics. 
Cookies možno zneužiť najmä vtedy, ak získa útočník prístup k počítaču používateľa, pretože cookies na počítači nie sú nijako chránené. Potom útočník môže ukradnúť identitu napadnutého.

Prípad zneužitia cookies na Slovensku

Odborník na nákup lacných leteniek Dušan Kráľ tvrdí, že niektoré letecké spoločnosti alebo predajcovia leteniek využívajú cookies na sledovanie zákazníkov a na manipuláciu s výškou ceny. Princíp takéhoto zneužitia spočíva v tom, že cena sa zvyšuje so vzrastajúcim počtom návštev daného letu. 
Cookies sú textové záznamy, ktoré sú napríklad v systéme Windows pre prehliadač Google Chrome v priečinku: C:\Users\<účet_užívateľa>\AppData\Local\Google\Chrome\User Data\Default\ v súbore Cookies (je to SQLite databáza). Samotný cookie sa preto nemôže spustiť a prevziať ovládanie počítača (šíriť vírus a pod.). Problémom je preto len možné zneužitie cookies, ktoré napríklad obsahujú nákupné správanie (napríklad návšteva informácií o konkrétnom lete alebo ceny naposledy zaplatené za letenky ako v spomínanom prípade). O takýto druh údajov môže mať záujem nielen priamo predajca, ktorého stránku navštívite (ktorý má právo čítať svoje cookie na vašom počítači) ale aj ostatní predajcovia, ktorí sa k nim môžu dostať podvodmi. Existuje niekoľko podvodných spôsobov  ako ukradnúť cookies (angl. cookie theft) alebo ukradnúť / uniesť aktuálnu návštevu (angl. session hijacking), ktoré sú možné ak webový prehliadač nie je proti nim odolný (zle nastavený alebo nechránený).

Povoliť, odstrániť, zakázať cookies

Cookies majú mnohé výhody a ich používanie uľahčuje prehliadanie. Vo všeobecnosti ich netreba zakazovať ani zatracovať. Zneužitie cookies sa zbytočne nafukuje a to aj v prípade na Slovensku, kedy sa zvyšovanie ceny ako dôsledok používania cookies nedalo jednoznačne preukázať. Naša legislatíva definuje (pozri nasledovný nadpis), že cookies môžu byť použité len na prenos alebo uľahčenie prenosu. Zneužitie cookies na manipuláciu s cenou je preto trestné. Proti zákazu alebo obmedzeniu cookies sa stavajú firmy, ktoré sa špecializujú na vyhľadávanie a predávanie reklamy. Naopak, ich možné negatívne dôsledky zveličujú firmy zamerané na ochranu počítačov a osobných údajov. 
Užívateľ má možnosť v počítači cookies prehliadať a odstrániť ich jednotlivo alebo všetky naraz a to buď priamo (ak vie kde sú uložené) alebo pomocou prehliadača. Odstránenie cookies z počítača nemá žiaden podstatný vplyv na prehliadanie webu. Web by mal potom (pri ďalšej návšteve po odstránení cookies) užívateľa pokladať za nového. Je však pravdou, že po odstránení sa môžu odstrániť aj niektoré údaje, ktoré uľahčujú prihlasovanie alebo vypĺňanie formulárov. V prehliadači Google Chrome možno nastavenie cookies nájsť pod Nastavenia alebo chrome://settings/content/cookies a zobraziť všetky cookies pomocou chrome://settings/siteData (Chrome umožňuje prezerať, povoliť, zakázať, odstrániť cookies nie však ich priamo zobraziť alebo upravovať). 
Užívateľ môže úplne zakázať ukladanie cookies na svojom počítači alebo zvoliť si režim privátneho (privacy mode) prehliadania (Inkognito, inPrivate a pod.), ktorý má ešte výraznejšie obmedzenia. Musí však potom počítať s obmedzeniami, ktoré vyplývajú z nemožnosti využiť výhody cookies. Nie je pravda, že web stránky nefungujú bez cookies. Nefungujú len služby, pre ktoré sú cookies nevyhnutné (alebo web stránky, ktoré ktoré sú navrhnuté zámerne tak, aby bez cookies nefungovali).

Smernica Európskej únie o cookies

Smernica Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 odporúča úpravu povinností prevádzkovateľov webových sídiel v súvislosti s ukladaním cookies: 
Ak sú také zariadenia, napríklad cookies, určené na legitímne účely, ako je uľahčenie poskytovania služieb informačnej spoločnosti, ich používanie by malo byť povolené pod podmienkou, že užívatelia majú jasné a presné informácie v súlade so smernicou 95/46/ES o účele cookies alebo podobných zariadení tak, aby bolo zabezpečené, že užívatelia sú si vedomí informácií, ktoré sa nachádzajú na ich koncovom zariadení, ktoré používajú. Užívatelia by mali mať možnosť odmietnuť, aby bolo cookies alebo podobné zariadenie uložené na ich koncovom zariadení. Toto je zvlášť dôležité, ak užívatelia, iní než pôvodní, majú prístup ku koncovému zariadeniu a tým k akýmkoľvek údajom obsahujúcim súkromne citlivé informácie uložené v takom zariadení. Informácie a právo odmietnuť môžu byť ponúknuté jednorazovo pre používanie rôznych zariadení inštalovaných na koncovom zariadení užívateľa počas toho istého spojenia a tiež pre každé ďalšie používanie týchto zariadení počas ďalších spojení. Metódy poskytovania informácií, ponuka práva na odmietnutie alebo vyžiadanie súhlasu by sa mali vykonať spôsobom, ktorý je pre užívateľa najvhodnejší; prístup k špecifickému webovému obsahu môže byť ešte stále podmienený vedomým akceptovaním cookies...
Na Slovensku bola uvedená smernica implementovaná zákonom 351/2011 Z. z. o elektronických komunikáciách, ktorý v § 55, odseku 5 obsahuje tento text: 
Každý, kto ukladá alebo získava prístup k informáciám uloženým v koncovom zariadení užívateľa, je na to oprávnený iba ak dotknutý užívateľ udelil súhlas na základe jasných a úplných informácií o účele ich spracovania; za súhlas na tento účel sa považuje aj použitie príslušného nastavenia webového prehliadača alebo iného počítačového programu.
Slovenský zákon teda pokladá za súhlas s uložením cookies aj to, že užívateľ ich získavanie nezakázal vo svojom prehliadači. Tak či tak je poskytovateľ služieb povinný poskytnúť jasné a úplné informácie o účele ich spracovania. Niektorí slovenskí poskytovatelia teda už od roku 2015 zobrazujú užívateľovi informáciu o používaní cookies, ktorá žiada o súhlas ešte pred tým, než sa cookie uložia a iní len na stránke informujú že používajú cookies a až na podstránke je možné zistiť podrobnejšie informácie (zásady používania cookies a pod.) Dôsledok je ten, že viacero webov zobrazuje oznam o použití cookies, ktorý možno odstrániť len potvrdením súhlasu tlačidlom umiestneným na ňom (mimochodom: aj táto funkcionalita zvyčajne používa cookies).
Typický oznam obsahuje text: “Na našej webovej stránke používame súbory cookies. Prezeraním našej webovej stránky súhlasíte s ich používaním a ukladaním do Vášho prehliadača. Ďalšie informácie o spôsobe používania súborov cookies môžete nájsť kliknutím na tlačidlo "Viac info"“
Tento oznam neobsahuje možnosť používať stránku bez nutnosti ukladať jej cookie. Ak nebola celá stránka primerané prepísaná, potom aj bez explicitného vyjadrenia súhlasu a zatvorení tohto oznamu sa bude server pokúšať ukladať cookie u používateľa. Je to rovnaká situácia ako pred smernicou EÚ, keď sa weby nemuseli na cookies pýtať. Škodlivé webové sídlo (website) si nebude pýtať súhlas s používaním cookies. Ak máte podozrenie na zneužitie cookies najlepšie je daný web ani nenavštíviť.