Cookie, трекеры и честный баннер

Cookie — небольшие файлы в браузере, их делят на необходимые, предпочтения, аналитику и рекламу. Честный баннер даёт равный выбор.

Что в браузере человека делает ваш сайт

Мы называем «cookie» маленькие файлы, которые сайт хранит в браузере (об этом урок об аутентификации, где cookie хранит номер сессии). Но то же самое делают и другие вещи: локальное хранилище (localStorage), пиксели (невидимые картинки, которые сообщают, что страницу открыли), скрипты счётчиков и «отпечатки» устройства (по набору шрифтов, экрану и другому). Поэтому юристы говорят «cookie и подобные технологии», а мы для краткости «трекеры».

Среди них есть то, без чего сайт не работает, а есть то, что следит. Закон и здравый смысл различают их. Поэтому первый шаг всегда опись: что ваш сайт ставит человеку, зачем, на какой срок и кто это ставит.

Категории

Четыре категории, которыми пользуются повсеместно.

• Необходимые. Без них запрошенная человеком вещь не работает: сессия при входе или заявке, защита формы от подделки запроса, запись о том, что человек уже ответил на баннер. Согласия они не требуют, но их называют в политике.
• Предпочтения (функциональные). Удобство: язык, тема оформления, запомненный город. Сайт работает и без них. По строгому прочтению правил ЕС им нужно согласие, а на практике многие относят их к необходимым, если человек сам выбрал настройку. Чтобы не спорить, их перечисляют в таблице.
• Аналитика. Идентификатор посетителя в счётчике: отличить нового от вернувшегося, посчитать посещения. Метрика ставит cookie со своими именами (например, _ym_uid; список и сроки смотрите в справке сервиса).
• Реклама. Идентификаторы, которые следят за интересами между сайтами и показывают рекламу. Самая чувствительная категория.

Сторонние вставки тоже ставят cookie, и вы за них отвечаете как за свои: видеоплеер, карта, виджет соцсети, чат. Поэтому учебник и открывает видео только после клика. Загрузка шрифтов с чужого сервера тоже передаёт ему адрес посетителя (в 2022 году суд в Мюнхене присудил небольшую компенсацию за использование шрифтов Google, подключённых с их сервера); проще всего хранить шрифты у себя, и заодно страница грузится быстрее (первый урок этой части).

Откройте схему. В первой части отнесите cookie к категориям, во второй соберите баннер, чтобы увидеть, как выглядит подталкивание.

Что говорит закон

В России отдельного закона о cookie нет (на 28 октября 2026 года). Но закон о персональных данных определяет их широко: любая информация, относящаяся прямо или косвенно к определённому или определяемому человеку (статья 3 152-ФЗ). Идентификатор посетителя вместе с адресом, поведением, входом в кабинет может позволять определить человека, и тогда обработка идёт по правилам закона: основание, цель, политика. На практике это значит три вещи.

1. Скажите о cookie в политике (раздел «Cookie и счётчики» из прошлого урока): что ставится, зачем, как отказаться.
2. Для необязательных (аналитика, реклама) дайте выбор: баннер, где согласие даёт человек, а не подразумевается. Юристы расходятся, достаточно ли для российской аудитории упоминания в политике, поэтому многие выбирают осторожный вариант: баннер.
3. Подумайте, что за сервис. Если счётчик или чат иностранный, это ещё и передача данных за границу (прошлый урок). Для записи сессий добавляется вопрос из урока об этике аналитики.

Это не буква закона, а практика осторожности, и она меняется; для настоящего проекта вопрос обсуждают с юристом.

В Европейском союзе правила строже и закреплены. Директива ePrivacy (статья 5(3)) требует согласия до хранения или чтения информации на устройстве человека, кроме необходимого для запрошенной им услуги. Согласие в смысле GDPR должно быть свободным, конкретным, информированным и однозначным, а отозвать его так же просто, как дать. В 2019 году Суд ЕС (дело Planet49) решил, что заранее отмеченная галочка согласием не считается. В 2022 году французский регулятор CNIL оштрафовал Google и Facebook на 150 и 60 миллионов евро: на сайтах было достаточно одного клика, чтобы принять cookie, но несколько, чтобы отказаться. Если на ваш сайт приходят люди из ЕС (английская версия, продажи в Европу), их правила стоит соблюдать, а часто проще применять для всех посетителей один высокий стандарт. Более широкое сравнение в одном из следующих уроков.

Как составить опись

1. Откройте сайт в окне без истории, а в инструментах разработчика откройте вкладку «Приложение» (Application): раздел «Cookie» и «Локальное хранилище».
2. Запишите всё, что есть до выбора в баннере. Затем нажмите «Принять» и запишите, что добавилось. Затем очистите и нажмите «Отклонить»: добавиться не должно ничего необязательного.
3. Для каждой записи таблица: имя, зачем, срок, кто ставит, категория, нужно ли согласие.
4. Пройдите по страницам со вставками (видео, карта, чат): они ставят свои.
5. Обновляйте опись при каждом новом сервисе. Бесплатные сканеры тоже находят cookie, но не знают, зачем они вам.

Баннер

Правила честного баннера вы видели в уроке об этике аналитики: две равные кнопки, ничего не включено заранее, счётчик не запускается до выбора, можно передумать. Добавим то, что приходит с практикой.

• Равенство в виде и месте. «Принять» и «Отклонить» одной формы, цвета, размера, рядом. Яркое «Принять» рядом с мелкой ссылкой отказа это тёмный паттерн из урока о границе манипуляции, и именно за это штрафовали в ЕС.
• Три выбора: принять всё, отклонить всё, настроить по категориям. Необходимые не выключаются.
• Блокировка до выбора. Баннер без блокировки декорация. Техника «спящего» скрипта (type="text/plain") из урока об этике аналитики здесь же в практике.
• Запись выбора: дата, версия баннера и выбор. Это то же самое «согласие как запись», что в уроке про 152-ФЗ.
• Передумать можно: ссылка «Настройки cookie» в подвале каждой страницы.
• Не мешает. Баннер не закрывает контент целиком и не загораживает фокус (WCAG 2.4.11); открывается клавиатурой, у него есть название, кнопки с видимым фокусом.
• Не возвращается после отказа каждый раз: выбор запоминают на разумный срок (шесть месяцев или год).
• Нет «стены»: сайт открыт при любом выборе.

Некоторые браузеры и расширения передают сайту сигнал «не отслеживайте» (например, Global Privacy Control). Где закон его учитывает, его надо уважать; в других местах это хорошая практика.

Практика

Вы в эпохе 2022 года: сайт собирает статистику, и о ней нужно сказать честно. Составьте таблицу cookie вашего проекта (минимум пять строк, с категорией и признаком согласия), сделайте баннер из трёх одинаковых кнопок, сделайте счётчик «спящим» и добавьте ссылку в подвале, чтобы передумать.

Проверка читает разметку: категории и признак согласия, баннер с тремя равными кнопками, «спящий» скрипт. Честен ли он на самом деле и настоящая ли таблица, решаете вы: откройте инструменты разработчика на настоящем сайте и сравните с ней.

Что было не так раньше

В 2000-х cookie были «печеньками» и никого не волновали. Потом появились рекламные сети, которые следили за людьми между сайтами, и в 2011 году в ЕС ввели правило о согласии. Первые баннеры были строкой «продолжая пользоваться сайтом, вы соглашаетесь», а затем стали лабиринтом, где отказаться можно было за пять экранов. Регуляторы стали наказывать именно за лабиринт. Российская практика пока опирается на закон о персональных данных и на осторожность владельцев сайтов, но тоже меняется.