Kas yra slapukai?

Slapukai – tai maži tekstiniai failai, kuriuos svetainės išsaugo jūsų naršyklėje. Kai apsilankote svetainėje, serveris kartu su puslapio turiniu gali atsiųsti ir slapuką. Jūsų naršyklė išsaugo šį slapuką ir siunčia jį atgal serveriui su kiekviena tolesne užklausa. Šis paprastas mechanizmas – išsaugoti reikšmę ir atsiųsti ją atgal – yra beveik kiekvienos personalizuotos internetinės patirties pagrindas.

Suprasti, kas yra slapukai, kaip jie veikia ir kam naudojami, yra būtinas pirmas žingsnis siekiant atitikties slapukų reikalavimams. Negalima reguliuoti to, ko nesuprantate.

Kaip slapukai veikia techniškai

Iš esmės slapukai yra raktas–reikšmė poros. Slapukas turi pavadinimą, reikšmę ir atributų rinkinį, kuris valdo jo elgseną. Kai žiniatinklio serveris nori nustatyti slapuką, į savo HTTP atsakymą jis įtraukia Set-Cookie antraštę:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

Tai nurodo naršyklei: „Išsaugok slapuką pavadinimu session_id su reikšme abc123. Siųsk jį su kiekviena užklausa į bet kurį šio domeno kelią. Laikyk jį iki 2027 m. kovo. Siųsk tik per HTTPS. Ir neleisk „JavaScript“ prieiti prie jo.“

Su kiekviena tolesne užklausa į tą domeną naršyklė automatiškai įtraukia slapuką į Cookie antraštę:

Cookie: session_id=abc123

Serveris perskaito šią reikšmę ir žino, iš kur ateina užklausa. Tai visas mechanizmas. Slapukai nėra programos. Jie negali vykdyti kodo, prieiti prie jūsų failų sistemos ar nieko įdiegti. Tai pasyvūs duomenys – tekstinės eilutės, keliaujančios pirmyn ir atgal tarp naršyklės ir serverio.

Kam naudojami slapukai

Šiuolaikiniame žiniatinklyje slapukai atlieka keturias plačias funkcijas:

Autentifikavimas ir seansų valdymas

Kai prisijungiate prie svetainės, serveris sukuria seansą ir slapuke išsaugo unikalų seanso identifikatorių. Be šio slapuko serveris niekaip nežinotų, kad kita jūsų puslapio užklausa ateina iš to paties prisijungusio vartotojo. Kiekvienas puslapio įkėlimas atrodytų kaip pirmasis apsilankymas. Pirkinių krepšeliai, vartotojų paskyros, administravimo skydeliai – nė vienas iš jų neveiktų be seanso slapukų.

Vartotojo nuostatos

Slapukai įsimena jūsų pasirinkimus. Kalbos nuostatos, temos nustatymai (tamsus ar šviesus režimas), valiutos pasirinkimas, patys slapukų sutikimo pasirinkimai – visa tai paprastai saugoma slapukuose. Kai grįžtate į svetainę, o ji jau žino, kad renkatės vokiečių kalbą, ši informacija gyvena slapuke.

Analitika ir našumas

Paslaugos, tokios kaip „Google Analytics“, „Matomo“ ir „Plausible“, naudoja slapukus, kad atskirtų unikalius lankytojus nuo grįžtančiųjų, sektų, kurie puslapiai peržiūrimi per vieną seansą, ir matuotų, kaip lankytojai naršo po svetainę. Analitikos slapuke paprastai nėra tiesiogiai asmeninės informacijos – jame yra anoniminis identifikatorius, pavyzdžiui, _ga=GA1.2.123456789.1710000000.

Reklama ir sekimas

Būtent čia slapukai tampa privatumo problema. Reklamos tinklai naudoja slapukus vartotojams sekti keliose svetainėse, kurdami naršymo elgsenos profilius, kurie leidžia rodyti tikslinę reklamą. Kai apsilankote naujienų svetainėje ir vėliau matote reklamą produkto, kurį peržiūrėjote kitoje svetainėje, tai įmanoma dėl svetaines apjungiančių sekimo slapukų. Šie trečiųjų šalių slapukai yra pagrindinis šiuolaikinio privatumo reguliavimo taikinys.

Trumpa slapukų istorija

Slapukus 1994 m. sukūrė Lou Montulli, programuotojas iš „Netscape Communications“. Pradinis tikslas buvo kuklus: „Netscape“ reikėjo būdo įdiegti pirkinių krepšelį el. prekybos klientui, nesaugant kiekvieno vartotojo krepšelio turinio serveryje. Montulli pritaikė „magiškų slapukų“ (angl. magic cookies) sąvoką iš Unix kompiuterijos – mažus žetonus, perduodamus tarp programų būsenai išlaikyti.

Pirmieji slapukai buvo praktiškas inžinerinis sprendimas. Tačiau jų sekimo potencialas buvo greitai pastebėtas. Iki 1996 m. „Financial Times“ paskelbė pirmąjį plačiajai auditorijai skirtą straipsnį, keliantį slapukų privatumo problemas. Iki 2002 m. ES priėmė ePrivacy Directive, konkrečiai skirtą jiems.

Per vėlesnius du dešimtmečius slapukai iš paprasto seansų valdymo įrankio virto skaitmeninės reklamos pramonės pagrindu – ir pagrindiniu privatumo teisės aktų taikiniu visame pasaulyje.

Kodėl slapukai kelia privatumo susirūpinimą

Privatumo problema, susijusi su slapukais, nėra susijusi su pačia technologija. Slapukas, įsimenantis jūsų kalbos nuostatą, yra nekenksmingas. Susirūpinimas kyla dėl trijų konkrečių naudojimo būdų:

1. Svetaines apjungiantis sekimas. Trečiųjų šalių slapukai leidžia reklamos tinklams sekti vartotojus visame internete, kuriant išsamius naršymo elgsenos profilius. Vartotojas, apsilankęs medicininės informacijos svetainėje, politinės organizacijos svetainėje ir pažinčių svetainėje, atskleidė jautrią informaciją – ir visa tai gali būti susieta per slapukus.
2. Skaidrumo trūkumas. Dauguma vartotojų neįsivaizduoja, kiek slapukų nustatoma jiems apsilankius įprastoje svetainėje. Viena naujienų svetainė gali nustatyti 50–100 slapukų iš dešimčių skirtingų domenų. Vartotojas mato vieną svetainę; užkulisiuose jo apsilankymą stebi dešimtys įmonių.
3. Ilgalaikiškumas. Slapukai gali išlikti metų metus. Sekimo slapukas, nustatytas 2024 m., dar 2026 m. gali identifikuoti tą patį vartotoją. Šis ilgalaikio sekimo pajėgumas kartu su sekimu keliose svetainėse sukuria stebėjimo infrastruktūrą, veikiančią daugumai vartotojų nežinant ir be prasmingo sutikimo.

Būtent dėl šių priežasčių ePrivacy Directive (5 straipsnio 3 dalis) reikalauja informuoto sutikimo prieš talpinant nebūtinus slapukus, o GDPR (4 straipsnio 11 dalis ir 7 straipsnis) nustato griežtas sąlygas, kaip turėtų atrodyti galiojantis sutikimas.

Ne tik slapukai: kitos sekimo technologijos

Šiuolaikinis privatumo reguliavimas apima ne tik slapukus. ePrivacy Directive kalba apie „informacijos saugojimą arba prieigą prie jau saugomos informacijos abonento ar vartotojo galiniame įrenginyje“. Ši formuluotė sąmoningai apima bet kokį kliento pusėje veikiantį saugojimo mechanizmą, įskaitant:

• localStorage ir sessionStorage – žiniatinklio saugyklos API, leidžiančios svetainėms naršyklėje saugoti didesnius duomenų kiekius. Skirtingai nei slapukai, šie duomenys nėra automatiškai siunčiami serveriui, tačiau vis tiek gali būti naudojami sekimui ir jiems taikomos tos pačios sutikimo taisyklės.
• IndexedDB – galingesnė kliento pusės duomenų bazė. Taikomos tos pačios sutikimo taisyklės.
• Naršyklės pirštų atspaudai (fingerprinting) – įrenginio charakteristikų (ekrano skiriamosios gebos, įdiegtų šriftų, naršyklės papildinių, laiko juostos) rinkimas siekiant sukurti unikalų identifikatorių nieko nesaugant įrenginyje. Nors pirštų atspaudai nenaudoja slapukų, jie vis dažniau pripažįstami kaip sekimo technologija, kuriai reikia sutikimo. Prancūzijos CNIL ir kelios kitos duomenų apsaugos institucijos paskelbė gaires, tai patvirtinančias.
• Sekimo pikseliai – mažyčiai nematomi paveikslėliai, įkeliami iš trečiosios šalies serverio. Pati užklausa atskleidžia vartotojo IP adresą, naršyklę ir puslapį, kuriame jis yra. Sekimo pikseliai dažnai veikia kartu su slapukais, tačiau gali veikti ir savarankiškai.
• ETag ir talpykla pagrįstas sekimas – metodai, išnaudojantys naršyklės talpyklą identifikatoriams saugoti ir atkurti. Jie yra retesni, tačiau parodo, kodėl reguliavimas orientuojasi į rezultatą (sekimą), o ne į konkrečią technologiją.

Praktinė išvada: jei jūsų svetainė saugo ar prieina prie informacijos vartotojo įrenginyje nebūtiniems tikslams arba jei ji naudoja metodus vartotojams sekti tarp seansų, sutikimas beveik neabejotinai yra būtinas – nepriklausomai nuo to, ar mechanizmas techniškai yra „slapukas“.

„Passiro“ slapukų skeneris aptinka visus slapukus ir sekimo technologijas jūsų svetainėje, įskaitant localStorage naudojimą, trečiųjų šalių scenarijus ir sekimo pikselius – taip suteikdamas išsamų vaizdą apie tai, ką jūsų svetainė renka.

Svarbiausios išvados

• Slapukai yra maži tekstiniai failai, kuriuos saugo naršyklė ir siunčia atgal serveriui su kiekviena užklausa.
• Jie atlieka teisėtas funkcijas (autentifikavimas, nuostatos) ir privatumui jautrias funkcijas (analitika, reklama).
• Trečiųjų šalių sekimo slapukai yra pagrindinis privatumo reguliavimo susirūpinimas.
• Kitoms technologijoms (localStorage, pirštų atspaudai, pikseliai) taikomi tie patys sutikimo reikalavimai.
• Suprasti, kokius slapukus naudoja jūsų svetainė, yra pirmas žingsnis siekiant atitikties.

Toliau išsamiai apžvelkime skirtingus slapukų tipus – nes tipas lemia sutikimo reikalavimus.