Vad är cookies?

Cookies är små textfiler som webbplatser lagrar i din webbläsare. När du besöker en webbplats kan servern skicka en cookie tillsammans med sidinnehållet. Din webbläsare sparar denna cookie och skickar tillbaka den till servern vid varje efterföljande begäran. Denna enkla mekanism — lagra ett värde, skicka tillbaka det — utgör grunden för nästan alla personaliserade webbupplevelser.

Att förstå vad cookies är, hur de fungerar och vad de används till är det avgörande första steget mot cookieefterlevnad. Man kan inte reglera det man inte förstår.

Hur cookies fungerar tekniskt

I grunden är cookies nyckel-värde-par. En cookie har ett namn, ett värde och en uppsättning attribut som styr dess beteende. När en webbserver vill sätta en cookie inkluderar den en Set-Cookie-header i sitt HTTP-svar:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

Detta säger till webbläsaren: "Lagra en cookie med namnet session_id och värdet abc123. Skicka med den vid varje begäran till valfri sökväg på denna domän. Behåll den till mars 2027. Skicka den endast över HTTPS. Och låt inte JavaScript komma åt den."

Vid varje efterföljande begäran till den domänen inkluderar webbläsaren automatiskt cookien i Cookie-headern:

Cookie: session_id=abc123

Servern läser detta värde och vet vem begäran kommer från. Det är hela mekanismen. Cookies är inte program. De kan inte köra kod, komma åt ditt filsystem eller installera något. De är passiva data — textsträngar som färdas fram och tillbaka mellan webbläsare och server.

Vad cookies används till

Cookies fyller fyra breda syften på den moderna webben:

Autentisering och sessionshantering

När du loggar in på en webbplats skapar servern en session och lagrar en unik sessionsidentifierare i en cookie. Utan denna cookie skulle servern inte ha något sätt att veta att din nästa sidbegäran kommer från samma inloggade användare. Varje sidladdning skulle kännas som ett förstagångsbesök. Kundvagnar, användarkonton, administratörspaneler — inget av det fungerar utan sessionscookies.

Användarpreferenser

Cookies kommer ihåg dina val. Språkinställningar, temainställningar (mörkt läge kontra ljust läge), valutaval, själva samtyckesvalen för cookies — allt detta lagras vanligtvis i cookies. När du återvänder till en webbplats och den redan vet att du föredrar tyska, finns den kunskapen i en cookie.

Analys och prestanda

Tjänster som Google Analytics, Matomo och Plausible använder cookies för att skilja mellan unika besökare och återkommande besökare, för att spåra vilka sidor som visas under en enda session och för att mäta hur besökare navigerar genom en webbplats. Analyscookien innehåller vanligtvis inte personuppgifter direkt — den innehåller en anonym identifierare som _ga=GA1.2.123456789.1710000000.

Annonsering och spårning

Det är här cookies blir en integritetsfråga. Annonsnätverk använder cookies för att spåra användare över flera webbplatser och bygga profiler över surfbeteende som möjliggör riktad annonsering. När du besöker en nyhetssajt och senare ser annonser för en produkt du tittade på på en annan sajt, gjorde spårningscookies över webbplatser det möjligt. Dessa tredjepartscookies är det primära målet för modern integritetsreglering.

En kort historik om cookies

Cookies uppfanns 1994 av Lou Montulli, en programmerare på Netscape Communications. Det ursprungliga syftet var blygsamt: Netscape behövde ett sätt att implementera en kundvagn för en e-handelskund utan att lagra varje användares kundvagnsinnehåll på servern. Montulli anpassade konceptet "magic cookies" från Unix-datorer — små tokens som skickas mellan program för att bevara tillstånd.

De första cookies var en praktisk teknisk lösning. Men deras potential för spårning uppmärksammades snabbt. År 1996 publicerade Financial Times den första större artikeln som väckte integritetsfrågor kring cookies. År 2002 hade EU antagit ePrivacy-direktivet som specifikt behandlade dem.

Under de följande två decennierna utvecklades cookies från ett enkelt verktyg för sessionshantering till ryggraden i den digitala annonsbranschen — och det primära målet för integritetslagstiftning världen över.

Varför cookies är en integritetsfråga

Integritetsproblemet med cookies handlar inte om tekniken i sig. En cookie som kommer ihåg din språkinställning är ofarlig. Oron uppstår ur tre specifika användningsområden:

1. Spårning över webbplatser. Tredjepartscookies gör att annonsnätverk kan följa användare över hela webben och bygga detaljerade profiler över surfbeteende. En användare som besöker en sajt med medicinsk information, en politisk organisations sajt och en dejtingsajt har avslöjat känslig information — och allt kan kopplas samman via cookies.
2. Brist på transparens. De flesta användare har ingen aning om hur många cookies som sätts när de besöker en typisk webbplats. En enda nyhetssajt kan sätta 50–100 cookies från dussintals olika domäner. Användaren ser en webbplats; bakom kulisserna observerar dussintals företag deras besök.
3. Beständighet. Cookies kan bestå i åratal. En spårningscookie som sattes 2024 kan fortfarande identifiera samma användare 2026. Denna långsiktiga spårningsförmåga, i kombination med räckvidden över webbplatser, skapar en övervakningsinfrastruktur som verkar utan de flesta användares vetskap eller meningsfulla samtycke.

Dessa farhågor är anledningen till att ePrivacy-direktivet (artikel 5.3) kräver informerat samtycke innan icke-nödvändiga cookies placeras, och till att GDPR (artiklarna 4.11 och 7) ställer strikta villkor för hur giltigt samtycke ser ut.

Bortom cookies: andra spårningstekniker

Modern integritetsreglering omfattar inte bara cookies. ePrivacy-direktivet hänvisar till "lagring av information, eller åtkomst till information som redan lagrats, i en abonnents eller användares terminalutrustning." Denna formulering täcker medvetet alla lagringsmekanismer på klientsidan, inklusive:

• localStorage och sessionStorage — Web Storage-API:er som låter webbplatser lagra större mängder data i webbläsaren. Till skillnad från cookies skickas dessa data inte automatiskt till servern, men de kan ändå användas för spårning och kräver samtycke enligt samma regler.
• IndexedDB — En mer kraftfull databas på klientsidan. Samma samtyckesregler gäller.
• Fingeravtryck av webbläsare — Insamling av enhetsegenskaper (skärmupplösning, installerade teckensnitt, webbläsartillägg, tidszon) för att skapa en unik identifierare utan att lagra något på enheten. Även om fingeravtryck inte använder cookies erkänns det alltmer som en spårningsteknik som kräver samtycke. Franska CNIL och flera andra dataskyddsmyndigheter har utfärdat vägledning som bekräftar detta.
• Spårningspixlar — Små osynliga bilder som laddas från en tredjepartsserver. Själva begäran avslöjar användarens IP-adress, webbläsare och den sida de befinner sig på. Spårningspixlar fungerar ofta tillsammans med cookies men kan verka självständigt.
• ETags och cachebaserad spårning — Tekniker som utnyttjar webbläsarens cache för att lagra och hämta identifierare. Dessa är mindre vanliga men visar varför reglering fokuserar på resultatet (spårning) snarare än den specifika tekniken.

Den praktiska slutsatsen: om din webbplats lagrar eller kommer åt information på en användares enhet för icke-nödvändiga ändamål, eller om den använder tekniker för att spåra användare över sessioner, krävs samtycke nästan säkert — oavsett om mekanismen tekniskt sett är en "cookie".

Passiros cookieskanner upptäcker alla cookies och spårningstekniker på din webbplats, inklusive användning av localStorage, tredjepartsskript och spårningspixlar — vilket ger dig en fullständig bild av vad din sajt samlar in.

Viktiga slutsatser

• Cookies är små textfiler som lagras av webbläsaren och skickas tillbaka till servern vid varje begäran.
• De fyller legitima syften (autentisering, preferenser) och integritetskänsliga syften (analys, annonsering).
• Tredjeparts spårningscookies är den primära oron inom integritetsreglering.
• Andra tekniker (localStorage, fingeravtryck, pixlar) omfattas av samma samtyckeskrav.
• Att förstå vilka cookies din webbplats använder är det första steget mot efterlevnad.

Härnäst tittar vi närmare på de olika typerna av cookies — eftersom typen avgör samtyckeskraven.