Почти любой современный сайт хранит часть состояния пользователя или обращается к внешним сервисам, которые собирают технические и поведенческие данные. Иногда без такого хранения не работает сама страница: сбрасывается вход, пропадает корзина, теряются настройки языка и региона. Рядом с полезными механизмами давно существует другой слой: аналитика, рекламные сети и внешние сервисы, которым интересно не просто обслужить запрос, а собрать как можно больше сведений о поведении пользователя.
Как куки устроены технически
Куки представляют собой небольшие текстовые записи, которые чаще всего сервер передаёт браузеру через заголовок Set-Cookie. Часть записей может создать и JavaScript на странице через document.cookie, если cookie не защищена атрибутом HttpOnly. Браузер сохраняет запись и отправляет её обратно в запросах, которые подходят под параметры домена, пути, срока действия и правил SameSite.
Именно поэтому рекламный домен может получить свою cookie внутри чужой страницы. Если условия совпадают, браузер отправит запись не сайту в адресной строке, а внешнему элементу, который встроен на страницу. Атрибуты Secure, HttpOnly и SameSite ограничивают такие сценарии. Без HttpOnly cookie может прочитать JavaScript в пределах того же источника: схемы, домена и порта. Без Secure cookie может уйти по обычному HTTP, если браузер делает подходящий запрос к тому же домену без защищённого соединения. SameSite ограничивает отправку cookie в межсайтовых сценариях. Для полноценной работы сторонней cookie обычно нужен режим SameSite=None вместе с Secure.
На практике схема выглядит так. Пользователь открывает сайт, сервер выдаёт идентификатор сессии, браузер хранит его и прикладывает к следующим запросам. Сайт узнаёт не человека напрямую, а браузер, профиль браузера или сессию. Куки сами по себе не читают файлы на устройстве, не получают доступ к камере, микрофону, переписке или другим приложениям, но позволяют связывать действия в браузере с конкретной сессией, аккаунтом или рекламным идентификатором.
Куки не дают сайту доступ к файлам, камере, микрофону или приложениям. Главный риск в другом: записи помогают связать действия в браузере с сессией, аккаунтом или рекламным профилем.
Какие данные собирают сайты
Сайты фиксируют не только факт входа. Часть сведений сервер получает без куки, прямо из HTTP-запроса: IP-адрес, User-Agent, время соединения и реферер попадают в журнал автоматически. Другую часть сайт сохраняет в браузере через куки или localStorage. Третью часть собирают внешние скрипты и пиксели, встроенные на страницу: счётчики, рекламные теги, видеоплееры и кнопки социальных платформ.
Полезная часть такой системы обычно понятна. Технические куки поддерживают авторизацию, защищают сеанс, сохраняют содержимое форм и помогают сайту не начинать общение с посетителем с нуля после каждого обновления страницы. Функциональные записи запоминают тему оформления, язык или город. Проблемы начинаются там, где данные используют не для работы конкретного сервиса, а для анализа привычек, интересов и перемещений по разным площадкам.
Куки обычно делят на несколько групп. Конкретная классификация зависит от платформы управления согласием, сайта и применимого законодательства.
Сторонние механизмы, включая куки, пиксели, рекламные теги и SDK в приложениях, особенно важны для межсайтового отслеживания.
Почему проблема давно не сводится к одним куки
Даже полное удаление куки не делает человека невидимым. Современные сайты используют несколько разных инструментов. Отпечаток браузера строится из множества признаков: размера экрана, часового пояса, языка системы, списка шрифтов и особенностей рендеринга графики. В сумме такие признаки помогают отличать одно устройство от другого без единой локальной записи.
Пиксели и внешние скрипты могут работать без локального хранилища. localStorage и IndexedDB не отправляются автоматически с каждым HTTP-запросом, как cookie, и могут пережить простую очистку куки. Но при удалении всех данных сайта браузер обычно очищает и такие хранилища. Серверные журналы фиксируют каждый запрос независимо от того, что хранится в браузере.
Приватный режим полезен, но не всемогущ. Он обычно не сохраняет историю, локальные данные и часть временной информации после закрытия окна, однако сам факт посещения сайта никуда не исчезает. Ресурс по-прежнему видит подключение, а провайдер, работодатель в корпоративной сети или внешние службы на странице могут наблюдать сетевую активность в пределах своих возможностей.
В мобильных приложениях картина ещё сложнее. Там работают встроенная аналитика, рекламные идентификаторы IDFA и GAID, системные разрешения и встроенные веб-окна, через которые открываются внешние страницы. Разговор о приватности нельзя сводить к одной кнопке очистки данных браузера. Куки остаются важной частью экосистемы наблюдения, но далеко не единственной.
Что происходит со сторонними куки в браузерах прямо сейчас
Safari начал ограничивать трекинг через ITP в 2017 году, а полную блокировку сторонних cookie по умолчанию включил в Safari 13.1 в 2020 году. WebKit называет Safari первым массовым браузером с такой защитой. Firefox в 2019 году включил Enhanced Tracking Protection по умолчанию и начал блокировать известные сторонние cookie для отслеживания по списку Disconnect.
Chrome долго шёл к похожему решению. Google несколько раз переносил дату отказа от сторонних cookie: с 2022 года на 2024-й, затем на 2025-й. В апреле 2025 года компания отказалась от принудительного отключения и оставила управление на стороне пользователя через настройки. Сторонние cookie в Chrome по-прежнему работают по умолчанию для большинства пользователей.
Значительная часть рекламных API Privacy Sandbox при этом свернулась. В октябре 2025 года Google объявила о выводе из эксплуатации Topics API, Protected Audience, Attribution Reporting и ряда других API. Вместо единой замены сторонним cookie компания оставила управление в настройках и продолжила отдельные работы вокруг приватности и идентификации в браузере.
Практический вывод простой: настройки Chrome нужно проверять и менять вручную. Safari и Firefox по умолчанию защищают пользователя заметно сильнее.
Как сократить сбор данных без поломки нужных сайтов
Самый практичный подход не требует воевать со всем интернетом сразу. Лучше отсечь межсайтовое отслеживание, отключить рекламную персонализацию и сократить лишнюю историю активности, оставив технические механизмы там, где без них не обойтись. Тогда банки, почта, маркетплейсы и рабочие кабинеты продолжают работать нормально, а внешним сетям становится сложнее собирать длинный профиль поведения.
На компьютере начните с настроек браузера. В Chrome откройте Настройки → Конфиденциальность и безопасность → Сторонние файлы cookie. Названия разделов могут отличаться в зависимости от версии, поэтому проще искать по слову «сторонние». В Edge проверьте Настройки → Конфиденциальность, поиск и службы, а затем раздел файлов cookie и предотвращение отслеживания. В Firefox включите Улучшенную защиту от отслеживания в разделе Конфиденциальность и защита. В Safari на Mac проверьте пункт «Предотвращать перекрёстное отслеживание». В Яндекс Браузере найдите параметры cookie и блокировку трекеров в разделе сайтов.
На iPhone откройте Настройки → Safari в iOS 17 и ниже или Настройки → Приложения → Safari в iOS 18 и выше. Проверьте, включён ли параметр «Без перекрёстного отслеживания». Для управления рекламным трекингом приложений зайдите в Настройки → Конфиденциальность и безопасность → Отслеживание и отключите переключатель «Разрешить запросы на отслеживание». После этого приложения автоматически получат запрет без дополнительных диалогов. Такой запрет касается межсайтового трекинга, а не собственной аналитики приложений.
В сервисах Google зайдите в Мой аккаунт → Данные и конфиденциальность → История приложений и веб-поиска. Отдельно проверьте настройки рекламы в My Ad Center.
Все эти меры работают хуже, если пользователь постоянно залогинен в Google, Apple, маркетплейсе или социальной сети. Внутри аккаунта платформа продолжает собирать собственные данные о действиях пользователя. Блокировка сторонних cookie такой профиль не отменяет.
- Включите блокировку сторонних куки, особенно в Chrome, где она выключена по умолчанию.
- Оставьте включённой защиту от отслеживания в браузере.
- Очищайте данные сайтов выборочно, если ломается конкретный вход или кабинет.
- Проверяйте историю активности в крупных аккаунтах, которыми пользуетесь каждый день.
- Не давайте приложениям разрешения на отслеживание без явной необходимости.
- Отключите персонализацию рекламы в аккаунтах Google и Apple.
Что важно знать о законах и баннерах про куки
В Европе правила для куки регулируют сразу два документа: Директива ePrivacy и GDPR. Технические записи считают допустимыми для работы сервиса. Рекламные и большинство аналитических куки требуют предварительного, информированного и свободно данного согласия. Поэтому на добросовестных сайтах есть не только кнопка согласия, но и возможность отказаться от необязательных категорий, а не только принять всё одной кнопкой.
В России отдельного закона только про куки нет, но работает 152-ФЗ о персональных данных. Закон даёт широкое определение: персональные данные, любая информация, относящаяся к прямо или косвенно определяемому физическому лицу. Юридически важен не сам файл куки, а возможность связать идентификатор с конкретным человеком через аккаунт, IP-адрес, заказ или рекламный профиль. Для владельца сайта куки-баннер не заменяет политику обработки персональных данных, уведомление Роскомнадзора и настройку реального отказа от необязательных трекеров.
Для пользователя вывод простой. Баннер сам по себе не гарантирует, что сайт ограничится минимально необходимым набором данных. Поэтому выбор на стороне сайта лучше сочетать с настройками браузера, телефона и крупных аккаунтов, через которые проходит повседневная цифровая жизнь.
Практическая схема на каждый день
Основной браузер настройте на блокировку сторонних куки и включите защиту от отслеживания. Для чувствительных действий, например входа в банк, Госуслуги или рабочий кабинет, не используйте чужое устройство без крайней необходимости. Если другого варианта нет, откройте приватное окно, завершите сеанс и удалите данные конкретного сайта.
Отдельного внимания требуют аккаунты Google, Apple и других крупных платформ. Именно там хранятся журналы действий, история поиска, настройки рекламы и разрешения для приложений. Проверка таких разделов раз в месяц даёт больше пользы, чем редкая тотальная очистка браузера, после которой половина нужных сервисов снова задаёт одни и те же вопросы.
Полностью исчезнуть из цифровой среды при обычном использовании сайтов, приложений, мессенджеров и видеосервисов почти невозможно. Но сократить объём собираемых данных до разумного уровня реально.
Блокировщик рекламы и трекеров дополнительно режет рекламные теги там, где настроек браузера не хватает. В Firefox доступен классический uBlock Origin. В Chrome после отказа от Manifest V2 в 2025 году стоит использовать совместимые расширения на базе Manifest V3, например uBlock Origin Lite. Массовое распространение таких инструментов показывает, что контроль над трекингом давно вышел за пределы узкой технической аудитории.
FAQ
Удаление куки разлогинит меня везде?
Во многих случаях да. Куки часто хранят идентификатор сессии, поэтому после очистки браузер теряет связку с уже открытым входом. Именно поэтому удобнее не стирать всё подряд, а сначала ограничить сторонние механизмы и удалять данные выборочно.
Режим инкогнито скрывает меня от сайтов и провайдера?
Нет. Такой режим в первую очередь не сохраняет локальную историю и часть временных данных после закрытия окна. Сам сайт, провайдер и другие участники соединения продолжают видеть сетевую активность в пределах своей зоны наблюдения.
Если отказаться в баннере, отслеживание исчезнет полностью?
Не всегда. Обычно отказ касается рекламных и части аналитических механизмов. Технические записи для работы сайта остаются, а часть сведений попадает в серверные журналы и защитные системы независимо от выбора в баннере.
Что включить в первую очередь?
Для большинства пользователей хватит четырёх шагов: заблокировать сторонние куки в браузере, оставить включённой защиту от отслеживания, проверить рекламные и поведенческие настройки в аккаунтах Google или Apple, запретить межсайтовый трекинг для приложений на телефоне.