Cookie del browser spiegati: perché ogni sito li chiede e cosa fare

L'hai visto mille volte. Apri un sito web e, prima ancora di leggere una sola parola, compare un banner: "Questo sito utilizza i cookie. Accetti tutti?" Clicchi "Accetta" (che altro dovresti fare?) e vai avanti con la tua giornata.

Ma il punto è questo: la maggior parte delle persone non ha idea di cosa abbia appena accettato. E la posta in gioco è più alta di quanto pensi. Una sola visita a un grande sito di notizie può depositare nel tuo browser oltre 50 cookie provenienti da decine di aziende diverse. Alcuni di quei cookie ti seguiranno sul web per mesi, fornendo dati a inserzionisti, data broker e aziende di cui non hai mai sentito parlare.

I cookie non sono il nemico. Molti sono essenziali: senza di loro, il web come lo conosciamo semplicemente non funzionerebbe. Il trucco è sapere quali aiutano te e quali aiutano qualcun altro. Questa guida ti spiega proprio questo: cosa sono davvero i cookie, perché ogni sito web ora te li chiede, quali contano per la tua privacy e cosa fare esattamente la prossima volta che compare un banner di consenso.

Cosa sono i cookie del browser?

Un cookie è un piccolo dato che un sito web chiede al tuo browser di memorizzare sul tuo dispositivo. Quando visiti un sito, il server include nella sua risposta un'istruzione Set-Cookie. Il tuo browser salva quel dato e, ogni volta che fai un'altra richiesta allo stesso sito, rimanda indietro il cookie. Tutto il meccanismo sta in questo andata e ritorno: il server imposta il cookie, il browser lo memorizza e poi lo restituisce.

Nonostante il nome, i cookie non sono letteralmente file a forma di biscotto sul tuo disco rigido. Nei browser moderni come Chrome e Firefox, i cookie sono memorizzati in database interni (Chrome usa LevelDB, Firefox usa SQLite). Ogni cookie è una semplice coppia nome-valore, qualcosa come session_id=abc123 o theme=dark, con una serie di attributi che controllano quando scade, a quali pagine si applica e se può essere letto dal codice in esecuzione sulla pagina.

Un modo utile per immaginarlo: pensa a un ristorante in cui all'arrivo ti danno un braccialetto. Quel braccialetto dice al cameriere qual è il tuo tavolo, cosa hai ordinato e se hai già pagato. Ogni volta che qualcuno dello staff vede il tuo braccialetto, sa come servirti senza doverti chiedere di nuovo. Alcuni braccialetti sono usa e getta: li butti quando esci. Altri sono braccialetti da socio permanenti che ti identificano alla visita successiva, anche mesi dopo. E alcuni braccialetti non vengono affatto dal ristorante: te li ha messi un'agenzia di marketing nell'atrio, che ora tiene traccia di quali ristoranti frequenti in tutta la città.

È in quest'ultima categoria che i cookie diventano controversi.

Cosa memorizzano davvero i cookie?

I dati contenuti in un cookie dipendono dal suo scopo, ma esempi comuni sono: un identificatore di sessione che collega tra loro le tue richieste, così il server sa che hai effettuato l'accesso, un ID del carrello che rimanda agli articoli che hai selezionato, le tue preferenze di lingua o di visualizzazione, un token di autenticazione oppure un ID di tracciamento univoco che una rete pubblicitaria usa per riconoscerti su siti web diversi.

I cookie sono piccoli per natura. I browser di solito impongono un limite di circa 4 KB per cookie e un tetto al numero totale di cookie per dominio (di solito qualche centinaio). Non sono in grado di memorizzare file di grandi dimensioni, eseguire programmi o accedere direttamente a qualsiasi altra cosa sul tuo dispositivo. Un cookie, da solo, è solo un dato. Le implicazioni per la privacy derivano da come quel dato viene usato, e da chi.

In cosa i cookie differiscono dagli altri archivi del browser

I cookie non sono l'unico modo in cui i siti web memorizzano dati nel tuo browser. I browser moderni supportano anche localStorage (che persiste indefinitamente finché non viene cancellato), sessionStorage (che viene svuotato quando chiudi la scheda) e IndexedDB (un database più potente per dati strutturati).

Ciò che rende unici i cookie è che vengono inviati al server automaticamente con ogni richiesta. localStorage e sessionStorage restano sul tuo dispositivo: il server non li vede mai, a meno che JavaScript non li invii esplicitamente. Questa trasmissione automatica è ciò che rende i cookie così utili per l'autenticazione e la gestione delle sessioni, ma è anche ciò che li rende efficaci come strumenti di tracciamento: ogni richiesta che fai a un sito (o a una risorsa di terze parti caricata da quel sito) porta con sé il cookie.

I diversi tipi di cookie

Non tutti i cookie sono uguali. Capire le distinzioni principali è ciò che separa un consenso informato da un clic alla cieca su "Accetta".

Cookie di sessione e cookie persistenti

I cookie di sessione sono temporanei. Sono pensati per durare solo per il tempo della tua visita e, in teoria, vengono eliminati quando chiudi il browser. Sono i cookie che mantengono intatto il tuo carrello mentre passi da una pagina prodotto all'altra, o che ricordano che hai effettuato l'accesso mentre navighi tra le pagine.

Un'avvertenza: molti browser moderni offrono la funzione "ripristina sessione precedente". Se la usi, i cookie di sessione possono sopravvivere al riavvio del browser, perché tecnicamente il browser sta continuando la stessa sessione. È una piccola sfumatura, ma vale la pena saperla: i cookie di sessione non sempre durano poco come suggerisce il nome.

I cookie persistenti restano anche dopo che hai chiuso il browser. Hanno una data di scadenza impostata, che va da poche ore a diversi anni. Un cookie persistente è ciò che permette a un sito web di ricordare il tuo accesso, così non devi reinserire la password ogni volta che torni. È anche ciò che permette a una rete pubblicitaria di seguire la tua attività sul web per mesi. Alcuni cookie di Google, per esempio, sono impostati per scadere tra 20 anni. Che un cookie persistente sia utile o invasivo dipende interamente da ciò che fa.

Quanto sono diffusi i cookie persistenti? Molto. Secondo l'analisi 2024 dell'HTTP Archive sul primo milione di siti web, solo circa il 16% dei cookie di prima parte e appena il 4% dei cookie di terze parti sono cookie di sessione. La stragrande maggioranza è persistente.

Cookie di prima parte e cookie di terze parti

Questa è la distinzione che conta di più per la tua privacy.

I cookie di prima parte sono impostati dal sito web che stai effettivamente visitando. Se sei su shop.example.com, un cookie di prima parte arriva da shop.example.com. Questi cookie gestiscono l'essenziale: mantenerti connesso, salvare le tue preferenze, ricordare cosa c'è nel tuo carrello. Funzionano solo sul sito che li ha creati. Non possono seguirti altrove. La maggior parte dei siti web non può funzionare correttamente senza di loro.

I cookie di terze parti sono impostati da un dominio diverso da quello nella barra degli indirizzi. Ecco come funziona in pratica: visiti un sito di notizie e quel sito carica una pubblicità servita da adnetwork.com. Quando il tuo browser recupera quell'annuncio, adnetwork.com imposta un cookie nel tuo browser. Più tardi visiti un sito completamente diverso, un blog di cucina, che carica anch'esso contenuti da adnetwork.com. La rete pubblicitaria legge il cookie che aveva piazzato in precedenza e fa due più due: la persona che ha letto quell'articolo di notizie è la stessa che ora sta guardando ricette. Col tempo, tutto questo si trasforma in un profilo dettagliato dei tuoi interessi, delle tue abitudini e della tua cronologia di navigazione, senza che tu abbia mai visitato direttamente adnetwork.com.

I cookie di terze parti sono quelli al centro del dibattito sulla privacy. Sono quelli che hanno portato a normative, giri di vite da parte dei browser e a quei banner di consenso che vedi ovunque.

Cookie in base allo scopo

La maggior parte dei banner di consenso ai cookie raggruppa i cookie in categorie. Capire queste categorie ti aiuta a prendere decisioni più rapide e più sensate quando compare un banner:

I cookie essenziali (o strettamente necessari) mantengono il sito in funzione. Gestiscono l'autenticazione, funzioni di sicurezza come la protezione CSRF, il bilanciamento del carico e operazioni di base come il mantenimento della sessione. Non puoi rifiutarli e, secondo la maggior parte delle leggi sulla privacy, i siti non hanno bisogno del tuo consenso per usarli, perché il sito letteralmente non può funzionare senza.

I cookie funzionali (o di preferenza) ricordano le tue scelte: la lingua, la regione, l'impostazione della modalità scura o se hai già chiuso una notifica. Rendono le cose più comode, ma tecnicamente non sono necessari al funzionamento del sito.

I cookie analitici misurano come i visitatori usano un sito: quali pagine ricevono traffico, quanto tempo restano le persone, dove cliccano e cosa provoca errori. Google Analytics è l'esempio dominante. Questi cookie aiutano i proprietari dei siti a capire e migliorare i propri siti. Di solito non ti identificano personalmente, ma tracciano il tuo comportamento all'interno del sito.

I cookie di marketing e pubblicitari esistono per tracciarti tra i siti web e mostrarti annunci mirati. Sono in larghissima parte cookie di terze parti. Sono il motivo per cui cerchi scarpe da corsa su un sito e poi vedi pubblicità di scarpe da corsa su tutti gli altri siti per le due settimane successive. Sono anche, di gran lunga, la categoria con le implicazioni più significative per la privacy.

Cookie zombie e fingerprinting

I cookie standard si possono eliminare. Ma alcune tecniche di tracciamento sono pensate per sopravvivere a questo.

I cookie zombie (chiamati anche evercookie) memorizzano copie ridondanti di un identificatore di tracciamento in più posizioni di archiviazione del browser: localStorage, IndexedDB, cache HTML5 e altri angoli poco noti. Quando elimini il cookie principale, uno script ne rileva l'assenza e lo ricrea da una delle copie di riserva. Il risultato: un cookie che continua a tornare dal mondo dei morti.

Il fingerprinting del browser adotta un approccio completamente diverso. Non usa affatto i cookie. Raccoglie invece decine di dati apparentemente innocui sul tuo browser e sul tuo dispositivo (risoluzione dello schermo, font installati, scheda grafica, fuso orario, impostazioni della lingua e altro ancora) e li combina in un identificatore univoco. L'"impronta" che ne risulta può essere sorprendentemente precisa nel riconoscerti tra una visita e l'altra, e non c'è alcun cookie da eliminare, perché l'identificatore viene calcolato dalle proprietà del tuo dispositivo invece di essere memorizzato su di esso.

Queste tecniche sono molto meno diffuse dei cookie ordinari, ma rappresentano la corsa agli armamenti tra tracciamento e privacy. Sapere che esistono ti aiuta a capire perché cancellare i cookie non sempre basta, e perché i browser orientati alla privacy includono anche una protezione contro il fingerprinting.

Perché ogni sito web ti chiede dei cookie

L'esplosione dei banner di consenso ai cookie dal 2018 in poi si spiega con una cosa sola: la legge è cambiata, e le sanzioni per chi la ignora sono pesanti.

Il GDPR e la legge europea sui cookie

Il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea, entrato in vigore nel maggio 2018, classifica gli identificatori dei cookie come dati personali. Secondo il GDPR, i siti web devono ottenere dagli utenti un consenso chiaro e affermativo prima di impostare qualsiasi cookie non essenziale. Questo significa niente caselle già spuntate, niente "continuando a navigare accetti": serve un'azione deliberata da parte dell'utente. L'opzione "Rifiuta" deve essere accessibile quanto "Accetta".

La Direttiva ePrivacy dell'UE (spesso chiamata "legge sui cookie") è più vecchia: risale al 2002 ed è stata modificata nel 2009. Richiede specificamente ai siti web di informare gli utenti sui cookie e di ottenere il consenso prima di usare qualsiasi cookie che vada oltre quelli strettamente necessari. Il GDPR ha rafforzato e reso più severi questi requisiti.

E le sanzioni non restano sulla carta. Le multe previste dal GDPR possono arrivare a 20 milioni di euro o al 4% del fatturato annuo globale, a seconda di quale importo sia più alto. Un rischio di questa portata è il motivo per cui anche le piccole aziende mostrano banner di consenso invece di sperare che nessuno se ne accorga.

Le leggi sulla privacy negli Stati Uniti: un mosaico

Gli Stati Uniti non hanno un'unica legge federale sulla privacy equivalente al GDPR. Sono invece i singoli stati ad aver approvato le proprie leggi. Il California Consumer Privacy Act (CCPA) e il suo successore, il California Privacy Rights Act (CPRA), sono i più importanti. Danno ai consumatori il diritto di opporsi alla vendita o alla condivisione dei propri dati personali, compresi quelli raccolti tramite cookie. Colorado, Connecticut, Virginia, Texas e New Jersey hanno approvato leggi simili, con requisiti diversi.

Una differenza fondamentale: il GDPR richiede un consenso opt-in (non si attiva nulla finché non accetti), mentre le leggi statunitensi seguono in genere un modello opt-out (il tracciamento può iniziare, ma devi avere la possibilità di fermarlo). Ecco perché la tua esperienza cambia a seconda di dove ti trovi. Gli utenti europei vedono banner con "Accetta o Rifiuta". Gli utenti americani vedono spesso "Questo sito utilizza i cookie" con un pulsante "Ho capito", che ti informa ma non ti offre necessariamente una vera scelta.

Il problema dei dark pattern

In teoria, i banner di consenso ti danno il controllo. In pratica, molti sono progettati per spingerti verso "Accetta tutti".

Le tattiche più comuni includono: rendere il pulsante "Accetta" grande e colorato, nascondendo "Rifiuta" o "Gestisci preferenze" in un piccolo testo grigio; richiedere più clic per rifiutare i cookie mentre per accettarli ne basta uno; spuntare in anticipo le caselle dei cookie di marketing nel pannello delle impostazioni; e usare un linguaggio vago e intimidatorio come "alcune funzioni potrebbero non funzionare" per scoraggiare il rifiuto.

Le autorità di regolamentazione europee hanno intensificato la stretta su questi dark pattern. Il Comitato europeo per la protezione dei dati ha dichiarato esplicitamente che i cookie wall (bloccare l'accesso a un sito a meno che tu non accetti tutti i cookie) sono in generale vietati. Ma l'applicazione è lenta, e molti siti continuano a spingersi al limite di ciò che è consentito.

Se ti imbatti in un banner che rende il rifiuto molto più difficile dell'accettazione, è un segnale dell'atteggiamento del sito nei confronti della tua privacy.

Global Privacy Control: l'alternativa con un clic

Uno degli sviluppi più promettenti nel consenso ai cookie è Global Privacy Control (GPC). Invece di interagire con i banner su ogni sito web, GPC invia un segnale dal tuo browser a ogni sito che visiti, comunicando automaticamente la tua preferenza a non far vendere o condividere i tuoi dati.

GPC ha un fondamento giuridico. Il Procuratore generale della California ha confermato che le aziende devono rispettare i segnali GPC ai sensi del CCPA. Nel 2022 Sephora è stata multata per 1,2 milioni di dollari per non averlo fatto: il primo grande provvedimento di questo tipo. Anche Colorado, Connecticut e altri stati ora richiedono il rispetto dei segnali GPC. E nell'ottobre 2025 la California ha approvato l'Opt Me Out Act, che entro il 2027 obbligherà tutti i principali browser a includere una funzionalità GPC integrata.

GPC è già supportato nativamente in Brave e DuckDuckGo Browser (attivo di default) e in Firefox (disponibile nelle impostazioni). Per Chrome e altri browser, estensioni come l'estensione GPC della NAI o Privacy Badger possono aggiungere questa funzionalità. Non sostituisce completamente la gestione dei cookie, ma è quanto di più vicino abbiamo a un pulsante universale "lasciatemi in pace".

I cookie di terze parti nel 2025 e nel 2026: a che punto siamo davvero

È qui che quasi tutti gli articoli in rete sono ormai superati. Ecco come stanno davvero le cose oggi.

Per anni, il settore tecnologico si è preparato alla "morte dei cookie di terze parti". Nel 2020 Google ha annunciato che Chrome li avrebbe eliminati gradualmente. Le scadenze sono state fissate, rinviate, fissate di nuovo e rinviate ancora. Poi, nel luglio 2024, Google ha fatto marcia indietro. Nell'aprile 2025 Chrome ha confermato ufficialmente: i cookie di terze parti restano.

Quindi, qual è la situazione?

Safari blocca di default i cookie di terze parti dal 2020 tramite la Prevenzione intelligente del tracciamento (ITP). ITP usa il machine learning sul dispositivo per individuare e limitare i domini di tracciamento. Limita anche la durata di alcuni cookie di prima parte impostati tramite JavaScript, una misura pensata per impedire gli aggiramenti.

Firefox adotta un approccio diverso ma altrettanto efficace. La sua Protezione antitracciamento avanzata (ETP) blocca i cookie traccianti noti, e Total Cookie Protection va oltre, dando a ogni sito web il proprio "barattolo dei cookie" isolato. Un cookie di terze parti impostato su un sito non può essere letto quando ne visiti un altro, anche se proviene dallo stesso dominio di tracciamento. Più che un blocco, è una quarantena.

Chrome consente ancora di default i cookie di terze parti nella navigazione normale (sono bloccati in modalità in incognito). Privacy Sandbox di Google continua a sviluppare API alternative (la Topics API per la pubblicità basata sugli interessi, la Attribution Reporting API per la misurazione degli annunci), ma i cookie di terze parti tradizionali restano pienamente funzionanti. Considerata la quota di mercato globale di Chrome, pari a circa il 65%, questo significa che il tracciamento tramite cookie di terze parti è ancora operativo per la maggior parte degli utenti del web.

Brave blocca di default tutti i cookie di terze parti, i tracker e il fingerprinting.

Edge blocca i tracker dei siti non visitati e i tracker dannosi noti tramite il suo sistema di prevenzione del tracciamento, configurabile su tre livelli: Di base, Bilanciata e Rigorosa.

Riassumendo: il "futuro senza cookie" non è un evento lontano. È già la realtà per gli utenti di Safari, Firefox e Brave, circa un terzo di tutto il traffico internet. Ma la decisione di Chrome di mantenere i cookie di terze parti significa che l'infrastruttura di tracciamento resta intatta per la maggioranza. La scelta del browser è di per sé una decisione sulla privacy.

Dovresti accettare i cookie?

È la domanda a cui la maggior parte delle persone vuole davvero una risposta. Ecco uno schema pratico che puoi applicare in pochi secondi.

Cookie essenziali: accettali sempre

Se un sito offre opzioni dettagliate, accetta sempre i cookie essenziali o strettamente necessari. Rifiutarli renderà il sito inutilizzabile: non potrai accedere, tenere gli articoli nel carrello o usare le funzioni principali. Sono cookie di prima parte, legati a un solo sito, che non possono tracciarti altrove. Secondo la maggior parte delle leggi sulla privacy, i siti non hanno nemmeno bisogno del consenso per questi.

Cookie funzionali e analitici: di solito vanno bene

I cookie funzionali (lingua, preferenze di visualizzazione) e i cookie analitici (dati di utilizzo anonimizzati) comportano un rischio basso per la maggior parte degli utenti. I cookie analitici aiutano i proprietari dei siti a capire come i visitatori usano i loro siti, dati che portano davvero a esperienze migliori. Di solito non ti seguono sul web. Se vuoi sostenere i siti che visiti, accettarli è ragionevole.

Cookie di marketing e di terze parti: rifiutali

Qui conviene scegliere con attenzione. I cookie di marketing e pubblicitari esistono per tracciare il tuo comportamento tra i siti web, costruire un profilo dei tuoi interessi e mostrarti annunci mirati. Rifiutarli è la cosa più incisiva in assoluto che puoi fare davanti a un banner di consenso ai cookie.

Il sito continuerà a funzionare normalmente. L'unica differenza: gli annunci che vedrai saranno generici invece che personalizzati.

Quando rifiutare tutto ciò che non è essenziale

Alcune situazioni richiedono una cautela in più:

Siti non crittografati. Se l'URL inizia con http:// invece di https://, il sito non ha la crittografia del trasporto. I cookie inviati su una connessione non crittografata possono essere intercettati: un rischio concreto sulle reti condivise o pubbliche.

Wi-Fi pubblico. Le reti aperte rendono più facile il session hijacking, in cui un malintenzionato intercetta i tuoi cookie di sessione e si spaccia per te. Sul Wi-Fi pubblico usa la modalità privata o in incognito del tuo browser.

Operazioni sensibili. Banca, cartelle cliniche, dichiarazione dei redditi: qualsiasi sito che gestisce dati personali sensibili merita il rifiuto di tutti i cookie non essenziali, per ridurre al minimo la scia di dati.

Siti senza opzione di rifiuto. Un sito web che mostra solo "Accetta" senza alternative è un campanello d'allarme. Secondo il GDPR non è conforme. In qualsiasi quadro normativo, indica che la tua privacy non è una priorità.

Cosa succede davvero quando clicchi "Rifiuta"?

Quando rifiuti i cookie non essenziali su un sito implementato bene, la piattaforma di gestione del consenso impedisce il caricamento degli script di tracciamento di terze parti nel tuo browser. Pixel di marketing, tag delle reti pubblicitarie e script analitici vengono bloccati. Il sito si carica solo con i cookie di cui ha bisogno per funzionare.

Sui siti implementati male, il quadro è più torbido. Diverse verifiche hanno ripetutamente rilevato che alcune piattaforme di consenso continuano ad attivare tag di tracciamento anche dopo che gli utenti hanno rifiutato i cookie. Nel 2025, un'operazione coordinata dei Procuratori generali di California, Colorado e Connecticut ha preso di mira le aziende che non rispettavano correttamente le richieste di opt-out, segno che l'applicazione delle regole si sta facendo più aggressiva.

La lezione: rifiutare i cookie vale sempre la pena, ma non è una garanzia. Combinare le tue scelte di consenso con le protezioni a livello di browser ti offre una difesa più solida.

Come i diversi browser gestiscono i cookie

Il tuo browser è la tua prima linea di difesa. Ecco come si confrontano i principali browser così come sono: niente estensioni, niente modifiche alla configurazione, solo le impostazioni predefinite.

Una nota sulla modalità privata o in incognito: non blocca i cookie durante la sessione. Continuerai a ricevere e inviare cookie mentre navighi. Ciò che fa la modalità privata è cancellare tutto (cookie, cronologia, cache) quando chiudi la finestra. È utile per una navigazione effimera, ma non ti rende invisibile durante la sessione.

In sintesi: se la privacy dei cookie ti sta a cuore, Safari, Firefox e Brave offrono impostazioni predefinite decisamente più protettive di Chrome. Chrome ti dà il massimo controllo manuale, ma la sua configurazione predefinita privilegia l'apertura rispetto alla privacy, riflesso del modello di business di Google basato sulla pubblicità.

Per confronti diretti e dettagliati tra questi browser, comprese funzioni di privacy, prestazioni e altro, consulta le pagine di confronto su browsers.to.

Come prendere il controllo dei tuoi cookie

Non sei obbligato ad accettare le impostazioni predefinite. Ecco come costruire una strategia sui cookie che funzioni per te.

Blocca i cookie di terze parti

È la modifica più incisiva che la maggior parte delle persone possa fare. Se usi Chrome, vai in Impostazioni → Privacy e sicurezza → Cookie di terze parti e bloccali. Chi usa Safari e Firefox ha già questa protezione di default. Bloccare i cookie di terze parti elimina il principale meccanismo di tracciamento tra siti, e la stragrande maggioranza dei siti web continuerà a funzionare normalmente.

Cancella i cookie periodicamente

Ogni browser ti permette di visualizzare ed eliminare i cookie memorizzati, di solito in Impostazioni → Privacy e sicurezza → Cookie e dati dei siti. Puoi cancellare tutto in una volta o rimuovere i cookie di siti specifici. È come azzerare la scia di dati che hai accumulato.

Sì, cancellare i cookie ti disconnetterà dalla maggior parte dei siti. In realtà è istruttivo: ti rivela quanto lavoro facessero in silenzio, dietro le quinte, quei minuscoli file di dati.

Attiva Global Privacy Control

Se il tuo browser supporta GPC, attivalo. In Firefox lo trovi in Impostazioni → Privacy e sicurezza. In Brave è attivo di default. Per Chrome, installa un'estensione GPC. In questo modo invii un segnale legalmente riconosciuto a ogni sito che visiti, automatizzando la procedura di opt-out che altrimenti richiederebbe di interagire con ogni singolo banner di consenso.

Usa le estensioni del browser

Consent-O-Matic è un'estensione open source che compila automaticamente le tue preferenze sulla privacy nei banner di consenso. Invece di nascondere i banner, li compila al posto tuo: così le tue preferenze arrivano davvero al sito.

uBlock Origin è soprattutto un ad blocker, ma impedisce anche il caricamento di molti script di tracciamento di terze parti, fermando i cookie prima ancora che vengano impostati.

Privacy Badger (della Electronic Frontier Foundation) impara quali domini ti stanno tracciando e li blocca in modo adattivo, invece di affidarsi a un elenco statico.

Valuta un browser orientato alla privacy

Se la privacy dei cookie è una priorità, cambiare browser può essere più efficace che aggiungere estensioni a un browser meno riservato. Firefox, Brave e DuckDuckGo Browser includono tutti impostazioni antitracciamento solide di default. Tor Browser va oltre, instradando il traffico attraverso più relay e isolando tutto lo stato per singolo sito, anche se a prezzo di una velocità nettamente inferiore.

Usa la navigazione privata in modo strategico

La modalità privata o in incognito è utile per sessioni occasionali: controllare i prezzi senza essere bersagliato dal retargeting, visitare un sito che non conosci o navigare su un dispositivo condiviso. Tutti i cookie raccolti durante la sessione vengono cancellati quando chiudi la finestra. Non è di per sé una soluzione per la privacy, ma è uno strumento pratico per situazioni specifiche.

I cookie dietro le quinte: gli attributi di sicurezza che contano

Se hai mai esaminato i cookie negli strumenti per sviluppatori del tuo browser, potresti aver notato attributi che vanno oltre il semplice nome e valore. Questi flag di sicurezza sono il modo in cui i siti web ben costruiti proteggono i dati dei cookie, e capirli ti aiuta a valutare quanto seriamente un sito prenda la sicurezza.

Secure: il cookie viene inviato solo su connessioni crittografate (HTTPS). Su una connessione HTTP non crittografata il cookie viene trattenuto, così non può essere intercettato durante il transito. Qualsiasi sito affidabile che gestisce dati sensibili dovrebbe impostare questo flag su tutti i suoi cookie.

HttpOnly: il cookie non può essere letto o modificato dal JavaScript in esecuzione sulla pagina. È una difesa fondamentale contro gli attacchi cross-site scripting (XSS), in cui uno script malevolo cerca di rubare il tuo cookie di sessione. Se un cookie di sessione ha il flag HttpOnly, un attacco di iniezione di script non può accedervi tramite document.cookie.

SameSite: questo attributo controlla se il cookie viene inviato con le richieste cross-site. Ha tre valori possibili: Strict (il cookie viene inviato solo per le richieste dallo stesso sito, la protezione più forte), Lax (inviato per le richieste dallo stesso sito e per le navigazioni di primo livello da altri siti, come il clic su un link: è l'impostazione predefinita nei browser moderni) e None (inviato con tutte le richieste, comprese quelle cross-site: necessario perché i cookie di terze parti funzionino, e deve essere abbinato a Secure).

Insieme, questi attributi costituiscono la spina dorsale della sicurezza dei cookie. Un cookie di sessione configurato correttamente ha più o meno questo aspetto: Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Se ai cookie di un sito mancano questi flag, in particolare Secure e HttpOnly sui cookie di sessione, si tratta di una debolezza di sicurezza significativa.

Non devi impararli a memoria, ma sapere che questi attributi esistono ti aiuta a capire perché i browser attenti alla sicurezza e gli strumenti per la privacy valutano i cookie nel modo in cui lo fanno.

Domande frequenti

I cookie possono infettarmi con un virus? No. I cookie sono semplici dati: non possono eseguire codice, installare software o accedere direttamente ai tuoi file. Il rischio legato ai cookie riguarda la privacy (il tracciamento del tuo comportamento) e, in alcuni casi limite, la sicurezza (se un malintenzionato ruba il tuo cookie di sessione per spacciarsi per te). Ma i cookie in sé non possono infettare il tuo dispositivo.

Cosa succede se rifiuto tutti i cookie? Se rifiuti solo i cookie non essenziali, la maggior parte dei siti funzionerà normalmente: semplicemente non verrai tracciato a fini pubblicitari. Se blocchi tutti i cookie, compresi quelli essenziali, molti siti smetteranno di funzionare: non potrai restare connesso, i carrelli non funzioneranno e alcune pagine potrebbero non caricarsi correttamente.

Devo accettare i cookie per usare un sito web? I cookie essenziali ti servono sempre, e la maggior parte dei browser li consente di default. Per i cookie non essenziali, in genere puoi scegliere. Secondo il GDPR, i siti web non possono impedirti di accedere al loro sito solo perché hai rifiutato i cookie non essenziali. Alcuni siti violano questa regola con i cosiddetti "cookie wall", ma le autorità li dichiarano sempre più spesso non conformi.

Ogni quanto dovrei cancellare i cookie? Non esiste una regola universale. Cancellare i cookie ogni settimana o ogni mese è un punto di partenza ragionevole per la maggior parte delle persone. Se tieni alla privacy, cancellarli più spesso, o impostare il browser per cancellarli automaticamente alla chiusura, riduce la finestra di tempo in cui si accumulano dati di tracciamento.

I cookie sono gli stessi in ogni browser? I cookie vengono memorizzati separatamente per ogni browser e per ogni profilo. Un cookie impostato in Chrome non esisterà in Firefox, e viceversa. Se usi più browser, i tuoi profili di tracciamento sono suddivisi tra di essi: il che, per inciso, è una semplice tattica per la privacy.

La "modalità in incognito" basta a proteggermi dai cookie? In parte. La modalità in incognito elimina tutti i cookie quando chiudi la finestra, impedendo che persistano tra una sessione e l'altra. Ma durante la sessione i cookie funzionano normalmente: i siti possono comunque tracciare la tua attività all'interno di quella finestra di navigazione. Per una privacy più forte, abbina la modalità in incognito a un browser che blocca di default i cookie di terze parti.

Qual è la differenza tra cancellare i cookie e cancellare la cache? I cookie memorizzano dati sulla tua identità e sulle tue preferenze (accessi, ID di sessione, identificatori di tracciamento). La cache memorizza copie delle risorse delle pagine web (immagini, script, fogli di stile) per velocizzarne il caricamento. Cancellare i cookie ti disconnette e azzera la tua scia di tracciamento. Cancellare la cache costringe solo le pagine a ricaricare contenuti aggiornati. Sono due azioni separate nelle impostazioni del browser.

I cookie non spariranno, ma il controllo è tuo

I cookie sono una tecnologia fondamentale del web. Rendono possibili i sistemi di accesso, i carrelli e le esperienze personalizzate. Il problema non sono mai stati i cookie in sé, ma l'uso incontrollato dei cookie di terze parti per costruire un'infrastruttura di sorveglianza senza un consenso significativo degli utenti.

Questo sta cambiando. Le normative sulla privacy ora richiedono trasparenza e un consenso reale. Safari, Firefox e Brave hanno reso la protezione dal tracciamento un'impostazione predefinita. Global Privacy Control offre agli utenti un opt-out con un unico segnale che ha valore legale. E perfino Chrome, che consente ancora i cookie di terze parti, mette a disposizione le impostazioni per bloccarli, se lo desideri.

L'approccio pratico per la maggior parte delle persone è semplice: accetta i cookie essenziali (ti servono), valuta di accettare i cookie funzionali e analitici sui siti di cui ti fidi e rifiuta i cookie di marketing, a meno che tu non voglia davvero annunci personalizzati. Blocca i cookie di terze parti nelle impostazioni del browser. Attiva GPC se il tuo browser lo supporta. Cancella periodicamente i cookie. E se la privacy dei cookie è davvero importante per te, valuta un browser che la tratti come un'impostazione predefinita invece che come un'opzione.

Non devi diventare paranoico sui cookie. Devi solo smettere di cliccare "Accetta tutti" con il pilota automatico, perché ora sai cosa c'è dietro quel pulsante.