Pliki cookie: dlaczego każda strona pyta i co klikać

Znasz to na pamięć. Otwierasz stronę i zanim zdążysz przeczytać choć słowo, wyskakuje baner: „Ta strona używa plików cookie. Zaakceptować wszystkie?” Klikasz „Akceptuję” (bo co innego masz zrobić?) i wracasz do swoich spraw.

Tylko że większość ludzi nie ma pojęcia, na co właśnie się zgodziła. A stawka jest wyższa, niż się wydaje. Jedna wizyta na dużym portalu informacyjnym potrafi zostawić w twojej przeglądarce ponad 50 plików cookie od kilkudziesięciu różnych firm. Część z nich będzie śledzić cię w sieci przez miesiące, dostarczając dane reklamodawcom, brokerom danych i firmom, o których istnieniu nie masz pojęcia.

Pliki cookie nie są złem. Wiele z nich jest niezbędnych: bez nich internet, jaki znamy, po prostu by nie działał. Cała sztuka polega na tym, żeby wiedzieć, które pomagają tobie, a które komuś innemu. Ten poradnik daje ci tę wiedzę: czym naprawdę są pliki cookie, dlaczego każda strona pyta dziś o zgodę, które z nich mają znaczenie dla twojej prywatności i co dokładnie zrobić, gdy następnym razem wyskoczy baner.

Czym są pliki cookie w przeglądarce?

Plik cookie to niewielka porcja danych, którą strona prosi przeglądarkę o zapisanie na twoim urządzeniu. Kiedy odwiedzasz witrynę, serwer dołącza do odpowiedzi instrukcję Set-Cookie. Przeglądarka zapisuje te dane i przy każdym kolejnym żądaniu do tej samej strony odsyła cookie z powrotem. Ten obieg (serwer ustawia cookie, przeglądarka je przechowuje i odsyła) to cały mechanizm.

Wbrew nazwie pliki cookie nie są dosłownie osobnymi plikami leżącymi na dysku. W nowoczesnych przeglądarkach, takich jak Chrome i Firefox, trafiają do wewnętrznych baz danych (Chrome korzysta z LevelDB, Firefox z SQLite). Każde cookie to prosta para nazwa–wartość, na przykład session_id=abc123 albo theme=dark, z zestawem atrybutów określających, kiedy wygasa, których stron dotyczy i czy może je odczytać kod uruchomiony na stronie.

Przydatne porównanie: wyobraź sobie restaurację, w której przy wejściu dostajesz opaskę na rękę. Dzięki niej kelner wie, który stolik jest twój, co jest w twoim zamówieniu i czy rachunek jest już opłacony. Każdy pracownik, który zobaczy opaskę, wie, jak cię obsłużyć, bez ponownego dopytywania. Niektóre opaski są jednorazowe: wyrzucasz je przy wyjściu. Inne to stałe opaski członkowskie, po których rozpoznają cię przy kolejnej wizycie za kilka miesięcy. A niektóre opaski wcale nie pochodzą od restauracji. Założyła ci je w holu firma marketingowa, która teraz śledzi, w których restauracjach w mieście bywasz.

Właśnie ta ostatnia kategoria sprawia, że pliki cookie budzą kontrowersje.

Co właściwie przechowują pliki cookie?

Zawartość cookie zależy od jego celu, ale typowe przykłady to: identyfikator sesji, który łączy twoje żądania, dzięki czemu serwer wie, że jesteś po zalogowaniu; identyfikator koszyka powiązany z wybranymi produktami; preferencje językowe lub wyświetlania; token uwierzytelniający; albo unikalny identyfikator śledzący, po którym sieć reklamowa rozpoznaje cię na różnych stronach.

Pliki cookie są z założenia małe. Przeglądarki zwykle ograniczają pojedyncze cookie do około 4 KB i ograniczają łączną liczbę cookies na domenę (zwykle do kilkuset). Nie mogą przechowywać dużych plików, uruchamiać programów ani bezpośrednio sięgać do czegokolwiek innego na twoim urządzeniu. Samo cookie to tylko dane. Skutki dla prywatności zależą od tego, jak te dane są wykorzystywane i przez kogo.

Czym cookies różnią się od innych magazynów danych w przeglądarce

Pliki cookie to nie jedyny sposób, w jaki strony zapisują dane w przeglądarce. Nowoczesne przeglądarki obsługują też localStorage (dane zostają, dopóki ich nie wyczyścisz), sessionStorage (czyszczony po zamknięciu karty) i IndexedDB (bardziej rozbudowaną bazę na dane strukturalne).

Cookies wyróżnia to, że są automatycznie wysyłane do serwera z każdym żądaniem. localStorage i sessionStorage zostają na urządzeniu: serwer ich nie widzi, chyba że JavaScript celowo je wyśle. To automatyczne przesyłanie sprawia, że cookies świetnie nadają się do logowania i zarządzania sesją, ale też czyni je skutecznym narzędziem śledzenia: każde żądanie, które wysyłasz do strony (albo do zewnętrznego zasobu wczytywanego przez tę stronę), niesie ze sobą cookie.

Rodzaje plików cookie

Nie wszystkie pliki cookie są sobie równe. To właśnie znajomość kluczowych różnic odróżnia świadomą zgodę od bezmyślnego klikania „Akceptuję”.

Cookies sesyjne a cookies trwałe

Sesyjne pliki cookie są tymczasowe. Mają istnieć tylko przez czas twojej wizyty i w teorii znikają po zamknięciu przeglądarki. To dzięki nim koszyk nie pustoszeje, gdy przechodzisz między stronami produktów, a strona nie wylogowuje cię, gdy przechodzisz na kolejne podstrony.

Jedno zastrzeżenie: wiele nowoczesnych przeglądarek ma funkcję „przywróć poprzednią sesję”. Jeśli z niej korzystasz, sesyjne cookies mogą przetrwać ponowne uruchomienie przeglądarki, bo technicznie rzecz biorąc kontynuuje ona tę samą sesję. To drobny niuans, ale warto o nim wiedzieć: sesyjne cookies nie zawsze żyją tak krótko, jak sugeruje nazwa.

Trwałe pliki cookie zostają po zamknięciu przeglądarki. Mają ustaloną datę wygaśnięcia: od kilku godzin do kilku lat. To dzięki trwałym cookies strona pamięta twoje logowanie i nie każe wpisywać hasła przy każdym powrocie. I to one pozwalają sieci reklamowej śledzić twoją aktywność w internecie przez całe miesiące. Niektóre cookies Google mają na przykład ważność ustawioną na 20 lat. To, czy trwałe cookie jest pomocne, czy inwazyjne, zależy wyłącznie od tego, co robi.

Jak powszechne są trwałe cookies? Bardzo. Według analizy HTTP Archive z 2024 roku obejmującej milion najpopularniejszych stron, tylko około 16% własnych plików cookie i zaledwie 4% plików cookie stron trzecich to cookies sesyjne. Zdecydowana większość to cookies trwałe.

Cookies własne a cookies stron trzecich

To rozróżnienie ma największe znaczenie dla twojej prywatności.

Własne pliki cookie (first-party) ustawia strona, którą faktycznie odwiedzasz. Jeśli jesteś na shop.example.com, własne cookie pochodzi z shop.example.com. Takie cookies odpowiadają za podstawy: podtrzymują sesję logowania, zapisują preferencje, pamiętają zawartość koszyka. Działają tylko na stronie, która je utworzyła. Nie mogą podążać za tobą nigdzie indziej. Większość stron nie działa bez nich poprawnie.

Pliki cookie stron trzecich (third-party) ustawia inna domena niż ta widoczna w pasku adresu. W praktyce wygląda to tak: odwiedzasz portal informacyjny, a ten wczytuje reklamę serwowaną z adnetwork.com. Gdy przeglądarka pobiera reklamę, adnetwork.com zapisuje w niej swoje cookie. Później wchodzisz na zupełnie inną stronę, na przykład blog kulinarny, która też wczytuje treści z adnetwork.com. Sieć reklamowa odczytuje wcześniej zapisane cookie i łączy kropki: osoba, która czytała tamten artykuł, to ta sama osoba, która teraz przegląda przepisy. Z czasem powstaje z tego szczegółowy profil twoich zainteresowań, nawyków i historii przeglądania, choć samej witryny adnetwork.com nigdy nie odwiedzasz.

To właśnie cookies stron trzecich są w centrum debaty o prywatności. To one doprowadziły do nowych przepisów, ograniczeń w przeglądarkach i banerów zgody, które widzisz na każdym kroku.

Cookies według przeznaczenia

Większość banerów zgody dzieli pliki cookie na grupy. Znajomość tych kategorii pomaga podejmować szybsze i mądrzejsze decyzje, gdy baner się pojawi:

Niezbędne (ściśle konieczne) pliki cookie utrzymują stronę przy życiu. Odpowiadają za uwierzytelnianie, zabezpieczenia takie jak ochrona przed CSRF, równoważenie obciążenia i podstawowe operacje, jak utrzymanie sesji. Nie możesz ich odrzucić, a według większości przepisów o ochronie prywatności strony nie potrzebują twojej zgody na ich użycie, bo bez nich dosłownie nie mogą działać.

Funkcjonalne (preferencyjne) pliki cookie zapamiętują twoje wybory: język, region, tryb ciemny albo informację, że dane powiadomienie zostało już zamknięte. Ułatwiają życie, ale nie są technicznie niezbędne do działania strony.

Analityczne pliki cookie mierzą, jak odwiedzający korzystają ze strony: które podstrony mają ruch, jak długo ludzie zostają, gdzie klikają i co wywołuje błędy. Dominującym przykładem jest Google Analytics. Te cookies pomagają właścicielom stron rozumieć i ulepszać swoje witryny. Zwykle nie identyfikują cię osobiście, ale śledzą twoje zachowanie w obrębie strony.

Marketingowe i reklamowe pliki cookie istnieją po to, by śledzić cię między stronami i wyświetlać reklamy dopasowane do profilu. W przytłaczającej większości to cookies stron trzecich. To przez nie szukasz butów do biegania na jednej stronie, a przez kolejne dwa tygodnie widzisz reklamy butów do biegania wszędzie indziej. To też zdecydowanie kategoria o najpoważniejszych skutkach dla prywatności.

Zombie cookies i fingerprinting

Zwykłe pliki cookie da się usunąć. Niektóre techniki śledzenia są jednak zaprojektowane tak, żeby to przetrwać.

Zombie cookies (nazywane też evercookies) zapisują zapasowe kopie identyfikatora śledzącego w wielu miejscach przeglądarki: w localStorage, IndexedDB, pamięci podręcznej HTML5 i innych zakamarkach. Gdy usuniesz główne cookie, skrypt wykrywa jego brak i odtwarza je z jednej z kopii. Efekt: cookie, które ciągle wraca zza grobu.

Fingerprinting przeglądarki, czyli tworzenie jej „odcisku”, działa zupełnie inaczej. W ogóle nie korzysta z plików cookie. Zbiera za to dziesiątki pozornie niewinnych informacji o przeglądarce i urządzeniu (rozdzielczość ekranu, zainstalowane czcionki, kartę graficzną, strefę czasową, ustawienia językowe i nie tylko) i łączy je w unikalny identyfikator. Powstały w ten sposób „odcisk” potrafi zaskakująco trafnie rozpoznawać cię przy kolejnych wizytach, a nie ma żadnego cookie do usunięcia, bo identyfikator jest wyliczany z właściwości urządzenia, a nie na nim zapisywany.

Te techniki są znacznie rzadsze niż zwykłe cookies, ale dobrze pokazują wyścig zbrojeń między śledzeniem a prywatnością. Wiedza o nich pomaga zrozumieć, dlaczego samo czyszczenie cookies nie zawsze wystarcza i dlaczego przeglądarki nastawione na prywatność mają też ochronę przed fingerprintingiem.

Dlaczego każda strona pyta o pliki cookie

Wysyp banerów zgody od 2018 roku sprowadza się do jednego: zmieniło się prawo, a kary za jego ignorowanie są poważne.

RODO i unijne „prawo o cookies”

Unijne ogólne rozporządzenie o ochronie danych (RODO, ang. GDPR), które weszło w życie w maju 2018 roku, uznaje identyfikatory zapisane w cookies za dane osobowe. Zgodnie z RODO strony potrzebują jasnej, wyraźnej zgody użytkownika, zanim ustawią jakiekolwiek pliki cookie inne niż niezbędne. Oznacza to koniec z wstępnie zaznaczonymi polami i formułkami w rodzaju „kontynuując przeglądanie, wyrażasz zgodę”: potrzebne jest świadome działanie użytkownika. Opcja „Odrzuć” musi być równie łatwo dostępna jak „Akceptuj”.

Unijna dyrektywa ePrivacy (często nazywana „prawem o cookies”) jest starsza: pochodzi z 2002 roku i została znowelizowana w 2009 roku. Wprost wymaga, by strony informowały użytkowników o plikach cookie i uzyskiwały zgodę przed użyciem czegokolwiek poza ściśle niezbędnymi cookies. RODO wzmocniło i zaostrzyło te wymogi.

Egzekwowanie jest realne. Kary z RODO mogą sięgać 20 mln euro lub 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Ryzyko w tej skali to powód, dla którego nawet małe firmy wyświetlają banery zgody, zamiast liczyć na to, że nikt nie zauważy.

Przepisy o prywatności w USA: prawny patchwork

Stany Zjednoczone nie mają jednej federalnej ustawy o prywatności na wzór RODO. Zamiast tego poszczególne stany uchwalają własne przepisy. Najważniejsze z nich to kalifornijska ustawa California Consumer Privacy Act (CCPA) i jej następczyni, California Privacy Rights Act (CPRA). Dają konsumentom prawo do sprzeciwu wobec sprzedaży lub udostępniania ich danych osobowych, w tym danych zbieranych za pomocą cookies. Kolorado, Connecticut, Wirginia, Teksas i New Jersey przyjęły podobne ustawy o różnych wymogach.

Kluczowa różnica: RODO wymaga zgody typu opt-in (nic się nie uruchamia, dopóki się nie zgodzisz), a amerykańskie przepisy zazwyczaj opierają się na modelu opt-out (śledzenie może ruszyć, ale musisz mieć możliwość jego wyłączenia). Dlatego to, co widzisz, zależy od tego, gdzie jesteś. Użytkownicy w Europie dostają banery „Akceptuj lub odrzuć”. Użytkownicy w USA często widzą komunikat „Ta strona używa plików cookie” z przyciskiem „Rozumiem”, który informuje, ale niekoniecznie daje realny wybór.

Problem dark patterns

W teorii banery zgody dają ci kontrolę. W praktyce wiele z nich zaprojektowano tak, by popychać cię w stronę „Akceptuj wszystkie”.

Typowe sztuczki to: duży, kolorowy przycisk „Akceptuj” i ukryte drobnym szarym tekstem „Odrzuć” lub „Zarządzaj preferencjami”; konieczność wielu kliknięć, by odrzucić cookies, podczas gdy akceptacja wymaga jednego; wstępnie zaznaczone pola przy cookies marketingowych w panelu ustawień; oraz mgliste, zniechęcające sformułowania w rodzaju „niektóre funkcje mogą nie działać”, które mają odwieść od odrzucenia.

Europejscy regulatorzy coraz ostrzej rozprawiają się z tymi dark patterns. Europejska Rada Ochrony Danych wprost stwierdziła, że tzw. cookie walls, czyli blokowanie dostępu do strony do czasu akceptacji wszystkich cookies, są co do zasady niedozwolone. Egzekwowanie postępuje jednak powoli, a wiele stron wciąż balansuje na granicy tego, co dopuszczalne.

Jeśli trafisz na baner, przy którym odrzucenie jest znacznie trudniejsze niż akceptacja, to wyraźny sygnał, jak strona podchodzi do twojej prywatności.

Global Privacy Control: alternatywa na jedno kliknięcie

Jednym z najbardziej obiecujących rozwiązań w dziedzinie zgód na cookies jest Global Privacy Control (GPC). Zamiast klikać w banery na każdej stronie, GPC wysyła z przeglądarki sygnał do każdej odwiedzanej witryny, automatycznie informując, że nie chcesz, by twoje dane były sprzedawane lub udostępniane.

GPC ma oparcie w prawie. Prokurator generalny Kalifornii potwierdził, że firmy muszą respektować sygnały GPC na mocy CCPA. Sephora w 2022 roku została ukarana grzywną w wysokości 1,2 mln dolarów za to, że tego nie robiła. Było to pierwsze poważne działanie egzekucyjne tego typu. Kolorado, Connecticut i inne stany również wymagają już respektowania sygnałów GPC. A w październiku 2025 roku Kalifornia podpisała ustawę Opt Me Out Act, która do 2027 roku zobowiąże wszystkie główne przeglądarki do wbudowania obsługi GPC.

GPC jest już natywnie obsługiwane w Brave i DuckDuckGo Browser (włączone domyślnie) oraz w Firefoksie (do włączenia w ustawieniach). W Chrome i innych przeglądarkach funkcję można dodać rozszerzeniami, takimi jak rozszerzenie GPC od NAI czy Privacy Badger. To nie jest pełny zamiennik zarządzania cookies, ale najbliższy odpowiednik uniwersalnego przycisku „zostawcie mnie w spokoju”, jaki mamy.

Cookies stron trzecich w 2025 i 2026 roku: jak jest naprawdę

W tym miejscu większość artykułów w sieci jest nieaktualna. Oto obecny stan rzeczy.

Przez lata branża technologiczna szykowała się na „śmierć cookies stron trzecich”. W 2020 roku Google zapowiedział, że Chrome stopniowo z nich zrezygnuje. Terminy wyznaczano, przesuwano, wyznaczano ponownie i znów przesuwano. Aż w lipcu 2024 roku Google zmienił kurs. W kwietniu 2025 roku Chrome oficjalnie potwierdził: cookies stron trzecich zostają.

Gdzie więc jesteśmy?

Safari od 2020 roku domyślnie blokuje cookies stron trzecich dzięki Intelligent Tracking Prevention (ITP). ITP wykorzystuje uczenie maszynowe działające na urządzeniu, by rozpoznawać i ograniczać domeny śledzące. Skraca też żywotność niektórych własnych cookies ustawianych przez JavaScript, by utrudnić obchodzenie blokady.

Firefox stosuje inne, ale równie skuteczne podejście. Jego wzmocniona ochrona przed śledzeniem (Enhanced Tracking Protection, ETP) blokuje znane śledzące cookies, a Total Cookie Protection idzie dalej i daje każdej stronie osobny, odizolowany „słoik na ciasteczka”. Cookie strony trzeciej zapisane na jednej stronie nie da się odczytać na innej – nawet jeśli pochodzi z tej samej domeny śledzącej. To nie tyle blokada, co kwarantanna.

Chrome w zwykłym trybie nadal domyślnie dopuszcza cookies stron trzecich (w trybie incognito są blokowane). Privacy Sandbox od Google wciąż rozwija alternatywne API (Topics API do reklam opartych na zainteresowaniach i Attribution Reporting API do pomiaru skuteczności reklam), ale tradycyjne cookies stron trzecich działają w pełni. Przy globalnym udziale Chrome w rynku na poziomie około 65% oznacza to, że śledzenie przez cookies stron trzecich wciąż działa u większości internautów.

Brave domyślnie blokuje wszystkie cookies stron trzecich, trackery i fingerprinting.

Edge za pomocą systemu zapobiegania śledzeniu blokuje trackery ze stron, których nie odwiedzasz, i znane szkodliwe trackery. Ochronę można ustawić na jednym z trzech poziomów: podstawowym, zrównoważonym lub ścisłym.

Podsumowując: „przyszłość bez cookies” to nie odległa wizja. To już rzeczywistość dla użytkowników Safari, Firefoksa i Brave, czyli mniej więcej jednej trzeciej całego ruchu w internecie. Decyzja Google o zachowaniu cookies stron trzecich w Chrome oznacza jednak, że infrastruktura śledzenia pozostaje nienaruszona dla większości. Sam wybór przeglądarki jest więc decyzją o prywatności.

Czy akceptować pliki cookie?

To pytanie, na które większość ludzi naprawdę chce znać odpowiedź. Oto praktyczny schemat, który zastosujesz w kilka sekund.

Niezbędne cookies: zawsze akceptuj

Jeśli strona daje szczegółowe opcje, zawsze akceptuj niezbędne (ściśle konieczne) pliki cookie. Bez nich strona przestanie działać: nie zalogujesz się, nie utrzymasz produktów w koszyku ani nie skorzystasz z podstawowych funkcji. To własne cookies jednej strony, które nie mogą śledzić cię gdzie indziej. Według większości przepisów strony nawet nie potrzebują na nie zgody.

Cookies funkcjonalne i analityczne: zwykle w porządku

Funkcjonalne pliki cookie (język, preferencje wyświetlania) i analityczne (zanonimizowane dane o korzystaniu ze strony) niosą niewielkie ryzyko dla większości użytkowników. Cookies analityczne pomagają właścicielom stron zrozumieć, jak odwiedzający z nich korzystają, a te dane naprawdę przekładają się na lepiej działające strony. Zwykle nie podążają za tobą po sieci. Jeśli chcesz wspierać strony, które odwiedzasz, ich akceptacja jest rozsądna.

Cookies marketingowe i stron trzecich: odrzucaj

Tu warto działać świadomie. Marketingowe i reklamowe pliki cookie istnieją po to, by śledzić twoje zachowanie na różnych stronach, budować profil twoich zainteresowań i wyświetlać dopasowane reklamy. Ich odrzucenie to najskuteczniejsza rzecz, jaką możesz zrobić przy banerze zgody.

Strona nadal będzie działać normalnie. Jedyna zmiana: reklamy, które zobaczysz, będą ogólne, a nie spersonalizowane.

Kiedy odrzucić wszystko poza niezbędnymi

Niektóre sytuacje wymagają szczególnej ostrożności:

Strony bez szyfrowania. Jeśli adres zaczyna się od http:// zamiast https://, strona nie szyfruje połączenia. Pliki cookie przesyłane niezaszyfrowanym połączeniem można przechwycić, co stanowi realne ryzyko w sieciach współdzielonych i publicznych.

Publiczne Wi-Fi. Otwarte sieci ułatwiają przejęcie sesji, czyli atak, w którym napastnik przechwytuje twoje sesyjne cookies i podszywa się pod ciebie. W publicznym Wi-Fi korzystaj z trybu prywatnego lub incognito w przeglądarce.

Wrażliwe operacje. Bankowość, dokumentacja medyczna, rozliczenia podatkowe: każda strona przetwarzająca wrażliwe dane osobowe to dobry powód, by odrzucić wszystkie cookies poza niezbędnymi i ograniczyć ślad danych.

Strony bez opcji odrzucenia. Strona, która pokazuje tylko „Akceptuję” bez żadnej alternatywy, to czerwona flaga. Według RODO jest to niezgodne z prawem. W każdych ramach prawnych to sygnał, że twoja prywatność nie jest priorytetem.

Co naprawdę się dzieje, gdy klikasz „Odrzuć”?

Gdy odrzucasz pliki cookie inne niż niezbędne na dobrze zrobionej stronie, platforma zarządzania zgodami blokuje wczytywanie w twojej przeglądarce zewnętrznych skryptów śledzących. Piksele marketingowe, tagi sieci reklamowych i skrypty analityczne zostają wstrzymane. Strona ładuje się tylko z cookies, których potrzebuje do działania.

Na źle zrobionych stronach obraz jest mniej klarowny. Audyty wielokrotnie wykazywały, że niektóre platformy zgód nadal uruchamiają tagi śledzące nawet po odrzuceniu cookies przez użytkownika. W 2025 roku prokuratorzy generalni Kalifornii, Kolorado i Connecticut przeprowadzili skoordynowaną akcję wymierzoną w firmy, które nie respektowały prawidłowo żądań opt-out. To sygnał, że egzekwowanie przepisów staje się ostrzejsze.

Wniosek: odrzucanie cookies zawsze ma sens, ale nie daje gwarancji. Połączenie twoich wyborów w banerach z ochroną na poziomie przeglądarki daje mocniejszą obronę.

Jak różne przeglądarki obsługują pliki cookie

Przeglądarka to twoja pierwsza linia obrony. Oto jak wypadają najważniejsze przeglądarki od razu po instalacji: bez rozszerzeń i zmian w konfiguracji, na ustawieniach domyślnych.

Uwaga dotycząca trybu prywatnego lub incognito: nie blokuje on plików cookie w trakcie sesji. Podczas przeglądania nadal je odbierasz i wysyłasz. Tryb prywatny robi coś innego: po zamknięciu okna usuwa wszystko, czyli cookies, historię i pamięć podręczną. Przydaje się do przeglądania „na chwilę”, ale w trakcie sesji nie zapewnia niewidzialności.

Wniosek: jeśli zależy ci na prywatności w kwestii cookies, Safari, Firefox i Brave mają wyraźnie mocniejsze ustawienia domyślne niż Chrome. Chrome daje najwięcej ręcznej kontroli, ale jego domyślna konfiguracja stawia otwartość ponad prywatność, co odzwierciedla model biznesowy Google oparty na reklamie.

Szczegółowe porównania jeden na jeden tych przeglądarek, w tym ich funkcji prywatności, wydajności i nie tylko, znajdziesz na stronach porównań w serwisie browsers.to.

Jak przejąć kontrolę nad plikami cookie

Nie musisz godzić się na ustawienia domyślne. Oto jak zbudować strategię wobec cookies, która sprawdzi się u ciebie.

Zablokuj cookies stron trzecich

Większość osób nie zrobi dla swojej prywatności nic skuteczniejszego niż ta jedna zmiana. Jeśli używasz Chrome, przejdź do Ustawienia → Prywatność i bezpieczeństwo → Pliki cookie innych firm i je zablokuj. Użytkownicy Safari i Firefoksa mają to załatwione domyślnie. Zablokowanie cookies stron trzecich eliminuje główny mechanizm śledzenia między stronami, a zdecydowana większość witryn będzie dalej działać normalnie.

Regularnie czyść pliki cookie

Każda przeglądarka pozwala przejrzeć i usunąć zapisane cookies, zwykle w ustawieniach prywatności albo w opcji usuwania danych przeglądania. W Firefoksie znajdziesz to w Ustawienia → Prywatność i bezpieczeństwo → Ciasteczka i dane witryn. Możesz wyczyścić wszystko naraz albo usunąć cookies wybranych stron. Potraktuj to jak zresetowanie śladu danych, który się nazbierał.

Tak, wyczyszczenie cookies wyloguje cię z większości stron. To w sumie pouczające: pokazuje, ile te maleńkie porcje danych po cichu robiły w tle.

Włącz Global Privacy Control

Jeśli twoja przeglądarka obsługuje GPC, włącz je. W Firefoksie szukaj w Ustawienia → Prywatność i bezpieczeństwo. W Brave jest włączone domyślnie. W Chrome zainstaluj rozszerzenie GPC. GPC wysyła do każdej odwiedzanej strony prawnie uznawany sygnał, automatyzując rezygnację, która inaczej wymagałaby klikania w każdy baner zgody z osobna.

Korzystaj z rozszerzeń

Consent-O-Matic to otwartoźródłowe rozszerzenie, które automatycznie wypełnia banery zgody zgodnie z twoimi preferencjami prywatności. Zamiast ukrywać banery, wchodzi z nimi w interakcję, dzięki czemu twoje preferencje faktycznie trafiają do strony.

uBlock Origin to przede wszystkim bloker reklam, ale blokuje też wczytywanie wielu zewnętrznych skryptów śledzących, zatrzymując cookies, zanim w ogóle zostaną ustawione.

Privacy Badger (od Electronic Frontier Foundation) uczy się, które domeny cię śledzą, i blokuje je adaptacyjnie, zamiast polegać na statycznej liście.

Rozważ przeglądarkę nastawioną na prywatność

Jeśli prywatność w kwestii cookies jest dla ciebie priorytetem, zmiana przeglądarki może dać więcej niż doklejanie rozszerzeń do mniej prywatnej. Firefox, Brave i DuckDuckGo Browser mają od razu mocne ustawienia chroniące przed śledzeniem. Tor Browser idzie dalej: kieruje ruch przez wiele przekaźników i izoluje dane każdej strony osobno, choć kosztem wyraźnie niższej szybkości.

Korzystaj z trybu prywatnego z głową

Tryb prywatny lub incognito przydaje się do jednorazowych sesji: sprawdzania cen bez reklam, które potem chodzą za tobą po sieci, odwiedzania nieznanej strony albo przeglądania na współdzielonym urządzeniu. Wszystkie cookies zebrane w trakcie sesji znikają po zamknięciu okna. Sam w sobie nie zapewnia prywatności, ale to praktyczne narzędzie na konkretne sytuacje.

Cookies od kuchni: atrybuty bezpieczeństwa, które mają znaczenie

Jeśli zdarzyło ci się przeglądać cookies w narzędziach deweloperskich przeglądarki, być może w oczy rzuciły ci się atrybuty poza samą nazwą i wartością. Te flagi bezpieczeństwa to sposób, w jaki dobrze zbudowane strony chronią dane w cookies, a ich znajomość pomaga ocenić, jak poważnie strona traktuje bezpieczeństwo.

Secure: cookie jest wysyłane tylko przez szyfrowane połączenia (HTTPS). Przy niezaszyfrowanym połączeniu HTTP cookie jest wstrzymywane, więc nie da się go przechwycić w trakcie przesyłania. Każda szanująca się strona przetwarzająca wrażliwe dane powinna ustawiać tę flagę na wszystkich swoich cookies.

HttpOnly: cookie nie może zostać odczytane ani zmienione przez JavaScript działający na stronie. To kluczowa obrona przed atakami cross-site scripting (XSS), w których złośliwy skrypt próbuje wykraść twoje sesyjne cookie. Jeśli sesyjne cookie ma flagę HttpOnly, atak polegający na wstrzyknięciu skryptu nie dostanie się do niego przez document.cookie.

SameSite: ten atrybut określa, czy cookie jest wysyłane z żądaniami między stronami. Ma trzy możliwe wartości: Strict (cookie jest wysyłane tylko przy żądaniach w obrębie tej samej strony – najsilniejsza ochrona), Lax (wysyłane przy żądaniach w obrębie tej samej strony i przy nawigacji najwyższego poziomu z innych stron, np. po kliknięciu linku – domyślne w nowoczesnych przeglądarkach) oraz None (wysyłane ze wszystkimi żądaniami, także między stronami – niezbędne do działania cookies stron trzecich i musi iść w parze z Secure).

Razem te atrybuty stanowią kręgosłup bezpieczeństwa cookies. Prawidłowo skonfigurowane sesyjne cookie wygląda mniej więcej tak: Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Jeśli cookies strony nie mają tych flag – zwłaszcza Secure i HttpOnly w przypadku cookies sesyjnych – to poważna słabość w zabezpieczeniach.

Nie musisz tego zapamiętywać, ale wiedza o tych atrybutach pomaga zrozumieć, dlaczego przeglądarki dbające o bezpieczeństwo i narzędzia do ochrony prywatności oceniają cookies w taki, a nie inny sposób.

Najczęściej zadawane pytania

Czy pliki cookie mogą zarazić mnie wirusem? Nie. Pliki cookie to zwykłe dane: nie mogą wykonywać kodu, instalować oprogramowania ani bezpośrednio sięgać do twoich plików. Zagrożenie związane z cookies dotyczy prywatności (śledzenia twojego zachowania), a w niektórych skrajnych przypadkach bezpieczeństwa (gdy napastnik wykradnie twoje sesyjne cookie, by się pod ciebie podszyć). Same cookies nie mogą jednak zainfekować urządzenia.

Co się stanie, jeśli odrzucę wszystkie pliki cookie? Jeśli odrzucisz tylko cookies inne niż niezbędne, większość stron będzie działać normalnie, tyle że nikt nie będzie cię śledził w celach reklamowych. Jeśli zablokujesz wszystkie cookies, łącznie z niezbędnymi, wiele stron przestanie działać: będą cię ciągle wylogowywać, koszyki nie będą działać, a niektóre strony mogą się nie wczytywać poprawnie.

Czy muszę akceptować pliki cookie, żeby korzystać ze strony? Niezbędne cookies są zawsze potrzebne, a większość przeglądarek domyślnie je dopuszcza. W przypadku pozostałych zwykle masz wybór. Zgodnie z RODO strony nie mogą blokować ci dostępu tylko z powodu odrzucenia cookies innych niż niezbędne. Niektóre strony łamią tę zasadę, stosując tzw. cookie walls, ale regulatorzy coraz częściej uznają je za niezgodne z przepisami.

Jak często czyścić pliki cookie? Nie ma uniwersalnej reguły. Czyszczenie cookies raz w tygodniu lub raz w miesiącu to rozsądny punkt wyjścia dla większości osób. Jeśli dbasz o prywatność, częstsze czyszczenie (albo automatyczne czyszczenie przy zamykaniu przeglądarki) skraca okres, w którym gromadzą się dane śledzące.

Czy pliki cookie są takie same w każdej przeglądarce? Cookies są przechowywane osobno dla każdej przeglądarki i każdego profilu. Cookie zapisane w Chrome nie istnieje w Firefoksie i odwrotnie. Jeśli używasz kilku przeglądarek, twoje profile śledzenia są między nie podzielone, co nawiasem mówiąc jest prostą taktyką ochrony prywatności.

Czy „tryb incognito” wystarczy, żeby chronić mnie przed cookies? Częściowo. Tryb incognito usuwa wszystkie cookies po zamknięciu okna, więc nie przetrwają do następnej sesji. Ale w trakcie sesji cookies działają normalnie: strony nadal mogą śledzić twoją aktywność w tym oknie. Jeśli zależy ci na lepszej prywatności, łącz tryb incognito z przeglądarką, która domyślnie blokuje cookies stron trzecich.

Czym różni się czyszczenie cookies od czyszczenia pamięci podręcznej? Cookies przechowują dane o twojej tożsamości i preferencjach (logowania, identyfikatory sesji, identyfikatory śledzące). Pamięć podręczna (cache) przechowuje kopie zasobów stron (obrazów, skryptów, arkuszy stylów), żeby przyspieszyć ich wczytywanie. Wyczyszczenie cookies wylogowuje cię i resetuje ślad śledzenia. Wyczyszczenie pamięci podręcznej tylko zmusza strony do pobrania świeżych treści. W ustawieniach przeglądarki to dwie osobne operacje.

Pliki cookie nie znikną, ale to ty decydujesz

Pliki cookie to jedna z fundamentalnych technologii internetu. To dzięki nim działają systemy logowania, koszyki i spersonalizowane doświadczenia. Problemem nigdy nie były same cookies, tylko niekontrolowane wykorzystywanie cookies stron trzecich do budowy infrastruktury nadzoru bez realnej zgody użytkowników.

To się zmienia. Przepisy o ochronie prywatności wymagają dziś przejrzystości i prawdziwej zgody. Safari, Firefox i Brave uczyniły ochronę przed śledzeniem standardem. Global Privacy Control pozwala zrezygnować jednym sygnałem, który ma moc prawną. A nawet Chrome, który wciąż dopuszcza cookies stron trzecich, oferuje ustawienia pozwalające je zablokować, jeśli tylko zechcesz.

Praktyczne podejście dla większości ludzi jest proste: akceptuj niezbędne cookies (są ci potrzebne), rozważ akceptację funkcjonalnych i analitycznych na stronach, którym ufasz, i odrzucaj marketingowe, chyba że naprawdę chcesz spersonalizowanych reklam. Zablokuj cookies stron trzecich w ustawieniach przeglądarki. Włącz GPC, jeśli twoja przeglądarka je obsługuje. Regularnie czyść pliki cookie. A jeśli prywatność w kwestii cookies jest dla ciebie naprawdę ważna, rozważ przeglądarkę, która traktuje ją jako ustawienie domyślne, a nie opcję.

Nie musisz popadać w paranoję na punkcie cookies. Wystarczy, że przestaniesz klikać „Akceptuj wszystkie” na autopilocie, bo teraz już wiesz, co kryje się za tym przyciskiem.