Cookies do navegador: o que são, por que todo site pergunta e o que fazer

Você já viu isso mil vezes. Abre um site e, antes de conseguir ler uma única palavra, surge um banner: "Este site usa cookies. Aceitar todos?" Você clica em "Aceitar" (afinal, o que mais faria?) e segue a vida.

Só que a maioria das pessoas não faz ideia do que acabou de aceitar. E o que está em jogo é maior do que parece. Uma única visita a um grande site de notícias pode depositar mais de 50 cookies de dezenas de empresas diferentes no seu navegador. Alguns desses cookies vão rastrear você pela web durante meses, repassando dados a anunciantes, corretores de dados e empresas de que você nunca ouviu falar.

Cookies não são do mal. Muitos são essenciais: sem eles, a web como a conhecemos simplesmente não funcionaria. O segredo é saber quais trabalham a seu favor e quais trabalham para outra pessoa. É isso que este guia explica: o que os cookies realmente são, por que todo site agora pergunta sobre eles, quais importam para a sua privacidade e exatamente o que fazer da próxima vez que um banner de consentimento aparecer.

O que são cookies do navegador?

Um cookie é um pequeno pedaço de dados que um site pede ao seu navegador para guardar no seu dispositivo. Quando você visita um site, o servidor inclui uma instrução Set-Cookie na resposta. O navegador salva esses dados e, a cada nova requisição ao mesmo site, envia o cookie de volta. Esse vaivém (o servidor define o cookie, o navegador o guarda, o navegador o devolve) é todo o mecanismo.

Apesar do nome, cookies não são arquivos em formato de biscoito guardados no seu disco. Em navegadores modernos como Chrome e Firefox, os cookies ficam em bancos de dados internos (o Chrome usa LevelDB, o Firefox usa SQLite). Cada cookie é um simples par nome-valor, algo como session_id=abc123 ou theme=dark, com um conjunto de atributos que controlam quando ele expira, a quais páginas se aplica e se pode ser lido por código executado na página.

Uma forma útil de pensar nisso: imagine um restaurante em que a recepção entrega uma pulseira quando você chega. Essa pulseira diz ao garçom qual é a sua mesa, o que você pediu e se já pagou. Sempre que alguém da equipe vê a sua pulseira, sabe como atender você sem perguntar de novo. Algumas pulseiras são descartáveis: você joga fora ao sair. Outras são pulseiras de sócio permanentes que identificam você na próxima visita, meses depois. E algumas pulseiras nem são do restaurante: foram colocadas por uma empresa de marketing no saguão, que agora rastreia quais restaurantes você frequenta pela cidade.

É nessa última categoria que os cookies se tornam polêmicos.

O que os cookies realmente armazenam?

Os dados dentro de um cookie dependem da finalidade, mas exemplos comuns incluem: um identificador de sessão que liga suas requisições para que o servidor saiba que você está logado, um ID de carrinho de compras que aponta para os itens que você escolheu, suas preferências de idioma ou de exibição, um token de autenticação ou um ID de rastreamento único que uma rede de anúncios usa para reconhecer você em sites diferentes.

Cookies são pequenos por definição. Os navegadores costumam impor um limite de cerca de 4 KB por cookie e limitam o número total de cookies por domínio (geralmente algumas centenas). Eles não conseguem armazenar arquivos grandes, executar programas nem acessar diretamente nada mais no seu dispositivo. Um cookie, por si só, é apenas um dado. As implicações para a privacidade vêm da forma como esse dado é usado, e por quem.

Como os cookies diferem de outros armazenamentos do navegador

Cookies não são a única forma de os sites guardarem dados no seu navegador. Os navegadores modernos também oferecem localStorage (que persiste indefinidamente até ser apagado), sessionStorage (que é apagado quando você fecha a aba) e IndexedDB (um banco de dados mais poderoso para dados estruturados).

O que torna os cookies únicos é que eles são enviados ao servidor automaticamente a cada requisição. O localStorage e o sessionStorage ficam no seu dispositivo: o servidor nunca os vê, a menos que um JavaScript os envie explicitamente. Essa transmissão automática é o que torna os cookies tão úteis para autenticação e gerenciamento de sessão, mas também é o que os torna eficazes como ferramentas de rastreamento: toda requisição que você faz a um site (ou a um recurso de terceiros carregado por esse site) leva o cookie junto.

Os diferentes tipos de cookies

Nem todos os cookies são iguais. Entender as principais diferenças é o que separa um consentimento informado de um clique às cegas em "Aceitar".

Cookies de sessão vs. cookies persistentes

Cookies de sessão são temporários. Eles devem durar apenas enquanto você está no site e, em teoria, são apagados quando você fecha o navegador. São esses cookies que mantêm o seu carrinho intacto enquanto você navega entre páginas de produtos, ou que lembram que você está logado ao clicar de uma página para outra.

Uma ressalva: muitos navegadores modernos oferecem um recurso de "restaurar a sessão anterior". Se você usa esse recurso, os cookies de sessão podem sobreviver a uma reinicialização do navegador, já que, tecnicamente, o navegador está dando continuidade à mesma sessão. É um detalhe pequeno, mas vale saber: cookies de sessão nem sempre duram tão pouco quanto o nome sugere.

Cookies persistentes continuam lá depois que você fecha o navegador. Eles têm uma data de expiração definida, que pode ir de algumas horas a vários anos. Um cookie persistente é o que permite que um site lembre o seu login para que você não precise digitar a senha toda vez que voltar. É também o que permite que uma rede de anúncios acompanhe sua atividade pela web durante meses. Alguns cookies do Google, por exemplo, são configurados para expirar daqui a 20 anos. Se um cookie persistente é útil ou invasivo depende inteiramente do que ele faz.

Quão comuns são os cookies persistentes? Muito. Segundo a análise de 2024 do HTTP Archive sobre o primeiro milhão de sites, apenas cerca de 16% dos cookies próprios e só 4% dos cookies de terceiros são cookies de sessão. A grande maioria é persistente.

Cookies próprios vs. cookies de terceiros

Esta é a diferença que mais importa para a sua privacidade.

Cookies próprios (ou primários) são definidos pelo site que você está de fato visitando. Se você está em shop.example.com, um cookie próprio vem de shop.example.com. Esses cookies cuidam do essencial: manter você logado, salvar suas preferências, lembrar o que está no seu carrinho. Eles só funcionam no site que os criou. Não conseguem seguir você para nenhum outro lugar. A maioria dos sites não funciona direito sem eles.

Cookies de terceiros são definidos por um domínio diferente daquele que aparece na barra de endereços. Na prática, funciona assim: você visita um site de notícias, e esse site carrega um anúncio servido por adnetwork.com. Quando o navegador busca esse anúncio, adnetwork.com define um cookie no seu navegador. Mais tarde, você visita um site completamente diferente, um blog de culinária, que também carrega conteúdo de adnetwork.com. A rede de anúncios lê o cookie que colocou antes e liga os pontos: a pessoa que leu aquela notícia é a mesma que agora está vendo receitas. Com o tempo, isso se transforma em um perfil detalhado dos seus interesses, hábitos e histórico de navegação, sem que você jamais tenha visitado adnetwork.com diretamente.

Os cookies de terceiros estão no centro do debate sobre privacidade. Foram eles que motivaram regulamentações, restrições por parte dos navegadores e esses banners de consentimento que você vê por toda parte.

Cookies por finalidade

A maioria dos banners de consentimento divide os cookies em grupos. Entender essas categorias ajuda você a tomar decisões mais rápidas e inteligentes quando um banner aparece:

Cookies essenciais (ou estritamente necessários) mantêm o site funcionando. Eles cuidam da autenticação, de recursos de segurança como a proteção contra CSRF, do balanceamento de carga e de operações básicas como manter a sua sessão. Você não pode recusá-los e, pela maioria das leis de privacidade, os sites não precisam do seu consentimento para usá-los, porque o site literalmente não funciona sem eles.

Cookies funcionais (ou de preferências) lembram suas escolhas: idioma, região, modo escuro ou se você já dispensou uma notificação. Eles deixam tudo mais prático, mas não são tecnicamente necessários para o site funcionar.

Cookies de análise medem como os visitantes usam um site: quais páginas recebem tráfego, quanto tempo as pessoas ficam, onde clicam e o que provoca erros. O Google Analytics é o exemplo dominante. Esses cookies ajudam os donos de sites a entender e melhorar suas páginas. Em geral, não identificam você pessoalmente, mas rastreiam seu comportamento dentro do site.

Cookies de marketing e publicidade existem para rastrear você entre sites e exibir anúncios direcionados. Eles são, na enorme maioria, cookies de terceiros. São o motivo de você pesquisar tênis de corrida em um site e ver anúncios de tênis de corrida em todos os outros sites pelas duas semanas seguintes. São também, de longe, a categoria com as implicações mais sérias para a privacidade.

Cookies zumbis e fingerprinting

Cookies comuns podem ser apagados. Mas algumas técnicas de rastreamento são feitas para sobreviver a isso.

Os cookies zumbis (também chamados de evercookies) guardam cópias redundantes de um identificador de rastreamento em vários locais de armazenamento do navegador: localStorage, IndexedDB, cache do HTML5 e outros cantos obscuros. Quando você apaga o cookie principal, um script detecta a ausência e o recria a partir de uma das cópias de backup. Resultado: um cookie que sempre volta dos mortos.

O fingerprinting (impressão digital do navegador) segue uma abordagem totalmente diferente. Ele não usa cookies. Em vez disso, coleta dezenas de dados aparentemente inofensivos sobre o seu navegador e dispositivo (resolução de tela, fontes instaladas, placa de vídeo, fuso horário, configurações de idioma e mais) e os combina em um identificador único. Essa "impressão digital" pode ser surpreendentemente precisa para reconhecer você entre visitas, e não há cookie para apagar, porque o identificador é calculado a partir das propriedades do seu dispositivo em vez de ficar armazenado nele.

Essas técnicas são bem menos comuns que os cookies comuns, mas representam a corrida armamentista entre rastreamento e privacidade. Saber que elas existem ajuda você a entender por que simplesmente apagar os cookies nem sempre basta, e por que os navegadores focados em privacidade também incluem proteção contra fingerprinting.

Por que todo site pergunta sobre cookies

A explosão de banners de consentimento de cookies desde 2018 se resume a uma coisa: a lei mudou, e as penalidades por ignorá-la são sérias.

O GDPR e a lei de cookies da UE

O Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, que entrou em vigor em maio de 2018, classifica os identificadores em cookies como dados pessoais. Pelo GDPR, os sites precisam de um consentimento claro e afirmativo dos usuários antes de definir qualquer cookie não essencial. Isso significa nada de caixas pré-marcadas, nada de "ao continuar navegando você concorda": é preciso uma ação deliberada do usuário. A opção "Rejeitar" deve ser tão acessível quanto "Aceitar".

A Diretiva ePrivacy da UE (muitas vezes chamada de "lei de cookies") é mais antiga, de 2002, com alterações em 2009. Ela exige especificamente que os sites informem os usuários sobre cookies e obtenham consentimento antes de usar qualquer coisa além dos cookies estritamente necessários. O GDPR reforçou e ampliou essas exigências.

A fiscalização é real. As multas do GDPR podem chegar a 20 milhões de euros ou 4% do faturamento anual global, o que for maior. Esse nível de risco é o motivo pelo qual até pequenas empresas exibem banners de consentimento em vez de torcer para ninguém perceber.

Leis de privacidade dos EUA: uma colcha de retalhos

Os Estados Unidos não têm uma única lei federal de privacidade equivalente ao GDPR. Em vez disso, cada estado aprovou sua própria legislação. A California Consumer Privacy Act (CCPA) e sua sucessora, a California Privacy Rights Act (CPRA), são as mais importantes. Elas dão aos consumidores o direito de recusar a venda ou o compartilhamento de suas informações pessoais, incluindo dados coletados por cookies. Colorado, Connecticut, Virgínia, Texas e Nova Jersey aprovaram leis semelhantes, com exigências variadas.

Uma diferença crucial: o GDPR exige consentimento prévio (opt-in: nada é ativado até você concordar), enquanto as leis dos EUA geralmente seguem um modelo de recusa (opt-out: o rastreamento pode começar, mas você deve ter a possibilidade de interrompê-lo). É por isso que a sua experiência muda conforme o lugar onde você está. Usuários europeus veem banners de "Aceitar ou Rejeitar". Usuários americanos costumam ver "Este site usa cookies" com um botão "Entendi", que informa, mas não necessariamente dá uma escolha real.

O problema dos padrões obscuros

Em teoria, os banners de consentimento dão controle a você. Na prática, muitos são projetados para empurrar você para o "Aceitar todos".

Táticas comuns incluem: deixar o botão "Aceitar" grande e colorido e esconder "Rejeitar" ou "Gerenciar preferências" em um texto pequeno e cinza; exigir vários cliques para rejeitar os cookies, enquanto aceitar leva apenas um; deixar pré-marcadas as caixas de cookies de marketing no painel de configurações; e usar uma linguagem vaga e intimidadora, como "alguns recursos podem não funcionar", para desencorajar a recusa.

Os reguladores europeus têm reprimido cada vez mais esses padrões obscuros (dark patterns). O Comitê Europeu para a Proteção de Dados declarou explicitamente que os "cookie walls" (bloquear o acesso a um site a menos que você aceite todos os cookies) são, em geral, proibidos. Mas a fiscalização é lenta, e muitos sites ainda forçam os limites do que é permitido.

Se você encontrar um banner que torna a recusa bem mais difícil que a aceitação, isso diz muito sobre a atitude do site em relação à sua privacidade.

Global Privacy Control: a alternativa de um clique

Um dos avanços mais promissores no consentimento de cookies é o Global Privacy Control (GPC). Em vez de você interagir com banners em cada site, o GPC envia um sinal do seu navegador para todos os sites que você visita, comunicando automaticamente que você não quer que seus dados sejam vendidos ou compartilhados.

O GPC tem respaldo legal. O Procurador-Geral da Califórnia confirmou que as empresas devem respeitar os sinais de GPC sob a CCPA. A Sephora foi multada em US$ 1,2 milhão em 2022 por não fazer isso, a primeira grande ação de fiscalização do tipo. Colorado, Connecticut e outros estados agora também exigem o cumprimento dos sinais de GPC. E, em outubro de 2025, a Califórnia sancionou o Opt Me Out Act, que vai exigir que todos os principais navegadores tenham GPC integrado até 2027.

O GPC já vem integrado ao Brave e ao DuckDuckGo Browser (ativado por padrão) e ao Firefox (disponível nas configurações). Para o Chrome e outros navegadores, extensões como a extensão de GPC da NAI ou o Privacy Badger podem adicionar o recurso. Não é um substituto completo para o gerenciamento de cookies, mas é o mais próximo que temos de um botão universal de "me deixe em paz".

Cookies de terceiros em 2025 e 2026: onde as coisas realmente estão

Nesse ponto, a maioria dos artigos na internet está desatualizada. Veja como as coisas estão hoje.

Durante anos, a indústria de tecnologia se preparou para a "morte dos cookies de terceiros". Em 2020, o Google anunciou que o Chrome os eliminaria gradualmente. Prazos foram definidos, adiados, definidos de novo e adiados mais uma vez. Então, em julho de 2024, o Google mudou de rumo. Em abril de 2025, o Chrome confirmou oficialmente: os cookies de terceiros vão continuar.

E como fica a situação?

O Safari bloqueia cookies de terceiros por padrão desde 2020 por meio da Intelligent Tracking Prevention (ITP). A ITP usa aprendizado de máquina no próprio dispositivo para identificar e restringir domínios de rastreamento. Ela também limita a vida útil de certos cookies próprios definidos via JavaScript, uma medida para impedir soluções de contorno.

O Firefox adota uma abordagem diferente, mas igualmente eficaz. Sua Proteção Aprimorada contra Rastreamento (ETP) bloqueia cookies de rastreamento conhecidos, e a Proteção Total de Cookies vai além, dando a cada site seu próprio "pote de cookies" isolado. Um cookie de terceiros definido em um site não pode ser lido quando você visita outro, mesmo que venha do mesmo domínio de rastreamento. Não é tanto um bloqueio quanto uma quarentena.

O Chrome ainda permite cookies de terceiros por padrão na navegação normal (eles são bloqueados no modo anônimo). O Privacy Sandbox do Google continua desenvolvendo APIs alternativas, como a Topics API para publicidade baseada em interesses e a Attribution Reporting API para medição de anúncios, mas os cookies de terceiros tradicionais continuam totalmente funcionais. Considerando a participação global de cerca de 65% do Chrome, isso significa que o rastreamento por cookies de terceiros ainda está ativo para a maioria dos usuários da web.

O Brave bloqueia todos os cookies de terceiros, rastreadores e técnicas de fingerprinting por padrão.

O Edge bloqueia rastreadores de sites não visitados e rastreadores sabidamente nocivos por meio do seu sistema de prevenção de rastreamento, configurável nos níveis Básico, Equilibrado e Estrito.

Resumindo: o "futuro sem cookies" não é um acontecimento distante. Ele já é realidade para quem usa Safari, Firefox e Brave, cerca de um terço de todo o tráfego da internet. Mas a decisão do Chrome de manter os cookies de terceiros significa que a infraestrutura de rastreamento continua intacta para a maioria. A escolha do seu navegador é, em si, uma decisão de privacidade.

Você deve aceitar cookies?

Esta é a pergunta para a qual a maioria das pessoas quer mesmo uma resposta. Aqui vai um critério prático que você pode aplicar em segundos.

Cookies essenciais: aceite sempre

Se um site oferece opções detalhadas, aceite sempre os cookies essenciais ou estritamente necessários. Rejeitá-los quebra o site: você não vai conseguir fazer login, manter itens no carrinho nem usar os recursos principais. São cookies próprios, de um único site, que não conseguem rastrear você em outros lugares. Pela maioria das leis de privacidade, os sites nem precisam de consentimento para eles.

Cookies funcionais e de análise: geralmente tudo bem

Cookies funcionais (idioma, preferências de exibição) e de análise (dados de uso anonimizados) são de baixo risco para a maioria das pessoas. Os cookies de análise ajudam os donos de sites a entender como os visitantes usam suas páginas, dados que de fato levam a experiências melhores. Em geral, eles não seguem você pela web. Se você quer apoiar os sites que visita, aceitá-los é razoável.

Cookies de marketing e de terceiros: recuse

É aqui que vale ser criterioso. Cookies de marketing e publicidade existem para rastrear o seu comportamento entre sites, montar um perfil dos seus interesses e exibir anúncios direcionados. Recusá-los é, de longe, a atitude de maior impacto que você pode tomar diante de um banner de consentimento.

O site continua funcionando normalmente. A única mudança: os anúncios que você vê serão genéricos em vez de personalizados.

Quando rejeitar tudo o que não for essencial

Algumas situações pedem cuidado extra:

Sites sem criptografia. Se a URL começa com http:// em vez de https://, o site não tem criptografia de transporte. Cookies enviados por uma conexão sem criptografia podem ser interceptados, um risco real em redes compartilhadas ou públicas.

Wi-Fi público. Redes abertas facilitam o sequestro de sessão, em que um invasor intercepta seus cookies de sessão e se passa por você. Use o modo privado ou anônimo do navegador em Wi-Fi público.

Transações sensíveis. Banco, prontuários médicos, declaração de imposto de renda: qualquer site que lide com dados pessoais sensíveis justifica recusar todos os cookies não essenciais para reduzir o rastro de dados.

Sites sem opção de rejeitar. Um site que só mostra "Aceitar", sem alternativa, é um sinal de alerta. Pelo GDPR, isso não está em conformidade. Em qualquer marco legal, é um sinal de que a sua privacidade não é prioridade.

O que realmente acontece quando você clica em "Rejeitar"?

Quando você rejeita os cookies não essenciais em um site bem implementado, a plataforma de gerenciamento de consentimento impede que scripts de rastreamento de terceiros sejam carregados no seu navegador. Pixels de marketing, tags de redes de anúncios e scripts de análise são suprimidos. O site carrega apenas com os cookies de que precisa para funcionar.

Em sites mal implementados, a situação é mais nebulosa. Auditorias têm encontrado repetidamente plataformas de consentimento que continuam disparando tags de rastreamento mesmo depois que os usuários rejeitam os cookies. Em 2025, uma ação coordenada dos Procuradores-Gerais da Califórnia, do Colorado e de Connecticut mirou empresas que não respeitavam corretamente os pedidos de recusa, um sinal de que a fiscalização está ficando mais agressiva.

A lição: rejeitar cookies sempre vale a pena, mas não é garantia. Combinar suas escolhas de consentimento com proteções no nível do navegador dá a você uma defesa mais forte.

Como os diferentes navegadores lidam com cookies

O seu navegador é a sua primeira linha de defesa. Veja como os principais navegadores se comparam de fábrica: sem extensões, sem mudar configurações, só os padrões.

Uma observação sobre o modo privado ou anônimo: ele não bloqueia cookies durante a sessão. Você continua recebendo e enviando cookies enquanto navega. O que o modo privado faz é apagar tudo (cookies, histórico, cache) quando você fecha a janela. É útil para uma navegação passageira, mas não deixa você invisível durante a sessão.

A conclusão: se a privacidade dos cookies importa para você, Safari, Firefox e Brave oferecem padrões bem mais fortes que o Chrome. O Chrome dá o maior controle manual, mas sua configuração padrão favorece a abertura em vez da privacidade, um reflexo do modelo de negócios do Google, baseado em publicidade.

Para comparações diretas e detalhadas entre esses navegadores, incluindo recursos de privacidade, desempenho e mais, confira as páginas de comparação no browsers.to.

Como assumir o controle dos seus cookies

Você não precisa aceitar os padrões. Veja como montar uma estratégia de cookies que funcione para você.

Bloqueie cookies de terceiros

Esta é a mudança de maior impacto que a maioria das pessoas pode fazer. Se você usa o Chrome, vá em Configurações → Privacidade e segurança → Cookies de terceiros e bloqueie-os. Quem usa Safari e Firefox já tem isso resolvido por padrão. Bloquear cookies de terceiros elimina o principal mecanismo de rastreamento entre sites, e a grande maioria dos sites continua funcionando normalmente.

Apague os cookies periodicamente

Todo navegador permite ver e apagar os cookies armazenados, geralmente em Configurações → Privacidade e segurança → Cookies e dados de sites. Você pode apagar tudo de uma vez ou remover cookies de sites específicos. Pense nisso como zerar o rastro de dados que você acumulou.

Sim, apagar os cookies vai desconectar você da maioria dos sites. Isso, na verdade, é revelador: mostra o quanto esses pequenos arquivos de dados estavam trabalhando silenciosamente nos bastidores.

Ative o Global Privacy Control

Se o seu navegador tem suporte a GPC, ative. No Firefox, procure em Configurações → Privacidade e Segurança. No Brave, ele vem ativado por padrão. No Chrome, instale uma extensão de GPC. Isso envia um sinal legalmente reconhecido a todos os sites que você visita, automatizando a recusa que, de outra forma, exigiria interagir com cada banner de consentimento.

Use extensões do navegador

O Consent-O-Matic é uma extensão de código aberto que preenche automaticamente suas preferências de privacidade nos banners de consentimento. Em vez de esconder os banners, ela interage com eles, o que significa que suas preferências são de fato comunicadas ao site.

O uBlock Origin é principalmente um bloqueador de anúncios, mas também impede que muitos scripts de rastreamento de terceiros sejam carregados, barrando os cookies antes mesmo de serem definidos.

O Privacy Badger (da Electronic Frontier Foundation) aprende quais domínios estão rastreando você e os bloqueia de forma adaptativa, em vez de depender de uma lista fixa.

Considere um navegador focado em privacidade

Se a privacidade dos cookies é uma prioridade, trocar de navegador pode ser mais eficaz do que encher de extensões um navegador menos privado. O Firefox, o Brave e o DuckDuckGo Browser vêm com padrões fortes contra rastreamento. O Tor Browser vai além, roteando o tráfego por vários relays e isolando todo o estado por site, embora isso custe bastante velocidade.

Use a navegação privada de forma estratégica

O modo privado ou anônimo é útil para sessões pontuais: pesquisar preços sem ser perseguido por anúncios depois, visitar um site desconhecido ou navegar em um dispositivo compartilhado. Todos os cookies coletados durante a sessão são apagados quando você fecha a janela. Não é uma solução de privacidade por si só, mas é uma ferramenta prática para situações específicas.

Cookies por dentro: atributos de segurança que importam

Se você já inspecionou cookies nas ferramentas de desenvolvedor do navegador, talvez tenha notado atributos além do nome e do valor. Essas flags de segurança são como sites bem construídos protegem os dados dos cookies, e entendê-las ajuda você a avaliar o quanto um site leva a segurança a sério.

Secure: o cookie só é enviado por conexões criptografadas (HTTPS). Em uma conexão HTTP sem criptografia, o cookie é retido, o que impede que ele seja interceptado no caminho. Qualquer site confiável que lide com dados sensíveis deve definir essa flag em todos os seus cookies.

HttpOnly: o cookie não pode ser lido nem modificado por JavaScript executado na página. É uma defesa crucial contra ataques de cross-site scripting (XSS), em que um script malicioso tenta roubar o seu cookie de sessão. Se um cookie de sessão tem a flag HttpOnly, um ataque de injeção de script não consegue acessá-lo por meio de document.cookie.

SameSite: este atributo controla se o cookie é enviado em requisições entre sites. Ele tem três valores possíveis: Strict (o cookie só é enviado em requisições do mesmo site, a proteção mais forte), Lax (enviado em requisições do mesmo site e em navegações de nível superior vindas de outros sites, como clicar em um link; é o padrão nos navegadores modernos) e None (enviado em todas as requisições, inclusive entre sites; é necessário para que cookies de terceiros funcionem e deve vir acompanhado de Secure).

Juntos, esses atributos formam a base da segurança dos cookies. Um cookie de sessão bem configurado se parece com algo assim: Set-Cookie: session=abc123; Secure; HttpOnly; SameSite=Lax. Se os cookies de um site não têm essas flags (especialmente Secure e HttpOnly nos cookies de sessão), isso é uma fragilidade de segurança relevante.

Você não precisa decorar isso, mas saber que esses atributos existem ajuda a entender por que navegadores preocupados com segurança e ferramentas de privacidade avaliam os cookies do jeito que avaliam.

Perguntas frequentes

Cookies podem me passar vírus? Não. Cookies são dados simples: não conseguem executar código, instalar software nem acessar diretamente os seus arquivos. O risco dos cookies está na privacidade (rastrear o seu comportamento) e, em alguns casos extremos, na segurança (se um invasor roubar o seu cookie de sessão para se passar por você). Mas os cookies em si não conseguem infectar o seu dispositivo.

O que acontece se eu rejeitar todos os cookies? Se você rejeitar só os cookies não essenciais, a maioria dos sites vai funcionar normalmente: você apenas não será rastreado para fins publicitários. Se bloquear todos os cookies, incluindo os essenciais, muitos sites vão quebrar: você não vai conseguir continuar logado, os carrinhos de compras não vão funcionar e algumas páginas podem não carregar direito.

Preciso aceitar cookies para usar um site? Você sempre precisa dos cookies essenciais, e a maioria dos navegadores os permite por padrão. Para os cookies não essenciais, em geral você tem escolha. Pelo GDPR, os sites não podem impedir o seu acesso só porque você rejeitou os cookies não essenciais. Alguns sites violam essa regra com os chamados "cookie walls", mas os reguladores têm declarado cada vez mais que eles não estão em conformidade.

Com que frequência devo apagar meus cookies? Não existe uma regra universal. Apagar os cookies toda semana ou todo mês é uma base razoável para a maioria das pessoas. Se você se preocupa com privacidade, apagar com mais frequência (ou configurar o navegador para apagar tudo ao fechar) reduz o período em que os dados de rastreamento se acumulam.

Os cookies são os mesmos em todos os navegadores? Os cookies são armazenados separadamente por navegador e por perfil. Um cookie definido no Chrome não existe no Firefox, e vice-versa. Se você usa vários navegadores, seus perfis de rastreamento ficam divididos entre eles, o que, aliás, é uma tática simples de privacidade.

O "modo anônimo" basta para me proteger dos cookies? Em parte. O modo anônimo apaga todos os cookies quando você fecha a janela, impedindo que eles persistam entre sessões. Mas, durante a sessão, os cookies funcionam normalmente: os sites ainda podem rastrear sua atividade dentro daquela janela. Para uma privacidade mais forte, combine o modo anônimo com um navegador que bloqueia cookies de terceiros por padrão.

Qual é a diferença entre apagar os cookies e limpar o cache? Os cookies guardam dados sobre a sua identidade e preferências (logins, IDs de sessão, identificadores de rastreamento). O cache guarda cópias de recursos das páginas (imagens, scripts, folhas de estilo) para acelerar o carregamento. Apagar os cookies desconecta você e zera o seu rastro de rastreamento. Limpar o cache só obriga as páginas a carregar o conteúdo de novo. São ações separadas nas configurações do navegador.

Os cookies não vão desaparecer, mas quem manda é você

Os cookies são uma tecnologia fundamental da web. Eles tornam possíveis os sistemas de login, os carrinhos de compras e as experiências personalizadas. O problema nunca foram os cookies em si, e sim o uso descontrolado de cookies de terceiros para montar uma infraestrutura de vigilância sem um consentimento significativo dos usuários.

Isso está mudando. As leis de privacidade agora exigem transparência e consentimento real. Safari, Firefox e Brave tornaram a proteção contra rastreamento o padrão. O Global Privacy Control está dando aos usuários uma recusa por sinal único que tem peso legal. E até o Chrome, que ainda permite cookies de terceiros, oferece as configurações para bloqueá-los se você quiser.

A abordagem prática para a maioria das pessoas é simples: aceite os cookies essenciais (você precisa deles), considere aceitar os funcionais e de análise em sites em que você confia e recuse os de marketing, a menos que queira de fato anúncios personalizados. Bloqueie os cookies de terceiros nas configurações do navegador. Ative o GPC se o seu navegador oferecer suporte. Apague seus cookies periodicamente. E, se a privacidade dos cookies for realmente importante para você, considere um navegador que a trate como padrão, e não como opção.

Você não precisa ficar paranoico com cookies. Só precisa parar de clicar em "Aceitar todos" no piloto automático, porque agora você sabe o que está por trás desse botão.