Verificação de cookies: flags, tempo de vida e responsáveis
O que seu site e os widgets de terceiros definem, quais flags são obrigatórias para cookies de sessão, problemas comuns e por que o banner de consentimento deve ser verificado não só do ponto de vista legal.
A verificação de cookies mostra quais arquivos o site salva, quem os define e quão seguro é o modo como estão configurados. Isso é necessário para estar em conformidade com as regulamentações de dados pessoais e, simplesmente, para entender o que está acontecendo no seu site. A ferramenta é a análise de cookies.
O que observar nos resultados
| Parâmetro | O que significa |
|---|---|
| HttpOnly | O cookie não fica acessível a scripts: obrigatório para cookies de sessão |
| Secure | Transmitido somente por https |
| SameSite | Limita o envio a partir de sites externos e protege contra falsificação de requisições |
| Duração | Sessão ou longo prazo: um ano para analytics é normal, para login não |
| Proprietário | Seu domínio ou um serviço de terceiros |
Achados comuns
- Cookie de sessão sem HttpOnly: ele pode ser lido por um script de terceiros, o que é um caminho direto para o sequestro de sessão.
- Sem SameSite: os navegadores aplicam padrões por conta própria, mas não é recomendável depender deles.
- Analytics definido antes do consentimento: uma reclamação típica em verificações de conformidade.
- Dezenas de cookies de terceiros de widgets esquecidos há muito tempo: chat, mapa, pixel antigo.
O banner de cookies pode custar conversões
Já tivemos um caso em que o banner de consentimento cobria o botão de cadastro no celular: o tráfego de anúncios chegava, mas não havia cadastros. Verifique não só a parte legal, mas também se o banner não esconde a ação principal na tela.Cookies e analytics
Um tema à parte são os cookies de terceiros: eles são definidos por widgets, pixels de sistemas de publicidade e chats externos. Os navegadores estão restringindo gradualmente esses cookies, então parte do analytics que você conhece vai deixar de funcionar por conta própria com o tempo. É útil revisar a lista a cada seis meses: geralmente, metade dos scripts do site está ligada a experimentos que terminaram há muito tempo.
O que fazer com os achados
- Defina HttpOnly e Secure para todos os cookies de serviço.
- Defina SameSite explicitamente, conforme seja necessário ou não o envio a partir de outros domínios.
- Remova os scripts de terceiros que não são mais usados, junto com seus cookies.
- Verifique se analytics e pixels são acionados após o consentimento, caso isso seja exigido nos países em que você atua.
- Compare o resultado com o relatório do Shield: os flags de cookies fazem parte das verificações dele.
Perguntas frequentes
Quais flags são obrigatórias?
Para cookies de serviço e de sessão: HttpOnly e Secure, e o SameSite deve ser definido explicitamente, sem depender do padrão do navegador.
Qual é o perigo de um cookie sem HttpOnly?
Ele pode ser lido por um script de terceiros na página, o que é um caminho direto para o sequestro de sessão do usuário.
O que verificar no banner de consentimento?
Não apenas o texto, mas também se ele não cobre o botão principal no celular: um banner assim pode zerar a conversão dos anúncios.
Este artigo foi útil?
Obrigado! Vamos considerar isso nas próximas atualizações.
Experimente no seu projeto
Tudo o que está descrito no artigo está disponível no painel: o bônus de cadastro já está no seu saldo.
Abrir painel
