Cookies — что это такое и зачем они нужны

Что такое cookies и зачем они нужны, владельцу сайта приходится выяснять обычно в двух ситуациях: когда юрист требует поставить баннер согласия и когда цифры в аналитике перестают сходиться с реальностью. Обе ситуации упираются в один и тот же механизм, о котором в бизнесе знают понаслышке. Между тем от него зависит, работает ли корзина, считаются ли конверсии, можно ли доверять отчёту о повторных визитах и не грозит ли компании разбирательство из-за скриптов, которые кто-то поставил три года назад и забыл.

В SEO я с 2005 года и регулярно сталкиваюсь с одной и той же картиной: владелец принимает решения по данным Метрики, а данные искажены, потому что счётчик настроен небрежно, домены не связаны, а половина посетителей отклоняет всё подряд в баннере согласия. Разговор о куки поэтому не технический, а вполне денежный: неверные цифры приводят к неверным решениям о бюджете.

Как работает механизм и почему без него сайт вас не помнит

Протокол, на котором держится веб, устроен без памяти. Сервер отдал страницу и забыл о посетителе: следующий запрос от того же человека он воспринимает как обращение постороннего. Ничего не связывает два клика подряд, кроме отдельного механизма, который придумали именно для этого.

Работает он просто. При первом визите сайт просит браузер сохранить небольшую запись — пару из имени и значения. Браузер сохраняет её и при каждом следующем обращении к этому же домену послушно отправляет обратно. Сервер видит знакомое значение и понимает: это тот же человек, который пять минут назад положил товар в корзину.

Внутри лежит не личность, а метка. Чаще всего это идентификатор сессии — случайная строка, которая на стороне сервера связана с данными о вашей корзине или авторизации. Плюс служебные мелочи: выбранный регион, язык, факт согласия на обработку данных, метка рекламной кампании, по которой человек пришёл. Размер записи невелик, обычно до нескольких килобайт.

Ключевое ограничение, которое снимает половину страхов: запись читает только тот домен, который её поставил. Сайт магазина не может прочитать записи вашего банка — браузеры жёстко изолируют данные по источнику. Именно на этой изоляции держится безопасность всей конструкции.

Какими бывают куки

Разделений три, и они пересекаются между собой. Путаница между ними — источник большинства ошибок при настройке согласия.

Признак деления	Виды	В чём разница	Нужно ли согласие
Срок жизни	Сессионные и постоянные	Первые исчезают при закрытии вкладки, вторые живут неделями и месяцами	Зависит от назначения, а не от срока
Кто установил	Собственные и сторонние	Свои ставит ваш домен, сторонние — подключённые внешние сервисы	Для сторонних почти всегда да
Назначение: технические	Авторизация, корзина, безопасность	Без них страница физически не работает	Нет, они обязательны для работы
Назначение: функциональные	Регион, язык, настройки отображения	Улучшают удобство, но сайт работает и без них	Обычно да
Назначение: аналитические	Счётчики посещаемости	Считают визиты, источники, поведение	Да
Назначение: рекламные	Ретаргетинг, рекламные сети	Связывают действия для показа объявлений	Да, и в первую очередь

Практический вывод: делить нужно по назначению, а не по сроку жизни, как часто делают в шаблонных баннерах. Сессионная запись рекламной сети требует согласия, а постоянная запись с выбранным городом — необязательна для работы, но и не является слежкой. Шаблон, который валит всё в одну кучу «принять все куки», не защищает бизнес и раздражает посетителя.

Зачем этот механизм бизнесу

Для коммерческого сайта куки — не абстракция, а условие работы нескольких ключевых функций сразу.

• Корзина и оформление заказа. Без сохранения сессии товар исчезает при переходе на следующую страницу. Это первое, что ломается при неверных настройках.
• Авторизация. Личный кабинет, история заказов, сохранённые адреса доставки — всё держится на идентификаторе сессии.
• Учёт источника обращения. Метка кампании сохраняется при первом визите, и без неё заявка от вернувшегося через неделю человека будет засчитана прямому заходу.
• Разделение новых и вернувшихся. Отчёты о повторных визитах и о времени до покупки строятся исключительно на этом механизме.
• Сохранённые фильтры и сравнения. В каталоге с большим выбором это заметно влияет на конверсию.
• Защита форм. Проверка подлинности отправки формы тоже опирается на сессию.

Особенно важен третий пункт. Цикл принятия решения в большинстве ниш длиннее одного визита: человек посмотрел, ушёл думать, вернулся через несколько дней и оставил заявку. Если метка источника не сохранилась, вся заявка запишется на прямой заход, и в отчёте получится, что канал, который её привёл, не работает. Решения о бюджете принимаются по таким отчётам, и ошибка здесь стоит дороже любой технической мелочи.

Куки и аналитика: откуда берутся расхождения

Почти в каждом разборе статистики находится хотя бы одна причина, по которой отчёты показывают не то, что происходит на самом деле.

Если нужны детали, смотрите «Что такое proxi и зачем они нужны».

Признак в отчётах	Вероятная причина	Что проверить
Подозрительно много новых посетителей	Идентификатор не сохраняется между визитами	Настройки счётчика, срок жизни записи, блокировщики
Заявки записаны на прямой заход	Метка источника потерялась	Переходы между поддоменами, редиректы, обрезка параметров
Один человек считается дважды за визит	Переход между доменом с www и без, http и https	Единый канонический адрес и настроенные редиректы
Конверсия резко упала без причин	Часть посетителей отклоняет аналитику в баннере	Долю отказов от согласия и настройку блокировки скриптов
Данные счётчика и CRM не сходятся	Разные способы учёта и разные окна атрибуции	Сверку по конкретным заявкам за неделю
Всплеск визитов без обращений	Роботы, которые не хранят сессию	Отчёт по источникам и по подсетям, поведение внутри визита

Строка про поддомены заслуживает отдельного внимания, потому что встречается чаще прочего. Если основной сайт живёт на одном адресе, а форма заказа или платёжный шаг открывается на поддомене, и счётчик не настроен на связывание доменов, каждый переход будет считаться новым визитом с новым источником. Отчёт после этого показывает, что переход на оплату случается сам по себе, из ниоткуда.

Сверка с CRM — единственный надёжный способ понять, насколько можно доверять цифрам. Возьмите десяток реальных заявок за неделю и найдите их в отчётах. Если источник совпал у восьми из десяти, статистикой можно пользоваться. Если у трёх — принимать решения по ней нельзя, сначала нужно чинить учёт.

Влияет ли механизм на позиции в поиске

Помогу с продвижением: продвижение сайта без накруток — вывожу сайты в топ Яндекса белыми методами.

Прямого влияния нет: поисковый робот обходит сайт без сохранения сессии и не авторизуется. Ни одна запись в браузере не является фактором ранжирования, и никакие настройки здесь не поднимут сайт в выдаче.

Косвенное влияние при этом заметное, и идёт оно по трём направлениям.

О методах, которые работают вдолгую и не вредят сайту:

5:21

Первое — поведенческая картина. Аналитика фиксирует глубину просмотра, возвраты, повторные визиты, и всё это опирается на сохранение сессии. Если учёт сломан, вы неверно оцениваете качество страниц и правите не то, что нужно. Поисковик при этом видит реальное поведение, а вы — искажённое, и разрыв между двумя картинами приводит к неверным приоритетам.

Второе — скорость. Каждый подключённый сторонний скрипт ставит свои записи и тянет свои запросы. На сайтах, где годами накапливались счётчики, виджеты, пиксели и чаты, набирается по два-три десятка сторонних источников. Страница тяжелеет, время до первого отклика растёт, и это уже влияет на ранжирование напрямую.

Третье — техническая чистота в целом. Сайт, где никто не знает, какие скрипты подключены и зачем, обычно имеет и другие проблемы: незакрытые дубли, старые редиректы, лишние подключения. Аудит куки почти всегда вскрывает соседние вопросы, о которых владелец не подозревал.

Согласие, закон и баннер

Требование информировать посетителя об обработке данных стало нормой, и относиться к баннеру как к формальности рискованно. Но формальным его делает не сам факт наличия, а способ реализации.

Подробнее об этом — в статье «Индексация сайта: что это такое и как она работает».

1. Разделить категории. Технические записи не требуют согласия, аналитические и рекламные требуют. Кнопка «принять всё» без выбора не даёт защиты.
2. Не запускать скрипты до согласия. Самая частая ошибка: баннер стоит, а счётчик и рекламный пиксель загружаются сразу при открытии страницы. Юридически это то же самое, как если бы баннера не было.
3. Дать возможность отказаться так же легко, как принять. Кнопка отказа должна быть на том же экране, а не в трёх кликах вглубь настроек.
4. Сохранять сам факт согласия. Иначе баннер будет показываться при каждом визите и раздражать людей, а доказать факт согласия вы не сможете.
5. Описать список в политике обработки данных. Не шаблонным текстом, а реальным перечнем того, что стоит на вашем сайте.
6. Пересматривать раз в полгода. Скрипты добавляются и удаляются, а документ обычно пишется один раз и устаревает вместе с сайтом.

Про второй пункт стоит сказать отдельно, потому что он встречается на большинстве сайтов, где баннер поставили плагином и не проверили. Плагин показывает окно, но не управляет загрузкой скриптов — для этого его нужно настроить, связав категории с конкретными тегами. Без этой связки баннер выполняет декоративную функцию.

Закат сторонних записей и что это меняет

Браузеры последовательно ограничивают сторонние куки: сокращают срок жизни, блокируют по умолчанию, режут межсайтовое отслеживание. Направление движения не изменится, вопрос только в темпе.

Для бизнеса это означает несколько практических следствий. Ретаргетинг работает хуже и по меньшей аудитории. Сквозная аналитика между рекламной площадкой и сайтом теряет точность. Окна атрибуции сокращаются, и длинные циклы принятия решения перестают корректно отслеживаться.

Выигрывают те, кто собирает собственные данные напрямую. Подписка на рассылку, личный кабинет, программа лояльности, номер телефона в CRM — всё это не зависит от настроек браузера и не исчезнет с очередным обновлением. Ценность прямого контакта с аудиторией растёт ровно в той мере, в какой обесценивается стороннее отслеживание.

Второе следствие менее очевидно: растёт вес каналов, которые не требуют отслеживания для окупаемости. Органический поиск, карты и справочники, рекомендации приводят людей независимо от того, разрешил ли посетитель рекламные записи. Компании, у которых весь маркетинг построен на ретаргетинге, оказываются в более уязвимом положении, чем те, у кого есть поисковый трафик.

Как провести аудит на своём сайте

Проверка занимает вечер и не требует специальных сервисов.

Шаг	Что сделать	Что искать
1	Открыть сайт в чистом профиле браузера и посмотреть раздел хранилища в инструментах разработчика	Полный список записей и домены, которые их поставили
2	Сопоставить домены со списком используемых сервисов	Незнакомые источники: старые счётчики, виджеты, пиксели
3	Проверить, что ставится до нажатия кнопок в баннере	Аналитику и рекламу, которые грузятся без согласия
4	Отключить лишние скрипты и замерить скорость до и после	Разницу во времени загрузки, часто она значительна
5	Проверить связывание доменов и поддоменов в счётчике	Разрывы сессии при переходе на оплату или на форму
6	Сверить десяток реальных заявок с отчётом по источникам	Долю совпадений: она показывает, можно ли доверять данным

Если нужна помощь по теме — доработка сайта под SEO.

Второй шаг почти всегда приносит сюрпризы. На сайтах, которым больше трёх лет, обычно обнаруживается два-три счётчика от прежних подрядчиков, пиксель рекламной кампании, которая закончилась в позапрошлом году, и виджет обратного звонка, который давно не используется. Каждый из них тянет свои запросы и ставит свои записи.

Четвёртый шаг стоит делать замером, а не на глаз. Отключение пяти-шести неиспользуемых скриптов на среднем сайте даёт заметное ускорение загрузки, и это одна из самых дешёвых технических правок из существующих: ничего не разрабатывается, просто убирается лишнее.

Тему разбирал отдельно: «Что такое сертификат SSL».

Мифы и страхи

Куки воруют пароли и данные карт. Корректно сделанный сайт не хранит в них ничего подобного — только идентификатор сессии, по которому данные лежат на сервере. Опасность представляет не сам механизм, а незащищённое соединение и уязвимости на стороне сайта.

Через них следят за каждым шагом по интернету. Это касается только сторонних записей рекламных сетей, и именно их браузеры сейчас активно ограничивают. Собственные записи сайта работают исключительно в пределах его домена.

Удаление решает все вопросы приватности. Очистка сбрасывает сессии и настройки, но современная идентификация давно опирается и на другие методы — от параметров браузера до анализа поведения. Приватность — это осознанный выбор сервисов, а не регулярная чистка.

Отказ от аналитики защищает пользователя от всего. Отказ действительно исключает вас из статистики конкретного сайта, но не влияет на то, что сохраняет сам сервер: логи с адресом, временем и запрошенными страницами существуют независимо от согласия.

Баннер нужен только крупным компаниям. Требование связано с фактом обработки данных, а не с размером бизнеса. Сайт визитки со счётчиком посещаемости обрабатывает данные так же, как большой магазин.

Частые вопросы

Сколько живёт запись и можно ли этим управлять? Срок задаёт сам сайт при установке: от закрытия вкладки до месяцев. Браузеры при этом вправе сокращать срок для сторонних источников по своим правилам, и в последние годы делают это всё активнее.

Что будет, если посетитель отключит куки полностью? Корзина, авторизация и часть форм перестанут работать. Такой посетитель не сможет оформить заказ, а в статистике будет выглядеть как новый человек при каждом визите. Доля таких пользователей невелика, но она есть.

Влияет ли отказ от согласия на работу сайта? Не должен: технические записи ставятся независимо от согласия, потому что без них сайт не функционирует. Если после отказа ломается корзина, значит, категории размечены неверно.

Нужно ли согласие, если стоит только счётчик посещаемости? Да, аналитические записи относятся к необязательным, и на них требуется согласие. Технической необходимостью счётчик не является, каким бы полезным он ни был для владельца.

Как понять, что данные в аналитике искажены? Самый быстрый способ — сверка с реальными обращениями. Возьмите заявки за неделю из CRM и найдите их в отчёте по источникам. Расхождение больше чем на четверть означает, что учёт нужно чинить до любых выводов о каналах.

Стоит ли отказываться от сторонних скриптов совсем? Отказываться стоит от неиспользуемых, а не от всех. Разумный подход: оставить те, чью пользу вы можете объяснить в одном предложении, и удалить остальные. Обычно после такой ревизии список сокращается вдвое.

Коротко

• Механизм существует потому, что протокол веба не имеет памяти: без сохранённой метки сервер не связывает два клика одного человека.
• Делить записи нужно по назначению, а не по сроку жизни: технические работают без согласия, аналитические и рекламные его требуют.
• Потеря метки источника — самая дорогая ошибка: заявки записываются на прямой заход, и бюджет перераспределяется по неверным данным.
• На позиции механизм не влияет напрямую, но влияет косвенно — через искажённую картину поведения и через вес лишних сторонних скриптов.
• Баннер согласия защищает бизнес только тогда, когда он действительно блокирует загрузку скриптов до выбора посетителя, а не просто показывает окно.
• Сторонние записи уходят, поэтому растёт ценность собственных данных и каналов, которые приводят людей без отслеживания, — в первую очередь поиска.

Если отчёты не сходятся с реальными обращениями и непонятно, каким цифрам верить, приходите на SEO-консультацию — проверим настройку учёта и разберём, где теряются источники заявок.