Что такое third-party cookies? Как работает трекинг (и как защититься)

Cookie, это небольшой текстовый файл, который сайт сохраняет на вашем компьютере через браузер. И это все. В cookies нет ничего загадочного или по своей сути опасного: это одна из старейших технологий в интернете, появившаяся еще в 1994 году.

Когда вы заходите на сайт, сервер может отправить небольшой фрагмент данных, cookie, который ваш браузер сохраняет. При следующем посещении того же сайта браузер отправляет cookie обратно. Это позволяет сайту запоминать информацию о вас между визитами.

Cookies служат многим законным и важным целям. Когда вы входите на сайт, cookie запоминает, что вы уже авторизованы, и вам не нужно вводить пароль на каждой странице. Когда вы добавляете товары в корзину интернет-магазина, cookie хранит список того, что в ней лежит. Когда вы включаете темную тему или выбираете язык, cookie запоминает этот выбор. Без cookies каждая загрузка страницы начиналась бы с нуля: без сессий входа, без настроек, без корзины покупок.

Cookie, это просто пара ключ-значение, имя и значение, например "session_id=abc123" или "language=en." Также он содержит метаданные: какой домен его установил, когда он истекает и следует ли отправлять его только по зашифрованным соединениям. Cookies не могут выполнять код, получать доступ к вашим файлам или устанавливать программы. Это пассивные данные, а не программы.

Проблемы с приватностью возникают не из-за самой технологии, а из-за того, как ее используют. В частности, проблема начинается тогда, когда cookies устанавливает не тот домен, который вы действительно открыли. Именно это различие, между first-party и third-party cookies, лежит в основе современного веб-трекинга. Понимание этого необходимо, чтобы понять, как рекламная индустрия следует за вами по всему интернету и почему разработчики браузеров годами пытаются это остановить.

Разница между first-party и third-party cookies проста, но имеет огромные последствия для приватности.

First-party cookie устанавливает сайт, который вы посещаете. Если вы заходите на example.com и example.com сохраняет cookie, это first-party cookie. Прочитать его может только example.com. Обычно такие cookies отвечают за важные функции: сохраняют вход в аккаунт, запоминают ваши настройки, поддерживают корзину покупок. В целом first-party cookies безвредны и нужны для нормальной работы сайтов.

Third-party cookie устанавливает домен, отличный от того, который вы посещаете. Если вы заходите на example.com, но cookie устанавливает ads.tracker.com, потому что example.com встроил рекламу или трекинговый скрипт с этого домена, это third-party cookie. Ключевое отличие в том, что ads.tracker.com может устанавливать и читать этот же cookie на каждом сайте, где есть его скрипт отслеживания.

Именно так работает кросс-сайтовое отслеживание. Если скрипт tracker.com встроен на тысячах сайтов, на новостных, торговых, в соцсетях, в блогах, то tracker.com может видеть вашу активность на всех этих сайтах через свои cookies. Он знает, что вы читали статью о беговых кроссовках на новостном сайте, потом зашли на сайт магазина обуви, затем открыли сайт с отзывами. И все это через один и тот же cookie.

First-party cookies остаются внутри одного сайта. Third-party cookies следуют за вами по всему интернету. В этом и состоит фундаментальная разница, поэтому именно third-party cookies стали главной мишенью мер приватности в браузерах.

Важно отметить, что грань между first-party и third-party не всегда очевидна. Такие техники, как CNAME cloaking, позволяют компаниям отслеживания маскировать свои cookies под first-party, используя поддомен посещаемого сайта. Домен отслеживания может выглядеть как analytics.example.com вместо tracker.com, и тогда его cookies технически становятся first-party. Safari внедрил меры против этой техники, но она показывает, как индустрия отслеживания постоянно приспосабливается, чтобы обходить защиту приватности.

Понимание механики кросс-сайтового отслеживания помогает увидеть, почему third-party cookies были так ценны для рекламной индустрии и так вредны для приватности.

Вот как это работает на практике. Рекламная сеть, назовем ее AdTrack, раздает рекламные скрипты тысячам сайтов. Когда вы заходите на Site A, новостной сайт, ваш браузер загружает скрипт AdTrack вместе с содержимым страницы. AdTrack устанавливает cookie с уникальным идентификатором, например "user_id=x7f9k2." Этот cookie сохраняется на вашем компьютере и связывается с доменом AdTrack.

Теперь вы заходите на Site B, онлайн-магазин одежды, который тоже использует AdTrack. Ваш браузер снова загружает скрипт AdTrack и отправляет cookie, который был установлен ранее. Теперь AdTrack знает, что тот же человек, который посетил Site A, также был на Site B. Он это фиксирует. За дни и недели AdTrack собирает профиль: вы читаете статьи о технологиях и кулинарии, покупаете беговые кроссовки и книги, по вечерам пятницы заходите на туристические сайты. AdTrack не обязательно знает ваше имя, но очень точно знает ваши привычки в браузинге.

Затем этот профиль используется для таргетированной рекламы. Когда вы заходите на Site C, AdTrack узнает ваш cookie и показывает вам рекламу тех беговых кроссовок, которые вы смотрели на Site B. Вот почему кажется, что реклама преследует вас по всему интернету. Она буквально это и делает.

Масштаб поражает. Крупные рекламные сети, такие как сети Google и Meta, встраивают свои скрипты отслеживания в миллионы сайтов. Различные сервисы отслеживания Google, Google Analytics, Google Ads, Google Tag Manager, DoubleClick, присутствуют примерно на 85 процентах из миллиона самых популярных сайтов. Это значит, что Google может наблюдать за вашей активностью на большей части веба.

Собираемые данные выходят далеко за рамки того, какие сайты вы посещаете. Скрипты отслеживания могут записывать, сколько времени вы проводите на странице, по чему кликаете, насколько далеко прокручиваете, что ищете, что добавляете в корзину и что в итоге покупаете. Эти данные объединяют, анализируют и продают рекламодателям, чтобы строить детальные поведенческие профили. Вы не клиент этих рекламных сетей. Вы продукт. Клиенты, это сайты, а продают именно ваше внимание и данные.

Сторонние cookies постепенно уходят в прошлое. Safari и Firefox блокируют их по умолчанию уже много лет. Google Chrome, последний крупный игрок, который долго держался, тоже движется к ограничениям, хотя Google не раз откладывал полный отказ, потому что его рекламный бизнес зависит от инфраструктуры отслеживания, которую обеспечивают cookies.

Но конец сторонних cookies не означает конец отслеживания. Рекламная индустрия годами разрабатывала альтернативные методы слежки, которые вообще не полагаются на cookies. Понимать их важно, потому что они уже широко используются.

Самая тревожная замена, это browser fingerprinting. Вместо того чтобы хранить идентификатор на вашем компьютере, fingerprinting определяет вас, собирая десятки технических сведений о браузере и устройстве: разрешение экрана, установленные шрифты, возможности видеокарты, часовой пояс, языковые настройки, версия операционной системы, плагины браузера и многое другое. По отдельности эти данные не уникальны. Но вместе они создают поразительно узнаваемый отпечаток. Исследования показывают, что сочетание атрибутов браузера уникально для более чем 90 процентов пользователей. И никаких cookies не нужно.

Fingerprinting сложнее заблокировать, чем cookies, потому что он ничего не хранит на вашем компьютере. Удалять нечего, показывать баннер не нужно, переключать настройки тоже. Браузер должен активно противодействовать этому, подавая сайтам стандартизированную или случайно измененную информацию.

Отслеживание на стороне сервера, еще один быстро растущий метод. Вместо того чтобы отслеживание происходило в браузере через JavaScript, оно происходит на сервере сайта. Когда вы открываете страницу, сервер фиксирует вашу активность и отправляет ее напрямую в сервис отслеживания, от сервера к серверу. Ваш браузер никогда не видит этот запрос, а значит, инструменты блокировки на уровне браузера не могут его остановить.

Topics API от Google, часть инициативы Privacy Sandbox, предлагает заменить отслеживание отдельных пользователей категориями по интересам. Вместо того чтобы отслеживать вашу точную историю просмотров, Chrome будет относить ваши интересы к широким категориям и делиться ими с рекламодателями. Критики утверждают, что это по-прежнему позволяет строить профили, а контроль Google и над браузером, и над рекламной платформой создает антиконкурентную ситуацию.

Эпоха после cookies не становится по умолчанию более приватной. Методы отслеживания, пришедшие на смену cookies, часто труднее обнаружить, труднее заблокировать и сложнее проверить. Баннеры о cookies хотя бы давали вам видимый, пусть и раздражающий, признак того, что отслеживание идет. Fingerprinting и отслеживание на стороне сервера происходят незаметно.

Поскольку отслеживание выходит далеко за рамки cookies, для эффективной защиты нужен многоуровневый подход. Ни один инструмент не решает проблему целиком, но правильная комбинация заметно снижает риски.

Начните с браузера. Выберите тот, который по умолчанию блокирует сторонние cookies и умеет защищаться от fingerprinting. Safari и Firefox хорошо справляются с этим. Brave идет дальше благодаря агрессивной встроенной блокировке. Какой бы браузер вы ни выбрали, проверьте настройки приватности: включите строгую защиту от отслеживания, отключите телеметрию и передачу данных разработчику браузера, а вместо Google попробуйте поисковик, ориентированный на приватность, например DuckDuckGo.

Установите блокировщик контента. uBlock Origin, это золотой стандарт для блокировки скриптов отслеживания, рекламы и попыток fingerprinting в браузере. Он работает, не позволяя трекинговым скриптам загрузиться вообще, и это эффективнее, чем пытаться ограничить их после загрузки. В Safari, где uBlock Origin недоступен, встроенный блокировщик контента и расширения вроде AdGuard дают похожую защиту.

Регулярно очищайте cookies. Даже если сторонние cookies заблокированы, first-party cookies все еще могут использоваться для отслеживания через такие техники, как link decoration и bounce tracking. Периодическая очистка cookies, либо функции браузера вроде Total Cookie Protection в Firefox, которая изолирует cookies по сайтам, помогают снизить этот риск.

Используйте VPN в ненадежных сетях, чтобы ваш IP-адрес не использовался как идентификатор для отслеживания. IP-адрес может раскрывать ваше примерное местоположение, и некоторые системы отслеживания используют его, чтобы связывать активность между сайтами.

Но вот критически важный момент, который упускают большинство гайдов: cookies и отслеживание в браузере, это лишь один из каналов. Приложения на Mac отслеживают вас через собственные соединения, полностью вне браузера. Spotify, Zoom, Slack, Adobe и десятки других приложений отправляют телеметрию и аналитические данные напрямую на трекинговые серверы. Настройки приватности браузера на это никак не влияют.

Именно здесь системный инструмент вроде NetMute закрывает пробел. NetMute отслеживает каждое исходящее соединение от каждого приложения на вашем Mac, а не только от браузера. Его Tracker Shield автоматически блокирует соединения с более чем 1100 известными доменами отслеживания во всех приложениях. Трекер, который ваш браузер успешно блокирует, все еще может собирать данные через настольное приложение, если защита не работает на уровне приложения.

Полный подход к блокировке отслеживания в 2026 году сочетает приватный браузер для веб-отслеживания, блокировщик контента для скриптов и рекламы, и файрволл на уровне приложений для всего остального. Cookies были началом истории отслеживания. Но это больше не вся история. Защита означает, что нужно закрыть все способы, которыми данные покидают ваш компьютер, а не только те, что происходят в окне браузера.