En HTTP-cookie (vanligtvis bara kallad cookie) är en enkel datafil som består av text. Informationen som lagras i cookies kan användas för att anpassa upplevelsen när du använder en webbplats. En webbplats kan använda cookies för att ta reda på om någon har besökt webbplatsen tidigare och registrera information (data) om vad besökaren gjorde på sidan, till exempel vilka sidor som visades eller vilka inställningar som valdes.

Hur fungerar cookies?

När någon använder en dator eller mobil för att surfa på en webbplats kan servern skicka en cookie till personens webbläsare. Cookien sparas lokalt i webbläsaren och skickas tillbaka till servern vid efterföljande förfrågningar till samma domän. På så sätt kan webbplatsen känna igen återkommande besökare och läsa de värden som sparats i cookien.

Rent tekniskt skickas cookies via HTTP-headern Set-Cookie från servern till webbläsaren. Ett enkelt exempel är:

  • Set-Cookie: sessionId=abc123; Path=/; HttpOnly; Secure; SameSite=Lax

Detta visar hur en cookie kan innehålla ett namn och ett värde (t.ex. sessionId=abc123) samt attribut som styr hur och när cookien används (mer om attribut nedan).

Vanliga typer av cookies

  • Sessionscookies – tillfälliga cookies som raderas när du stänger webbläsaren. Används ofta för inloggning och kundvagnar.
  • Persistenta cookies – sparas på enheten under en bestämd tid (Expires eller Max-Age). Används för att komma ihåg inställningar eller hålla användaren inloggad.
  • Förstapartscookies – skapade av den webbplats du besöker.
  • Tredjepartscookies – skapade av andra domäner än den du besöker (vanligt vid annonsnätverk och spårning).

Vanliga användningsområden

  • Autentisering och sessionhantering (så du kan vara inloggad när du navigerar mellan sidor).
  • Personalisering (spara språkinställningar, teman eller preferenser).
  • Kundvagnar i e-handel — utan cookies (eller annan sessionshantering) kan varukorgen sluta fungera.
  • Analys och mätning av besök (verktyg som samlar statistik över trafiken).
  • Målgruppsanpassade annonser och frekvensbegränsning (att inte visa samma annons för ofta).
  • Fungerar ofta tillsammans med andra tekniker som kundvagnar och lokala lagringslösningar.

Cookieattribut som påverkar säkerhet och beteende

  • Expires / Max-Age – bestämmer hur länge en persistent cookie sparas.
  • Domain och Path – begränsar vilka domäner och sökvägar som skickar cookien tillbaka till servern.
  • Secure – gör att cookien endast skickas över HTTPS.
  • HttpOnly – gör cookien otillgänglig för JavaScript (minskar risken vid XSS).
  • SameSite – hjälper till att motverka CSRF genom att styra när en cookie skickas i tredjepartsförfrågningar (värden: Strict, Lax, None).

Säkerhet och integritet

Cookies har ofta väckt oro för integriteten på Internet. De kan användas för att spåra surfbeteende över tid, särskilt när tredjepartscookies används av annonsnätverk. Det kan skapa detaljerade profiler om vilka webbplatser en person besökt.

Samtidigt är cookies nödvändiga för många funktioner på webben. De flesta webbläsare erbjuder inställningar för att blockera eller ta bort cookies, och utvecklare kan minska risker genom att använda HttpOnly, Secure och lämpliga SameSite-inställningar.

Cookies kan ibland kallas för spionprogram eller virus, men detta är missvisande: cookies är bara små textbaserade datafiler och kan inte själva köra kod eller sprida sig som ett virus. Problemet är hur de används.

Lagar och samtycke

På grund av integritetsriskerna har lagar stiftats i många länder som kräver att webbplatser informerar användare om cookies och, i många fall, inhämtar samtycke innan icke-nödvändiga cookies lagras (t.ex. enligt GDPR och ePrivacy-direktivet i EU). Detta är anledningen till att många webbplatser visar en cookie-banner när du besöker dem första gången.

Alternativ till cookies

Det finns andra tekniker för att spara data eller identifiera användare, men alla har sina nackdelar:

  • LocalStorage / SessionStorage – lagrar data i webbläsaren men skickas inte automatiskt till servern; kan vara mindre lämpligt för sessionhantering och har egna säkerhetsöverväganden.
  • Serverbaserade sessioner – servern håller sessionstillstånd och använder endast en kort identifierare i en cookie.
  • Fingeravtrycksteknik – samlar information om enhetens konfiguration för att identifiera användare; mycket integritetsintrång och ofta svårare att reglera.
  • JWT (JSON Web Tokens) – kan användas för autentisering men kräver noggrann hantering för säkerhet.

Hur du som användare kan hantera cookies

  • Använd webbläsarens inställningar för att blockera, tillåta eller radera cookies.
  • Rensa cookies regelbundet för att ta bort gamla spår.
  • Använd privat/funktionslägen i webbläsaren (inkognitoläge) för tillfälliga besök utan permanenta cookies.
  • Använd tillägg eller verktyg för att blockera spårning och tredjepartscookies.
  • Läs webbplatsens cookiepolicy och justera samtycke där det erbjuds.

Tips för utvecklare

  • Använd minimalt lång livslängd för cookies där det är möjligt.
  • Sätt alltid Secure och HttpOnly för känsliga cookies (t.ex. sessionsidentifikatorer).
  • Använd SameSite för att skydda mot CSRF-attacker.
  • Be om tydligt och informerat samtycke för icke-nödvändiga cookies och ge användaren möjlighet att välja.
  • Dokumentera vilka cookies som används och varför i en lättförståelig cookiepolicy.

Sammanfattningsvis är cookies små textfiler som spelar en central roll för hur moderna webbplatser fungerar — de möjliggör allt från inloggning och kundvagnar till mätning och annonsering. Samtidigt kräver deras användning att utvecklare tänker på säkerhet och integritet, och att användare informeras och ges valmöjligheter.