Персистентность cookie

Куки делятся на два широких класса по времени жизни. Сессионные куки существуют лишь пока браузер открыт и стираются при его закрытии. Персистентные куки несут явную дату истечения и остаются на устройстве до тех пор, пока эта дата не пройдёт или пользователь их не удалит, — это и есть то, что позволяет работать между визитами таким функциям, как входы «запомнить меня» и долгосрочные предпочтения.

На практике, однако, персистентность куки стала хрупкой. Пользователи очищают куки, браузеры ограничивают их или автоматически задают им срок истечения, приватный просмотр отбрасывает их в конце сессии, а функции приватности браузера, такие как Intelligent Tracking Prevention, агрессивно сокращают срок жизни многих куки, особенно устанавливаемых через скрипты. В результате куки, номинально персистентный, может фактически исчезнуть намного раньше, чем предполагает его дата истечения.

Эта эрозия важна для любой системы, опирающейся на куки для распознавания возвращающегося устройства или пользователя. Когда куки очищен, заблокирован, истёк или просто отсутствует, потому что посетитель находится в режиме инкогнито, сайт теряет нить непрерывности и обращается с возвращающимся посетителем как с совершенно новым. Злоумышленники намеренно эксплуатируют это, удаляя куки или переключаясь на приватные окна, чтобы выглядеть свежими посетителями.

Снятие цифрового отпечатка устройства устраняет этот пробел, идентифицируя устройство по стабильным техническим сигналам, а не по сохранённому токену. Поскольку отпечаток выводится из характеристик браузера и оборудования, а не записывается на устройство, он может продолжать распознавать устройство даже тогда, когда куки очищены, заблокированы или недоступны в приватной сессии, обеспечивая непрерывность, которую одни лишь персистентные куки больше не доставляют надёжно.