Bullshit Basics: Cookies är ingen textfil

Cookies brukar ofta kallas för textfiler. Även de senaste integritetsförklaringarna sprider denna myt. Sanningen är något annat, som jag kan bevisa.

Nästan varje integritetspolicy som nämner Cookies beskriver Cookies som textfiler. Där står det att läsa: "En cookie är en textfil". Även i en integritetspolicy från ett företag som jag känner till fanns denna uttalande. Den skapades av en advokat. Varifrån skulle han också veta bättre, om även webbmaster ofta har kunskapsluckor här?.

Förut var Cookies i själva verket ofta eller kanske alltid en textfil. Hur kakorna faktiskt sparades, bestämde varje webbläsare för sig. Förut hade många eller kanske alla webbläsare Cookies som textfiler sparade. Det var dock bara ett tillfälligt fenomen, eftersom det finns många tekniska möjligheter att spara små informationer som kakorna. Trots detta är teorin om storleken på en Cookies inte den minsta.

Nu lagrar moderna webbläsare cookies på ett annat sätt. Till exempel använder Firefox-webbläsaren för Windows en databas. När det gäller databaser väljer Firefox SQLite. SQLite är en filbaserad databas.

Sqlite lagrar, precis som varje annan klassisk SQL-databas också, flera datauppsättningar i en tabell. Flera tabeller igenom ger upphov till en databas. En databas igenom sparades med Sqlite som en enda fil. Men även här gäller: Ett Cookies är inte en textfil och heller inte en fil! Databasen är en fil (oftast ingen textfil!), som i sin tur innehåller många Cookies, men inte alla uppgifter om dem, utan bara några informationer om dem. Även andra uppgifter om Cookies, som till exempel styr siktbarheten, lagras i en annan databas.

För Firefox finns det en mängd sådana databaser. Här ett utdrag:

Databasen där cookies lagras har filnamnet cookies.sqlite. Det är inte en textfil, utan en Binärfil. Även om det vore en textfil: Där lagras inget cookie och heller inga uppgifter till ett cookie! Många gånger ligger mehrere cookies tillsammans i flera filer. Därav är ett cookie (oftast) spridd över flera filer.

Lagringsskivan kan i Firefox öppnas genom att skriva about:support i adressfältet, trycka på Enter och klicka på knappen "Ordner öppna" (till höger om beskrivningen "Profilordnar")

I den nämnda databasen är det istället de viktigaste informationerna om Cookies som lagrats. Detta inkluderar bland annat:

• Name
• Värde
• Omriken
• Stig
• Livslängd
• Flags wie HTTP yes/no, Sicher yes/no, SameSite yes/no

Ytterligare metainformationer sparas i andra databaser.

Databasen till cookies innehåller exempelvis poster som följande:

Som man lätt kan se är cookies inte textfiler.

Istället gäller det:

En kort utdrag visade: Varje av de få (dataskyddsinformationer) jag tittat på var felaktiga när det gällde att ange vad Cookies är. Märkligt nog vet även leverantörer av samtyckesverktyg inte vad Cookies egentligen är. Som jag visat, är verktygen för samtycke oanvändbara för att skapa webbplatser som uppfyller kraven på dataskydd.

Vem som helst fortfarande hävdar att cookies är textfiler, vill jag gärna ha en förklaring till följande syn från den påstådda cookie-textfilen från Firefox:

Den här uppfattningen visade sig när man öppnade huvudfilen i Firefox cookies-databas med den kraftfulla redigeraren Notepad++

Det är många icke-repräglade tecken som kan ses i en av cookie-databasfilerna. En textfil är enligt Wikipedia (och efter min sundhet) en fil som innehåller "repräglade tecken". Den enda undantaget nämns också på Wikipedia: "Dessa kan delas upp genom stycke- och sidbyte." Ovanstående syns många tecken som inte faller in i någon av dessa kategorier.

Om man ändå skulle kalla sådana filer för textfiler, vore varje fil en textfil. Detta ger litet mening. En fil är dessutom en form av lagring som bestäms av webbläsaren. Ingen vet alla lagringsformer hos alla webbläsare. Universellt rätt är dock att ett cookie är en uppsättning data eller datalagring eller tillståndslagring, oavsett vilken webbläsare som handskas med cookies på så sätt. Detta följer av RFC 6265.

Cookies sparar för övrigt inte heller några filer, utan data. En fil har ett namn, är lagrad i ett från användaren tillgängligt filsystem i en katalog och kan sökas efter via detta filsystem samt vanligtvis läsas och skrivits in i. Datasätten i Cookies uppfyller inte dessa kriterier. Se även den Wikipedia-artikeln om filer. Cookies hanteras snarare på något sätt (hur, är upp till webbläsaren). Jag kan faktiskt själv skriva en webbläsare som hanterar kakorna så att ingen annan än min webbläsare ser de Cookies som webbläsaren hanterar.

Kanske hjälper det vid beslutsfattning att man överväger att dataskyddspolicyn på följande webbplatser klassificerar Cookies som en textfil (senast uppdaterad: 18.01.2021):

• UserCentrics: "En webbläsarcookie är en liten textfil som skickas från en webbplats till datorn eller mobilen, där den sparas av webbläsaren." Även eRecht24 rekommenderar UserCentrics och förklarar cookies i sin integritetspolicy som textfiler.
• Cookiebot: "Cookies är små textfiler som webbsidor använder för att göra användarupplevelsen mer effektiv
• Innehållsbehandlare: „Med cookies rör det sig om små textfiler som lagras på din hårddisk och är kopplade till den webbläsare du använder, och genom vilka vi får vissa uppgifter. Cookies kan inte köra program eller överföra virus till din dator.“ Även Händlerbund, som rekommenderar consent manager, beskriver cookies som textfiler.
• Cookies är små textfiler som lagras på din dator och sparas av din webbläsare ([1])
• En cookie är ett litet datapaket (textfil) som din webbläsare lagrar på ditt enhet efter anvisning av en besökt hemsida för att komma ihåg information om dig, till exempel språkinställningar eller inloggningsuppgifter ([1])

Den som menar att de här inte nämnda leverantörerna av konsent-verktyg är bättre, kan gärna titta på min praktiska testning av lösningar för samtycke. Testresultatet: Alla testade Consent Tools skapar bullshit på webbplatser.

Även på Facebooks hemsida förklaras cookies felaktigt som små textbitar.

En vänlig läsare föreslog att man skulle byta namn på cookies i dataskyddsinformationen. Jag hade ju tidigare föreslagit att kalla en cookie för ett datauppsättning eller informationsbit. En bit är dock snarare liten än stor. Begreppet är således inte alldeles exakt.

Men följande förslag tycks lättare att förstå:

Ett cookie är en information som lagras på din enhet (dator, mobiltelefon etc.)

Är Cookies små? Nej, är de inte. En Cookies kan enligt RFC 6265 innehålla en datamängd på upp till 4096 byte (4 kilobyte). Local Storage är ett webblager som kan innehålla ännu större datamängder. Enligt Wikipedia är storleken beroende av webbläsaren och kan uppgå till flera megabyte. Därmed är Cookies långt ifrån små. Dessutom är även 4 KB personuppgifter vid klassiska Cookies om många gånger mer data än vad jag just nu tänker på för att identifiera en person. Personenamnet har bara några byte. Även en postadress har ofta under 100 byte.

Får cookies också lagras på en webbserver eller ett inbyggt tjänst på en sida? Nej i sig. Bara värden av cookies skickas till webbservern. Om och hur servern sparar dessa värden är upp till serverns egen beslut. Enligt specifikationen RFC6265 finns det inga cookies alls på webbservern. Det är fel att kalla cookies för textfiler. Cookies är inte textfiler, oavsett hur man vrider och vänder på saken. Det blir inte bättre av att upprepa falska påståenden. Även om någon kan programmera sig fram till en viss kunskap inom dataskydd och tror att cookies är textfiler: Cookies är fortfarande inte textfiler. Varför borde kunskaper i programmering och dataskydd spela någon roll här? Det som räknas är fakta och bevis, inte åsikter eller uppfattningar.

Stort lycka med att ändra din egen personuppgiftspolicy.

PS: Även jag har förr i tiden fallit för uttalandena från många som kallar sig dataskyddsexperter och hade felaktigt skrivit av definitionen av cookies. Under en tid har jag istället själv sökt efter sanningen och skriver den, så bra det går, på Dr. GDPR Blog. Ni borde sluta tro att något är rätt bara för att många säger det. Det är ofta tvärtom.

Det handlar inte här om en enkel definition av Cookies. Istället vill jag visa att många i yrkesområden som teknik och digitala dataskyddsvägar vandrar, där de saknar kompetens.