O que é um cookie? Cookies de navegador explicados

TL;DR: Um cookie é um pequeno dado — geralmente algumas centenas de bytes — que um site guarda no seu navegador para lembrar informações entre requisições. Os cookies fazem funcionar logins, carrinhos de compras e analytics; eles também viabilizaram a era do rastreamento entre sites que os navegadores agora estão encerrando.

Um cookie é um registro de texto do tipo nome-valor que um site define no seu navegador por meio do cabeçalho de resposta HTTP Set-Cookie, e que o navegador anexa automaticamente às requisições seguintes para o mesmo domínio por meio do cabeçalho de requisição Cookie. Os cookies são o mecanismo original de estado em uma web HTTP que, fora isso, não tem estado — eles antecedem o localStorage, o IndexedDB, os service workers e toda alternativa moderna de armazenamento no cliente. Todo cookie que você já encontrou, do “continuar conectado” ao banner de consentimento da UE que pergunta sobre eles, é governado por esse único e pequeno protocolo1.

Como os cookies funcionam

Em resumo: Os cookies são uma camada fina sobre o HTTP. O servidor define um com um cabeçalho de resposta Set-Cookie: name=value; o navegador o guarda em um pote de cookies por domínio; em cada requisição correspondente seguinte, o navegador envia de volta Cookie: name=value. Não há handshake no lado do cliente — o navegador obedece às diretivas do servidor dentro dos limites da RFC 6265.

O mecanismo de cookies é amplamente creditado a Lou Montulli, um engenheiro da Netscape, que o introduziu em 1994 para resolver o “lembrar o carrinho de compras entre páginas” para o cliente de e-commerce MCI Net2. Três décadas depois, o protocolo subjacente está essencialmente inalterado. A especificação formal é a IETF RFC 62651, com uma revisão ativa nos drafts da IETF3 que aperta as fronteiras de segurança e privacidade.

Uma troca mínima de cookie tem este aspecto:

# Resposta do servidor
HTTP/1.1 200 OK
Set-Cookie: sid=abc123; Path=/; HttpOnly; Secure; SameSite=Lax

# Requisição seguinte do cliente para o mesmo site
GET /account HTTP/1.1
Cookie: sid=abc123

O navegador não interpreta o valor abc123 — ele é opaco para o navegador. O servidor é quem o interpreta (normalmente como uma chave de sessão no banco de dados). O trabalho do navegador é decidir quais cookies anexar a cada requisição com base nos atributos Domain, Path, Secure, SameSite e de expiração do cookie.

Ponto-chave: Um cookie é definido pelo servidor, guardado pelo navegador e lido pelo servidor em cada requisição correspondente seguinte. O navegador é o mensageiro, não o autor.

Em resumo: Um cookie tem uma parte obrigatória (name=value) e sete atributos que o servidor pode definir: Domain, Path, Expires, Max-Age, Secure, HttpOnly e SameSite. Cada atributo estreita ou restringe quando o navegador devolve o cookie.

O conjunto completo de atributos definido pela RFC 62651 e pela sua revisão bis3:

Tipos de cookies

Em resumo: Os cookies são classificados em dois eixos ortogonais — tempo de vida (sessão vs persistente) e origem (de origem vs de terceiros). Um único cookie sempre tem um valor em cada eixo. As regulamentações de privacidade e as configurações do navegador então acrescentam um sistema de categorias baseado em uso (estritamente necessário / funcional / analytics / publicidade) que você vê nos banners de consentimento.

Seis categorias comuns das quais usuários e reguladores falam, mapeadas no protocolo subjacente:

CategoriaTempo de vidaOrigemUso típicoPolítica padrão do navegador (2026)
Cookie de sessãoSessãoDe origemSessão de login, carrinho atualPermitido por padrão
Persistente de origemPersistenteDe origem”Lembrar de mim”, preferência de idiomaPermitido por padrão
Estritamente necessárioQualquerDe origemAutenticação, prevenção de fraudeSem necessidade de consentimento (GDPR)
Funcional / preferênciaPersistenteDe origemTema da UI, tamanho da fonteConsentimento recomendado (GDPR)
Analytics de origemPersistenteDe origemAnalytics de origemConsentimento exigido na UE
Publicidade de terceirosPersistenteDe terceirosSegmentação de anúncios, retargeting, IDs entre sitesBloqueado no Safari / Firefox; restrito no Chrome5

O Information Commissioner’s Office (Reino Unido) resume a distinção de forma sucinta6:

Cookies estritamente necessários são aqueles essenciais para fornecer um serviço online solicitado pelo usuário. A maioria dos outros cookies exige consentimento informado antes de serem definidos.

Para que os cookies são usados

Em resumo: No nível do protocolo, um cookie é um armazenamento genérico de nome-valor. Na prática, a web usa cookies para seis tarefas distintas, em ordem mais ou menos decrescente de quanto importam para a experiência do usuário.

Os seis casos de uso dominantes de cookies na web moderna:

  1. Autenticação e gerenciamento de sessão — um cookie de ID de sessão que diz ao servidor a qual usuário logado uma requisição pertence. Quase sempre HttpOnly, Secure, SameSite=Lax ou Strict.
  2. Tokens de proteção CSRF — um valor anti-falsificação aleatório que o servidor verifica em requisições que alteram estado. Geralmente combinado com um campo de formulário oculto.
  3. Carrinho de compras e trabalho inacabado — preservar o conteúdo do carrinho e os rascunhos de formulário entre carregamentos de página. Muitas vezes um único ID apontando para o estado guardado no servidor.
  4. Preferências do usuário — idioma, tema, densidade do layout, configurações de acessibilidade. Pequenos cookies persistentes com Max-Age de meses a anos.
  5. Analytics de origem — identificação de visitantes e cronometragem de sessão para produtos como Plausible, Fathom ou PostHog auto-hospedado (quando configurado com base em cookies).
  6. Publicidade e rastreamento entre sites — cookies de terceiros definidos por redes de anúncios, plataformas de retargeting e de analytics que precisam identificar o mesmo usuário em vários sites. Essa é a categoria que os navegadores estão encerrando ativamente.

Para desenvolvedores, a implicação prática é que a maioria dos cookies que você define deveria ser de origem, limitada ao site atual, marcada como HttpOnly e Secure, e com SameSite=Lax, a menos que você tenha um fluxo específico entre sites que precise de None.

SameSite, HttpOnly, Secure — os três atributos de segurança

Em resumo: Três atributos de cookie — SameSite, HttpOnly e Secure — defendem contra três classes diferentes de ataque. Definir os três corretamente é a melhoria de segurança de cookies de maior alavancagem que um servidor pode fazer.

Esses três atributos formam a base moderna de segurança de cookies. Cada um defende contra uma classe específica de ataque:

A orientação do web.dev do Google é explícita sobre a ordem de prioridade7: “Se você fizer apenas uma coisa hoje, defina SameSite=Lax em todo cookie de sessão.”

Cookies de origem vs de terceiros e a história do fim deles

Em resumo: Um cookie de origem é definido pelo site na barra de URL; um cookie de terceiros é definido por outro domínio cujo código roda naquele site. Os cookies de terceiros construíram a economia moderna de rastreamento por anúncios, e os navegadores modernos estão restringindo ou eliminando-os sistematicamente.

O encerramento dos cookies de terceiros é a mudança mais consequente no ecossistema de cookies desde a criação do protocolo. Situação por navegador em meados de 2026:

Para casos de uso legítimos entre sites (login federado, iframes de checkout embutidos), a alternativa moderna é o CHIPS — Cookies Having Independent Partitioned State8. Um cookie com o atributo Partitioned é guardado em um pote separado por site de nível superior, de modo que o mesmo iframe carregado sob dois sites-pai diferentes não consegue ler o mesmo cookie. O CHIPS preserva o caso de uso legítimo de “lembrar as configurações dentro deste widget” enquanto quebra o fluxo de identificador entre sites.

Se você mantém um serviço que hoje depende de cookies de terceiros, o trabalho imediato é auditar seus cookies para ver quais precisam de visibilidade entre sites (use o CHIPS) versus quais eram rastreamento por design (reconstrua sobre a Privacy Sandbox ou dados de origem).

Como visualizar, editar e apagar cookies

Em resumo: Todo navegador moderno permite que você veja cookies pelas Configurações ou pelas DevTools. Para fluxos repetíveis — depurar bugs de sessão, exportar cookies como fixtures de teste, auditar o que um site guardou — uma extensão Manifest V3 como o CookieVault Editor é a ferramenta padrão. O fluxo de inspeção em oito passos abaixo funciona em todo navegador Chromium.

Referência rápida em oito passos para visualizar e editar cookies no Chrome (Edge, Brave, Opera, Vivaldi e Arc funcionam de forma idêntica; o Firefox é parecido, com um layout de menu diferente):

  1. Abra o site-alvo em uma aba.
  2. Pressione F12 para abrir as DevTools.
  3. Clique na aba Application.
  4. Na barra lateral esquerda, sob Storage, clique em Cookies.
  5. Clique no domínio para ver todos os cookies no escopo.
  6. Dê um duplo-clique em uma célula (Value, Expires, SameSite, etc.) para editá-la no lugar.
  7. Pressione Enter para confirmar a edição; o navegador a aplica imediatamente.
  8. Recarregue a página para enviar o cookie modificado na próxima requisição.

Para apagar cookies em massa, o guia de exclusão de cookies no Chrome cobre três métodos. Para manter logins enquanto limpa rastreadores, veja limpar cookies sem perder o login. Para edições repetíveis em um clique em muitos sites, o CookieVault Editor é a ferramenta open source em Manifest V3 que mantemos.

Equívocos comuns sobre cookies

Uma breve limpeza de afirmações que você pode ter visto na internet e que não são verdadeiras:

Veja também

Footnotes

  1. A especificação atual da IETF é a RFC 6265 — “HTTP State Management Mechanism”, disponível em https://datatracker.ietf.org/doc/html/rfc6265. Esse documento define os cabeçalhos Set-Cookie e Cookie, a semântica dos atributos de cookie, o modelo de armazenamento e as regras de correspondência de cookies. ↩ ↩2 ↩3

  2. A referência de cookies HTTP da Mozilla Developer Network, em https://developer.mozilla.org/en-US/docs/Web/HTTP/Cookies, resume o conjunto moderno de atributos de cookie e as regras de processamento no lado do navegador. A história de origem de 1994 é amplamente citada em fontes de história da web e remonta ao trabalho de Lou Montulli na Netscape em um recurso de “cesta de compras”. ↩

  3. A revisão ativa da especificação de cookies é a “RFC 6265bis” — formalmente draft-ietf-httpbis-rfc6265bis — publicada no grupo de trabalho HTTP da IETF em https://datatracker.ietf.org/doc/draft-ietf-httpbis-rfc6265bis/. Ela aperta as regras de prefixo (__Host-, __Secure-), formaliza o SameSite e refina a semântica de particionamento. ↩ ↩2

  4. Os números de 4 KB por cookie e 50 cookies por domínio são recomendações da RFC 6265 §6.1. Os limites reais dos navegadores são cerca do dobro do mínimo recomendado, mas variam por navegador; a referência da API chrome.cookies da equipe do Chrome, em https://developer.chrome.com/docs/extensions/reference/api/cookies, documenta os limites práticos do Chrome. ↩

  5. A posição do Chrome sobre cookies de terceiros mudou várias vezes. A abordagem atual está documentada sob a Privacy Sandbox em https://developer.chrome.com/docs/privacy-sandbox/. As páginas de status e a documentação de cada API sob essa raiz acompanham as mudanças em andamento. ↩ ↩2

  6. O Information Commissioner’s Office (ICO) do Reino Unido publica orientações práticas sobre cookies e consentimento sob as Privacy and Electronic Communications Regulations (PECR). O ICO reestruturou essa página de orientação várias vezes e a URL é instável; pesquise “ICO PECR cookies guidance” ou comece em https://ico.org.uk e navegue até “For organisations → Online tracking”. A definição de “estritamente necessário” parafraseada no comentário da tabela acima segue a formulação do ICO. ↩

  7. O guia do web.dev do Google “SameSite cookies explained”, em https://web.dev/articles/samesite-cookies-explained, é a referência canônica voltada a profissionais sobre os padrões do SameSite e o histórico de implantação no Chrome. ↩ ↩2

  8. A especificação CHIPS — “Cookies Having Independent Partitioned State” — está documentada em https://developer.chrome.com/docs/privacy-sandbox/chips. O CHIPS permite que um cookie entre sites opte pelo particionamento por site de nível superior, para que sobreviva ao bloqueio de cookies de terceiros sem habilitar o rastreamento entre sites. ↩