いまさら聞けない、Cookie（クッキー）について調べてみた

こんにちは。まなぶです。
ふだんはシステムエンジニアをしながら、noteの記事を書いています。
前回の記事「人気記事をまねしても伸びない？ SEの私がデータに5回だまされかけて見つけた3つの質問」を読んでくださった方、ありがとうございます。

これまではnoteのデータを調べる記事が続きましたが、今回は少し毛色を変えて、身近なIT技術の話です。「Cookie（クッキー）の使用に同意しますか」——サイトを開くたびに出てくる、あのバナー（画面の上や下に出る、帯状のお知らせ表示のことです）。私はエンジニアを名乗っていますが、正直、「同意すると何が起きるのか」を人に説明できませんでした。お恥ずかしい……。今回はその「わかったつもり」を、自分なりに整理してみます。

Cookieの正体は、ブラウザに預けられる小さなメモ

Cookieは、サイトを見たときに、そのサイトがあなたのブラウザに預ける小さなテキストファイルです。中身は「このIDのユーザーです」「このカートに何が入っています」といった、そのサイトが次に使うための情報。次に同じサイトを開いたとき、ブラウザが預かっていたCookieをサーバーに見せることで、サイト側は「前回の続き」を思い出せます。

私はこれを、「サイトが渡してくる番号札」だとイメージしています。飲食店で順番待ちの番号札をもらうと、店員はあなたの名前を覚えていなくても、番号札を見ればあなたを認識できますよね。それと同じ仕組みです。

ログイン保持からカート、広告まで。使われ方は3つ

Cookieの使われ方は、大きく3つに分けられます。

1つ目は、ログイン状態の保持。一度ログインしたら、ページを移動してもログインしたままなのは、Cookieがあなたを覚えているからです。

2つ目は、買い物カートの中身の保持。ECサイトで商品をカートに入れたまま別のページを見ても、カートの中身が消えないのはこの仕組みです。

3つ目は、広告のトラッキング（＝あなたの行動を追いかけて記録すること）。これが「Cookie＝ちょっと怖いもの」というイメージの正体だと思います。さっき見ていた商品の広告が、別のサイトでも表示された経験がある方は多いはずです。これは、複数のサイトをまたいで同じCookieを読み取る「サードパーティCookie」という仕組みによるもの。一方、いま見ているサイト自身が発行する「ファーストパーティCookie」は、ログイン保持やカートのように、サイトを使ううえで必要なものがほとんどです。

「ファースト（first＝1番目）」「サード（third＝3番目）」という英語も、正体がわかると単純です。いま見ているサイト自身が出すか、そのサイトを間に挟んだ、よその会社が出すか、という「誰が発行者か」の違いだけを表しています。

「同意する」は、この3つ目への同意。オフにするとどうなるか

同意バナーで聞かれているのは、主に3つ目の「広告トラッキング用のCookie」への同意です。ログイン保持やカートのような、サイトを使うために必要なCookieは、同意しなくても止まりません。同意しない、あるいはCookieの利用をブラウザ側でオフにすると、広告が自分向けに表示されなくなったり、サイトによってはログイン状態を毎回聞かれるようになったりします。

このバナーがどのサイトにも出るようになった背景には、EUのGDPR（個人情報保護のルールの一つ。長くなるので別記事にまとめました→「GDPRについて知った気になっていた自分へ」）をはじめとする個人情報保護の規制があります。「サイトが勝手に自分の行動を追いかけている」状態を、利用者が選べるようにする、という考え方です。

正直、私はこれまで「同意する」をほぼ反射的に押していました。でも仕組みを知ったいまは、知らないサイトでは一度「詳細設定」を開いて、広告トラッキング用のCookieだけオフにしてみる、ということを試すようになりました。

Cookieはサイトの数だけ多くの人が毎日目にしているのに、中身は案外知られていないものだと思います。みなさんは、あの「同意する」ボタン、いつも何も考えずに押していますか？　それとも詳細設定を確認するタイプでしょうか。コメントで教えてください。