"Cookie" är även det engelskspråkiga ordet för vissa typer av kex och kakor.

Cookie

Liten textbaserad datafil som en webbserver kan be att få spara i webbplatsbesökarens dator 

Under­klass till	data
Del av	• webben  • webbplats
Uppkallad efter	småkaka
Upp­täc­ka­re eller upp­fin­na­re	Lou Montulli
Har del(ar)	zombie cookie, supercookie

En webbkaka^[1], kakfil eller kaka^[2], ofta benämnd cookie^[3], är en liten datafil som en webbserver sparar i en webbplatsbesökares dator. Genom att kakans innehåll skickas tillbaka med varje förfrågan till webbplatsen är det möjligt för servern att hålla reda på besökarens preferenser eller identitet (exempelvis om personen har loggat in). Syftet kan vara att användaren inte ska behöva ange språkval och andra inställningar eller logga in på nytt för varje besök, att ge ägaren av webbplatsen bättre statistik över användarnas beteende och att användaren ska få individualiserad reklam baserad på tidigare sökningar och beteende under e-handel.

Kakorna kan innehålla information i klartext (till exempel preferenser: språk=sv), men ofta krypteras innehållet i kakan, så att användaren inte kan veta vilken information den innehåller. Ofta innehåller kakan endast en nyckel till en databaspost på servern, varvid användaren inte har någon kontroll över hur mycket information som lagras.

I kakan kan en tidpunkt efter vilken kakan inte längre är giltig anges. Då sparas kakan (beroende på webbläsarens inställningar) på datorns hårddisk, för att kunna returneras också senare. I annat fall lagras kakorna tillfälligt endast i datorns primärminne tills webbläsaren stängs av. Den senare typens kakor kallas session cookies eftersom de används för en enskild http-session, och inte för att lagra information om en användare mellan sessionerna. En webbläsare kan ställas in så att den automatiskt låter bli att lagra kakor, eller att användaren informeras varje gång en webbplats begär att få lagra en kaka. Användaren kan i sin webbläsare radera kakor som lagrats tidigare.

Inledningsvis så hade webbläsare inget minne vilket snart ställde till problem i takt med att webben utvecklades. Programmeraren Lou Montulli kom 1994 med idén att föra över så kallade “magic cookies” (magiska kakor), som var ett datapaket som användes av Unix-programmerare, även till webbläsaren Netscape. Han kallade webbversionen av de magiska kakorna enbart för cookies. Kakorna bestod av liten textfil som kunde komma ihåg vad du gjort på en webbplats. Lou Montulli sökte patent för sin teknologi 1995. Montulli ligger även bakom uppfinningar som blinkande text och animerade GIF-filer.^[4]

Genom kakorna kan man följa en enskild besökare antingen under en session eller, med hjälp av kakor som lagras, under en längre tid. Detta utnyttjas ofta för förbättrad statistik och ibland för att förbättra webbplatsens användbarhet, men kan användas också för att skapa en bild av enskilda besökares beteende.

Om kakorna skickas med innehåll som hämtas från en annan webbserver, till exempel reklam, kan innehavaren av den andra servern på samma sätt följa användaren. Genom att namnge bilderna olika på olika webbplatser kan innehavaren av denna andra server följa personer allteftersom de besöker olika webbplatser och till exempel lägga in reklam enligt vilken typ av användare personen klassificerats som. På så sätt kan man registrera intressen och företag kan sälja informationen så att reklam på många sajter anpassas till personerna. Detta kan också kopplas till e-postadresser som används för inloggning, och därmed kopplas till identifierbara personer. Det kan läcka ut till medier som kan redovisa kändisars surfvanor.

Kakorna kan också innehålla information om enskilda preferenser, till exempel vad gäller språk och textstorlek. Ofta kan dessa preferenser väljas direkt i webbläsarens inställningar utan kakor, men många webbplatser väljer att förutsätta kakor istället för att stöda den i webbläsaren inbyggda funktionaliteten. Mer avancerade val, specifika för en viss webbplats, kan däremot vara svåra att möjliggöra utan kakor.

Inte minst blir e-handel problematisk utan kakor, eftersom det är viktigt att hålla reda på vem som beställer vad.

I Europeiska Unionen reglerades användningen av webbkakor genom direktivet om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation; 2002/58/EG) av den 12 juli 2002. Då direktivet implementerats blev det förbjudet att lagra information på användares datorer utan deras medgivande, som måste ges klar och tydlig information om ändamålet.^[5]

Enligt den svenska lagen om elektronisk kommunikation (LEK; SFS 2003:389) från den 25 juli 2003, skall alla som besöker svenska webbsidor informeras om vad kakor används till och ges möjlighet att vägra sådan användning (opt-out). Lagen trädde i kraft den 25 juli 2003.^[6] Genom lagen implementerades direktivet i Sverige.

Dataskyddsförordningen (GDPR) och dess föregångare personuppgiftslagen räknar webbkakor som personuppgift om de kan användas för att identifiera personen. GDPR kräver vid icke-nödvändiga webbkakor samtycke (opt-in).

Webbkakor som används för att webbplatser ska kunna utbyta information mellan varandra om sina användares beteende, exempelvis för att individualisera reklam baserat på sökningar och köp, kan upplevas som integritetskränkande. Sådana webbkakor beskrivs ofta som en form av adware, och vissa säkerhetsprogramvaror kan varna för sådan adware, även om de i egentlig mening inte är skadlig programvara.

Kakor är inte skadlig programvara. De är inte avsedda att tolkas av webbläsaren, utan av webbservern, och risken att webbläsaren skulle köra programkod gömd i dem är därmed liten. Det har ändå förekommit fel som möjliggjort sådan användning.

Tredjepartskakor innebär att det inte bara är sidan som besöks som sparar information utan även annonsörer på sidan, inte sällan utan sidägarens aktiva godkännande. Det gör att annonsören lär känna användarens beteende på nätet och därför kan kartlägga vilka budskap vederbörande kan tänkas vara intresserad av.^[4]

Med hjälp av kakor som hör ihop med innehåll från en webbplats annan än den som egentligen besöks (ofta bilder, ibland så små – 1 pixel – att de inte syns, eller transparenta) kan en användaridentitet på en webbplats kopplas ihop med samma användaridentitet vid besök på en annan webbplats. Det betyder att information om identiteten kan utnyttjas också vid besök på webbplatser där användaren tror sig vara anonym. En del webbläsare ger möjlighet att hindra laddande av bilder från tredjepartsservrar för att trygga anonymiteten i dessa situationer.

Stänger man av bildvisningen så ser man platshållare för ev. dolda bilder. Att markera allt kan också avslöja även annat som på olika sätt är dolt.

Kakorna visar på webbplatser man besökt. Om andra kommer åt kakorna kan de i vissa fall logga in på användarens privata konton på webbplatser. Kakor som lagras på svenska politikers och myndigheters datorer är offentliga och kan begäras ut.^[7] Det har varit skandaler där media avslöjat olämpliga webbplatser som politiker besökt på sin tjänstedator genom att titta i webbläsarens historik, och möjligen även i kakor. Det kan dock mycket väl vara så att sådana webbplatser inte besökts med vilja, utan att det varit en annons som funnits på en oskyldig webbplats, eller att ett klick gjorts av misstag.

Att ändra inställningar för webbkakor kan vara ett sätt att skydda sin digitala integritet på. En undersökning gjord av Internetstiftelsen 2021 visade dock att 4 av 10 svenska internetanvändare inte kunde ändra sina inställningar för webbkakor på egen hand.^[8]

• en:Do Not Track