O que é cookie de navegador: uso e riscos

Cookie de navegador é um pequeno pedaço de dados que um servidor envia ao seu navegador para guardar e devolver em requisições seguintes, e assim manter estado em um protocolo HTTP sem memória própria. Ele sustenta login, carrinho e preferências, porém também pode alimentar medição e rastreamento quando a finalidade extrapola o essencial.

Você abre a loja, coloca dois itens no carrinho, troca de aba e volta. O site ainda sabe o que você escolheu. Em seguida você fecha o notebook e, no dia seguinte, às vezes continua logado. Esse lembrar não nasce de mágica no endereço da página. Ele nasce, em grande parte, dos cookies do navegador.

Quem nunca leu um aviso de cookies e clicou em aceitar só para ver o conteúdo também já pagou o preço da pressa. Além disso, bloquear tudo sem critério pode derrubar o login ou o pagamento. Por isso vale entender o mecanismo antes de decidir o que manter e o que recusar.

Como o cookie de navegador funciona na prática?#

O navegador recebe um pedaço de texto do site, guarda no dispositivo e devolve esse texto nas próximas visitas ao mesmo escopo permitido. Assim o servidor reconhece continuidade em um protocolo que, sozinho, trata cada pedido como novo. A Mozilla explica o fluxo com os cabeçalhos Set-Cookie na resposta e Cookie na requisição seguinte, no guia Using HTTP cookies.

Quando o login dá certo, o servidor costuma responder com um identificador opaco de sessão. O navegador armazena esse valor e o reenvia ao abrir outra página do mesmo site. O servidor consulta o identificador no banco de dados e monta a página já autenticada. Por outro lado, se o valor for inválido ou expirado, a sessão cai e o site pede login de novo.

O papel dos cookies HTTP no pedido e na resposta#

Os cookies HTTP existem porque o HTTP clássico é sem estado. Sem um mecanismo de memória no cliente, carrinho, idioma e sessão teriam de ser reinventados a cada clique. A norma de referência ainda amplamente citada é a RFC 6265, de abril de 2011, que define os campos Cookie e Set-Cookie e as regras de escopo, validade e envio.

Há um custo escondido. Todo cookie aplicável viaja no cabeçalho das requisições ao domínio correspondente, ou seja, aumenta o tráfego e pode atrasar a página em rede lenta. Por isso a própria RFC recomenda cookies poucos e pequenos. Em outubro de 2026, a leitura técnica dominante ainda trata cerca de 4 KB por cookie como referência prática de capacidade mínima esperada do navegador, medida pelo nome, valor e atributos somados, conforme a seção 6.1 da RFC 6265. Isso não é um teto mágico universal de todos os produtos, porém já basta para entender por que senha, histórico longo ou dados sensíveis não devem morar no cookie.

E se o relógio do aparelho estiver errado? Atributos de expiração absoluta podem se comportar de forma estranha. Por isso muitos times preferem Max-Age em segundos, e a documentação da Mozilla registra que, quando Max-Age e Expires aparecem juntos, Max-Age prevalece.

Na prática, o que eu vejo com mais frequência é o leitor achar que o cookie é o site inteiro guardado no PC, quando o valor costuma ser só uma chave. O estado útil fica no servidor. Se a chave vazar, o risco é sequestro de sessão, não necessariamente o vazamento do conteúdo inteiro da conta, porém o dano já é grave o bastante para tratar o cookie de sessão como segredo operacional.

Quais tipos de cookie de navegador existem?#

Existem várias classificações úteis ao mesmo tempo, e um mesmo cookie pode caber em mais de uma categoria. A Autoridade Nacional de Proteção de Dados organiza categorias por quem gerencia, por necessidade, por finalidade e por tempo de retenção no Guia Orientativo Cookies e proteção de dados pessoais, publicado em outubro de 2022 e ainda referência oficial consultada em 2026.

Cookies primários, cookies de terceiros, sessão e persistência#

Cookies próprios ou primários são definidos pelo site que você está visitando. Cookies de terceiros vêm de outro domínio embutido na página, por exemplo um anúncio ou um mapa em iframe. Em termos simples, o cookie de terceiro nasce fora do site que aparece na barra de endereço e costuma servir a medição ou publicidade entre sites.

Quanto ao tempo, cookies de sessão ou temporários costumam sumir ao encerrar a sessão do navegador, enquanto cookies persistentes ficam pelo prazo definido pelo controlador, de minutos a anos, segundo o mesmo guia da ANPD. A Mozilla reforça o critério técnico. Sem Max-Age nem Expires, o cookie é de sessão. Com um desses atributos, ele é permanente no sentido de sobreviver ao fechamento do navegador até a data ou idade máxima.

Há uma armadilha. Alguns navegadores restauram abas e, com isso, podem restaurar cookies de sessão como se o fechamento não tivesse ocorrido. Assim, sessão no nome não significa garantia absoluta de sumiço imediato. Além disso, cookie persistente longo para publicidade amplia a janela de rastreamento, enquanto cookie persistente curto para lembrar o idioma tem impacto bem menor.

Necessários, analíticos, de funcionalidade e de publicidade#

Cookies necessários sustentam funções básicas sem as quais o serviço pedido não roda. Cookies não necessários cobrem medição, personalização ampla ou anúncio, e sua desativação não deveria impedir o uso principal do site, conforme a ANPD. Cookies analíticos ou de desempenho medem uso e erros. Cookies de funcionalidade lembram preferências como idioma. Cookies de publicidade coletam hábitos para perfil e anúncio personalizado.

Um exemplo concreto ajuda. Você entra em um portal de notícias. Um cookie próprio de sessão mantém o tema escuro. Um cookie analítico conta páginas vistas. Um cookie de publicidade de terceiro tenta reconhecer você em outros sites da rede. O primeiro costuma ser aceitável como parte do serviço. Os outros pedem transparência e, em muitos casos, consentimento específico.

Se fosse comigo, eu separaria mentalmente o cookie que faz o site funcionar do cookie que me observa entre sites. Aceitar o primeiro sem ler o banner é compreensível. Aceitar o segundo sem ler a finalidade é exatamente o hábito que a ANPD critica quando o banner só oferece aceito e esconde a recusa.

Para que o cookie de navegador serve e onde ele atrapalha?#

Serve principalmente a três famílias de uso descritas pela Mozilla. Gestão de sessão, personalização e rastreamento. Login, carrinho e progresso em formulário longo entram na primeira. Idioma e layout entram na segunda. Análise de audiência e publicidade comportamental entram na terceira, com risco maior de perfilamento.

O benefício é real. Sem algum mecanismo de estado, você digitaria senha a cada clique e perderia o carrinho ao mudar de página. No entanto o custo acompanha o benefício. Cookie demais deixa o cabeçalho pesado. Cookie com dado sensível no valor amplia o dano se houver vazamento. Cookie de terceiros amplia o mapa de quem observa sua navegação.

Quando o cookie deixa de ser a melhor ferramenta#

Para guardar dados só no aparelho, sem reenviá-los a cada pedido, as APIs modernas de armazenamento no cliente são em geral mais adequadas. A Mozilla aponta Web Storage e IndexedDB como alternativas quando o objetivo é armazenamento local, não estado compartilhado com o servidor. Ou seja, cookie não é HD do site. É canal de continuidade entre navegador e servidor.

E se o site usar uma API moderna com tokens? O cookie continua comum em sessões web clássicas, porém não é o único desenho possível. Em qualquer desenho, o segredo da sessão precisa de proteção equivalente. Trocar o nome do mecanismo não remove XSS, CSRF nem sequestro de conta.

O erro que mais custa caro aqui é tratar todo cookie como igualmente inofensivo porque todo mundo usa. Cookie de sessão mal protegido vale mais para um atacante do que mil preferências de tema. Cookie de publicidade sem escolha clara vale mais para o mercado de dados do que para a sua experiência.

Como o cookie de navegador se relaciona com privacidade e LGPD?#

Quando o cookie trata dado pessoal, entra o regime da Lei nº 13.709/2018, a LGPD. A lei exige hipótese legal, finalidade específica, necessidade e transparência. A ANPD, no guia de outubro de 2022, aplica esses princípios ao uso de cookies e outras tecnologias de rastreamento online.

Consentimento, quando for a base, precisa ser livre, informado e inequívoco. Banner só com aceito, cookies não necessários já ligados e finalidades genéricas são práticas que a própria ANPD apontou como problemáticas em orientação sobre o portal Gov.br em 2022. Para cookies estritamente necessários, o guia discute hipóteses como legítimo interesse. Para publicidade comportamental, o consentimento costuma ser o caminho adequado. Em qualquer caso, o titular tem direitos do art. 18 da LGPD, inclusive acesso, correção, eliminação em hipóteses legais e revogação do consentimento.

O que o leitor pode exigir do site#

Você pode exigir finalidade clara por categoria, opção de rejeitar o que não é necessário, e um mecanismo próprio do site para gerenciar preferências, não só a dica de desative no navegador. A ANPD trata o controle pelo navegador como complementar. Além disso, a coleta deve ficar no mínimo necessário. Se o aviso fala só em audiência, reutilizar o mesmo dado para perfil publicitário sem base adequada fere finalidade e adequação.

Enquanto isso, o CERT.br, na cartilha de privacidade, recomenda limitar cookies de terceiros e, nos sites que permitem escolha, autorizar só o essencial. A orientação aparece no fascículo Privacidade da Cartilha de Segurança para Internet. Isso não substitui a obrigação do controlador, porém fortalece sua postura como titular.

Muita gente acha que limpar cookies uma vez por mês resolve a LGPD sozinha, e quase sempre está enganada, porque a obrigação principal é do site que coleta. Limpeza ajuda no seu aparelho. Não apaga o histórico já consolidado em bases de terceiros nem valida um banner ilegal.

Como reduzir risco de segurança com cookie de navegador?#

O cookie de sessão é um alvo clássico. Quem o rouba pode agir como se fosse você até a sessão cair. A OWASP, na Session Management Cheat Sheet, recomenda atributos defensivos. Secure manda o cookie só em HTTPS. HttpOnly impede leitura por JavaScript no document.cookie. SameSite com Strict ou Lax limita envio em pedidos cross-site e funciona como defesa em profundidade contra CSRF, sem substituir token CSRF quando o risco exige.

Prefixos __Host- e __Secure- reforçam regras no próprio nome do cookie. __Host- exige Secure, Path=/ e ausência de Domain, o que reduz falsificação por subdomínio inseguro. Isso importa se o site convive com subdomínios legados ou conteúdo de usuário em host irmão.

O que o usuário comum consegue fazer amanhã#

Use HTTPS, desconfie de rede aberta sem proteção adicional e ative autenticação de dois fatores nas contas importantes. Assim, mesmo com sessão exposta, o atacante enfrenta outro fator. Por outro lado, 2FA não apaga o valor de um cookie já capturado até a invalidação da sessão. Por isso sites sérios regeneram sessão no login e invalidam sessões antigas em troca de senha.

E se você precisar de cookie de terceiros para um widget de pagamento embutido? Às vezes o fluxo exige contexto cross-site com SameSite=None e Secure. Nesse caso o benefício operacional vem com risco maior de rastreamento colateral. Prefira fluxos de pagamento no domínio principal quando existirem, e revise permissões do banner com calma.

No dia a dia de quem opera site, cookie de sessão sem HttpOnly e sem Secure ainda aparece em auditorias básicas. O leitor leigo não configura esses flags, porém pode escolher serviços que explicam a política com clareza e oferecem revogação real. Também ajuda combinar senha forte com criptografia de transporte HTTPS, porque cookie Secure sem TLS bem configurado perde o sentido.

Como gerenciar cookies do navegador no dia a dia?#

Comece pelo banner do site. Recuse categorias não necessárias quando a interface permitir. Em seguida abra as configurações do navegador e bloqueie cookies de terceiros se a sua prioridade for privacidade. O CERT.br recomenda exatamente esse tipo de limite, junto com limpeza periódica de dados de sites e uso eventual de navegação anônima.

Navegação anônima reduz rastro local depois que a janela fecha, porém não torna você invisível ao site durante a visita nem ao provedor de rede. Além disso, alguns logins e carrinhos quebram sem cookies. Por isso o equilíbrio saudável para a maioria é manter cookies necessários do site em que você confia e cortar o excesso de terceiros.

Sinais de que a configuração passou do ponto#

Se todo site pede login a cada clique, se o carrinho some a cada atualização ou se um pagamento embutido falha só no seu aparelho, revise o bloqueio. Pode ser extensão agressiva, bloqueio total de cookies ou perfil do navegador muito restritivo. Nesses casos, liberar cookies próprios daquele domínio e manter o bloqueio de terceiros costuma restaurar o essencial com menos exposição.

Quem chega com pressa costuma aceitar tudo no banner e depois culpar a internet pelo anúncio que o segue. O caminho mais estável é o contrário. Recusar o não essencial primeiro, liberar pontualmente o que quebra função, e revisar de tempos em tempos as permissões salvas no navegador.

Termos relacionados#

• autenticação de dois fatores (2FA) reduz o impacto de uma sessão roubada porque o atacante ainda enfrenta outro fator.
• criptografia em trânsito (HTTPS) é pré-requisito para o atributo Secure fazer sentido no cookie.
• API (interface de programação de aplicações) aparece quando o site troca cookie clássico por outros mecanismos de sessão ou integra widgets de terceiros.
• banco de dados costuma guardar o estado real da sessão enquanto o cookie só carrega o identificador.

Perguntas frequentes sobre cookie de navegador#

Antes das respostas curtas, vale situar as dúvidas que mais aparecem na prática. As pessoas confundem cookie com vírus, misturam privacidade com segurança e querem saber se apagar tudo resolve. As perguntas abaixo cobrem definição, risco, LGPD e gestão no aparelho, sem prometer proteção total só com um clique.

O que é cookie de navegador na prática do usuário?#

Na prática do usuário, cookie de navegador é a memória curta que o site deixa no seu programa de internet para reconhecer continuidade entre cliques e visitas. Ele pode guardar um identificador de sessão, uma preferência de idioma ou um sinal usado por ferramentas de medição. Sem ele, muitos logins e carrinhos simplesmente não funcionam.

Cookie de navegador é vírus ou malware?#

Não. Cookie é um mecanismo padrão da web. O risco vem do uso abusivo, da configuração fraca ou do roubo do valor da sessão, não de o arquivo infectar o sistema como um malware clássico. Ainda assim, cookie mal usado pode expor privacidade e conta.

Apagar cookies resolve meu problema de privacidade?#

Ajuda a limpar o que está no seu aparelho e derruba sessões locais, porém não apaga automaticamente cópias já processadas por controladores e operadores. Também não substitui um banner com recusa real de cookies não necessários. Use limpeza como hábito complementar, não como única defesa.

Posso navegar sem nenhum cookie?#

Em teoria você bloqueia quase tudo, porém vários serviços essenciais quebram. O caminho mais realista para a maioria é permitir cookies necessários do site visitado e restringir cookies de terceiros. Avalie caso a caso quando um fluxo legítimo, como pagamento, exigir exceção temporária.

Qual a diferença entre cookies de sessão e cookies persistentes?#

Cookies de sessão tendem a durar só enquanto a sessão do navegador existe, salvo restauração de abas. Cookies persistentes ficam até a data ou o Max-Age definidos pelo site. Persistência longa para rastreamento pesa mais na privacidade do que persistência curta para lembrar um idioma.

Cookie de terceiros ainda importa em 2026?#

Sim, porque muitos sites ainda dependem de contexto cross-site para anúncio, analítica ou widgets embutidos, e porque navegadores e políticas continuam em transição. Mesmo com restrições crescentes, o leitor ainda se beneficia ao bloquear o que for opcional e ao ler a finalidade antes de consentir.

Conclusão#

Para a maioria das pessoas, o caminho sensato é aceitar o cookie que faz o site funcionar e recusar o que só serve a perfilamento amplo. Privacidade e conveniência puxam lados opostos, porém não exigem extremos. Bloquear tudo e viver em atrito permanente costuma durar pouco. Aceitar tudo por preguiça dura anos no aparelho errado.

A resposta muda quando você opera o site, não só quando visita. Aí o dever cresce. Base legal, finalidade específica, atributos de segurança e prazo curto deixam de ser detalhe de engenharia e viram proteção do titular. No papel de leitor, o primeiro passo concreto é simples. Na próxima tela de cookies, recuse o não necessário, depois libere só o que a função essencial realmente pedir.

Este texto sobre cookie de navegador tem caráter informativo e geral. Não constitui consulta jurídica, orientação de conformidade à LGPD nem parecer técnico personalizado sobre o seu site ou o seu caso. Hipóteses legais, prazos e deveres dependem dos fatos e do desenho de cada tratamento. Em dúvida sobre adequação ou direitos do titular, procure profissional habilitado ou os canais oficiais da Autoridade Nacional de Proteção de Dados.