الانترنت والشبكات

ما هو الكوكي

الكوكي قطعة نص صغيرة يضعها موقع في متصفحك، ويعيد المتصفح القطعة نفسها في كل طلب لاحق إلى ذلك الموقع؛ ولهذا بالضبط تبقى داخل حسابك بعد تسجيل الدخول مرة واحدة. والكوكي ليس برنامجا ولا يعمل منه شيء على جهازك؛ إنه مجرد بطاقة، وكل الجدل حول من يحق له قراءة تلك البطاقة.

  • الدرس 12 من 12
  • مبتدئ
  • مجاني، دون تسجيل

أربعة كوكيز قد تحملها صفحة عادية

الأرقام تشير إلى دور كل كوكي لا إلى موضع رؤيته؛ فالكوكي لا يُرى على الصفحة.

  • 1

    كوكي الجلسة والدخول

    كوكي موقع وضروري. فبدونه تسجّل الدخول مع كل نقرة، ولا موضع له في شريط الموافقة.

  • 2

    السلة والتفضيلات

    كوكي موقع. واللغة التي اخترتها والرسالة التي أغلقتها تجلسان هنا أيضا، وتذهبان بحذف الكوكيز.

  • 3

    كوكي الإحصاء

    كوكي موقع عادة، لكنه يُكتب بجافاسكريبت لا بترويسة خادم. وكونه كوكي موقع لا يعني أنه غير ضار.

  • 4

    كوكي الطرف الثالث

    من نطاق فيديو مضمّن أو إعلان. وهذا هو الذي يجعل التتبع بين المواقع ممكنا.

وقد لا تحمل صفحة أيا منها. فالصفحة الأولى لهذا الموقع نفسه لا تضع أي كوكي من جهة الخادم لزائر مجهول.

آخر مراجعة: تُراجع الحقائق وأسماء الأدوات في هذا الدرس مقابل مصادرها في هذا التاريخ.

ما الكوكي على وجه الدقة، ولمَ لزم أصلا؟

البروتوكول الذي بُني عليه الويب بلا ذاكرة. فكل طلب غريب لدى الخادم، وحين يجيبه ينساك. ولولا شيء بينهما لاضطررت إلى تسجيل الدخول من جديد كلما نقرت رابطا داخل موقع.

والكوكي هو ذلك الشيء. فالخادم يجيب طلبا بترويسة Set-Cookie ويخزّن المتصفح ذلك النص؛ ومن ثمّ يعيد المتصفح النص نفسه في كل طلب إلى ذلك النطاق. فيقرؤه الخادم ويعرف أنك الشخص نفسه الذي دخل قبل عشر ثوانٍ. وقواعده مكتوبة في RFC 6265 وهي على حالها تقريبا منذ التسعينيات.

وله ثلاثة استعمالات رئيسة أولها أرجح من غيره. حفظ الجلسة، أي البقاء داخل الحساب. وحفظ الحالة، كسلة الشراء واللغة التي اخترتها. والعدّ والتتبع، وهو الجزء الذي صار محل جدل.

ولننهِ هنا سوء فهم شائع: الكوكي ليس فيروسا ولا يمكن أن يكون. فالكوكي نص والنص لا يُنفَّذ. ولا يستطيع موقع بالكوكي أن يقرأ ملفاتك أو يصل إلى كاميرتك. وخطر الكوكي يأتي من موضع آخر: فإن سرق أحد كوكي جلستك أمكنه الدخول بصفتك دون معرفة كلمة مرورك، ولهذا تُبطل المواقع كل الجلسات بعد تغيير كلمة المرور.

ما هو الكوكي؟ من البقاء في الحساب إلى التتبع بين المواقع

ما الفرق بين كوكي الموقع وكوكي الطرف الثالث؟

الفرق ليس تقنيا بل في الملكية. فكوكي الموقع يضعه النطاق نفسه المكتوب في شريط العنوان. أما كوكي الطرف الثالث فيضعه نطاق آخر يزوّد جزءا من تلك الصفحة: فيديو مضمّن، أو زر شبكة اجتماعية، أو إعلان، أو نص برمجي للإحصاء.

وهذا الفرق وحده هو ما يجعل التتبع بين المواقع ممكنا. افترض أن لشركة إعلانات نصا برمجيا على ألف موقع مختلف. فكلما فتحت واحدا من تلك الألف، أعاد متصفحك كوكي تلك الشركة، لأن الكوكي يخص نطاق الشركة نفسها ولا صلة له بالموقع الذي فتحته. والنتيجة أن تلك الشركة تملك قائمة بالمواقع التي تزورها دون أن تكون تعاملت معها قط.

وتقيّد المتصفحات هذا منذ سنين وهي اليوم لا تتصرف تصرفا واحدا. فـفايرفوكس يحفظ كوكي كل موقع في وعاء منفصل لذلك الموقع باسم أطلقه هو، ولسفاري خيار لمنع التتبع بين المواقع. وقد تبدّل هذا الوضع سنة بعد سنة وقد يتبدّل مجددا؛ وبدل تصديق جملة في مقال، افتح صفحة إعدادات الخصوصية في متصفحك أنت وانظر ما المفعّل الآن.

وتمييز ينبغي أن يبقى واضحا: كوكي جلسة موقع تستعمله وكوكي شبكة إعلانات هما تقنيا شيء واحد، ومعنى شيئان مختلفان تماما. فجدل الخصوصية عن الثاني لا عن الأول، وحجب الكوكي جملة يحجب الاثنين معا.

تقنية واحدة، مالكان، معنيان

كوكي الموقع

  • وضعه النطاق نفسه المكتوب في شريط العنوان
  • يُعاد إلى ذلك الموقع وحده
  • الدخول والسلة واللغة وإحصاءات الموقع نفسه
  • لا تقيّده المتصفحات عادة
  • حجبه يعني تعطّل الموقع لا مزيد خصوصية

كوكي الطرف الثالث

  • وضعه نطاق آخر يزوّد جزءا من الصفحة
  • يُعاد في كل موقع يحمل الجزء نفسه
  • الإعلانات وأزرار الشبكات الاجتماعية والفيديو المضمّن
  • تقيّده المتصفحات منذ سنين وهي لا تتصرف تصرفا واحدا
  • حجبه لا يعطّل شيئا عادة

الحد بين الاثنين ليس نظيفا دائما. فقد تعمل خدمة خارجية من نطاق فرعي للموقع نفسه فتُحسب كوكي موقع لدى المتصفح بينما ترسل البيانات إلى تلك الشركة الخارجية.

ماذا يغيّر كوكي واحد من جهة الخادم؟

سنُري هذا بموقعنا نحن، فالمثال الحقيقي أفضل من الشرح المجرد. إن فتحت الصفحة الأولى لـ rgb.ir الآن بوصفك زائرا عاديا، فلن يعطيك الموقع أي كوكي: ليس في جواب الخادم ترويسة Set-Cookie واحدة. ولا يحتاج إليها، لأن زائرا مجهولا ليس لديه ما يُحفَظ.

لكن غياب الكوكي هو ما يقرر ما تناله. ففي إعدادات خادم الويب عندنا سطر واحد ينظر، قبل أن يعمل أي كود PHP، في ترويسة الكوكي في الطلب ويبحث عن أربعة أسماء: كوكي دخول ووردبريس، وكوكي الصفحة المحمية بكلمة مرور، وكوكي من علّق من قبل، وكوكي دور المستخدم الذي تكتبه إضافة التخزين المؤقت. فإن لم يكن أي منها موجودا، أرسل خادم الويب ملفا جاهزا من على القرص ولم يستيقظ PHP أصلا. وإن وُجد أحدها، سُلّم الطلب إلى ووردبريس لتُبنى الصفحة من جديد.

ففارق الميلي ثانية بين زائر ومستخدم داخل حسابه يقع في تلك البطاقة الواحدة. وهذا يفسّر لماذا لا يرى بعض المشكلات إلا المستخدمون الداخلون فيما تفوتك أنت الذي تكون دائما داخل موقعك: فأنت وضيوفك تنالان عمليا صفحتين مختلفتين.

وأمر آخر ينبثق من هنا. فنص إحصاءات غوغل على هذا الموقع نفسه يكتب كوكيه لا بترويسة خادم بل بجافاسكريبت داخل المتصفح، ولأنه يعمل على نطاقنا نحن فهو كوكي موقع. أي أن «كوكي الموقع» وحده لا يعني «كوكي غير ضار»؛ إنه يقول فقط من كتبه.

السؤال الذي يطرحه خادم الويب عندنا قبل كل شيء

هل يحمل الطلب أحد الكوكيز الأربعة

نعم

تُبنى الصفحة من جديد

  • كوكي دخول ووردبريس
  • كوكي الصفحة المحمية بكلمة مرور
  • كوكي من علّق من قبل
  • كوكي دور المستخدم الذي تكتبه إضافة التخزين المؤقت
لا

ملف جاهز من على القرص

  • لا يعمل أي كود PHP
  • لا يصل أي استعلام إلى قاعدة البيانات
  • ولا يضع الجواب أي كوكي كذلك
  • وهو ما يناله كل ضيف للموقع

هذا القرار يخص إعدادات هذا الموقع ولكل موقع قاعدته. والنقطة القابلة للنقل أن غياب الكوكي يقرر بقدر ما يقرر وجوده.

ماذا يفعل حذف الكوكيز بالضبط؟

ثلاثة أشياء لا أكثر. تخرج من كل موقع كنت داخلا فيه. وتختفي التفضيلات الصغيرة التي حفظتها المواقع، كاللغة التي اخترتها وكونك أغلقت رسالة ما. وتفرغ السلة في المواقع التي تحفظها في كوكي، وإن كانت متاجر كثيرة تحفظها على حسابك فلا يضيع شيء.

والآن ثلاثة أشياء لا يفعلها حذف الكوكيز ويظن الناس أنه يفعلها. لا يحذف حسابك ولا يزيل شيئا من خادم الموقع؛ فما خزّنه الموقع عنك باقٍ. ولا يجعلك مجهولا، لأن عنوان الـ IP وخصائص المتصفح وقبل ذلك الحساب الذي ستعود إليه كلها باقية. ولا يفرغ ذاكرة المتصفح المؤقتة؛ فتلك شيء آخر له خيار منفصل في نافذة الإعدادات نفسها.

فمتى ينفع فعلا؟ لصنف واحد من المشكلات أعراضه واضحة: حين تعلق في حلقة تسجيل دخول ويعيدك الموقع دوما إلى صفحة الدخول، وحين يصرّ موقع على معرفتك بحساب قديم، وحين يعطي نموذج خطأ غريبا غير قابل للتفسير في كل مرة. وفي الدعم، حين نرى هذه العلامات الثلاث فهذا أول ما نطلبه.

وتحذير عملي: حذف الكوكيز يخرجك من كل شيء، بما في ذلك مواضع لا تذكر كلمة مرورها. فقبل الضغط على ذلك الزر تأكد أنك تصل إلى بريد الاستعادة. وإن كانت مشكلتك مع موقع واحد فقط، فالنافذة نفسها تتيح حذف كوكيز ذلك النطاق وحده وترك الباقي؛ وهذا الخيار أفضل دائما تقريبا.

ماذا يغيّر شريط الموافقة على الكوكيز فعلا؟

جذره قانون أوروبي لا معيار تقني. فتوجيه الاتحاد الأوروبي للخصوصية الإلكترونية يقول إن وضع شيء على جهاز المستخدم يستلزم موافقة، ويستثني صراحة ما هو ضروري تماما لتقديم الخدمة نفسها التي طلبها المستخدم. ولهذا لا يكون كوكي الدخول في ذلك الشريط ولا حاجة به إليه: فبدونه لا تعمل الخدمة التي طلبتها أصلا.

وفي إيران لا قانون يوجب هذا الشريط. فأكثر الأشرطة التي تراها على المواقع الفارسية إما جاءت مع قالب أجنبي وإما وُضعت لأن الجميع وضعها.

والآن موقف لا يعجب كثيرين. شريط يضع كوكيز التتبع قبل نقرتك ثم يقول إنك بالمتابعة قد وافقت، هو أسوأ من ألا يكون هناك شريط. لأنه فعل الفعل، وادعى فوق ذلك موافقة لم ينلها قط. فإن كنت ستضع شريطا، فإما أن تنتظر النقرة فعلا ولا تحمّل أي نص برمجي غير ضروري حتى تلك اللحظة، وإما ألا تضعه أصلا وأن تكون لديك بدله صفحة سياسة خصوصية واضحة تقول ما الذي تجمعه.

وبوصفنا من ينفّذ هذا على مواقع العملاء، لنسمِّ كلفة خفية: كل شريط موافقة طبقة جافاسكريبت تعمل مع كل تحميل صفحة، وهو عادة من أوائل ما يظهر في تقرير السرعة. فإن لم يكن سيغيّر سلوك الموقع حقا، فأنت لا تبيع كل زائر إلا وزنا زائدا.

المسار السريع مع الذكاء الاصطناعي

الطريقة المعتادة لمعرفة ما يحفظه موقع عنك هي قراءة صفحة سياسة الخصوصية، وهي مكتوبة عادة بعموميات. أما الطريقة السريعة فأن تأخذ القائمة الحقيقية للكوكيز من المتصفح بنفسك ثم تطلب من النموذج اللغوي تصنيف كل منها. والفارق أنك ترى في دقائق ما وضعه الموقع فعلا، لا ما يقوله النص القانوني.

  1. افتح نافذة تصفح خاص وزر ذلك الموقع وحده. فهذا يُخرج كوكيزك السابقة من الصورة وتخرج النتيجة نظيفة.
  2. قبل النقر على أي زر في شريط الموافقة، افتح أدوات المطور وانظر قائمة الكوكيز في قسم التخزين. فما هو موجود الآن وُضع دون موافقتك.
  3. انسخ عمودي الاسم والنطاق ثم انقر «قبول الكل» وانسخ مرة أخرى. والفرق بين القائمتين هو بالضبط ما أطلقته موافقتك.
  4. سلّم القائمتين إلى النموذج واطلب منه وسم كل كوكي بأنه كوكي موقع أو طرف ثالث، وأن يقول أيها وُضع قبل نقرك. ويكفي هنا نموذج سريع رخيص؛ فالعمل تصنيف لا حكم.

وصفة جاهزة للنسخ

دورك محلل خصوصية ويب. اعمل من القائمتين أدناه وحدهما ولا تضف أي كوكي ليس فيهما.

نطاق الموقع الذي فتحته: {النطاق}

قائمة الكوكيز قبل النقر على أي زر في الشريط (الاسم والنطاق):
{القائمة}

قائمة الكوكيز بعد النقر على قبول الكل (الاسم والنطاق):
{القائمة}

ابنِ جدولا بهذه الأعمدة: اسم الكوكي، النطاق، كوكي موقع أم طرف ثالث، موجود قبل النقر أم بعده.
واتخذ قرار كوكي الموقع أو الطرف الثالث بمقارنة نطاق الكوكي بنطاق الموقع الذي كتبته فقط.

وبعد الجدول اكتب ثلاث جمل:
١. كم كوكيا وُضع قبل أي نقرة، وكم منها كوكيز طرف ثالث.
٢. أيتسق ذلك مع شريط موافقة يدّعي أنه لا يضع شيئا قبل الاختيار.
٣. إن لم تستطع تمييز عمل كوكي من اسمه فاكتب غير معروف. ولا تخمّن.

قاعدة: لا تكتب من الذاكرة شيئا عن البيانات التي يجمعها أي كوكي إلا إن كان اسمه مشهورا صراحة، وحتى عندئذ قل إنك تقوله من الذاكرة وإنه يجب تأكيده من وثائق تلك الخدمة.

قبل أن تثق بالناتج: لا تنسخ قيمة الكوكي، بل الاسم والنطاق فقط. فقيمة كوكي الجلسة هي عمليا مفتاح ذلك الحساب، ولصقها في أداة على الإنترنت يعني تسليم الوصول. ولا تعدّ جواب النموذج عن البيانات التي يجمعها كوكي دليلا: فهو يعرف الأسماء المشهورة من الذاكرة ويبني لما عداها شرحا لا يمكن فحصه. وما تناله من هذا العمل حقا حقيقة واحدة صلبة وهي كافية: كم كوكيا وُضع قبل نقرك.

الذكاء الاصطناعي في هذا العمل

في هذا الموضوع يؤدي النموذج اللغوي عملا حسنا وعملا سيئا، وحدهما واضح تماما. الحسن: تصنيف قائمة جمعتها بنفسك، ومقارنة قائمتين، وترجمة نص قانوني إلى لغة الناس. والسيئ: أن يقول ما البيانات التي يجمعها كوكي بعينه. فذلك الجواب يخرج من الذاكرة لأسماء مشهورة قليلة ويُختلق لما عداها.

أدوات تساعد فعلا

  • Gemini يكفي لتصنيف قائمة الكوكيز هذا بعينه، وهنا يتفوق النموذج السريع الرخيص على الغالي، لأن العمل مقارنة نطاقات لا حكم. وصفحة غوغل نفسها تقول إن تطبيق جيميناي يعمل في أكثر من مئتين وثلاثين دولة ومنطقة، وإيران ليست في تلك القائمة.
  • Claude حين تريد مقارنة نص سياسة خصوصية موقع بالقائمة الحقيقية لكوكيزه، وهو عمل قراءة دقيقة لنصين طويلين. وإيران ليست في قائمة الدول المدعومة لدى أنثروبيك، فلا طريق رسمي للتسجيل أو الدفع.
  • Gemini Notebook إن كانت سياسة خصوصية خدمة تمتد عشرات الصفحات، ففَعُّ رفعها والسؤال من داخل تلك الوثيقة خير من قراءة ملخص، لأن الجواب يحيل إلى بنده. ويعمل على حساب غوغل، وإيران ليست ضمن المناطق المتاحة.

اين ينقلب ضدك

خطران، والثاني أخطر من الأول. الأول أن النموذج يبني عن الكوكيز التي لا يعرف أسماءها شرحا لا يمكن فحصه ويبدو واثقا تماما؛ وأنثروبيك نفسها تسمّي هذا الاختراع الواثق هلوسة في وثائقها وتكتب عن تقليله، أي أن الصانع يعدّه ضعفا حقيقيا. والخطر الثاني خطرك أنت لا خطر النموذج: فقيمة كوكي الجلسة هي عمليا مفتاح ذلك الحساب، ومن يملك تلك السلسلة يدخل دون كلمة مرورك. ولصق قائمة كوكيز كاملة بقيمها في أي أداة على الإنترنت هو تسليم للوصول، وصفحة مساعدة غوغل لجيميناي تقول صراحة ألا تُدخل معلومات سرية. أرسل الاسم والنطاق ولا ترسل القيمة أبدا. ولمعرفة شكل الدفع لهذه الأدوات من إيران، انظر دليل الشراء.

المصادر: Anthropic: reduce hallucinations Anthropic: supported countries Google: Gemini Apps privacy and data Google: where Gemini Apps are available

حدود هذه النصيحة

الكوكي ليس السبيل الوحيد لتذكّرك، وهذا الدرس يشرح ذلك السبيل وحده. فللمتصفحات مخازن أخرى لا يفرغها حذف الكوكيز بالضرورة، وثمة طرائق لمعرفة متصفح بلا أي كوكي تتكئ على مجموع خصائص الجهاز؛ وكلاهما يستحق درسا خاصا. وحد آخر عن حال المتصفحات: تعاملها مع كوكي الطرف الثالث يتغير منذ سنوات، وأي جملة نكتبها هنا عن اليوم قد تبلى خلال سنة، فالمرجع النهائي صفحة إعدادات متصفحك لا هذه الصفحة. وعن القانون: ما ورد هنا وصف لقاعدة أوروبية وليس مشورة قانونية؛ فإن كان لموقعك مستخدمون أوروبيون فراجع ذلك مع من هذا عمله.

من عملنا نحن

أمران من موقعنا نحن، وكلاهما قابل للفحص الآن. الأول: الصفحة الأولى لـ rgb.ir لا ترسل أي ترويسة Set-Cookie لزائر مجهول؛ وقد طلبناها اليوم مجددا فجاء الجواب بصفر كوكي. والثاني وهو الأهم: يحمل ملف إعدادات خادم الويب عندنا سطرا شرطيا واحدا يفحص، قبل تنفيذ أي كود PHP، ترويسة الكوكي في الطلب في مواجهة أربعة أسماء، وهي الأربعة نفسها التي ذكرناها في القسم الثالث. فإن لم يوجد أي منها وُجّه الطلب إلى ملف جاهز على القرص وحمل الجواب ترويسة x-fp-cache: HIT-nginx، أي أن ووردبريس لم يعمل أصلا؛ وقد جلبنا الصفحة الأولى بتلك الترويسة نفسها للتو. وإن وُجد أحد تلك الأسماء الأربعة، غيّرت تلك البطاقة الواحدة المسار كله وبُنيت الصفحة من جديد. وقد أخذنا هذا لا من مقال بل من الملف الذي يوجّه طلبك أنت في هذه اللحظة.

اسئلة متابعة حقيقية

هل الكوكي خطر؟

الكوكي نفسه نص ولا يُنفَّذ، فليس فيروسا ولا وصول له إلى ملفاتك أو كاميرتك. والخطران الحقيقيان اثنان: سرقة كوكي الجلسة، أي أن يدخل أحد حسابك دون كلمة مرور، والتتبع بين المواقع وهو شأن خصوصية لا أمن. وللأول، أكبر أثر هو ألا تدخل حسابات مهمة على جهاز وشبكة غريبين.

ماذا يحدث إن حجبت الكوكيز تماما؟

لن تستطيع البقاء داخل أي موقع ولن يُحفظ لك سلة ولا تفضيلات في أي مكان. ولا يكاد أحد يفعل هذا، والأصوب حجب كوكيز الطرف الثالث وحدها، فهو يمسك جانب التتبع ويترك كوكي الدخول سليما. وهذا الخيار في إعدادات الخصوصية في كل متصفح حديث.

هل يحتاج موقعي الفارسي إلى شريط موافقة على الكوكيز؟

لا قانون في إيران يوجبه. وإن كان جمهورك يشمل مستخدمين أوروبيين فالأمر مختلف وعليك مراجعة من عمله القانون. ورأينا: شريط يضع كوكيز تتبع قبل نقر المستخدم أسوأ من ألا يكون هناك شريط، لأنه فعل الفعل وادعى موافقة لم ينلها.

واصل التعلم