{"id":10336,"date":"2026-09-02T18:15:00","date_gmt":"2026-09-02T16:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=10336"},"modified":"2026-10-09T23:06:13","modified_gmt":"2026-10-09T21:06:13","slug":"czas-zycia-ciasteczka-trzy-limity-przegladarek-i-jak-sposob-jego-ustawienia","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/digital-marketing-pl\/czas-zycia-ciasteczka-trzy-limity-przegladarek-i-jak-sposob-jego-ustawienia\/","title":{"rendered":"Czas \u017cycia ciasteczka: trzy limity przegl\u0105darek i jak spos\u00f3b jego ustawienia je zmienia"},"content":{"rendered":"

Nag\u0142\u00f3wek ciasteczka to pro\u015bba, a nie polecenie. Max-Age=63072000<\/code> prosi o dwa lata, a to, co przegl\u0105darka przyzna, zale\u017cy od czego\u015b, czego w nag\u0142\u00f3wku w og\u00f3le nie ma: od tego, jak ciasteczko powsta\u0142o. Ten sam wiersz daje raz dwa lata, a raz siedem dni, i nic w odpowiedzi nie m\u00f3wi, kt\u00f3ry przypadek zachodzi.<\/p>\n

R\u00f3\u017cnica si\u0119ga dalej ni\u017c porz\u0105dek. Powracaj\u0105cy odwiedzaj\u0105cy powraca tylko tak d\u0142ugo, jak istnieje ciasteczko, kt\u00f3re go rozpoznaje; gdy zniknie, liczy si\u0119 jako nowy, a ka\u017cde okno d\u0142u\u017csze ni\u017c \u017cycie ciasteczka liczy na danych, kt\u00f3rych ju\u017c nie ma.<\/p>\n

\n\"O\u015b
Ten sam nag\u0142\u00f3wek, trzy wyniki. To, kt\u00f3ry obowi\u0105zuje, rozstrzyga si\u0119, zanim nag\u0142\u00f3wek zostanie zapisany.<\/figcaption><\/figure>\n

Trzy obci\u0119cia<\/h2>\n

Safari skraca ka\u017cde ciasteczko zapisane przez document.cookie<\/code> do siedmiu dni. To regu\u0142a o najwi\u0119kszym skutku praktycznym, bo wi\u0119kszo\u015b\u0107 ciasteczek pomiarowych powstaje w\u0142a\u015bnie tak – przez tag dzia\u0142aj\u0105cy w stronie.<\/p>\n

Te same siedem dni Safari stosuje do ciasteczek przychodz\u0105cych w odpowiedzi HTTP z hosta, kt\u00f3ry przez CNAME rozwi\u0105zuje si\u0119 gdzie indziej. Chodzi o uk\u0142ad, w kt\u00f3rym subdomena witryny wskazuje na dostawc\u0119 pomiar\u00f3w; skutkiem jest to, \u017ce poprawnie ustawione ciasteczko w\u0142asne traktowane jest jak obce.<\/p>\n

Chrome i Firefox obcinaj\u0105 przy 400 dniach. Ta liczba rzadko boli – le\u017cy powy\u017cej ka\u017cdego rozs\u0105dnego okna pomiarowego – ale po cichu ko\u0144czy dwuletnie ciasteczko, kt\u00f3re tkwi w szablonie tagu od 2018 roku.<\/p>\n

Dlaczego rozstrzyga droga, a nie atrybut<\/h2>\n

Dwa ciasteczka o identycznych atrybutach mog\u0105 mie\u0107 r\u00f3\u017cny czas \u017cycia, a jedyn\u0105 r\u00f3\u017cnic\u0105 jest to, kto je zapisa\u0142. Ciasteczko ustawione przez skrypt w stronie zostaje skr\u00f3cone; to samo ciasteczko w odpowiedzi w\u0142asnego serwera nie.<\/p>\n

Dlatego przeniesienie ciasteczka do odpowiedzi jest najskuteczniejsz\u0105 pojedyncz\u0105 zmian\u0105: kosztuje jeden punkt ko\u0144cowy na w\u0142asnej domenie i stanowi r\u00f3\u017cnic\u0119 mi\u0119dzy tygodniem rozpoznawania a rokiem. Tag wtedy ciasteczko czyta, zamiast je zapisywa\u0107.<\/p>\n

Przenosiny maj\u0105 drugi skutek wart wzmianki: ciasteczko zapisane w odpowiedzi mo\u017ce nie\u015b\u0107 HttpOnly<\/code>, a ciasteczka z HttpOnly<\/code> nie odczyta \u017caden skrypt strony – tak\u017ce \u017caden z tych, kt\u00f3rych nikt tam \u015bwiadomie nie umie\u015bci\u0142.<\/p>\n

Co zmienia w tym CNAME<\/h2>\n

Subdomena wskazuj\u0105ca na dostawc\u0119 wygl\u0105da w pasku adresu na w\u0142asn\u0105. Przegl\u0105darka mo\u017ce jednak sprawdzi\u0107 \u0142a\u0144cuch rozwi\u0105zywania nazw DNS i zobaczy\u0107, \u017ce host prowadzi gdzie indziej. Na tej informacji opiera si\u0119 ochrona przed CNAME-cloaking.<\/p>\n

Skutek warto zaplanowa\u0107, zamiast go odkrywa\u0107: uk\u0142ad zbudowany po to, by uciec przed ograniczeniami dla podmiot\u00f3w trzecich, dziedziczy w Safari obci\u0119cie do siedmiu dni, a w zamian zyskuje subdomen\u0119, kt\u00f3rej awaria zabiera ze sob\u0105 ca\u0142y pomiar. Gdy punkt ko\u0144cowy dzia\u0142a na w\u0142asnej infrastrukturze, nie zachodzi ani jedno, ani drugie.<\/p>\n

Atrybuty, na kt\u00f3rych ciasteczko przepada<\/h2>\n\n\n\n\n\n\n\n\n\n
Zapisane tak<\/th>\nCo si\u0119 dzieje<\/th>\n<\/tr>\n<\/thead>\n
SameSite=None<\/code> bez Secure<\/code><\/td>\nOdrzucane wprost przez ka\u017cd\u0105 bie\u017c\u0105c\u0105 przegl\u0105dark\u0119 – ciasteczko nigdy nie zostaje zapisane.<\/td>\n<\/tr>\n
Zupe\u0142ny brak SameSite<\/code><\/td>\nTraktowane jak Lax<\/code>, ciasteczka brakuje przy zapytaniach z obcych witryn.<\/td>\n<\/tr>\n
__Host-<\/code> z Domain<\/code><\/td>\nOdrzucone: przedrostek zabrania Domain i wymaga Secure oraz Path=\/.<\/td>\n<\/tr>\n
Nazwa i warto\u015b\u0107 powy\u017cej 4096 bajt\u00f3w<\/td>\nOdrzucane bez s\u0142owa – tak przestaje dociera\u0107 rozro\u015bni\u0119ty ci\u0105g zgody.<\/td>\n<\/tr>\n
Max-Age<\/code> i Expires<\/code> razem<\/td>\nWygrywa Max-Age. Expires jest tylko dla przegl\u0105darek, kt\u00f3rych nikt ju\u017c nie ma.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wszystkie przepadaj\u0105 w ten sam spos\u00f3b: odpowied\u017a jest w porz\u0105dku, a ciasteczka po prostu potem nie ma. Jedyn\u0105 wiarygodn\u0105 kontrol\u0105 jest spojrzenie na to, co przegl\u0105darka zapisa\u0142a, a nie na to, co zosta\u0142o wys\u0142ane.<\/p>\n

Co z tego wynika dla pomiaru<\/h2>\n

Siedmiodniowe ciasteczko zamienia odwiedzaj\u0105cego wracaj\u0105cego po o\u015bmiu dniach w nowego. W raporcie wida\u0107 to jako udzia\u0142 powracaj\u0105cych ni\u017cszy w Safari ni\u017c wsz\u0119dzie indziej i jako \u015bcie\u017cki konwersji kr\u00f3tsze ni\u017c cykl sprzeda\u017cy – nie dlatego, \u017ce podr\u00f3\u017c by\u0142a kr\u00f3tka, lecz dlatego, \u017ce jej wcze\u015bniejsza cz\u0119\u015b\u0107 ju\u017c do niej nie nale\u017cy.<\/p>\n

Tam, gdzie ciasteczka nie da si\u0119 wyd\u0142u\u017cy\u0107, uczciw\u0105 odpowiedzi\u0105 jest skr\u00f3cenie okna, a nie dalsze podawanie takiego, kt\u00f3rego dane nie ud\u017awign\u0105. Trzydziestodniowe okno atrybucji nad siedmiodniowym ciasteczkiem opisuje okres, kt\u00f3rego przegl\u0105darka nie pami\u0119ta, a ka\u017cda wyprowadzona z niego liczba dziedziczy t\u0119 luk\u0119.<\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Czy ciasteczko zapisane przez skrypt przed\u0142u\u017ca si\u0119, gdy tag zapisuje je na nowo przy ka\u017cdej wizycie?<\/h3>\n

Tak, ale tylko do pierwszej d\u0142u\u017cszej przerwy. Ka\u017cdy zapis przez document.cookie ustawia w Safari nowy termin siedmiu dni, liczony od tej chwili. Odwiedzaj\u0105cy, kt\u00f3ry wraca w ci\u0105gu siedmiu dni, pozostaje wi\u0119c rozpoznany, i to dowolnie d\u0142ugo; kto nie pojawi si\u0119 przez osiem dni, wraca jako nowy, tak jak opisuje artyku\u0142.<\/p>\n

Czy wystarczy podpi\u0105\u0107 subdomen\u0119 do w\u0142asnego punktu ko\u0144cowego pomiaru rekordem A zamiast CNAME?<\/h3>\n

Niekoniecznie. Od Safari 16.4 WebKit sprawdza opr\u00f3cz \u0142a\u0144cucha CNAME tak\u017ce adres IP: je\u015bli serwer odpowiadaj\u0105cy na subdomenie le\u017cy w wyra\u017anie innym zakresie adres\u00f3w ni\u017c sama witryna, Safari r\u00f3wnie\u017c skraca ciasteczka z jego odpowiedzi do siedmiu dni. Rekord A wskazuj\u0105cy na serwer u dostawcy chmury, podczas gdy g\u0142\u00f3wna witryna dzia\u0142a zupe\u0142nie gdzie indziej, omija wi\u0119c regu\u0142\u0119 CNAME, a mimo to trafia na to samo obci\u0119cie.<\/p>\n

\u201eW\u0142asna infrastruktura\u201d w rozumieniu artyku\u0142u oznacza, \u017ce punkt ko\u0144cowy odpowiada z tego samego zakresu adres\u00f3w co witryna, na przyk\u0142ad gdy oba znajduj\u0105 si\u0119 za tym samym serwerem lub t\u0105 sam\u0105 sieci\u0105 po\u015brednicz\u0105c\u0105. Drug\u0105 mo\u017cliwo\u015bci\u0105 jest punkt ko\u0144cowy pod \u015bcie\u017ck\u0105 g\u0142\u00f3wnej domeny, kt\u00f3ra przekazuje \u017c\u0105danie dalej wewn\u0119trznie. Wynik sprawdza si\u0119 tak samo jak przy atrybutach: liczy si\u0119 data wyga\u015bni\u0119cia zapisana w Safari, a nie wys\u0142any nag\u0142\u00f3wek.<\/p>\n

Co przeniesienie ciasteczka do odpowiedzi serwera zmienia w kwestii zgody i jej wycofania?<\/h3>\n

W kwestii zgody nic. O tym, czy ciasteczko wymaga zgody, decyduje jego cel, a nie droga, kt\u00f3r\u0105 powstaje; zapisywane na urz\u0105dzeniu i odczytywane z niego jest tak czy inaczej. Ciasteczko pomiarowe z odpowiedzi serwera wymaga wi\u0119c tej samej zgody co wcze\u015bniej, a punkt ko\u0144cowy musi zna\u0107 stan zgody, zanim je ustawi. D\u0142u\u017cszy czas \u017cycia nale\u017cy te\u017c poda\u0107 tam, gdzie mowa o okresie przechowywania: w banerze zgody i w polityce prywatno\u015bci.<\/p>\n

Przy wycofaniu zgody zmienia si\u0119 natomiast co\u015b konkretnego. Ciasteczka z HttpOnly nie usunie \u017caden skrypt strony, w tym skrypt banera zgody. Wycofanie musi wi\u0119c wywo\u0142a\u0107 \u017c\u0105danie do w\u0142asnego serwera, kt\u00f3ry usunie ciasteczko odpowiedzi\u0105 z Max-Age=0<\/code>; w przeciwnym razie ciasteczko przetrwa wycofanie a\u017c do ko\u0144ca swojego czasu \u017cycia, a ten mo\u017ce teraz wynosi\u0107 rok.<\/p>\n

Jak sprawdzi\u0107, jaki czas \u017cycia przegl\u0105darka rzeczywi\u015bcie przyzna\u0142a ciasteczku?<\/h3>\n

Por\u00f3wnuj\u0105c dwa miejsca w narz\u0119dziach deweloperskich, osobno w ka\u017cdej przegl\u0105darce:<\/p>\n

    \n
  1. Nag\u0142\u00f3wek Set-Cookie w panelu sieci pokazuje pro\u015bb\u0119, czyli Max-Age lub Expires w postaci wys\u0142anej przez serwer.<\/li>\n
  2. Panel pami\u0119ci pokazuje to, co przyznano: dat\u0119 wyga\u015bni\u0119cia faktycznie zapisan\u0105 przez przegl\u0105dark\u0119. Przy ciasteczku zapisanym przez skrypt z pro\u015bb\u0105 o dwa lata Safari pokazuje dat\u0119 za siedem dni, a Chrome i Firefox dat\u0119 za 400 dni.<\/li>\n
  3. Je\u015bli ciasteczka w pami\u0119ci w og\u00f3le nie ma, przepad\u0142o na jednym z atrybut\u00f3w z tabeli. Chrome oznacza odrzucone ciasteczka w szczeg\u00f3\u0142ach danego \u017c\u0105dania i podaje przyczyn\u0119.<\/li>\n<\/ol>\n

    Regu\u0142y siedmiu dni pochodz\u0105 z silnika WebKit i da si\u0119 je zmierzy\u0107 tylko tam, czyli w Safari; test w Chrome na komputerze poka\u017ce co najwy\u017cej 400 dni. Spojrzenie w raport r\u00f3wnie\u017c nie zast\u0119puje tej kontroli: ni\u017cszy udzia\u0142 powracaj\u0105cych w Safari jest skutkiem, a nie dowodem przyczyny.<\/p>\n<\/div>\n

    \n

    \u0179r\u00f3d\u0142a<\/h2>\n