Consent
Evästeet, local storage ja session storage: mitä eroa niillä on?
Evästeet, local storage ja session storage toimivat eri tavoin, mutta mikään niistä ei ole vapautettu suostumuksesta. Opi, miten ne toimivat, mitä käyttää ja miten ne tarkistetaan suostumusprosessissa.
Evästeet, local storage ja session storage: mitä eroa niillä on?
Evästeiden, local storagen ja session storagen avulla verkkosivusto voi muistaa tietoja kävijän selaimessa. Niistä puhutaan usein yhdessä, ja on helppo olettaa, että ne hoitavat suunnilleen saman tehtävän. Käytännössä ne toimivat eri tavoin, säilyvät eri ajan ja niihin liittyy erilaisia teknisiä ja tietosuojaan liittyviä näkökohtia.
Verkkosivuston omistajalle ero on tärkeä myös kehitystyön ulkopuolella. Markkinointityökalu voi tallentaa mainostunnisteen evästeeseen, verkkosivusto voi tallentaa kielivalinnan local storageen ja kassaprosessi voi säilyttää väliaikaisia tietoja session storagessa. Tallennustapa vaikuttaa siihen, miten sivusto toimii, mutta se ei yksinään ratkaise, tarvitaanko suostumus.
Mitä selaimen tallennustila tarkoittaa?
Selaimen tallennustila on tapa, jolla verkkosivusto säilyttää tietoja henkilön laitteella. Ilman sitä monet sivustot unohtaisivat hyödylliset tiedot aina, kun sivu latautuu uudelleen tai kävijä siirtyy toiselle sivulle. Ostoskorit, kirjautuneet istunnot, tallennetut asetukset ja tietyt analytiikkatoiminnot voivat kaikki perustua selaimeen tallennettuihin tai sieltä luettuihin tietoihin.
Olennaista ei ole pelkästään se, tallennetaanko tietoja. Ratkaisevaa on, kuinka pitkään tieto on käytettävissä, mistä se on luettavissa, lähetetäänkö se palvelimelle automaattisesti ja mihin tarkoitukseen sivusto sitä käyttää.
Mitä evästeet ovat ja miten ne toimivat?
Eväste on pieni tietoyksikkö, jonka tallentamista selaimeen verkkosivusto voi pyytää. Kun selain myöhemmin tekee pyynnön vastaavaan verkko-osoitteeseen, se voi lähettää evästeen pyynnön mukana automaattisesti asetuksistaan ja evästeen attribuuteista riippuen.
Tämä automaattinen tiedonvaihto tekee evästeistä hyödyllisiä palvelinpuolen tehtävissä, kuten kirjautuneen istunnon ylläpidossa. Palvelin tunnistaa, että peräkkäiset pyynnöt kuuluvat samaan kirjautuneeseen istuntoon, eikä käyttäjän tarvitse kirjautua uudelleen jokaisella sivulla.
Evästeet voivat olla istuntoevästeitä, jotka säilyvät yleensä selausistunnon ajan, tai pysyviä evästeitä, joilla on vanhenemispäivä tai enimmäisikä. Ne voivat olla myös ensimmäisen tai kolmannen osapuolen evästeitä sen mukaan, millainen suhde vierailtavan sivuston ja evästeen asettavan tai vastaanottavan palveluntarjoajan välillä on. Selaimen tietosuoja-asetukset voivat rajoittaa evästeiden toimintaa, ja jotkin selaimet palauttavat istuntoevästeet istunnon palautuessa.
Evästeiden suojausattribuutteja ovat Secure, joka rajoittaa siirron suojattuihin yhteyksiin, HttpOnly, joka estää JavaScriptin pääsyn evästeeseen, ja SameSite, joka auttaa rajoittamaan sivustojen välisiä pyyntöjä. Ne auttavat suojaamaan istuntoja, mutta eivät poista kaikkia riskejä.
Teknisemmän selityksen löydät MDN:n HTTP-evästeoppaasta.
Mitä local storage on?
localStorage antaa verkkosivustolle mahdollisuuden tallentaa avain-arvo-pareja kävijän selaimeen JavaScriptin avulla. Toisin kuin evästeitä, selain ei liitä näitä arvoja automaattisesti jokaiseen HTTP-pyyntöön. Jos sovelluksen täytyy lähettää arvo palvelimelle, sen koodin on tehtävä se erikseen.
Local storage on yleensä käytettävissä saman alkuperän (origin) sivuille, eli samalla protokollalla, isännällä ja portilla. Yhden alkuperän tallentamat arvot eivät ole automaattisesti saatavilla täysin toiselle verkkosivustolle. Kyseisen alkuperän sisällä toimivat skriptit voivat kuitenkin lukea ne, myös suoraan sivulle sisällytetyt kolmansien osapuolten skriptit.
localStorageen tallennetut tiedot säilyvät yleensä, kun selaimen välilehti tai ikkuna suljetaan. Sillä ei ole sisäänrakennettua vanhenemisaikaa, vaikka käyttäjät voivat tyhjentää sen ja selaimet voivat poistaa tietoja tietyissä tilanteissa. Yksityisessä selauksessa tallennus on yleensä väliaikaista.
Tyypillisiä käyttötarkoituksia ovat valitun teeman tallentaminen, käyttöliittymäasetuksen muistaminen tai ei-arkaluonteisen sovellustilan säilyttäminen käyntien välillä. Se ei ole turvallinen paikka salaisuuksille vain siksi, että tiedot pysyvät selaimen sisällä: sivulla toimiva JavaScript voi yleensä lukea ne.
Mitä session storage on?
sessionStorage käyttää samankaltaista JavaScript-rajapintaa kuin local storage, mutta sen elinkaari ja kattavuus ovat erilaiset. Se tallentaa tietoja tietylle alkuperälle ja tietylle selaimen välilehdelle tai selauskontekstille.
Tiedot säilyvät yleensä sivun uudelleenlatauksissa ja välilehden sisäisessä navigoinnissa. Kun välilehden sivuistunto päättyy, tiedot tyhjennetään normaalisti. Toisen, erillisen välilehden avaaminen ei yksinkertaisesti anna sille samaa jatkuvaa session storagea. Siksi session storage sopii väliaikaiseen lomakkeen täyttöedistymiseen, monivaiheiseen työnkulkuun tai käyttöliittymän tilaan, jonka ei pitäisi jatkua rajattomasti.
Yksi seikka aiheuttaa usein sekaannusta: session storage ei ole sama asia kuin istuntoeväste. Istuntoeväste on edelleen eväste, ja se voidaan lähettää palvelimelle automaattisesti. sessionStorage on JavaScriptillä käytettävä selaimen tallennusalue, jonka tietoja ei liitetä automaattisesti verkkopyyntöihin.
Lisätietoa löydät MDN:n Web Storage API -dokumentaatiosta.
Evästeet, local storage ja session storage: nopea vertailu
| Ominaisuus | Evästeet | Local storage | Session storage |
| --- | --- | --- | --- |
| Pääasiallinen tarkoitus | Pienten arvojen muistaminen ja selaimen ja palvelimen välisen viestinnän tukeminen | Selaimen tietojen säilyttäminen käyntien välillä | Väliaikaisten tietojen säilyttäminen sivuistunnon ajan |
| Tyypillinen säilymisaika | Istunnon loppuun tai määritettyyn vanhenemisajankohtaan asti | Kunnes tiedot poistetaan, tyhjennetään tai siirretään pois | Yleensä välilehden sivuistunnon loppuun asti |
| Lähetetään automaattisesti HTTP-pyyntöjen mukana | Kyllä, vastaaviin pyyntöihin, kun se on sallittua | Ei | Ei |
| Käytettävissä JavaScriptillä | Yleensä, ellei käytössä ole HttpOnly | Kyllä | Kyllä |
| Tallennuksen ulottuvuus | Määräytyy verkkotunnuksen, polun ja muiden attribuuttien mukaan | Alkuperäkohtainen | Alkuperä- ja välilehti- tai sivuistuntokohtainen |
| Tyypilliset esimerkit | Kirjautumisistunto, suostumusvalinta, analytiikkatunniste | Teema, tallennetut käyttöliittymäasetukset | Väliaikainen lomake- tai kassaprosessin eteneminen |
| Automaattisesti vapautettu evästesuostumusta koskevista säännöistä | Ei | Ei | Ei |
Mitä tallennustapaa sivustosi kannattaa käyttää?
Kirjautumisistunnoissa suojattu HttpOnly-eväste on usein parempi vaihtoehto kuin todennustunnisteiden tallentaminen local storageen. Kehittäjien on silti huomioitava riskit, kuten sivustojen väliset pyyntöväärennökset ja sivustojen väliset komentosarjahyökkäykset.
Kävijän teeman tai näyttöasetuksen tallentamiseen local storage voi olla kätevä, koska selain voi muistaa asetuksen lähettämättä sitä palvelimelle jokaisen pyynnön yhteydessä. Lomakkeen tai työnkulun väliaikaiseen etenemiseen, jonka pitäisi yleensä kadota välilehden sulkeutuessa, session storage voi sopia paremmin.
Analytiikka ja markkinointi ovat eri asia. Mainontapalvelun tarjoaja voi käyttää evästettä, local storagea tai useaa tekniikkaa yhdessä tunnistaakseen selaimen tai mitatakseen toimintaa. Local storagen valitseminen evästeiden sijaan ei tee mainosseurannasta verkkosivuston välttämätöntä toimintoa. Ratkaisevaa on edelleen taustalla oleva tarkoitus.
Vaativatko local storage ja session storage suostumuksen GDPR:n mukaan?
EU:ssa laitteelle tallentamista koskevat säännöt perustuvat yleensä ePrivacy-direktiivin täytäntöönpanolakeihin, ja GDPR sovelletaan lisäksi henkilötietoihin. Isossa-Britanniassa Privacy and Electronic Communications Regulations (PECR) säätelee monia laitteelle tallentamisen ja laitteen tietojen käytön muotoja, ja UK GDPR sovelletaan, kun kyse on henkilötiedoista.
Nämä säännöt ovat laajempia kuin perinteiset HTTP-evästeet. Ison-Britannian tietosuojaviranomainen ICO käsittelee nimenomaisesti sekä local storagea että session storagea tallennus- ja käyttötekniikoita koskevassa ohjeistuksessaan.
Se, tarvitaanko suostumus, riippuu sovellettavasta laista, tallennuksen tai käytön tarkoituksesta ja mahdollisesta soveltuvasta poikkeuksesta. Tallennus, joka on aidosti välttämätön käyttäjän pyytämän palvelun tarjoamiseksi, voi kuulua poikkeuksen piiriin. Tietyissä lainkäyttöalueissa ja tilanteissa voi soveltua myös muita suppeita poikkeuksia. Markkinointi, käyttäytymiseen perustuva mainonta ja vastaava valinnainen seuranta vaativat yleensä suostumuksen EU:ssa ja Isossa-Britanniassa.
Esimerkiksi väliaikaisen ostoskoritunnisteen tallentaminen, jotta asiakas voi viimeistellä ostoksensa, on eri asia kuin mainostunnisteen tallentaminen kävijän tunnistamiseksi myöhemmin. Ensimmäinen voi olla välttämätön pyydetyn ostokokemuksen tarjoamiseksi. Jälkimmäisellä on erillinen markkinointitarkoitus riippumatta siitä, onko tunniste evästeessä vai local storagessa.
Miksi pelkkä evästeskannaus ei välttämättä kerro koko totuutta?
Verkkosivustot suorittavat usein koodia, joka tulee analytiikkapalveluista, mainosalustoilta, chat-widgeteistä, videosoittimista ja muista ulkoisista palveluista. Jotkin skriptit käyttävät evästeitä. Toiset kirjoittavat local storageen, session storageen tai useampaan paikkaan. Niiden toiminta voi myös vaihdella sen mukaan, onko joku kirjautunut sisään, hyväksynyt seurannan tai suorittanut jonkin toiminnon.
CookiePalin verkkosivuston vaatimustenmukaisuusskanneri antaa lähtökohdan sivuston evästeiden ja seurantatekniikoiden tunnistamiseen. Yhdistä se local storagen ja session storagen tarkistukseen, kun tutkit tiettyjä skriptejä tai sovelluksen toimintoja. Älä oleta, että evästeiden tunnistaminen yksin todistaa, että kaikki selaimen tallennusmuodot on käyty läpi.
Miten hallitset selaimen tallennustilaa suostumusprosessissasi?
Käytännöllisen suostumuskatselmuksen ei tarvitse paisua valtavaksi tekniseksi hankkeeksi. Aloita sivuista ja poluista, joita kävijät todella käyttävät: etusivu, laskeutumissivut, rekisteröitymisprosessit, kassa, tili-alue ja upotetut työkalut. Käy sitten läpi seuraavat tarkistukset:
- Selvitä, mitä tallennetaan. Käy läpi evästeet, local storage, session storage ja niistä vastaavat skriptit.
- Kirjaa tarkoitus. Tarvitaanko tieto pyydettyyn toimintoon, vai käytetäänkö sitä analytiikkaan, mainontaan, personointiin tai muuhun tarkoitukseen?
- Tarkista sovellettava suostumussääntö. Älä luokittele mitään välttämättömäksi vain siksi, että se on yritykselle hyödyllinen.
- Testaa suostumuksen toiminta. Varmista, että valinnaista tallennusta ja seurantaa hallitaan asianmukaisesti ennen kävijän valintaa ja sen jälkeen.
- Pidä selitykset ajan tasalla. Kuvaa tarkoitukset ja palveluntarjoajat täsmällisesti ja tarkista ne, kun verkkosivusto muuttuu.
Suostumustenhallintaratkaisu voi auttaa yhdistämään suostumusvalinnat evästeiden hallintaan, bannerin asetuksiin ja kirjauksiin. Jos skriptit käyttävät muita tallennusmekanismeja, tarkista, miten kyseinen integraatio toimii ja tarvitaanko lisäasetuksia.
Evästekäytäntösi pitäisi myös olla ymmärrettävä asiaan perehtymättömille kävijöille. Älä luettele pelkkiä tunnisteita ja kestoja, vaan selitä, miksi tekniikoita käytetään, mitä kävijät voivat hallita ja missä kolmannen osapuolen palvelut ovat mukana. Laajemmassa tietosuojaselosteessa pitäisi käsitellä myös asiaankuuluva henkilötietojen käsittely.
Yhteenveto: eri tallennustavat, sama tarve läpinäkyvyyteen
Evästeet, local storage ja session storage ratkaisevat eri teknisiä ongelmia. Evästeet voivat kommunikoida palvelimien kanssa automaattisesti, local storage säilyttää selaimen tietoja käyntien välillä ja session storage pitää väliaikaiset tiedot sidottuina sivuistuntoon. Nämä erot auttavat kehittäjiä rakentamaan parempia verkkosivustoja, mutta ne eivät yksinään ratkaise tietosuojan noudattamista.
Verkkosivuston omistajalle hyödyllisin kysymys ei ole ”Käytämmekö evästeitä?” vaan ”Mitä tietoja tallennamme kävijöiden laitteille tai luemme niiltä, miksi tarvitsemme niitä ja vastaavatko suostumushallintamme tätä tarkoitusta?”
Aloita tarkistamalla verkkosivustosi CookiePalin ilmaisella vaatimustenmukaisuusskannerilla ja testaa sitten kävijöillesi tärkeät selaimen tallennustilat ja skriptit. Selkeä ja täsmällinen luettelo on perusta suostumuskokemukselle, jonka ihmiset ymmärtävät ja johon he voivat luottaa.
Oliko tästä apua?Kiitos palautteesta.
