Cookies, local storage e session storage: qual é a diferença?

Cookies, local storage e session storage: qual é a diferença?

Cookies, local storage e session storage permitem que os sites guardem informações no navegador de um visitante. Eles costumam ser mencionados juntos, e é fácil presumir que fazem praticamente o mesmo trabalho. Na prática, eles se comportam de forma diferente, duram por períodos diferentes e envolvem considerações técnicas e de privacidade diferentes.

Para os proprietários de sites, a distinção vai além do desenvolvimento. Uma ferramenta de marketing pode armazenar um identificador de publicidade em um cookie, um site pode salvar uma preferência de idioma no local storage e um fluxo de checkout pode manter informações temporárias no session storage. O método de armazenamento muda o funcionamento do site, mas não determina automaticamente se o consentimento é necessário.

---

O que significa, na prática, armazenamento no navegador?

O armazenamento no navegador é uma forma de um site manter informações no dispositivo de uma pessoa. Sem ele, muitos sites esqueceriam detalhes úteis toda vez que uma página fosse recarregada ou que um visitante fosse para outra página. Carrinhos de compras, sessões com login, configurações salvas e determinadas funções de análise podem depender de informações armazenadas ou acessadas por meio do navegador.

A distinção importante não é simplesmente se as informações são armazenadas. É por quanto tempo elas ficam disponíveis, onde podem ser acessadas, se são enviadas automaticamente a um servidor e por que o site as usa.

---

O que são cookies e como funcionam?

Um cookie é um pequeno conjunto de dados que um site pode pedir para o navegador armazenar. Quando o navegador faz uma solicitação posterior a um endereço correspondente, ele pode enviar esse cookie automaticamente junto com a solicitação, dependendo das configurações e dos atributos do cookie.

Essa troca automática torna os cookies úteis para tarefas ligadas ao servidor, como manter sessões de login. Um servidor consegue reconhecer que uma série de solicitações pertence à mesma sessão autenticada sem pedir que o usuário faça login novamente em cada página.

Os cookies podem ser cookies de sessão, que geralmente duram uma sessão de navegação, ou cookies persistentes, que têm uma data de expiração ou uma duração máxima. Eles também podem ser first-party ou third-party, dependendo da relação entre o site visitado e o fornecedor que os define ou recebe. As configurações de privacidade do navegador podem limitar o comportamento dos cookies, e alguns navegadores restauram os cookies de sessão quando as sessões são restauradas.

Os atributos de segurança dos cookies incluem Secure, que limita a transmissão a conexões seguras; HttpOnly, que bloqueia o acesso via JavaScript; e SameSite, que ajuda a restringir solicitações entre sites. Eles ajudam a proteger as sessões, mas não eliminam todos os riscos.

Para uma explicação técnica, veja o guia da MDN sobre cookies HTTP.

---

O que é local storage?

O localStorage permite que um site salve dados no formato chave-valor no navegador do visitante usando JavaScript. Ao contrário dos cookies, o navegador não anexa esses valores automaticamente a todas as solicitações HTTP. Se uma aplicação precisar transmitir um valor a um servidor, o código dela precisa fazer isso de forma explícita.

O local storage normalmente fica disponível para páginas da mesma origem, ou seja, o mesmo protocolo, host e porta. Um valor armazenado por uma origem não fica automaticamente disponível para um site completamente diferente. No entanto, scripts executados dentro dessa origem podem conseguir lê-lo, incluindo scripts third-party incluídos diretamente na página.

Os dados armazenados no localStorage normalmente permanecem depois que a aba ou a janela do navegador é fechada. Eles não têm uma data de expiração integrada, embora os usuários possam apagá-los e os navegadores possam removê-los em determinadas circunstâncias. Na navegação privada, o armazenamento geralmente é temporário.

Os usos típicos incluem salvar um tema escolhido, lembrar uma configuração da interface ou manter o estado não sensível da aplicação entre visitas. Ele não é um lugar seguro para segredos só porque os dados ficam dentro do navegador: o JavaScript executado na página geralmente consegue lê-los.

---

O que é session storage?

O sessionStorage usa uma interface JavaScript parecida com a do local storage, mas o seu tempo de vida e o seu escopo são diferentes. Ele armazena informações para uma origem específica e para uma aba ou contexto de navegação específico.

As informações geralmente sobrevivem a recarregamentos de página e à navegação dentro daquela aba. Quando a sessão de página da aba termina, os dados normalmente são apagados. Abrir outra aba independente não dá a ela, simplesmente, o mesmo session storage em andamento. Isso torna o session storage útil para o progresso temporário de formulários, fluxos com várias etapas ou estados da interface que não devem continuar indefinidamente.

Um detalhe costuma causar confusão: session storage não é a mesma coisa que um cookie de sessão. Um cookie de sessão continua sendo um cookie e pode ser enviado automaticamente a um servidor. O sessionStorage é uma área de armazenamento do navegador acessada por JavaScript, e os seus dados não são incluídos automaticamente nas solicitações de rede.

Você pode ler mais na documentação da MDN sobre a Web Storage API.

---

Cookies, local storage e session storage: comparação rápida

| Característica | Cookies | Local storage | Session storage | | --- | --- | --- | --- | | Finalidade principal | Lembrar pequenos valores e apoiar a comunicação entre navegador e servidor | Manter dados no navegador entre visitas | Manter dados temporários dentro de uma sessão de página | | Tempo de vida típico | Até o fim da sessão ou uma expiração configurada | Até ser removido, apagado ou descartado | Normalmente até o fim da sessão de página da aba | | Enviado automaticamente com solicitações HTTP | Sim, para solicitações correspondentes, quando permitido | Não | Não | | Acessível por JavaScript | Geralmente, a menos que seja HttpOnly | Sim | Sim | | Escopo do armazenamento | Controlado por domínio, caminho e outros atributos | Por origem | Por origem e por aba/sessão de página | | Exemplos típicos | Sessão de login, escolha de consentimento, identificador de análise | Tema, preferências de interface salvas | Progresso temporário de formulário ou checkout | | Automaticamente isento das regras de consentimento de cookies | Não | Não | Não |

---

Qual deles o seu site deve usar?

Para sessões de login, um cookie seguro e HttpOnly costuma ser preferível a colocar tokens de autenticação no local storage. Os desenvolvedores ainda precisam lidar com riscos como cross-site request forgery e cross-site scripting.

Para o tema ou a configuração de exibição de um visitante, o local storage pode ser conveniente, porque o navegador consegue lembrar a preferência sem enviá-la ao servidor a cada solicitação. Para o progresso temporário em um formulário ou fluxo que normalmente deve desaparecer quando a aba é fechada, o session storage pode ser uma opção melhor.

Análise e marketing são outra história. Um fornecedor de publicidade pode usar um cookie, o local storage ou várias tecnologias juntas para reconhecer um navegador ou medir a atividade. Escolher o local storage em vez de cookies não transforma o rastreamento publicitário em uma função necessária do site. A finalidade subjacente continua sendo o fator decisivo.

---

Local storage e session storage exigem consentimento pelo GDPR?

Na UE, as regras sobre armazenamento no dispositivo geralmente vêm das leis que implementam a Diretiva ePrivacy, com o GDPR também se aplicando aos dados pessoais. No Reino Unido, as Privacy and Electronic Communications Regulations (PECR) regem muitas formas de armazenamento e acesso ao dispositivo, com o UK GDPR se aplicando quando há dados pessoais envolvidos.

Essas regras são mais amplas do que os cookies HTTP tradicionais. O Information Commissioner's Office do Reino Unido trata explicitamente tanto do local storage quanto do session storage nas suas diretrizes sobre tecnologias de armazenamento e acesso.

Se o consentimento é necessário depende da legislação aplicável, da finalidade do armazenamento ou do acesso e de qualquer exceção relevante. O armazenamento realmente necessário para prestar um serviço solicitado pelo usuário pode se qualificar para uma exceção. Algumas outras exceções restritas podem se aplicar em jurisdições e circunstâncias específicas. Marketing, publicidade comportamental e rastreamentos opcionais semelhantes geralmente exigem consentimento na UE e no Reino Unido.

Por exemplo, salvar um identificador temporário do carrinho para que um cliente possa concluir o checkout é diferente de armazenar um identificador de publicidade para reconhecer esse visitante mais tarde. O primeiro pode ser necessário para oferecer a experiência de compra solicitada. O segundo atende a uma finalidade de marketing separada, esteja o identificador em um cookie ou no local storage.

---

Por que os escaneamentos de cookies, sozinhos, podem não contar a história completa

Os sites frequentemente executam código de fornecedores de análise, plataformas de publicidade, widgets de chat, players de vídeo e outros serviços externos. Alguns scripts usam cookies. Outros gravam no local storage, no session storage ou em mais de um lugar. O comportamento deles também pode mudar dependendo de a pessoa ter feito login, aceitado o rastreamento ou concluído uma ação.

O scanner de conformidade de sites da CookiePal é um ponto de partida para identificar cookies e tecnologias de rastreamento do site. Combine isso com verificações do local storage e do session storage ao investigar scripts ou funcionalidades específicas da aplicação. Não presuma que identificar apenas os cookies comprova que todas as formas de armazenamento no navegador foram revisadas.

---

Como gerenciar o armazenamento no navegador no seu processo de consentimento

Uma revisão prática de consentimento não precisa virar um projeto técnico enorme. Comece pelas páginas e jornadas que os visitantes realmente usam: a página inicial, as landing pages, os fluxos de cadastro, o checkout, a área da conta e as ferramentas incorporadas. Depois, siga estas verificações:

1. Identifique o que é armazenado. Revise os cookies, o local storage, o session storage e os scripts responsáveis por eles.
2. Registre a finalidade. A informação é necessária para uma função solicitada ou é usada para análise, publicidade, personalização ou outra finalidade?
3. Verifique a regra de consentimento aplicável. Não classifique algo como necessário só porque é útil para o negócio.
4. Teste o comportamento do consentimento. Confirme que o armazenamento e o rastreamento opcionais são controlados de forma adequada antes e depois de o visitante fazer uma escolha.
5. Mantenha as suas explicações atualizadas. Descreva as finalidades e os fornecedores com precisão e revise-os quando o site mudar.

Uma plataforma de gestão de consentimento pode ajudar a conectar as escolhas de consentimento aos controles de cookies, às preferências do banner e aos registros. Para scripts que usam outros mecanismos de armazenamento, verifique como a integração específica se comporta e se é necessária alguma configuração adicional.

A sua política de cookies também deve ser compreensível para visitantes sem conhecimento técnico. Em vez de listar apenas identificadores e durações, explique por que as tecnologias são usadas, o que os visitantes podem controlar e onde há serviços third-party envolvidos. A política de privacidade mais ampla também deve tratar do tratamento de dados pessoais relevante.

---

Resumindo: armazenamentos diferentes, a mesma necessidade de transparência

Cookies, local storage e session storage resolvem problemas técnicos diferentes. Os cookies podem se comunicar automaticamente com servidores; o local storage mantém dados no navegador entre visitas; o session storage mantém dados temporários ligados a uma sessão de página. Essas distinções ajudam os desenvolvedores a criar sites melhores, mas não determinam, por si sós, a conformidade com a privacidade.

Para os proprietários de sites, a pergunta mais útil não é “Usamos cookies?”. É “Quais informações armazenamos ou acessamos nos dispositivos dos visitantes, por que precisamos delas e os nossos controles de consentimento refletem essa finalidade?”.

Comece revisando o seu site com o scanner de conformidade gratuito da CookiePal e, depois, teste o armazenamento no navegador e os scripts que importam para os seus visitantes. Um inventário claro e preciso é a base de uma experiência de consentimento que as pessoas conseguem entender e na qual podem confiar.