Куки на главных страницах в 2026 году: сколько ставится сразу и с какими атрибутами

27 августа 2026 года мы запросили главные страницы 600 хостов один раз, без взаимодействия — то есть ровно так, как это делает посетитель, ещё не нажавший ни одной кнопки в баннере согласия. И посмотрели, какие куки выставляются уже в этом ответе:

Российские сайты выставляют куки при первом же ответе почти вдвое чаще, чем .org, и в среднем их больше на сайт.

Важная оговорка о том, что это значит и чего не значит. Далеко не всякая кука, поставленная сразу, требует согласия: сессионный идентификатор, язык интерфейса, защита форм от подделки запроса — всё это технически необходимые куки. Отличить их от аналитических по одному заголовку нельзя, поэтому мы не утверждаем, что 59% сайтов нарушают правила. Мы измерили объём того, что ставится до любого выбора пользователя, — а дальше вопрос к содержанию каждой куки.

Этот же замер не видит куки, которые ставит JavaScript после загрузки, — а их обычно больше. Реальные числа выше измеренных.

По Secure и SameSite .ru держится в общем ряду. А вот HttpOnly стоит лишь у 32% кук — реже, чем в любой другой зоне.

Что это означает практически: кука без HttpOnly читается из JavaScript. Если на страницу попадёт посторонний скрипт — через уязвимость, через скомпрометированный сторонний виджет или через подмену рекламной сети, — он сможет прочитать такую куку и унести с собой. Для сессионного идентификатора это означает захват сессии.

Оговорка: часть кук читается из JavaScript намеренно — например, метка для аналитики или сохранённые настройки интерфейса. Для них отсутствие HttpOnly нормально. Поэтому 32% — не доля уязвимых кук, а верхняя граница множества, среди которого стоит искать.

1. Найдите свой сессионный идентификатор и убедитесь, что у него стоят все три атрибута: Secure, HttpOnly и SameSite=Lax (или Strict). Это единственная кука, где ошибка стоит дороже всего.
2. Проверьте, что SameSite=None встречается только там, где кука действительно нужна в стороннем контексте — во встраиваемом виджете или платёжной форме. Такая кука обязана нести и Secure, иначе браузер её отбросит.
3. Посмотрите, что ставится до баннера согласия. Технически необходимые куки согласия не требуют, аналитические — требуют. Разделить их можно только по назначению, и сделать это должен тот, кто знает, что каждая кука делает.
4. Учтите куки, которые ставит JavaScript. Заголовки ответа их не показывают; смотреть надо в инструментах разработчика во вкладке хранилища.

Разобрать куки конкретного сайта с их атрибутами можно в анализаторе кук.