O que são cookies e para que servem?

Você coloca um par de sapatos no carrinho de uma loja on-line, fecha a aba e volta no dia seguinte. Os sapatos continuam no carrinho, você continua logado e o site continua no seu idioma. A loja não adivinhou nada disso: o seu navegador guardou alguns pequenos trechos de texto para aquele site, chamados cookies, e os devolveu quando você voltou.

Este artigo mostra como um site cria e lê um cookie, os principais tipos, a situação atual dos cookies de terceiros no Chrome, por que os sites pedem consentimento e como apagar cookies no Chrome, no Safari, no Firefox e no Edge.

O que é um cookie em um site?#

Um cookie é um pequeno dado que o servidor de um site envia ao seu navegador, que o guarda e o envia de volta nas requisições seguintes ao mesmo site. Cada cookie tem um nome e um valor, como theme=dark ou um código de login longo e aleatório, além de configurações que dizem quanto tempo ele dura e para onde pode ser enviado.

Os cookies existem porque o HTTP, o protocolo que o navegador usa para buscar páginas, não guarda estado: cada requisição chega ao servidor sem memória da anterior. O padrão dos cookies, o RFC 6265, descreve os cookies como a forma de os servidores "manterem uma sessão com estado" sobre esse protocolo. Sem eles, um site esqueceria você entre dois cliques.

Os cookies são minúsculos de propósito: o RFC 6265 pede que os navegadores aceitem pelo menos 4.096 bytes por cookie e 50 cookies por domínio, o suficiente para um identificador ou uma configuração, não para um documento. O padrão é de 2011; a revisão dele, o RFC 6265bis, estava na fila do RFC Editor e ainda não tinha sido publicada quando verificamos, em 12 de novembro de 2026.

Como os cookies funcionam?#

Os cookies viajam nos cabeçalhos HTTP, as linhas de metadados enviadas antes da própria página:

1. Você abre uma página. O navegador pede a página ao servidor do site, ainda sem nenhum cookie daquele site.
2. O servidor responde com um cabeçalho Set-Cookie, por exemplo Set-Cookie: theme=dark; Max-Age=2592000, que pede ao navegador para guardar theme=dark por 30 dias (2.592.000 segundos).
3. O navegador guarda o cookie com o domínio, o caminho e a data de expiração do site.
4. Na requisição seguinte a esse site, o navegador adiciona um cabeçalho Cookie: Cookie: theme=dark.
5. O servidor lê o cookie e responde de acordo, aqui com a versão escura da página. O login funciona do mesmo jeito: o servidor cria um cookie com um ID de sessão aleatório, e cada requisição seguinte prova quem você é por carregá-lo.
6. O cookie expira ou é apagado, e o navegador para de enviá-lo.

Fizemos essa troca com o curl, um cliente HTTP de linha de comando, contra um pequeno servidor de teste no nosso próprio computador. Reduzida às linhas de requisição, status e cookie, a primeira resposta criou o cookie e a segunda requisição o enviou de volta:

< HTTP/1.1 200 OK
< Set-Cookie: theme=dark; Max-Age=2592000; Path=/; SameSite=Lax

> GET / HTTP/1.1
> Cookie: theme=dark

As linhas que começam com < vieram do servidor; as que começam com >, do cliente. Se você escreve scripts que fazem login nas suas próprias contas, Sessões e cookies em Python mostra como um script mantém esses cookies entre as requisições.

Para que servem os cookies?#

Os cookies mantêm você logado, lembram as suas escolhas, medem como um site é usado e ajudam a direcionar anúncios. O guia de cookies HTTP do MDN agrupa essas funções em gerenciamento de sessão, personalização e rastreamento.

• Login: um cookie com um ID longo e aleatório é o motivo de o site não pedir a sua senha em cada página.
• Carrinhos de compra: um cookie liga o seu navegador ao carrinho guardado no servidor da loja.
• Preferências: idioma, moeda, modo escuro e a sua resposta ao aviso de cookies.
• Análise: um ID de visitante aleatório permite que o site conte os visitantes que voltam e veja quais páginas eles leem.
• Publicidade: empresas de anúncios incorporadas a muitos sites usam os próprios cookies para reconhecer o mesmo navegador em todos eles.

Quais são os tipos de cookies?#

Os cookies são classificados pelo tempo que duram, por quem os cria e pela finalidade, então cada cookie pertence a um grupo em cada uma dessas classificações.

Quem decide quando uma sessão termina é o navegador: o MDN observa que navegadores que restauram as suas abas ao reiniciar podem manter os cookies de sessão vivos indefinidamente.

O que significam Secure, HttpOnly e SameSite?#

São atributos, configurações ligadas a cada cookie que limitam quanto tempo ele dura e para onde o navegador pode enviá-lo:

• Expires e Max-Age definem a duração, como uma data ou um número de segundos. Um cookie sem nenhum dos dois é um cookie de sessão.
• Domain e Path definem para onde o cookie vai. Um cookie de shop.example.com nunca é enviado a outro site.
• Secure só deixa o cookie viajar por conexões HTTPS criptografadas.
• HttpOnly esconde o cookie dos scripts da página, então um script injetado no site não consegue lê-lo.
• SameSite decide se o cookie acompanha as requisições que começam em outro site: Strict nunca, Lax só quando você segue um link comum para o site, None sempre, e só junto com Secure.

Um cookie de login bem construído usa todos eles: um valor longo e aleatório, Secure, HttpOnly e SameSite=Lax ou Strict.

O que os cookies podem e não podem fazer?#

Os cookies podem identificar um navegador e carregar o que um site guardou neles; não podem executar código nem vasculhar o seu computador. Um cookie não pode instalar nada nem carregar vírus, ler os seus arquivos ou os cookies de outros sites, nem saber o seu nome, a menos que você o tenha digitado no site.

O que os cookies podem fazer é ligar visitas entre si. Um cookie de login liga tudo o que você faz enquanto está logado, e um cookie de terceiros permite que uma empresa de anúncios ligue as visitas a todos os sites em que ela está incorporada. O perigo real é o roubo: quem copia um cookie de login pode usar a sua sessão sem a sua senha, e é exatamente isso que o malware infostealer procura. O que é session hijacking? explica como os cookies são roubados e como impedir isso.

O que são cookies de terceiros e o Chrome ainda os permite?#

Cookies de terceiros são criados por um site diferente do que está na barra de endereço, por meio de conteúdo incorporado à página. O Chrome ainda os aceita e deixa a escolha com você, exceto no modo de navegação anônima, onde eles são bloqueados por padrão.

Um site de notícias incorpora um anúncio. Para exibi-lo, o navegador busca o anúncio no servidor da empresa de publicidade, que pode criar um cookie no próprio domínio. Quando outro site incorpora anúncios da mesma empresa, o navegador envia esse cookie de volta, e a empresa vê o mesmo navegador nos dois sites. O RFC 6265 já chamava os cookies de terceiros de "particularmente preocupantes" em 2011.

• O Chrome oferece Permitir cookies de terceiros e Bloquear cookies de terceiros em Configurações > Privacidade e segurança > Cookies de terceiros. O Google planejou por anos eliminá-los, mas em abril de 2025 disse que manteria essa escolha do usuário e não adicionaria um aviso separado; em outubro de 2025, aposentou a maioria das tecnologias de anúncios do Privacy Sandbox criadas para substituí-los.
• O Safari bloqueia por padrão, desde março de 2020, os cookies de conteúdo entre sites.
• O Firefox dá por padrão a cada site o seu próprio pote de cookies (Total Cookie Protection), então uma empresa incorporada não consegue seguir você de site em site com um único cookie.

Bloqueá-los pode quebrar uma caixa de comentários ou uma janela de chat incorporada; o Chrome permite liberar sites específicos em Sites em que o uso de cookies de terceiros foi permitido.

Por que os sites pedem para você aceitar cookies?#

Os sites pedem porque, em muitos lugares, as leis de privacidade exigem consentimento para cookies que não são essenciais. Na União Europeia, a Diretiva ePrivacy, aplicada junto com o GDPR, só permite guardar ou ler informações no seu dispositivo com o seu consentimento informado, a menos que isso seja estritamente necessário para um serviço que você pediu.

Aceitar todos deixa o site criar todas as categorias que listou. Rejeitar todos ou Somente necessários mantém os cookies essenciais, então o login e o carrinho continuam funcionando. Personalizar permite ativar as categorias uma a uma. A sua resposta também fica guardada em um cookie, e é por isso que o aviso volta quando você limpa os cookies ou abre uma janela anônima.

Como ver e apagar cookies?#

Você apaga cookies nas configurações de privacidade do navegador, todos de uma vez ou os de um só site. Em um computador com Windows, Ctrl + Shift + Delete abre a janela de limpeza diretamente no Chrome, no Edge e no Firefox. Os caminhos abaixo vêm da página de ajuda de cada fabricante e foram conferidos em 12 de novembro de 2026:

• Chrome no computador: Mais > Excluir dados de navegação, escolha um período como Todo o período, marque Cookies e outros dados do site e selecione Excluir dados. Para um só site: Configurações > Privacidade e segurança > Cookies de terceiros > Ver todos os dados e as permissões do site. Os dois caminhos estão na página de ajuda do Google sobre cookies.
• Chrome no Android: Mais > Configurações > Privacidade e segurança > Excluir dados de navegação, marque Cookies e outros dados do site e toque em Excluir dados.
• Safari no iPhone: Ajustes > Apps > Safari > Limpar Histórico e Dados dos Sites. Para manter o histórico, use Avançado > Dados do Site > Remover Todos os Dados, como mostra a página de ajuda da Apple.
• Safari no Mac: Safari > Ajustes > Privacidade > Gerenciar Dados de Sites e depois Remover ou Remover Tudo.
• Firefox: para o site atual, clique no ícone de escudo à esquerda da barra de endereço e escolha a opção de limpar os cookies e os dados do site. Para todos os sites: botão de menu > Histórico > Limpar histórico recente…, defina Quando como Tudo, marque Cookies e dados de sites e clique em Limpar.
• Microsoft Edge: Configurações e mais > Configurações > Privacidade, pesquisa e serviços > Limpar dados de navegação > Escolher o que limpar, marque Cookies e outros dados do site e selecione Limpar agora.

Os desenvolvedores podem inspecionar cada cookie, com a expiração e os atributos, nas ferramentas de desenvolvedor do Chrome, em Application (Aplicativo) > Storage (Armazenamento) > Cookies.

Apagar os cookies desconecta você da maioria dos sites e redefine as suas preferências; as senhas salvas continuam, a menos que você também as marque. Bloquear todos os cookies, por exemplo com Bloquear Todos os Cookies no iPhone, é possível, mas a Apple avisa que algumas páginas podem não funcionar e que talvez você não consiga fazer login.

Cookies, cache e armazenamento local: qual é a diferença?#

Cookies são valores pequenos enviados ao servidor em cada requisição; o cache é uma cópia de arquivos baixados que faz as páginas abrirem mais rápido; o armazenamento local (local storage) é um espaço maior usado pelos próprios scripts do site e nunca enviado automaticamente.

É por isso que "cookies" e "cache" são caixas separadas: limpar só o cache corrige arquivos de página desatualizados sem desconectar você.

Por que os sites verificam o seu cookie e o seu endereço IP juntos?#

Porque um cookie de login prova que você entrou na conta, e a rede de onde ele chega ajuda o site a avaliar se o cookie ainda está nas suas mãos. Poucos sites prendem uma sessão a um único endereço IP, já que os celulares alternam entre Wi-Fi e dados móveis o dia todo, mas uma sessão que de repente salta para outro país ou outra rede pode exigir um novo login ou uma verificação de segurança.

Isso importa quando você trabalha nas suas próprias contas por meio de um proxy ou de uma VPN: se o endereço de saída muda no meio da sessão, o site vê o mesmo cookie chegando de dois lugares e pode desconectar você. Com os Proxies de sessão fixa, uma sessão mantém o mesmo IP de 1 a 60 minutos.

Para uma conta que você usa todos os dias, os Proxies ISP mantêm um único endereço, registrado em nome de um provedor de internet, pelo tempo que você o alugar. O objetivo é uma sessão estável em uma conta que você tem permissão para usar, não uma forma de passar pelas verificações de um site.

Erros comuns#

• Apagar todos os cookies para consertar um único site. Apague primeiro os cookies desse site; muitas vezes isso resolve um loop de login sem desconectar você de tudo.
• Achar que "Rejeitar todos" quebra o site. Os cookies essenciais continuam, então o login e o carrinho seguem funcionando.
• Bloquear todos os cookies e depois estranhar que o login falhe. Um site precisa pelo menos do próprio cookie para manter você logado.
• Deixar a conta conectada em um computador compartilhado. Saia da conta, ou o cookie de login deixa a próxima pessoa entrar nela.

Guia de decisão#

Perguntas frequentes#

Devo aceitar os cookies?#

Aceitar os cookies essenciais não tem problema, e as regras da UE nem exigem consentimento para eles; a escolha real é sobre análise e publicidade. Se você não quer que as suas visitas sejam medidas ou usadas para anúncios, escolha Rejeitar todos. O site funciona das duas formas.

Cookies são perigosos?#

Não, um cookie não pode danificar o seu computador: é texto, não um programa. Os riscos são a privacidade, quando cookies de terceiros montam um perfil entre sites, e o roubo, quando um malware copia um cookie de login.

A navegação anônima apaga os cookies?#

Sim. Uma janela anônima inicia uma sessão separada, e os cookies dela são apagados quando você fecha a última janela anônima; o Chrome também bloqueia ali os cookies de terceiros por padrão. Ela não muda o seu endereço IP, como explica A navegação anônima esconde seu endereço IP?

O que acontece se eu rejeitar ou bloquear os cookies?#

Rejeitar os cookies opcionais muda pouco do que você vê: os anúncios ficam menos personalizados. Bloquear todos os cookies é diferente: você não consegue continuar logado, os carrinhos param de funcionar e muitos sites se comportam de forma estranha.

Apagar os cookies me desconecta?#

Sim, da maioria dos sites, porque a prova de que você fez login fica em um cookie. Apagar os cookies de um só site desconecta você apenas daquele site.

Por que os sites perguntam sobre cookies a cada visita?#

Porque a sua resposta fica guardada em um cookie. Se você limpa os cookies, usa uma janela anônima ou o cookie de consentimento expira, o site não sabe mais que você respondeu e mostra o aviso de novo.

Em resumo#

Um cookie é um pequeno trecho de texto que um site pede ao seu navegador para guardar e devolver, para lembrar o seu login, o seu carrinho e as suas configurações. Os cookies de terceiros vêm de empresas incorporadas e podem seguir você de site em site; é por isso que o Safari e o Firefox os restringem por padrão e o Chrome permite bloqueá-los. Cookies não executam código nem leem os seus arquivos, mas um cookie de login roubado pode abrir a sua conta. Aceite os essenciais, rejeite o resto se preferir e limpe os cookies de um só site quando ele der problema. Se você trabalha nas suas próprias contas por meio de um proxy, mantenha cada sessão em um endereço estável com os nossos serviços de proxy.