Термін «суперкукі» описує ідентифікатори, які живуть поза сховищем браузера, тому очищення файлів cookie й режим анонімного перегляду на них не діють. Найгучніший випадок такого стеження стався понад десять років тому, і сама технологія відтоді майже втратила сенс. Але механізми, що прийшли їй на зміну, стерти ще складніше.
Що таке суперкукі
Звичайний файл cookie — це невеликий текстовий запис, який сайт зберігає в браузері: налаштування мови, стан входу, ідентифікатор сеансу. Він привʼязаний до конкретного браузера й зникає разом з очищенням даних сайту.
Суперкукі — не окремий стандарт і не тип файлу, а збірна назва для ідентифікаторів, які працюють в обхід цього механізму. Вони можуть вставлятися на рівні мережі оператора звʼязку, зберігатися у сховищах, до яких не дотягується кнопка «Очистити дані», або відновлюватися після видалення. Спільна риса одна: прибрати їх звичними засобами браузера неможливо.
Як це працювало: справа Verizon
Класичний приклад — Unique Identifier Header (UIDH) американського оператора Verizon Wireless. Компанія вставляла унікальний рядок безпосередньо в заголовки HTTP-запитів, які абонент надсилав із мобільного пристрою. Сайти й рекламні партнери бачили цей ідентифікатор і могли впізнавати відвідувача незалежно від того, скільки разів той очищав браузер.
За матеріалами розслідування Федеральної комісії звʼязку США (FCC), Verizon почав вставляти UIDH ще у 2012 році, але окремо повідомив про це клієнтів лише в жовтні 2014-го. 7 березня 2016 року Бюро правозастосування FCC оприлюднило мирову угоду з оператором на 1 350 000 доларів. У тому ж документі зафіксовано, що щонайменше один рекламний партнер Verizon використовував UIDH для несанкціонованої мети — відновлював видалені користувачами файли cookie. Ідентифікатори також потрапляли в трафік корпоративних і державних ліній, які взагалі не могли брати участь у рекламних програмах.
Чому суперкукі майже зникли
Причина суто технічна. Вставлення заголовка працює лише тоді, коли трафік іде незашифрованим HTTP: оператор бачить запит і може його змінити. Зʼєднання HTTPS шифрує вміст запиту між браузером і сервером, тож дописати туди сторонній ідентифікатор провайдер уже не може.
За даними команди безпеки Chrome, частка переходів через HTTPS у браузері зросла приблизно з 30–45% у 2015 році до 95–99% станом на 2020-й і відтоді тримається на цьому рівні. У жовтні 2025 року Google оголосив наступний крок: налаштування «Always Use Secure Connections» стає типовим — у квітні 2026 року у Chrome 147 для користувачів розширеного «Безпечного перегляду», а в жовтні 2026-го у Chrome 154 для всіх. Браузер запитуватиме дозвіл перед першим відкриттям публічного сайту без HTTPS.
Flash-кукі та зомбі-кукі: що з ними сталося
Flash-кукі (Local Shared Objects) зберігалися в окремому каталозі плагіна Adobe Flash Player, а не в профілі браузера, тому переживали очищення історії. Adobe припинила підтримку Flash Player 31 грудня 2020 року і з 12 січня 2021-го заблокувала відтворення Flash-вмісту. Плагіна немає в жодному сучасному браузері — разом із ним зник і цей механізм стеження.
Зомбі-кукі, або evercookie, — не сховище, а прийом: скрипт дублює один ідентифікатор одразу в кількох місцях (звичайні cookie, localStorage, кеш, історія відвідувань) і відновлює його з уцілілої копії після часткового видалення. Прийом залишається робочим, але сучасні браузери ізолюють сховища за доменом, що суттєво звузило його можливості.
Окремо згадують HSTS-суперкукі — спробу закодувати ідентифікатор у наборі доменів, для яких браузер запамʼятав примусове використання HTTPS. Виробники браузерів додали обмеження проти цієї техніки, і практичного поширення вона не набула.
Що прийшло на зміну: цифровий відбиток
Замість того щоб щось зберігати на пристрої, сучасне стеження просто рахує його ознаки: версію системи й браузера, роздільність екрана, набір шрифтів, параметри відеокарти, часовий пояс, поведінку графічного та аудіорушія. Сукупність цих сигналів утворює цифровий відбиток, достатньо унікальний, щоб упізнати пристрій.
Ключова зміна сталася наприкінці 2024 року. Google повідомив рекламодавцям, що з 16 лютого 2025 року знімає заборону на використання фінгерпринтингу у своїх рекламних продуктах. Британський офіс комісара з інформації (ICO) назвав це рішення безвідповідальним: регулятор наголосив, що фінгерпринтинг спирається на сигнали, які людина не може стерти, тож навіть після повного очищення даних сайту компанія здатна одразу впізнати відвідувача знову. ICO також нагадав, що зняття внутрішньої заборони Google не скасовує вимог законодавства про захист даних — зокрема потреби в згоді.
Саме фінгерпринтинг, а не мережеві заголовки, сьогодні відповідає початковому визначенню суперкукі: ідентифікатор, який неможливо видалити з боку користувача.
Файли cookie нікуди не зникли
Паралельно завершилася шестирічна історія Privacy Sandbox — проєкту Google, який мав замінити сторонні файли cookie. 22 квітня 2025 року компанія повідомила, що зберігає наявний підхід і не змінюватиме роботу сторонніх cookie у Chrome. А 17 жовтня 2025 року Google закрив більшість технологій проєкту — Topics, Protected Audience, Attribution Reporting, Private Aggregation разом із Shared Storage, IP Protection, Related Website Sets та інші, пояснивши це низьким рівнем впровадження. Працювати надалі мають лише CHIPS, FedCM і Private State Tokens.
Практичний висновок простий: сторонні файли cookie у Chrome залишаються. Safari, Firefox і Brave блокують їх типово, Chrome — лише в режимі анонімного перегляду.
CNAME-клоакінг: трекер під виглядом власного домену
Ще один спосіб обійти блокування — маскування. Сайт створює субдомен на кшталт analytics.example.com, а DNS-запис CNAME перенаправляє його на сервер трекера. Для браузера й більшості блокувальників звернення виглядає як запит до власного домену сайту, тому захист від сторонніх запитів не спрацьовує.
Дослідження, опубліковане в Proceedings on Privacy Enhancing Technologies, показало, що така схема стеження поширюється, а розширення для браузерів на основі Chromium не здатні її розпізнати: у них немає доступу до DNS-запитів. У Firefox такий доступ є, тому uBlock Origin саме в цьому браузері вміє розкривати справжнього одержувача запиту й блокувати його.
Що реально зменшує стеження
- Браузер із суворим захистом. Firefox із розширеним захистом від стеження в режимі «Суворий», Safari або Brave блокують сторонні трекери типово. Chrome робить це лише в анонімному режимі.
- uBlock Origin у Firefox. Поки що це єдине поширене поєднання, яке розпізнає CNAME-маскування.
- Tor Browser — для завдань, де потрібна максимальна анонімність. Його логіка протилежна: усі копії браузера навмисно виглядають однаково, тож відбиток перестає бути унікальним.
- DNS через HTTPS (DoH). Приховує від оператора звʼязку перелік доменів, які відвідує пристрій. На стеження з боку самих сайтів не впливає.
- VPN. Змінює IP-адресу, яку бачать сайти, і закриває вміст трафіку від провайдера. Проти цифрового відбитка не допомагає.
- Окремі профілі або контейнери браузера для пошти, покупок і робочих сервісів ускладнюють зшивання активності в один профіль.
Жоден із цих кроків не робить пристрій невидимим. Реалістична мета — зменшити кількість сигналів і ускладнити їхнє поєднання, а не зникнути з радарів повністю.
Що з цим в Україні
Чинний Закон «Про захист персональних даних» ухвалено 1 червня 2010 року — задовго до появи більшості описаних технологій. Він не містить окремих вимог до онлайн-стеження й не передбачає санкцій, порівнянних із європейськими.
Оновити регулювання має законопроєкт №8153 «Про захист персональних даних», який наближає українські норми до GDPR і запроваджує фінансові санкції. Верховна Рада ухвалила його за основу 20 листопада 2024 року; станом на вересень 2026-го документ готується до другого читання. Доки цього не сталося, українські користувачі спираються переважно на технічні засоби захисту, а не на правові.
Підсумок
Суперкукі у первісному значенні — мережеві ідентифікатори від операторів звʼязку — сьогодні радше історія, і поховало їх повсюдне шифрування, а не регулювання. Але сама ідея нікуди не поділася: індустрія перейшла до сигналів, які взагалі не зберігаються на пристрої, а обчислюються заново під час кожного візиту. Тому питання «як видалити суперкукі» втратило сенс — коректніше питати, скільки ознак пристрій віддає при кожному завантаженні сторінки і чим це можна зменшити.
