Acesse um site e provavelmente vai se deparar com mais um daqueles pop-ups perguntando se você aceita os cookies. A maioria de nós faz o seguinte: clica em "Aceitar" para chegar logo onde quer. No entanto, segundo uma pesquisa da All About Cookies, menos de 40% das pessoas sabem o que é um cookie de internet, diferente daquele biscoito crocante e delicioso. E o pior: 24% simplesmente clicam em "Aceitar" sem ir mais fundo, apesar de 87% notarem que os anúncios nos sites que visitam parecem bastante personalizados, e 90% acharem isso francamente assustador.

Então, onde está a verdade sobre os cookies? Eles são apenas arquivos úteis com um nome simpático, ou há algo mais malicioso escondido em sua receita? Continue lendo para descobrir o que é um cookie, se você deve se preocupar com eles e o que pode ser problemático.

Pontos-chave do artigo:

• Cookies essenciais são um dos recursos mais úteis da internet moderna, ao contrário dos cookies de terceiros
• Cookies são geralmente arquivos de texto inofensivos, mas os de terceiros podem representar um risco à privacidade, razão pela qual alguns navegadores os bloqueiam por padrão
• Alguns malwares do tipo infostealer roubam cookies de sessão para contornar autenticações seguras, um ataque frequentemente direcionado a redes corporativas
• Leis que obrigam sites a oferecer escolha aos usuários sobre cookies são um passo na direção certa, mas a fadiga do usuário e o uso de Dark Patterns por parte de alguns sites enfraquecem essa proteção

O que é exatamente um cookie?

Um cookie é um pequeno arquivo de texto que seu navegador baixa para o computador, tablet ou smartphone quando você visita um site. Ele ajuda a agilizar o carregamento das páginas e a personalizar sua experiência nas próximas visitas: quando você volta ao mesmo site, o navegador recupera esse arquivo e usa as informações salvas para tornar tudo mais rápido e relevante para você.

Visitar um site pode resultar na coleta de dezenas de cookies pelo seu navegador. Alguns deles, emitidos por terceiros, podem ser usados para coletar informações sobre suas preferências, hábitos e comportamento de navegação, o que torna possível aquela sensação de que a internet "sabe o que você quer".

De onde vem o nome cookie?
O termo "cookie" no contexto da computação vem de uma expressão usada em programação para descrever um pequeno pacote de dados trocado entre programas enquanto se comunicam. Esses "magic cookies" funcionavam como tokens únicos que podiam ser resgatados por informações em um momento posterior.

Para que servem os cookies?

• Cookies podem ser muito úteis para você. Por exemplo, eles salvam os itens do seu carrinho de compras em lojas online, preenchem automaticamente campos em formulários e muito mais.
• Mas também podem ser úteis para outros: cookies de rastreamento e de análise podem ser usados para construir um perfil detalhado dos seus hábitos de navegação.
• Em casos mais raros, cookies associados a transações seguras, como logins corporativos, podem ser interceptados por cibercriminosos e usados para acessar suas contas sem autorização. Falaremos mais sobre isso adiante.

Cookies, cache e sessão: qual é a diferença?

Existem três tipos principais de dados que o navegador armazena ou troca com um site: além dos cookies, temos os recursos em cache e o estado de sessão.

O cache do navegador é uma forma eficiente de acelerar o carregamento das páginas. Ele guarda dados importantes de sites visitados com frequência e os serve diretamente do computador do usuário, sem precisar baixar a página inteira novamente. Apenas o que mudou desde a última visita é atualizado, o que melhora o desempenho e economiza dados.

Já os mecanismos de sessão ajudam a manter o estado de uma aplicação ao longo de várias requisições. Na maioria das implementações, os dados da sessão, como preferências ou informações específicas do usuário, ficam armazenados no servidor, enquanto um identificador de sessão fica salvo em um cookie no lado do usuário. Ao contrário dos cookies persistentes (falaremos mais sobre eles adiante), as sessões têm vida útil limitada e costumam expirar após um período de inatividade ou quando o navegador é fechado, dependendo de como o site ou o navegador foi configurado.

Como os cookies funcionam?

Entender como os cookies funcionam ajuda a explicar como eles podem beneficiar usuários comuns, mas também revela por que se tornaram uma questão regulatória suficientemente séria para que países como Brasil, Estados Unidos e nações europeias aprovassem leis voltadas à proteção da privacidade e ao direito de escolha do usuário.

O básico

No nível mais fundamental, quando você digita o endereço de um site (como www.eset.com) no navegador e pressiona Enter, o navegador envia uma solicitação ao servidor para carregar a página. O servidor retorna duas coisas: a página em si e um ou mais cookies. Pode ser algo simples como uma nota sobre qual navegador você está usando, para que o servidor envie páginas otimizadas, mas também pode conter outras informações: o conteúdo de formulários que você preencheu no site, por exemplo, ou se você prefere o tema claro ou escuro da página.

Uma forma de entender isso é pensar no barista da sua cafeteria favorita: quando você chega, ele já sabe seu pedido habitual e começa a preparar assim que te vê entrando. Sabe também que você tem fraqueza por bolo de cenoura, então não perde a chance de mencionar que o da vitrine saiu fresquinho esta manhã.

Aí entram os cookies de terceiros

Além dos cookies do próprio site, existem os cookies de terceiros. Eles podem ser enviados por elementos da página hospedados em outros servidores, como imagens, vídeos, funcionalidades de chat ou anúncios. Do ponto de vista da privacidade, esses são os mais preocupantes.

Voltando à analogia da cafeteria: você começa a ver anúncios de cafeterias concorrentes, ou talvez, com base no seu aparente amor por bolo de cenoura, uma propaganda de programa de emagrecimento. Quando isso acontece, a sensação pode ser de invasão, ou até de ofensa, especialmente se você come uma fatia de bolo por semana como um mimo merecido.

Aí quando você descobre que o preço do seu plano de saúde subiu com base na suposição equivocada de que você vive cheio de cafeína e açúcar, a situação deixa de ser apenas desconfortável.

Os diferentes tipos de cookies

Cookies diferentes fazem trabalhos diferentes e vêm de lugares diferentes. No entanto, todos têm uma coisa em comum: existem, na maior parte do tempo, do seu lado da conexão. Mas por quanto tempo e o quão essenciais são, bem, isso depende.

Vamos detalhar alguns tipos de cookies.

Cookies de sessão versus cookies persistentes

Um cookie de sessão existe apenas durante uma visita ao site. Você acessa o endereço, obtém a informação ou interação de que precisa e, ao fechar a aba ou sair do site, o cookie desaparece sem deixar rastro. Quase sem deixar, porque a maioria dos navegadores tem uma função chamada "Restaurar sessão" que recarrega as abas abertas caso o navegador ou o computador trave, ou após uma atualização de software.

Já os cookies persistentes ficam: eles continuam armazenados no seu dispositivo após o fim da sessão, geralmente por um período determinado. Isso é útil se você acessa o mesmo site com frequência, como para checar notícias ou a previsão do tempo, mas com o tempo podem acumular bastante informação, incluindo dados sensíveis como credenciais e informações pessoais.

O ponto mais preocupante: cookies persistentes são usados por sites, anunciantes e corretores de dados para rastrear seus hábitos de navegação ao longo do tempo e exibir publicidade direcionada.

Cookies primários versus cookies de terceiros

Os cookies primários, como o nome sugere, vêm do próprio site que você está visitando e geralmente são usados para personalizar sua experiência naquela página.

Mas eles não estão sozinhos: esses mesmos sites podem hospedar cookies de terceiros, que têm maior probabilidade de serem usados para mapear seu comportamento online com fins comerciais, cobrindo o máximo possível da sua navegação. Os dados coletados por esses cookies podem ser reunidos e vendidos por corretores de dados a anunciantes e outros grupos interessados no seu perfil digital.

Um banner de cookies típico

Por esse motivo, muitos países exigem que os sites ofereçam aos usuários o direito de recusar os cookies de terceiros. Alguns sites cumprem a lei na forma, mas não no espírito, recorrendo a dark patterns para tornar a recusa dos cookies de terceiros quase impossível. Outros já oferecem duas opções: aceitar os cookies de terceiros ou pagar uma pequena taxa para acessar o conteúdo sem cookies ou sem anúncios.

Cookies essenciais

Os cookies essenciais são aqueles cookies primários que mencionamos anteriormente. Eles são definidos pelo próprio site que você está visitando e se dividem em alguns grupos:

• ID de sessão: se você preencheu um formulário ou inseriu alguma informação e fechou a página, um cookie de ID de sessão guarda esses dados no seu computador caso você volte. O exemplo mais comum é o carrinho de compras em um e-commerce.
• Autenticação: identifica você por meio das suas credenciais de login, confirmando e recuperando as informações da sua conta conforme as configurações de segurança.
• Balanceamento de carga: um cookie de balanceamento de carga do lado do usuário ajuda sites com múltiplos servidores a priorizar o roteamento do tráfego pelo melhor servidor disponível. Isso evita lentidão na experiência do usuário em momentos de alto tráfego, como na compra de ingressos para um evento muito disputado.
• Segurança centrada no usuário: esses cookies ajudam a identificar tentativas potencialmente fraudulentas de acesso à sua conta.

Cookies com consentimento do usuário

Alguns cookies têm como objetivo melhorar sua experiência armazenando configurações e preferências. Esses geralmente exigem seu consentimento.

• Personalização da interface, também chamados de cookies de preferência ou funcionalidade, guardam informações como idioma, localização, dados de preenchimento automático de formulários ou configurações de interface, como o modo escuro.
• Cookies de multimídia são cookies de sessão que registram informações como velocidade de conexão, buffering e resolução para reprodução de mídia. O objetivo é oferecer a melhor experiência possível de áudio e vídeo, mesmo quando a rede ou o dispositivo não são dos melhores.

Cookies não essenciais

Esse tipo de cookie definitivamente exige seu consentimento e é provavelmente o mais problemático para a maioria das pessoas, assim como para os legisladores, assunto que abordaremos em breve. Eles precisam de autorização do usuário para serem baixados e armazenados no seu computador.

• Cookies de publicidade permitem que anúncios personalizados sejam exibidos com base nos sites que você visita.
• Rastreamento em redes sociais está intimamente ligado à função dos cookies de publicidade. Esses cookies são usados por empresas como Meta, X (antigo Twitter) e LinkedIn para construir um perfil do comportamento e das interações dos usuários.
• Cookies de análise são usados por equipes de marketing para acompanhar a conversão de clientes e prospects e identificar padrões de comportamento do público.

Uma nota rápida sobre zombie cookies, supercookies e Flash cookies
Embora a maioria dos sites que utilizam cookies permita que sejam removidos, alguns recorrem aos chamados zombie cookies. Esses cookies costumam ser armazenados pelo navegador em múltiplos locais ao mesmo tempo, tornando sua remoção difícil e frustrando qualquer tentativa de apagar o histórico de comportamento e outros dados.
Os supercookies têm natureza semelhante, mas em vez de se esconder no armazenamento do seu dispositivo, ficam nos servidores do provedor de internet e buscam os identificadores únicos dos seus dispositivos quando eles se conectam às páginas em questão.
Já os Flash cookies, também conhecidos como LSOs (Locally Shared Objects), não são tecnicamente cookies, embora guardem algumas semelhanças. O nome vem do player multimídia Flash, da Macromedia, atualmente pertencente à Adobe. Eles podem ser úteis para quem joga jogos no navegador que usam Flash, mas com mais frequência são utilizados para rastrear usuários, o que os tornou bastante mal vistos. Um dos motivos é que, quando o LSO tinha menos de 100 KB, os usuários não eram informados de sua presença. No passado, era preciso acessar o site da Adobe para desativá-los, o que ironicamente envolvia baixar um novo LSO no processo. Hoje, os navegadores bloqueiam o Flash por padrão, exigindo que o usuário faça uma escolha ativa para utilizá-lo.

Os cookies são perigosos? Os riscos reais em 2026

Na prática, uma coisa é se preocupar com anunciantes construindo perfis tão precisos que parecem estar dentro da sua cabeça. Outra é considerar o roubo de dados por meio de malwares do tipo infostealer.

Dito isso, cookies não carregam malware nem vírus. São arquivos de texto simples, não executáveis. Se você receber um cookie de um servidor, é relativamente fácil localizá-lo e abri-lo em um editor de texto para ver seu conteúdo.

Sequestro de sessão: por que cookies roubados importam mais do que senhas roubadas

Embora não possam carregar conteúdo malicioso, os cibercriminosos podem recorrer a uma tática chamada sequestro de sessão para roubar a chave de sessão entre seu dispositivo e o servidor, depois que você já passou pelo processo de autenticação de login, que fica registrado em um cookie.

Ferramentas recentes usadas para isso, como o LummaC2 e o Storm, são malwares do tipo infostealer capazes de coletar todo tipo de dado confidencial, incluindo cookies de ID de sessão.

Um relatório da Constella de 2026 mostrou a dimensão desse problema, que atualmente está concentrado no processo de autenticação de usuários corporativos. Em 2025, a empresa processou 51,7 milhões de pacotes de infostealer, um aumento de 72% em relação ao ano anterior, incluindo a coleta de perfis digitais completos de usuários, com cookies de sessão ativos, metadados do sistema e dados de preenchimento automático de sessões web.

Há algumas medidas simples que você pode tomar para evitar esse problema: mantenha seus navegadores atualizados, invista em uma boa solução de proteção antivírus e tome cuidado com o que você baixa e de onde baixa.

O que muda com a nova proteção DBSC do Chrome (abril de 2026)

Em abril de 2026, o Google lançou uma nova versão do Chrome, inicialmente para Windows, que aborda o problema representado pelo LummaC2, Storm e outros infostealers. O Chrome 136 vincula os cookies de sessão ao hardware do dispositivo, tornando as cópias roubadas por essas ferramentas essencialmente inúteis.

No entanto, essa atualização não protege dispositivos que não estejam rodando versões modernas do Windows, nem resolve infecções já existentes.

Você deve aceitar cookies? Um guia para decidir

Não existe uma resposta única de sim ou não para essa pergunta, simplesmente porque alguns cookies são incrivelmente úteis. Considere aceitar cookies de terceiros em sites que você conhece e nos quais confia, e verifique antes se a conexão usa HTTPS em vez de HTTP. Leve em conta também a sensibilidade dos dados que você compartilha com o site e reconsidere aceitar cookies de terceiros se sentir algum desconforto.

Quando recusar ou personalizar os cookies?

Considere o equilíbrio entre utilidade e risco ao lidar com cookies. Se você está visitando um site desconhecido, usando uma rede Wi-Fi pública sem uma VPN confiável, ou inserindo dados confidenciais, recusar os cookies de terceiros é uma escolha sensata. Se o seu navegador ou os produtos ESET emitirem um alerta, esse é o sinal para encerrar a navegação.

O que acontece se você não aceitar os cookies?

É improvável que você seja impedido de acessar o que precisa, mas sua experiência online pode não ser ideal. Dito isso, alguns recursos dos sites que você usa regularmente, como preenchimento automático de formulários ou carrinho de compras dinâmico, podem não funcionar corretamente ou ser interrompidos. Em resumo, o site pode simplesmente não se lembrar de você da última visita, o que significa mais esforço para navegar.

Por que "Rejeitar tudo" nem sempre é a opção mais privada

Um estudo apresentado na conferência NeurIPS 2023 revelou como usuários que recusam cookies podem, sem querer, compartilhar mais dados do que se simplesmente os tivessem aceito. Isso acontece, em parte, porque determinados perfis de usuários recusam cookies sistematicamente, e esse comportamento em si pode se tornar um sinal para análise.

Você deve deletar os cookies? E com que frequência?

Não há uma regra fixa sobre quando limpar os cookies do seu dispositivo é útil. Nossa melhor recomendação é definir um lembrete periódico no calendário para fazer essa limpeza de tempos em tempos ou, se você for especialmente preocupado com segurança, ajustar as configurações do seu navegador para deletar os cookies automaticamente ao final de cada sessão.